← España

PS-00337-2022

1/19  Expediente Nº: EXP202202951 RESOLUCIÓN DE TERMINACIÓN DEL PROCEDIMIENTO POR PAGO VOLUNTARIO Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 28 de octubre de 2022, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a FORMAESTUDIO, C.B. (en adelante, la parte reclamada), mediante el Acuerdo que se transcribe: << Expediente N.º: EXP202202951 ACUERDO DE INICIO DE PROCEDIMIENTO SANCIONADOR De las actuaciones practicadas por la Agencia Española de Protección de Datos y en base a los siguientes PRIMERO: A.A.A. (en adelante, la parte reclamante) con fecha 6/02/2022, interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra FORMAESTUDIO, C.B. (ESCUELA EUROPEA) con NIF E33551565 (en adelante, la parte reclamada). Los motivos en que basa la reclamación son los siguientes: El 17/01/2022, para la realización de las prácticas del máster de profesorado que está cursando, le exigieron presentar un cuestionario en el que tenía que rellenar varios datos, siendo uno de ellos el de responsabilidad COVID, debiendo indicar si estaba vacunada y presentar el pasaporte COVID que lo confirmara, a lo que se negó, por lo que le indicaron que si no daba esos datos no podría realizar las prácticas. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5/12, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1/10, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 17/02/2022 como consta en el acuse de recibo que obra en el expediente. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/19 Con fecha 14/04/2022, se recibe en esta Agencia escrito de respuesta indicando: 1) La reclamada tiene suscrito un convenio de cooperación con la UNIVERDIDAD ALFONSO X EL SABIO, en la que la reclamante estaba cursando un master de profesorado de secundaria. Acompaña en documento 1, la copia del convenio de “cooperación educativa”, en el que figura la reclamada, aludido como Centro, y: - En el “exponen”, número “tres”: La Universidad “está interesada en utilizar los medios humanos y materiales del Centro para la docencia prevista en el Plan de Estudios de las carreras de Grado, Estudios de Máster de la UAX y las enseñanzas del curso regulado por la Orden EDU/2645/2011, denominado Máster Universitario en Profesorado de Educación Secundaria Obligatoria y Bachillerato, Formación Profesional, para la realización de prácticas externas curriculares y extracurriculares.” -Se cita normativa vigente por la que se regulan las prácticas académicas externas de los estudiantes universitarios, y se estipula que el Centro permitirá que los estudiantes de la Universidad realicen practicas externas, indicando las instalaciones de la reclamada, efectuando la Universidad una compensación económica al Centro por la realización de las practicas. -Se indica que: “Los estudiantes de la Universidad que realicen sus prácticas en el Centro habrán de someterse a las reglas de funcionamiento y disciplina de éste, además de las que tenga establecidas aquélla. El Centro informará a los estudiantes en prácticas sobre la normativa de seguridad y prevención de riesgos laborales. Los eventuales conflictos surgidos en el desarrollo de las prácticas se resolverán en el seno de una comisión mixta paritaria, cuyos miembros serán nombrados a tal efecto por las partes firmantes del presente convenio” También figura la estipulación décima, que indica: “A los efectos de lo establecido en la Ley Orgánica 3/2018, de 5/12, de Protección de Datos Personales y garantía de los derechos digitales, el Reglamento (UE) 2016/679, del Parlamento Europeo y del Consejo, de 27/04/2016 y legislación complementaria, las partes firmantes se comprometen al cumplimiento de su obligación de protección, guarda y secreto de los datos de carácter personal que sean utilizados con motivo del presente convenio, y adoptaran las medidas necesarias para evitar su alteración, perdida, difusión o acceso no autorizado.” 2) Manifiesta la reclamada:

  1. a)“es la Universidad directamente con el alumno y sin intervención “de la reclamada, “la que gestiona los trámites administrativos pertinentes previos para la realización de las prácticas en nuestro centro educativo.”
  2. b)“El alumno es informado por la Universidad, como responsable del tratamiento, de las condiciones contractuales y de las políticas de privacidad en el tratamiento de sus datos personales en los términos de la ley de protección de datos y derechos y garantías digitales. Solo una vez cursada solicitud de prácticas a nuestro centro educativo por parte del alumno ante la UniC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/19 versidad, es cuando ésta nos traslada el expediente del solicitante, incluyendo en el mismo los datos personales estrictamente necesarios para la prestación de los servicios de prácticas en nuestro centro.” Asimismo, una vez cursada dicha solicitud, el alumno contacta ya directamente con nuestra entidad, y es cuando en caso de ser necesario se le solicitan determinados datos necesarios para poder cumplimentar la ficha de alumno en prácticas interna de nuestro centro. En concreto los datos que se solicitan al alumno son los siguientes: disponibilidad horaria, nombre, apellidos y teléfono de contacto. Hay que destacar que como norma general en ningún momento se solicitan a los alumnos datos de salud. La entidad FORMA ESTUDIO CB “dispone de las cláusulas informativas de derechos para el tratamiento de datos personales para los interesados que faciliten datos personales a nuestra entidad.” “Es en el momento de suscripción de la ficha de alumno, por tanto, cuando mi representada procede a la solicitud de datos personales a los alumnos, y es en ese momento y esta vez directamente, cuando pone a la disposición de los mismos, las cláusulas informativas de las políticas de privacidad relativas al tratamiento de sus datos personales en los términos previsto por la ley; recabando en ese momento la firma de los interesados para los consentimientos informados”. Acompaña DOCUMENTO nº 2. El formato en que lo presenta es formando parte de un informe de un despacho jurídico titulado “informe sobre cumplimiento del deber de información en la recogida de datos”, de la reclamada, de 13/04/2022, y en su introducción indica que el objeto del informe es “regularizar los medios y procesos de recogida de datos empleados por la reclamada a la normativa de protección de datos”. Consta, entre otras, la referencia al documento: “CLÁUSULA CONTROL EPIDEMIOLÓGICO (ESTUDIANTES EN PRÁCTICAS DE TERCEROS CENTROS”. En el mismo, se indica que los “datos personales incluidos los datos de salud” serán recogidos y conservados en ficheros, con la finalidad de realizar un control epidemiológico. Informa que la base legal para el tratamiento es el consentimiento y que con la firma del documento “consiente el tratamiento de datos de salud”. “Se tratarán los datos de carácter personal contenidos en el presente documento, además, para dar cumplimiento a las obligaciones legales pertinentes”. “Los datos de carácter personal serán conservados hasta que hayan dejado de ser necesarios o pertinentes para la finalidad por los que fueron recabados o registrados en nuestros ficheros, o como máximo hasta el 1/02/2022. Posteriormente, los datos de carácter personal que cumplan esta condición serán suprimidos”. Sin embargo, presenta otro formulario informativo en el que indica para la misma finalidad y colectivo, “alumnos que realizan prácticas curriculares de terceros centros”, que la base para el tratamiento de sus datos de carácter personal es el interés vital.
  3. c)En fecha 2/12/2021, la reclamante contactó vía email solicitando información sobre los horarios, y se fijó el inicio de las prácticas en fecha 17/01/2022, fecha en la que compareció en el centro para proceder al inicio de las prácticas en forma presencial. “En ese momento el país entero y en concreto el Principado de Asturias se encontraba en una situación de aumento alarmante de los casos de COVID; adoptándose medidas extraordinarias para la contención de dicha situación.” “En fecha 5/01/2022, Cód. 2022-00115, la CONSEJERÍA DE EDUCACIÓN DEL PRINCIPADO DE ASTURIAS, tras valoración de la situación epidemiológica provocada por el aumento alarmante de los casos de COVID y presión asistencial en el principado de Asturias efectuado en fecha 21/12/2021, y de conformidad al art 6 de la ley 2/2021 de 29/03, de medidas urgentes de prevención, contención y coordinación para hacer frente a la crisis sanitaria ocasionada por el COVID 19, modificado por Real Decreto ley 30/2021 de 23/12; adoptó resolución dirigida a los centros educativos del Principado para la adopción urgente de medidas extraordinaC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/19 rias para el curso 2021-2022. A través de dicha resolución se instaba los centros educativos a adaptar sus planes de contingencia de conformidad a dicha resolución. En concreto y dentro de las medidas contempladas en el anexo de la resolución se adoptaba la necesidad de reducir el acceso a los centros educativos, permitiendo solo de forma excepcional el acceso para la “realización de actividades complementarias y extraescolares, así como para la realización de prácticas, con las medidas COVID vigentes en cada sector” Asimismo, se imponía a los centros educativos el principio de precaución en virtud del cual la comunidad educativa debía extremar las prevenciones para evitar la propagación del virus en la aulas, instando a los centros educativos a que adoptaran todo tipo de medidas en dicha dirección.” Así la mencionada resolución afirmaba“ mientras se mantenga la actual situación de crisis sanitaria provocada por la pandemia de COVID-19 la comunidad educativa deberá desarrollar sus actividades, de cualquier índole, conforme al principio de precaución con objeto de prevenir la generación de riesgos innecesarios para sí mismos o para otros y de evitar la propaga ción del virus causante de la pandemia. “En dicho contexto de completa excepcionalidad ( el centro tenía varios alumnos y profesores con COVID) y tras la recepción del comunicado por la Consejería de Educación, en fecha 17/01/2022 se decidió la medida completamente excepcional de solicitar a la alumna en prácticas solicitante”, la reclamante, “que manifestase en el momento de formalización de su incorporación en nuestro centro y para la realización de las prácticas si tenía el CERTIFICADO DE VACUNACIÓN EN VIGOR o en caso de no disponer de él una PCR o TEST DE ANTÍGENOS NEGATIVO.” “La reclamante no llegó a aportar dato personal a nuestro centro, ni mucho menos exhibió ningún tipo de certificado; sino que tras varios desacuerdos relativos a los horarios del máster decidió no formalizar su inscripción en nuestro centro. No llegó a recabarse el consentimiento de la interesada al tratamiento de datos de salud porque no llegó a aportarse dato alguno.” 4) Sobre la base jurídica del tratamiento, indica que “en ningún momento realiza tratamiento de datos” “la reclamante no llegó a realizar alegación alguna al respecto”. “La solicitud a la reclamante fue una medida completamente excepcional tomada en un momento de total excepcionalidad.” “en ningún momento se pretendía la entrega y conservación de documento alguno” “La reclamante no llegó a facilitar dato personal alguno, decidiendo no formalizar su inscripción en nuestro centro por problemas de compatibilidad con sus horarios.” En cuanto a la base jurídica para la licitud del tratamiento de datos personales concurren los siguientes: - CONSENTIMIENTO ( art 6.1
  4. a)RGPD “ el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos” El consentimiento por lo demás cumple los requisitos del art 7 RGPD ( como se desprende de las cláusulas informativas aportadas), “consentimiento por lo demás otorgado en el marco de una relación contractual con la interesada.” - INTERESES VITALES DEL INTERESADO U OTRA PERSONA FÍSICA ( art 6.1
  5. d)RGPD “ el tratamiento es necesario para proteger intereses vitales del interesado o de otro persona física”. - INTERÉS PÚBLICO ( art 6.1
  6. e)RGPD “ el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/19 El considerando 46 del RGPD ya reconoce que, en situaciones excepcionales, como una epidemia, la base jurídica de los tratamientos puede ser múltiple, basada tanto en el interés público, como en el interés vital de interesado u otra persona física.” “En cuanto a las circunstancias que levantan la prohibición de tratamiento de los datos de salud , entendemos: Letra
  7. a)art 9.2 RGPD : “El apartado 1 no será de aplicación cuando concurra una de las circunstancias siguientes: el interesado dio su consentimiento explícito para el tratamiento de dichos datos personales con uno o más de los fines especificados” . “Letra
  8. c)9.2 RGPD: “El tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física”. Letra
  9. g)9.2 RGPD “ El tratamiento es necesario por razones de un interés público esencial, sobre la base de la Unión o de los Estados Miembros, que debe ser proporcional al objetivo perseguido, respetar en lo esencial el derecho a la protección de datos y establecer medidas adecuadas y específicas para proteger los intereses y derechos fundamentales del interesado” En cuanto a la finalidad del tratamiento, la información solicitada tenía como única finalidad evitar la propagación y el contagio del COVID entre los trabajadores y alumnos del centro. “La propia normativa de protección de datos establece que en situaciones de emergencia para la protección de intereses esenciales de salud pública y/o vitales de las personas físicas, podrán tratarse los datos de salud necesarias para evitar la propagación de la enfermedad que ha causado la emergencia sanitaria.” - La Sala cuarta del Tribunal Supremo en sentencia de 1/12/2021 nº 1412/2021 también se ha pronunciado sobre la naturaleza de esta medida y su adecuación a la ley de protección de datos: (en el marco de la impugnación a la medida extraordinaria de adopción del pasaporte COVID en la comunidad autónoma del País Vasco para acceder a establecimientos identificados en la orden de la Consejera de Salud del Gobierno del País Vasco de 16/11/2021). 5) “ La medida excepcional de solicitar a la reclamante que manifestase si estaba vacunada o en caso contrario si se había a exhibición el carnet COVID o prueba PCR o antígenos, entendemos cumple con los requisitos del art 5 RGPD; y en especial el principio de minimización de datos”. “La información solicitada tenía como única finalidad evitar la propagación y el contagio del COVID entre los trabajadores y alumnos del centro”. “No pretendía recopilar dichos datos, sino simplemente se solicitaba la mera comprobación de que el alumno en prácticas no era un riesgo potencial para el resto de los alumnos y profesores del centro. Solo pretendía solicitar la exhibición del documento ( nunca su entrega para conservación) por lo que entendemos que fue una medida que en caso de haberse materializado el tratamiento era adecuada, pertinente y adecuada para la finalidad que pretendía cumplir.” 6) Previo a la toma de decisión de solicitud de los datos de salud, se realizó una evaluación de impacto. Acompaña como documento 3, en el que cabe citar: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/19
  10. a)Informe efectuado el 14/01/2022, por la misma firma que realizó el informe sobre las cláusulas informativas de los tratamientos que la reclamada lleva a cabo.
  11. b)Sobre los datos del tratamiento: “control epidemiológico” del COVID 19 entre los trabajadores y alumnos del centro, se indica como finalidad: “Evitar la propagación y el contagio del COVID 19 entre los trabajadores y alumnos del centro. Aplicar las medidas recomendadas por el Principado de Asturias en materia de educación relacionadas con el COVID 19. Evitar el cierre de las aulas y la consecuente pérdida que supone para los alumnos de la formación contratada. Como base legal del tratamiento consta: consentimiento de usuarios, interés vital e interés público, en categoría de interesados: “Alumnos que realizan prácticas curriculares de terceros centros”., “no existe otros destinatarios”, si bien el nombre del tratamiento incluye a los alumnos y trabajadores. “Plazo de conservación: Medida excepcional para controlar la situación epidemiológica derivada de la sexta ola. El tratamiento de datos, en ningún caso, podrá realizarse más allá del día 1/02/2022.”
  12. c)En bases del tratamiento, figura que al que se recaban los datos es “al estudiante de un tercer centro educativo que realiza las practicas curriculares de los estudios contratados.“
  13. d)En caso de uso figura un diagrama de flujo de información referido a comunicación de contacto estrecho a alumnos o trabajadores, aunque en el listado de “operaciones relacionadas con fines de tratamiento“, figura que “rastreo de contactos”, no aplica. “control del empleado”, no aplica, en categorías de interesados, no figura la referencia a estudiantes, y consta “empleados”, con no aplica. En factores de tratamiento, en todos consta “no aplica, figurando entre otras, “servicios web”, tratamientos automatizados no aplica”. En “efectos colaterales del tratamiento”, figura: “excede de expectativas del interesado”, con aplica y probabilidad alta, “mitigado”, “posible perjuicio moral significativo, aplica, probabilidad baja, “no mitigado”. En conclusiones y recomendaciones figura:” Cabe destacar, igualmente, el rol del interesado, siendo un estudiante de un tercer centro que accede al centro educativo del responsable del tratamiento para la realización de prácticas curriculares. Hay que indicar además que el dato de salud sólo debe ser exhibido y que, en caso de aportar el dato en formato no automatizado, este será destruido y trasladado sólo la información de cumplir con las medidas COVID de manera automatizada y seudonimizada y cifrada en un único dispositivo, además de la copia de seguridad en el pendrive descrito.” 7) Añade, que no es necesario adoptar ninguna medida para evitar nuevas incidencias en relación a dicho tratamiento porque finalizada la excepcionalidad del momento dejó de solicitarse datos de salud alguno TERCERO: Con fecha 6/05/2022, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. FUNDAMENTOS DE DERECHO C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/19 I De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos. II El artículo 4 del RGPD define: “A efectos del presente Reglamento se entenderá por: 1) datos personales: toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona; 2) tratamiento: cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción; 15) datos relativos a la salud: datos personales relativos a la salud física o mental de una persona física, incluida la prestación de servicios de atención sanitaria, que revelen información sobre su estado de salud;” A los tratamientos de datos personales en situaciones de emergencia sanitaria, le siguen siendo aplicables la normativa de protección de datos personales (RGPD y LOPDGDD), por lo que se aplican todos sus principios, contenidos en el artículo 5 del RGPD, y entre ellos el de tratamiento de los datos personales con licitud, lealtad y transparencia, de limitación de la finalidad, principio de limitación del plazo de conservación, y por supuesto, y hay que hacer especial hincapié en ello, el principio de minimización de datos. En la contraparte, se desprenden unas facultades derivadas del ejercicio de derechos específicas que versan sobre la transparencia e información que se contienen en los artículos 12 y 13 del RGPD. Además, se ha de tener en cuenta que la finalidad especifica relacionada con la preservación de la salud supone diferentes riesgos para los derechos y libertades de los afectados. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/19 En la situación de crisis sanitaria ocasionada por la COVID19, la reclamada adopta medidas encaminadas a prevenir nuevos contagios de COVID-19, para posibilitar el desarrollo de las prácticas de formación en su centro, bajo la consideración de una normativa del Principado de Asturias en el área educativa dirigida a la prevención, contención y coordinación, necesarias para hacer frente a la crisis sanitaria ocasionada por la COVID-19, que incluía diferentes modalidades como la reducción de accesos en el marco de planes de contingencia, sin que por otro lado figura que se impusiera la obligación de vacunación o test. A diferencia de la situación que plantea la reclamada, sobre los hechos que valoró el TS en el País Vasco, que si imponía la obligación de aportación del Certificado COVID o pasaporte sanitario previsto en el Reglamento UE 2021/953 del Parlamento Europeo y del Consejo, de 14/06/2021, relativo a un marco para la expedición, verificación y aceptación de certificados COVID-19 interoperables de vacunación, de prueba diagnóstica y de recuperación (certificado COVID digital de la UE) en ciertos establecimientos, se ha de indicar que lo que decide el TS es sobre la ratificación de una disposición normativa de una autoridad pública, Consejería de Salud, con competencia en la materia. En concreto dirimió si la medida consistente en exigir la exhibición del Certificado COVID digital de la Unión Europea en los ámbitos descritos en la Orden, cuando concurran las condiciones previstas y en la forma prevista, es susceptible de ser autorizada judicialmente por haberse acreditado suficientemente los requisitos de necesidad e idoneidad, de acuerdo con el estándar establecido por las Sentencias del Tribunal Supremo de 18/08 y 14/09/2021, y se pronunciaba que presentaba los rasgos de adecuación, necesidad y proporcionalidad que justifican su adopción en virtud de los artículos 3 de la Ley Orgánica 3/1986, 26 de la Ley 14/1986 y 54 de la Ley 33/2011, interpretados a la luz de los artículos 15 y 43 de la Constitución. Es decir, se pronuncia sobre una medida desplegada por unas competencias legalmente establecidas por una entidad con competencia para establecer las mismas, base que no tiene la reclamada al citar la Orden de la Consejería de Educación del Principado de 5/01/2022, que no prevé que se solicite en el ámbito educativo test o certificados de vacunación. La reclamada indica, tras reconocer que exigió los datos de salud de la reclamante, que no recogió finalmente los mismos y no existe por ello tratamiento, subsidiariamente para reforzar su tesis que los datos solo eran exhibidos. Sin embargo, aporta cláusulas informativas sobre el citado tratamiento “clausula control epidemiológico- estudiantes en prácticas de terceros centros” en la que figura que se recogen datos de salud, que también figura en la referencia en la evaluación de impacto, efectúa el tratamiento: “control epidemiológico” del COVID 19 entre los trabajadores y alumnos del centro, con finalidad: “Evitar la propagación y el contagio del COVID 19 entre los trabajadores y alumnos del centro, y se recaban los datos: “al estudiante de un tercer centro educativo que realiza las practicas curriculares de los estudios contratados.“, señala que “en caso de aportar el dato en formato no automatizado, este será destruido y trasladado sólo la información de cumplir con las medidas COVID de manera automatizada y seudonimizada y cifrada en un único dispositivo, además de la copia de seguridad en el pendrive descrito.” Todo apunta a que se produce la recogida, almacenamiento y uso de esos datos y así lo tenía dispuesto y aprobado en sus medidas, todas, operaciones de tratamiento que suponen que la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/19 reclamada realiza tratamiento de datos personales en este caso con datos de salud sobre los que en principio se tendría que tener causa licita de tratamiento y una de las causas que habilitase el especifico tratamiento de estos datos de salud. III El RGPD establece un concepto muy amplio de los datos de salud, y le otorga un régimen específico, el correspondiente a las denominadas “categorías especiales de datos” El Comité Europeo de Protección de Datos (antiguo Grupo de Trabajo del artículo 29) en su dictamen sobre Directrices sobre decisiones individuales automatizadas y elaboración de perfiles a los efectos del Reglamento 2016/679, adoptadas el 3/10/2017, ratifica que para tratar categorías especiales de datos, debe encontrarse cobertura en el artículo 9.2 RGPD, y una vez excepcionada la prohibición general, hay que acudir a los supuestos del artículo 6 RGPD para dar licitud al tratamiento en cuestión. “(…) Los responsables del tratamiento solo pueden tratar datos personales de categoría especial si se cumplen una de las condiciones previstas en el artículo 9, apartado 2, así como una condición del artículo 6.(…).”, así pues, los responsables del tratamiento deben ser conscientes de la necesidad de cumplir ambos requisitos para tratar estas categorías especiales de datos personales. Según el apartado 1 del art. 9 RGPD, está prohibido el tratamiento de datos personales que revelen las opiniones políticas, del mismo modo que lo está el tratamiento de datos personales que revelen el origen étnico o racial, las convicciones religiosas o filosóficas o la afiliación sindical y el tratamiento de datos genéticos, datos biométricos dirigidos a identificar de manera unívoca a una persona física, datos relativos a la salud o datos relativos a la vida sexual o la orientación sexual de una persona física. No obstante, el apartado 2 del mismo precepto autoriza el tratamiento de todos esos datos cuando concurra alguna de las diez circunstancias allí previstas [letras
  14. a)a j)]. Algunas de esas circunstancias tienen un ámbito de aplicación acotado (laboral, social, asociativo, sanitario, judicial, etc.) o responden a una finalidad determinada, por lo que, en sí mismas, delimitan los tratamientos específicos que autorizan como excepción a la regla general. Además, la eficacia habilitante de varios de los supuestos allí previstos está condicionada a que el Derecho de la Unión o el de los Estados miembros los prevean y regulen expresamente en su ámbito de competencias: es el caso de las circunstancias recogidas en las letras a), b), g), h),
  15. i)y j). El tratamiento de las categorías especiales de datos personales es uno de los ámbitos en los que de manera expresa el RGPD ha reconocido a los Estados miembros "margen de maniobra" a la hora de "especificar sus normas", tal como lo califica su considerando 10. Este margen de configuración legislativa se extiende tanto a la determinación de las causas habilitantes para el tratamiento de datos personales especialmente protegidos -es decir, a la identificación de los fines de interés público esencial y la apreciación de la proporcionalidad de tratamiento al fin perseguido, respetando en lo esencial el derecho a la protección de datos- como al establecimiento de "medidas adecuadas y específicas para proteger los intereses y derechos fundamentales del interesado" [art. 9.2
  16. g)RGPD]. El Reglamento contiene, por tanto, una obligación concreta de los Estados miembros de establecer tales garantías, en el caso de que habiliten para tratar los datos personales especialmente protegidos. La Orden SND/344/2020, de 13/04, por la que se establecen medidas excepcionales para el refuerzo del Sistema Nacional de Salud y la contención de la crisis sanitaria ocasionada por el COVID-19, acuerda tanto la puesta a disposición de la autoridad sanitaria de cada Comunidad C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/19 Autónoma de todos aquellos centros, servicios y establecimientos sanitarios de diagnóstico clínico de titularidad privada ubicados en ellas, como el sometimiento de la realización de pruebas diagnósticas para la detección del COVID-19 a las directrices, instrucciones y criterios acordados al efecto por la autoridad sanitaria autonómica, El fundamento Segundo de la citada Orden, determina: “Requisitos para la realización de pruebas diagnósticas para la detección del COVID-19.”: La indicación para la realización de pruebas diagnósticas para la detección del COVID-19 deberá ser prescrita por un facultativo de acuerdo con las directrices, instrucciones y criterios acordados al efecto por la autoridad sanitaria competente.” “Tal y como se indica en el preámbulo de esa norma, se trata con ello de limitar la realización de las pruebas diagnósticas para la detección del COVID-19 a aquellos casos en los que exista una prescripción previa por un facultativo y se ajusten a criterios establecidos por la autoridad sanitaria competente, sometiendo de esta forma el régimen de realización de esta clase de pruebas a la previa existencia de criterios médicos que aconsejen su realización.” Señala el artículo 9 del RGPD: “1. Quedan prohibidos el tratamiento de datos personales que revelen el origen étnico o racial, las opiniones políticas, las convicciones religiosas o filosóficas, o la afiliación sindical, y el tratamiento de datos genéticos, datos biométricos dirigidos a identificar de manera unívoca a una persona física, datos relativos a la salud o datos relativos a la vida sexual o la orientación sexual de una persona física.” 2. El apartado 1 no será de aplicación cuando concurra una de las circunstancias siguientes: “
  17. a)el interesado dio su consentimiento explícito para el tratamiento de dichos datos personales con uno o más de los fines especificados, excepto cuando el Derecho de la Unión o de los Estados miembros establezca que la prohibición mencionada en el apartado 1 no puede ser levantada por el interesado; […]”
  18. c)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física, en el supuesto de que el interesado no esté capacitado, física o jurídicamente, para dar su consentimiento; […]”
  19. g)el tratamiento es necesario por razones de un interés público esencial, sobre la base del Derecho de la Unión o de los Estados miembros, que debe ser proporcional al objetivo perseguido, respetar en lo esencial el derecho a la protección de datos y establecer medidas adecuadas y específicas para proteger los intereses y derechos fundamentales del interesado; […]”
  20. i)el tratamiento es necesario por razones de interés público en el ámbito de la salud pública, como la protección frente a amenazas transfronterizas graves para la salud, o para garantizar elevados niveles de calidad y de seguridad de la asistencia sanitaria y de los medicamentos o productos sanitarios, sobre la base del Derecho de la Unión o de los Estados miembros que C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/19 establezca medidas adecuadas y específicas para proteger los derechos y libertades del interesado, en particular el secreto profesional” La reclamada, no informa de las circunstancias que considera levantan la prohibición del tratamiento de datos de salud en la clausula informativa, si bien manifiesta que serían aplicables: -art 9.2.
  21. a)del RGPD, “el interesado dio su consentimiento explícito para el tratamiento de dichos datos personales con uno o más de los fines especificados, excepto cuando el Derecho de la Unión o de los Estados miembros establezca que la prohibición mencionada en el apartado 1 no puede ser levantada por el interesado;” El recurso al consentimiento debe limitarse a los casos en que el interesado tenga una auténtica libertad de elección y por tanto sea posteriormente capaz de retirar el consentimiento sin sufrir perjuicio alguno. Además, en este caso, la dependencia de la alumna en prácticas en la organización en la que las realiza supone una posición de sujeción en la que la reclamante no se sentirá libre de no prestar dicho consentimiento y que le trae la consecuencia de que no sea admitida a las practicas -art 9.2.
  22. c)del RGPD, “el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física, en el supuesto de que el interesado no esté capacitado, física o jurídicamente, para dar su consentimiento;”. Además de desconocer si los mismos requisitos sobre la certificación de vacuna eran exigibles s otros empleados y estudiantes, se aprecia a simple vista que no cumple el literal que condiciona la aplicación. -art. 9.2
  23. g)del RGPD “ El tratamiento es necesario por razones de un interés público esencial, sobre la base de la Unión o de los Estados Miembros, que debe ser proporcional al objetivo perseguido, respetar en lo esencial el derecho a la protección de datos y establecer medidas adecuadas y específicas para proteger los intereses y derechos fundamentales del interesado”. No se ha alegado la supuesta base que debería concretar el citado interés ajustado al ámbito educativo en el que se prevea concretamente la habilitación para solicitar datos de salud en relación con la COVID 19 Así pues, se considera que la reclamada no cumple el requisito que alega como excepción al tratamiento de datos de salud, considerándose que infringe el artículo 9.2.) del RGPD. IV También se ha de analizar si el tratamiento objeto de la reclamación cumple alguna de las base jurídicas que dispone el artículo 6 del RGPD, como requisito para su licitud: El artículo 6.1 del RGPD, establece los supuestos que permiten considerar lícito el tratamiento de datos personales. 1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
  24. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/19
  25. b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
  26. c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
  27. d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
  28. e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
  29. f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
  30. f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones La reclamada señala en la clausula informativa, que concurriría: -6.1
  31. a)del RGPD, y “además, para dar cumplimiento a las obligaciones legales pertinentes” que no identifica a no ser que aluda a la Resolución de 5/01/ 2022, de la Consejería de Educación, por la que se adaptan a la evolución epidemiológica las instrucciones de organización, prevención, contención y coordinación necesarias para hacer frente a la crisis sanitaria ocasionada por la COVID-19 en el ámbito educativo para el curso escolar 2021-2022 de aplicación a los centros educativos no universitarios del Principado de Asturias, Boletín del 12, en la que ni se alude a la vacunación ni a los test de diagnostica de la infección. Sobre el consentimiento, cabe reseñar algo parecido a lo que se ha mencionado para levantar la prohibición del tratamiento. -En otro formulario, desconociendo si se entrega uno u otro o los dos para ser cumplimentados, indica como base legitimadora, exclusivamente “interés vital” incluida en el punto
  32. d)del artículo 6 del RGPD: “el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física” El interés vital en el tratamiento de datos, abarca situaciones en las que el tratamiento es necesario para proteger un interés esencial para la vida del interesado o la de otra persona física, y solo concurrirá en determinados casos, y en principio, el responsable del tratamiento solo puede basarse en motivos de interés vital si no hay disponible otra base jurídica para el tratamiento. En todo caso aquí supondría que con la misma finalidad ,el resto de las personas relacionadas con la educación del centro, fueran alumnos, fueran empleados como profesores, y directivo que trata con estas personas, deberían ser sometidos al mismo trato, exigiéndoles a todos dichos datos de salud, ya que no se trata de que predomine un interés sobre otro. Por tanto , no se acredita exista acreditación de que la necesidad del tratamiento lo sea para proteger interés vital, en este caso, respecto a la reclamante. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/19 De las bases de legitimación que se informa en las clausulas de información, ninguna ampara el citado tratamiento. Sin embargo, si se observa que la reclamante consiente en la realización de las prácticas en una entidad que colabora con la Universidad en la que estudia y en función de ello, presenta una solicitud para poder llevarlas a cabo en la entidad reclamada, pudiendo concluir que existe una relación entre las partes que posibilitaría desplegar tratamientos de datos en función de ello. V De conformidad con las evidencias de las que se dispone en el presente acto de trámite de acuerdo de inicio de procedimiento sancionador, y sin perjuicio de lo que resulte de la instrucción, se considera que los hechos expuestos podrían vulnerar lo dispuesto en los artículos: 9.2 del RGPD, con el alcance expresado en los Fundamentos de Derecho anteriores, lo que, de confirmarse, podría suponer la comisión de la infracción tipificada en el artículo 83 apartado 5.
  33. a)del RGPD que bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone que: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
  34. a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9; A este respecto, la LOPDGDD, en su artículo 71 establece que “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A efectos del plazo de prescripción, el artículo 72 de la LOPDGDD indica: “Infracciones consideradas muy graves. “1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes: […]
  35. e)El tratamiento de datos personales de las categorías a las que se refiere el artículo 9 del Reglamento (UE) 2016/679, sin que concurra alguna de las circunstancias previstas en dicho precepto y en el artículo 9 de esta ley orgánica. […] VI Los apartados
  36. d)e
  37. i)del artículo 58.2 del RGPD disponen lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/19 “Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación: (…) “
  38. d)ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado;” “
  39. i)imponer una multa administrativa con arreglo al artículo 83, además o en lugar de las medidas mencionadas en el presente apartado, según las circunstancias de cada caso particular;” En este caso, dada la categoría de los datos que se recogen y los riesgos de los derechos y libertades que con ellos resultan comprometidos, procede el procedimiento sancionador de multa administrativa. La imposición de medidas de ajuste en el tratamiento es compatible con la sanción consistente en multa administrativa, según lo dispuesto en el art. 83.2 del RGPD. VII La determinación de las sanciones que procede imponer en el presente caso, exige observar las previsiones de los artículos 83.1) y.2) del RGPD, preceptos que, respectivamente, disponen lo siguiente: “1. Cada autoridad de control garantizará que la imposición de las multas administrativas con arreglo al presente artículo por las infracciones del presente Reglamento indicadas en los apartados 4, 5 y 6 sean en cada caso individual efectivas, proporcionadas y disuasorias. 2. Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras
  40. a)a
  41. h)y j). Al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
  42. a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate, así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;
  43. b)la intencionalidad o negligencia en la infracción;
  44. c)cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados;
  45. d)el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32;
  46. e)toda infracción anterior cometida por el responsable o el encargado del tratamiento;
  47. f)el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/19
  48. g)las categorías de los datos de carácter personal afectados por la infracción;
  49. h)la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida;
  50. i)cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas previamente contra el responsable o el encargado de que se trate en relación con el mismo asunto, el cumplimiento de dichas medidas;
  51. j)la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación aprobados con arreglo al artículo 42, y
  52. k)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción.” Dentro de este apartado, la LOPDGDD contempla en su artículo 76, titulado: “Sanciones y medidas correctivas”: “1. Las sanciones previstas en los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679 se aplicarán teniendo en cuenta los criterios de graduación establecidos en el apartado 2 del citado artículo. 2. De acuerdo a lo previsto en el artículo 83.2.
  53. k)del Reglamento (UE) 2016/679 también podrán tenerse en cuenta:
  54. a)El carácter continuado de la infracción.
  55. b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales.
  56. c)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  57. d)La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión de la infracción.
  58. e)La existencia de un proceso de fusión por absorción posterior a la comisión de la infracción, que no puede imputarse a la entidad absorbente.
  59. f)La afectación a los derechos de los menores.
  60. g)Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
  61. h)El sometimiento por parte del responsable o encargado, con carácter voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que existan controversias entre aquellos y cualquier interesado. 3. Será posible, complementaria o alternativamente, la adopción, cuando proceda, de las restantes medidas correctivas a las que se refiere el artículo 83.2 del Reglamento (UE) 2016/679.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/19 De acuerdo con los preceptos transcritos, a efectos de fijar el importe de la sanción de multa a imponer en el presente caso tipificada en el artículo 83.5.
  62. a)del RGPD, de la que se responsabiliza al reclamado, para la infracción del artículo 9 del RGPD, se estiman concurrentes en calidad de agravantes los siguientes factores que revelan una mayor antijuridicidad y/o culpabilidad en la conducta del reclamado: -Artículo 83.2.
  63. g)RGPD: “las categorías de los datos de carácter personal afectados por la infracción”, al tratarse de datos de salud, con un régimen específico catalogado como dato de categoría especial por la protección adicional que su régimen jurídico les dispensa, y que solo deben ser tratados con fines específicos y en condiciones especiales. Con este factor, se estima adecuada una sanción de 6.000 euros, sin perjuicio de lo que resulte de la instrucción. Por lo tanto, a tenor de lo anteriormente expuesto, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: INICIAR PROCEDIMIENTO SANCIONADOR a FORMAESTUDIO, C.B., con NIF E33551565, por la presunta infracción del artículo 9 del RGPD, de conformidad con el artículo 83.5.
  64. a)del RGPD y a efectos de prescripción en el artículo 72.1.e ojalá) de la LOPDGDD. SEGUNDO: NOMBRAR como instructor a B.B.B. y, como secretaria, a C.C.C. indicando que cualquiera de ellos podrá ser recusado, en su caso, conforme a lo establecido en los artículos 23 y 24 de la Ley 40/2015, de 1/10, de Régimen Jurídico del Sector Público (LRJSP). TERCERO: INCORPORAR al expediente sancionador, a efectos probatorios, la reclamación interpuesta por la parte reclamante y su documentación, así como los documentos obtenidos y generados por la Subdirección General de Inspección de Datos. CUARTO: QUE a los efectos previstos en el art. 64.2
  65. b)de la ley 39/2015, de 1/10, del Procedimiento Administrativo Común de las Administraciones Públicas, (en lo sucesivo, LPACAP), la sanción que pudiera corresponder sería de 6.000 euros, sin perjuicio de lo que resulte de la instrucción. QUINTO: NOTIFICAR el presente acuerdo a FORMAESTUDIO, C.B., con NIF E33551565, otorgándole un plazo de audiencia de diez días hábiles para que formule las alegaciones y presente las pruebas que considere convenientes. En su escrito de alegaciones deberá facilitar su NIF y el número de procedimiento que figura en el encabezamiento de este documento. Si en el plazo estipulado no efectuara alegaciones a este acuerdo de inicio, el mismo podrá ser considerado propuesta de resolución, según lo establecido en el artículo 64.2.
  66. f)de la LPACAP. De conformidad con lo dispuesto en el artículo 85 de la LPACAP, podrá reconocer su responsabilidad dentro del plazo otorgado para la formulación de alegaciones al presente acuerdo de inicio; lo que llevará aparejada una reducción de un 20% de la sanción que C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/19 proceda imponer en el presente procedimiento. Con la aplicación de esta reducción, la sanción quedaría establecida en 4.8000 euros, resolviéndose el procedimiento con la imposición de esta sanción. Del mismo modo podrá, en cualquier momento anterior a la resolución del presente procedimiento, llevar a cabo el pago voluntario de la sanción propuesta, lo que supondrá la reducción de un 20% de su importe. Con la aplicación de esta reducción, la sanción quedaría establecida en 4.800 euros, y su pago implicará la terminación del procedimiento. La reducción por el pago voluntario de la sanción es acumulable a la que corresponde aplicar por el reconocimiento de la responsabilidad, siempre que este reconocimiento de la responsabilidad se ponga de manifiesto dentro del plazo concedido para formular alegaciones a la apertura del procedimiento. El pago voluntario de la cantidad referida en el párrafo anterior podrá hacerse en cualquier momento anterior a la resolución. En este caso, si procediera aplicar ambas reducciones, el importe de la sanción quedaría establecido en 3.600 euros. En todo caso, la efectividad de cualquiera de las dos reducciones mencionadas estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. En caso de que optara por proceder al pago voluntario de cualquiera de las cantidades señaladas anteriormente 4.800 euros o 3.600 euros, deberá hacerlo efectivo mediante su ingreso en la cuenta nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A., indicando en el concepto el número de referencia del procedimiento que figura en el encabezamiento de este documento y la causa de reducción del importe a la que se acoge. Asimismo, deberá enviar el justificante del ingreso a la Subdirección General de Inspección para continuar con el procedimiento en concordancia con la cantidad ingresada. El procedimiento tendrá una duración máxima de nueve meses a contar desde la fecha del acuerdo de inicio o, en su caso, del proyecto de acuerdo de inicio. Transcurrido ese plazo se producirá su caducidad y, en consecuencia, el archivo de actuaciones; de conformidad con lo establecido en el artículo 64 de la LOPDGDD. Por último, se señala que conforme a lo establecido en el artículo 112.1 de la LPACAP, contra el presente acto no cabe recurso administrativo alguno. 935-110422 Mar España Martí Directora de la Agencia Española de Protección de Datos >> SEGUNDO: En fecha 5 de noviembre de 2022, la parte reclamada ha procedido al C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/19 pago de la sanción en la cuantía de 3600 euros haciendo uso de las dos reducciones previstas en el Acuerdo de inicio transcrito anteriormente, lo que implica el reconocimiento de la responsabilidad. TERCERO: El pago realizado, dentro del plazo concedido para formular alegaciones a la apertura del procedimiento, conlleva la renuncia a cualquier acción o recurso en vía administrativa contra la sanción y el reconocimiento de responsabilidad en relación con los hechos a los que se refiere el Acuerdo de Inicio. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Terminación del procedimiento El artículo 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP), bajo la rúbrica “Terminación en los procedimientos sancionadores” dispone lo siguiente: “1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento con la imposición de la sanción que proceda. 2. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa imponer una sanción pecuniaria y otra de carácter no pecuniario pero se ha justificado la improcedencia de la segunda, el pago voluntario por el presunto responsable, en cualquier momento anterior a la resolución, implicará la terminación del procedimiento, salvo en lo relativo a la reposición de la situación alterada o a la determinación de la indemnización por los daños y perjuicios causados por la comisión de la infracción. 3. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el órgano competente para resolver el procedimiento aplicará reducciones de, al menos, el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables entre sí. Las citadas reducciones, deberán estar determinadas en la notificación de iniciación C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/19 del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. El porcentaje de reducción previsto en este apartado podrá ser incrementado reglamentariamente.” De acuerdo con lo señalado, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR la terminación del procedimiento EXP202202951, de conformidad con lo establecido en el artículo 85 de la LPACAP. SEGUNDO: NOTIFICAR la presente resolución a FORMAESTUDIO, C.B.. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
  67. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 936-040822 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.