PS-00345-2022

1/60  Procedimiento Nº: EXP202201681 (PS/00345/2022) RESOLUCION DEL PROCEDIMIENTO SANCIONADOR De las actuaciones practicadas por la Agencia Española de Protección de Datos ante el COLEGIO OFICIAL DE ARQUITECTOS DE GRANADA, con CIF.: Q1875003D, titular de la página web, www.coagranada.es/ (en adelante “la parte reclamada”), en virtud de la reclamación presentada por A.A.A., (en adelante, “la parte reclamante”), por la presunta vulneración de la normativa de protección de datos: Reglamento (UE) 2016/679, del Parlamento Europeo y del Consejo, de 27/04/16, relativo a la Protección de las Personas Físicas en lo que respecta al Tratamiento de Datos Personales y a la Libre Circulación de estos Datos (RGPD) y la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales (LOPDGDD), y la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico (LSSI) y atendiendo a los siguientes: ANTECEDENTES PRIMERO: Con fecha 21/12/21, tuvo entrada en esta Agencia, a través del Consejo de Transparencia y Protección de Datos de la Junta de Andalucía, escrito presentado por el reclamante, en la que indicaba, entre otras, lo siguiente: “Se viene observando como el Colegio incumple de forma reiterada la normativa vigente en materia de protección de datos de carácter personal, poniendo así en peligro la privacidad de los datos de los colegiados y por tanto sus derechos. El primero de los hechos sobre los que se formula la presente reclamación, está referido a la ausencia comunicación de Delegado de Protección de Datos del Colegio Oficial de Arquitectos de Granada al Consejo de Transparencia y Protección de Datos de Andalucía. Recordemos que según la legislación vigente (Art. 34.1.A. de la LOPDGDD) los Colegios Profesionales están obligados a la designación de un Delegado de Protección de Datos y por ende de su notificación al organismo competente, en este caso el Consejo de Transparencia y Protección de Datos de Andalucía. Así mismo, y en relación al nombramiento de Delegado de Protección de Datos, según se desprende del documento que se acompaña (Documento nº1), la Junta de Gobierno del Colegio, en sesión celebrada el 11 de abril de 2019 adoptó el siguiente acuerdo: “Designar al ***PUESTO.1 del Colegio Oficial de Arquitectos como Delegado de Protección de Datos para el Colegio de Arquitectos” Independientemente de que el nombramiento podría vulnerar los requisitos fijados por el art. 37.5 del RGPD, relativas a las cualidades y conocimientos del DPD, lo que sí que parece evidente, es que dicho nombramiento podría contravenir los postulados del Grupo de Trabajo del Art. 29 cuando en su documento “Directrices sobre los Delegados de Protección de Datos” indican que la organización debe garantizar la ausencia de conflicto de intereses en la figura del DPD siempre que este preste otras funciones, destacando que “el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/60 DPD no puede ocupar un cargo en la organización que le lleve a determinar los fines y medios del tratamiento.” En la dirección web https://coagranada.es/quejas-y-reclamaciones/ correspondiente a la página web del Colegio Oficial de Arquitectos de Granada, existen dos enlaces para la descarga de sendos formularios para la formulación de quejas y reclamaciones, pudiéndose observar en dichos impresos (Documentos nº2 y 3) la existencia una política de privacidad que no reúne todos los requisitos exigidos por los arts. 12 y 13 del RGPD y lo que resulta más grave, se indica como Responsable del Tratamiento al ***PUESTO.1 del Colegio, cuestión que genera una clara desinformación en los interesados, ya que como bien conoce el órgano al que me dirijo el Responsable del Tratamiento no es el ***PUESTO.1 sino el propio Colegio Oficial de Arquitectos de Granada, lo que puede generar una evidente confusión y desinformación a los interesados. Más grave es aún, cuando el cargo de DPD y el RGPD recae en la misma persona, el ***PUESTO.1 del Colegio. La página web https://coagranada.es/ presenta un aviso informativo sobre indica en dicho aviso informativo la mera utilización del sitio web implica la aceptación para instalación de cookies. La política de privacidad de la página web del Colegio Oficial de Arquitectos de Granada, que se encuentra disponible en la siguiente dirección web (https://coagranada.es/politica-de-privacidad-y-tratamiento-de-datos/ (Documento nº4) posee las siguientes deficiencias: 1.- No se indican los datos de contacto del Delegado de Protección de Datos. 2.- Incorrecta aplicación de la base legitimadora del consentimiento en el apartado nº5 de la política, al elegirse esta base como la que legitima el tratamiento de datos personales derivados del envío de correos electrónicos, sin que conste un mecanismo de manifestación del consentimiento que cumpla con los requisitos establecidos por la legislación vigente. 3.- No se identifican de forma clara e inequívoca las bases legitimadoras del tratamiento de datos, ya que en el apartado nº3 de dicha política se indica literalmente “Siempre se requerirá el consentimiento para el tratamiento de sus datos personales que pueda ser para uno o varios fines específicos sobre los que se informará previamente con absoluta transparencia”. Sin embargo, posteriormente en el apartado nº6 de la web, se detallan otras bases legitimadoras diferentes al consentimiento, produciéndose confusión sobre las verdaderas bases legitimadoras aplicadas por la entidad. Así mismo, se pudo apreciar la existencia de políticas de privacidad no adaptadas a la normativa vigente (Ej. Formulario de Solicitud de visado que se adjunta como Documento Nº 5). Finalmente, se desea hacer constar que tal y como se puso de manifiesto en el escrito dirigido al Colegio Oficial de Arquitectos de Granada en fecha 23-032021 (Documento nº6), existen motivos fundados para creer que los expedientes disciplinarios instruidos por el Colegio no gozan de las correspondientes medidas técnicas y organizativas que garanticen la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/60 confidencialidad e integridad de los datos personales contenidos en los mismos, ya que no existe un registro de incorporación de documentos ni actuaciones al expediente. Al escrito de reclamación se acompaña la siguiente documentación relevante para el presente procedimiento: - Copia del escrito que A.A.A., colegiado ***COLEGIADO.1, remite al reclamante, el día 30/08/21, donde, entre otras, se puede leer: o - Copia de la “Hoja de Reclamaciones” del Colegio Oficial de Arquitectos de Granada donde se puede leer, entre otras, la siguiente información con respecto a la política de protección de datos: o - “(…) La Junta de Gobierno del Colegio en su sesión celebrada el 11 de abril de 2019 adoptó, entre otros, el siguiente acuerdo: “(AIG) 11.04.19/08.- DESIGNAR AL ***PUESTO.1 DEL COLEGIO OFICIAL DE ARQUITECTOS COMO DELEGADO DE PROTECCIÓN DE DATOS PARA EL COLEGIO DE ARQUITECTOS.” Por lo tanto, puedo informarte que, actualmente el Delegado de Protección de Datos del Colegio Oficial de Arquitectos de Granada es su ***PUESTO.1 D. B.B.B. (…)”. Colegio Oficial de Arquitectos de Granada. Plaza de San Agustín Nº3 , 18001 Granada . Secretaría General . Área de Atención al Colegiado y al Usuario. Los datos recogidos formarán parte del Fichero del COAGRANADA, siendo el Responsable el ***PUESTO.1 del mismo, a quién se tendrá que dirigir escrito para el caso de ejercer los derechos de acceso, oposición, rectificación y cancelación, de conformidad con la L.O.P.D. Copia de la “Solicitud de Visado” dirigida al Decano del Colegio Oficial de Arquitectos de Granada, donde se puede leer, entre otras, la siguiente información, respecto a la política de protección de datos: o Conforme a lo establecido en la LO 15/1999 de Protección de Datos de Carácter Personal, se informa de la existencia de un fichero automatizado cuya finalidad es la prestación del servicio solicitado. Los Solicitantes prestan expresamente su consentimiento para el tratamiento y cesión de los datos existentes en el fichero automatizado a los diversos Colegios Oficiales de Arquitectos españoles y a otros órganos administrativos, a los efectos relacionados con la función de visado. Los firmantes podrán ejercer el derecho de acceso, rectificación, oposición y cancelación por escrito ante el C.O.A. de Granada, con domicilio en Plaza de San Agustín Nº 3, 18001 Granada, correo electrónico coagranada@coagranada.org SEGUNDO: Con fecha 03/03/22, de conformidad con lo estipulado en el artículo 65.4 de la Ley LOPDGDD, por parte de esta Agencia, se dio traslado de dicha reclamación C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/60 a la parte reclamada, para que procediese a su análisis e informase, en el plazo de un mes, sobre lo que se exponía en el escrito de reclamación. TERCERO: Con fecha 01/04/22, la parte reclamada, presentó escrito de contestación a la solicitud realizada desde esta Agencia, en el cual, entre otras, manifestaba: “Concretamente, el reclamante hace alusión al texto del Aviso Legal de Primera Capa en relación con la Política de Cookies, que, a la fecha de la reclamación, 21/12/21, mostraba: https://coagranada.sedelectronica.es/ “Utilizamos cookies para asegurar que damos la mejor experiencia al usuario en nuestra web. Si sigues utilizando este sitio asumiremos que estás de acuerdo Acepto.” Este Aviso Legal de Primera Capa se ubicaba en la parte inferior de la pantalla, y la fórmula para recabar el consentimiento era exclusivamente pulsando el botón “Acepto”, es decir, mediante una inequívoca acción realizada por el usuario. Sin embargo, al continuar navegando, el banner de Aviso Inicial de Primera Capa seguía apareciendo en caso de que el usuario desease consultar la Política de Cookies, que se encontraba en el enlace ubicado en la expresión resaltada en color naranja asumiremos que estás de acuerdo. En su momento, se interpretó que, al seguir navegando, el usuario se mostraba de acuerdo con el aviso proporcionado. En fecha 29 de marzo de 2022 este Colegio contactó con la empresa especializada en servicios de adecuación de protección de datos, la entidad “PSN Sercon S.L.U.”, que ha analizado y realizado un informe previo de potenciales irregularidades en la página web del COA, informe que se adjunta al presente escrito como anexo I (ANÁLISIS INICIAL WEB COLEGIO OFICIAL DE ARQUITECTOS DE GRANADA) en el que se recogen los principales incumplimientos detectados en una primera aproximación al proceso de regularización y adaptación al marco normativo vigente en protección de datos y demás legislación aplicable a la web del COA Granada. Ya han dado comienzo los trabajos de adecuación de la Política de Privacidad de la web COA Granada y de su Política de Cookies, tal y como se puede comprobar en los enlaces:  https://coagranada.es/politica-de-privacidad-y-tratamiento-de-datos/  https://coagranada.es/politica-sobre-recogida-y-tratamiento-de-cookies/ En ellos se señala que se está trabajando en su actualización y adecuación a la legislación vigente. Los controles de eficacia referidos a la Política de Privacidad, el COA Granada, con la asistencia de la entidad PSN Sercon SLU, actualmente son los siguientes:  Se está realizando un rediseño de la Política de Privacidad y de su Registro de Actividades de Tratamiento siguiendo los criterios del Documento “Informe sobre Políticas de Privacidad en Internet, Adaptación al RGPD”, 2018- AEPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/60  Se ha establecido un programa de auditoría anual, en consonancia con el principio de responsabilidad proactiva del art. 24.1 del RGPD En relación con las medidas adoptadas para la adecuación de la utilización de las cookies a la normativa de aplicación en materia de protección de datos, ya se ha modificado el Aviso de Primera Capa de Cookies, siguiendo las directrices del Documento “Guía sobre el uso de las Cookies”, publicado por la AEPD 2020. También se ha realizado una auditoría de las cookies existentes en la web del COA Granada, con la utilización de las herramientas recomendadas por el Instituto Nacional de Ciberseguridad, INCIBE, https://www.incibe.es/protege-tuempresa/blog/son-lascookies-y-mostrarlas-sitio-web para, posteriormente, realizar un análisis sobre su utilidad, necesidad y vigencia. El resultado de dicho análisis está en proceso de elaboración. Igualmente, se ha realizado la sustitución del mecanismo para recabar el consentimiento, sustituyéndolo por un banner con las indicaciones establecidas por la normativa de aplicación: titularidad de la web, finalidad de las cookies, existencia de cookies de terceros y posibilidad de configuración de cookies, rechazo y aceptación de las mismas. El Colegio Oficial de Arquitectos de Granada, a través de su Junta de Gobierno presidida por el Decano que suscribe el presente escrito, reconoce la necesidad de adecuar la política de cookies y su política de privacidad. Es por ello por lo que en fecha 30 de marzo del presente año, se decidió el inicio inmediato de los trabajos de adecuación y adaptación de los aspectos requeridos por esa AEPD de forma que se dé cumplimiento a lo establecido tanto en la LOPDGDD, como en el RGDP y la LSSI. Por consiguiente, en virtud de todo lo anteriormente expuesto, y puesto que el COAGranada, se encuentra en proceso de implantación de las medidas correctoras por iniciativa propia, solicita, respetuosamente, que se proceda al ARCHIVO de la Reclamación que ha dado origen al Expediente 202201681 Este ha sido al criterio mantenido por esa Agencia Española de Protección de Datos en su Resolución R/00461/2019 -Procedimiento Nº: A/00013/2019. “Pues bien, en atención a las citadas circunstancias se considera necesario subrayar que la Audiencia Nacional, en su Sentencia de 29 de noviembre de 2013, (Rec. 455/2011), Fundamento de Derecho Sexto advierte, a propósito de la naturaleza jurídica de esta figura, la cual pese a referirse al apercibimiento regulado en el artículo 45.6 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (LOPD) tiene plena aplicación al apercibimiento regulado por la LSSI, que “no constituye una sanción” y que se trata de “medidas correctoras de cesación de la actividad constitutiva de la infracción” que sustituyen a la sanción. La Sentencia entiende que el artículo 45.6 de la LOPD (estas consideraciones deben entenderse hechas, por lo que aquí respecta, al artículo 39 bis, 2 de la LSSI) confiere a la Agencia Española de Protección de Datos una “potestad” diferente de la sancionadora cuyo ejercicio se condiciona a la concurrencia de las especiales circunstancias descritas en el precepto C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/60 En congruencia con la naturaleza atribuida al apercibimiento -como una alternativa a la sanción cuando, atendidas las circunstancias del caso, el sujeto de la infracción no es merecedor de aquella- cuyo objeto es la imposición de medidas correctoras, la SAN citada concluye que cuando las medidas correctoras pertinentes ya hubieran sido adoptadas, lo procedente en Derecho será acordar el Archivo de las actuaciones. En el presente caso, teniendo en cuenta que las medidas correctoras que procedería imponer fueron ya adoptadas por iniciativa propia, y que se ha verificado que en la actualidad no se instalan cookies en el sitio web analizado, en armonía con el pronunciamiento de la Audiencia Nacional recogido en la SAN de 29/11/2013 (Rec. 455/2011) debe acordar el archivo de las actuaciones del presente procedimiento”. También cabe citar la Resolución R/03132/2016, de 19 diciembre, de esa Agencia Española de Protección de Datos-Procedimiento Nº: A/00411/2016-: “En congruencia con la naturaleza atribuida al apercibimiento como una alternativa a la sanción cuando, atendidas las circunstancias del caso, el sujeto de la infracción no es merecedor de la misma, la Sentencia de la Audiencia Nacional citada concluye que cuando las medidas correctoras objeto del apercibimiento ya hubieran sido adoptadas por el infractor, lo procedente en Derecho es acordar el archivo de las actuaciones. A la vista del pronunciamiento recogido en la Sentencia de la Audiencia Nacional de 29/11/2013 (Rec. 455/2011), reforzado posteriormente en su Sentencia de fecha 10/06/2014 (RJCA 2014, 571) (Rec. 166/2013), referentes a los supuestos en los que el sujeto responsable de la infracción ha adoptado las medidas correctoras oportunas para subsanar la situación creada , y en armonía con lo señalado debe procederse al archivo de las actuaciones practicadas.”. E, igualmente, las Resoluciones de esa AEPD R/02863/2016 de 14 diciembre - Procedimiento Nº: A/00242/2016-, R/02906/2015 de 17 de noviembre- Procedimiento Nº: A/00172/2015- o R/00001/2015 de 145 de enero- Procedimiento Nº: A/00289/2014. La Sentencia de la Audiencia Nacional (Sala de lo Contencioso Administrativo, Sección1ª) de 29 de noviembre 2013 - JUR 2014\14399-establecía lo siguiente: “No obstante, dado que resultaba acreditado que la denunciada por iniciativa propia había adoptado ya una serie de medidas correctoras , que comunicó a la Agencia Española de Protección de Datos , y que esta había verificado que los datos del denunciante no eran ya localizables en la web del denunciado, la Agencia Española de Protección de Datos no consideró oportuno imponer a la denunciada la obligación de llevar a cabo otras medidas correctoras , por lo que no acordó requerimiento alguno en tal sentido a ésta. Recuérdese que al tener conocimiento de la denuncia la entidad denunciada, procedió por iniciativa propia a dirigirse a Google para que se eliminara la URL donde se reproducían la Revista y el artículo, a solicitar a sus colaboradores que suprimieran cualquier nombre de sus artículos o cualquier otra información susceptible de parecer dato personal y que revisaran las citas del área privada de la web para borrar cualquier otro dato sensible, y, por último, a revisar la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/60 configuración de los accesos para que los buscadores no tuvieran acceso a las Revistas. En consecuencia, si la AEPD estimaba adoptadas ya las medidas correctoras pertinentes en el caso, como ocurrió, tal y como expresa la resolución recurrida, la actuación administrativa procedente en Derecho era al archivo de las actuaciones, sin practicar apercibimiento o requerimiento alguno a la entidad denunciada, pues así se deduce de la correcta interpretación del artículo 45.6 de la LOPD , atendida su interpretación sistemática y teleológica.” En los mismos términos se pronuncian las Sentencia núm. 447/2016 de 23 septiembre y núm. 363/2016 de 8 julio, .dictadas por la Audiencia Nacional (Sala de lo Contencioso-Administrativo, Sección1ª)-RJCA 2016\1072 y JUR 2016\166417- “Por consiguiente, cuando, como ocurre en el supuesto que nos ocupa, atendidas las circunstancias del caso y, en particular, la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado quinto del artículo 45 de la LOPD , se estime que el sujeto responsable de la infracción no es merecedor de la sanción prevista para la misma, y que en su lugar debe imponérsele la obligación de llevar a cabo determinadas medidas correctoras, procediendo por ello la aplicación del artículo 45.6 de la LOPD , no cabe la imposición de "apercibimiento" alguno como medida de naturaleza sancionadora. Por el contrario, lo que procede en tal caso es "apercibir" o requerir al sujeto responsable a fin de que cumpla en el plazo que se le indique con tal obligación, tal y como se desprende de la interpretación del precepto legal examinado>> . En igual sentido, se pronuncian S 17 de octubre de 2014 (JUR 2014, 267483) -recurso Nº. 150/2013 -, 8 mayo 15 (JUR 2015, 154993) -recurso Nº. 122/2014 -, y 8 de julio de 2016 (JUR 2016, 166417) -recurso Nº. 242/2014 Por tanto, a tenor de lo expuesto, no resulta aplicable, tal y como pretende la parte actora, el apercibimiento, en vez de la sanción económica impuesta, pues como ha quedado reflejado el apercibimiento recogido en la LOPD no tiene naturaleza sancionadora”. CUARTO: Con fecha 27/07/22, por parte de esta Agencia se accede al documento “Hoja de Quejas y Reclamaciones de Colegiados”: https://coagranada.es/wp-content/ uploads/2021/02/Hoja_queja_reclamaciones_colegiados_V02.pdf , donde se puede leer, en la parte inferior de la misma, debajo del formulario, la siguiente leyenda: “Colegio Oficial de Arquitectos de Granada. Plaza de San Agustín Nº3 , 18001 Granada. Secretaría General . Área de Atención al Colegiado y al Usuario . Los datos recogidos formarán parte del Fichero del COAGRANADA, siendo el Responsable el ***PUESTO.1 del mismo, a quién se tendrá que dirigir escrito para el caso de ejercer los derechos de acceso, oposición, rectificación y cancelación, de conformidad con la L.O.P.D.” QUINTO: Con fecha 27/07/22, por parte de esta Agencia se accede a la página web https://www.coagranada.es/ comprobando en la misma, las siguientes características C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/60 respecto al tratamiento de datos personales, sobre su “Política de Privacidad” y sobre su “Política de Cookies”: a).- Sobre la obtención de los datos personales de los usuarios de la página web: 1º.- A través del enlace <<contacta>>, situado en la parte superior de la página principal, la web despliega un formulario donde se pueden introducir datos personales de los usuarios como el nombre, el correo electrónico y el asunto. Para poder enviar el formulario, el usuario debe cliquear obligatoriamente en la opción: _ He leído y acepto la <<Política de Privacidad>> <<enviar>> b).- Sobre la “Política de Privacidad” en la página web Si se desea acceder a la “Política de Privacidad” a través del enlace existente en el formulario de contacto o a través del enlace existente en la parte inferior de la página principal, la web redirige al usuario a una nueva página https://coagranada.es/politicade-privacidad-y-tratamiento-de-datos/ , donde se proporciona información, respecto a la protección de datos personales de: la identidad del titular de la web y del Delegado de Protección de Datos; la finalidad de los datos personales obtenidos de los colegiados; formación/eventos; usuarios web; servicios al ciudadano; Plazo de conservación de los datos personales obtenidos; la legitimación del tratamiento de los datos personales; los destinatarios; sobre los derechos que asisten a los usuarios y dónde y cómo solicitarlos, así como la posibilidad de presentar reclamación ante la autoridad competente. c).- Sobre la Política de Cookies en la web: Se procede a hacer la inspección con las herramientas de desarrollador que proporciona el navegador Mozilla Firefox, en el que previamente se ha borrado la caché y se han eliminado las cookies. También se ha utilizado la herramienta del EDPS (Web Evidence Collector) para el análisis Observando el panel de instalación de cookies, se puede comprobar que se utiliza una Según el Dictamen 4/2012 del WP 194 sobre la exención del requisito de consentimiento de cookies, la exención aplicada a las cookies de autenticación podría aplicarse a otras introducidas específicamente para reforzar la seguridad del servicio solicitado, por ejemplo, aquellas cookies cuya finalidad es la de detectar intentos erróneos y reiterados de conexión a un sitio web o para protección del sistema de conexión frente a abusos como es el caso de _GRECAPTCHA. Sin embargo, tras la navegación por el sitio web, se observa que se instalan cookies de terceros de carácter no exceptuado, de las que no se informa en las políticas, a pesar de no haber dado el consentimiento a través del banner. Se da la circunstancia de que estas cookies analíticas se instalan a través de la inserción de un mapa C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/60 interactivo del Instituto para la Salud Geoambiental de la Fundación Vivo Sano en la página: https://coagranada.es/mapa-zonas-radon-en-elnuevo-cte-db-hs6/ . 2.- Existe un banner de información sobre cookies en la página principal con el siguiente mensaje: “Utilizamos cookies propias y de terceros para fines analíticos, funcionales, de rendimiento para ofrecerle servicios adecuados a su perfil, así como publicidad propia y de terceros. La base de tratamiento es el consentimiento, salvo en el caso de las todas las cookies pulsando el botón <<ACEPTAR>> o configurarlas o rechazar su uso pulsando el botón <<CONFIGURAR>>. Puede obtener más información en nuestra <<Política de Cookies>>, <<Aceptar>> <<Rechazar>> <<Ajustes>> Si se desea rechazar todas las cookies que no sean técnicas o necesarias, cliqueando en la opción <<rechazar>>, se comprueba como la web sigue utilizando las mismas 3.- Si se accede al panel de control de cookies a través del enlace <<Configurar>>, la web despliega una página o panel de control comprobando que los grupos de cookies se encuentran premarcados en la opción de “desactivadas”: - <<Guardar Cambios>> Off  On. Off  On. Off  On. Off  On. <<Activar todo>> Si se opta por “Guardar cambios” sin haber aceptado ningún grupo de cookies, se comprueba como la web sigue utilizando las mismas cookies indicadas anteriormente. 4.- Si se desea acceder a la “Política de Cookies” a través del enlace existente en el banner de información de la primera capa, a través del enlace existente en el panel de control o a través del enlace existente en la parte inferior de la página principal, la web redirige al usuario a una nueva página https://coagranada.es/politica-sobre-recogida-ytratamiento-de-cookies/ donde se informa sobre: qué son las cookies, definición y función genérica de las cookies; tipos de cookies; qué tipo de cookies utilizan en la web y cuál es su finalidad; cómo desactivar las cookies; identifican las cookies utilizadas y se proporciona información sobre cómo aceptar, denegar, revocar el consentimiento o eliminar las cookies, a través de las herramientas instaladas en la web o a través de los navegadores instalados en el equipo terminal. SEXTO: Con fecha 06/09/22, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, con arreglo a lo dispuesto en los artículos 63 y 64 de la LPACAP, al apreciar indicios razonables de vulneración de lo establecido en los artículos: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/60 - Artículo 38.6 del RGPD, por el conflicto de intereses detectado en el nombramiento del ***PUESTO.1 del Colegio como Delegado de Protección de datos, con una sanción inicial de 5.000 euros (cinco mil euros). Asimismo, se advertía que la infracción imputada, de confirmarse, podrá conllevar la imposición de medidas, según el artículo 58.2

1. d)del RGPD. Junto a ello y de conformidad con el artículo 58.2 del RGPD, se indicaba también que, la medida correctiva que podría imponerse consistiría en ordenarle que nombrase un Delegado de Protección de Datos en el que no se viera implicado en conflicto de intereses, según estipula el artículo 38 del RGPD. - Artículo 13 del RGPD, por la falta de información suministrada en las hojas de reclamaciones, sobre el tratamiento de los datos personales obtenidos, con una sanción inicial de 8.000 euros (ocho mil euros). Junto a ello y de conformidad con el artículo 58.2 del RGPD, se indicaba que la medida correctiva que podría imponerse consistiría en ordenarle que incluyese, en los formularios utilizados en el Colegio, donde se obtienen datos personales, toda la información referida en el artículo 13 del RGPD, referente al tratamiento de los datos personales. - Artículo 22.2 de la LSSI, respecto a la utilización de cookies de terceros de carácter no exceptuado, sin el consentimiento del usuario, con una sanción inicial de 1.000 euros (mil euros). SÉPTIMO: Con fecha 29/09/22, la entidad reclama presenta escrito de alegaciones a la incoación del expediente en el cual solicita el archivo del procedimiento en base a las siguientes consideraciones: 1.- sobre el conflicto de intereses respecto del delegado de protección de datos de este colegio.Señala que no cabe presumir, como se ha dicho, tal “conflicto de intereses” tomando solamente como base los Estatutos del COAGranada, en lo referente a la composición y funciones de la Junta de Gobierno, de la Comisión Permanente y de las funciones del ***PUESTO.1 del COAGranada, puesto que, de los preceptos estatutarios que se invocan por esa AEPD (14.1, 13.2, 15 y 17) no se infiere existencia alguna de “conflicto de intereses” por parte del ***PUESTO.1 del COAGranada respecto de la tutela de los intereses de los Colegiados y de terceros, en materia de protección de datos. Respecto de la vulneración del art. 38.6 del RGPD, referido al eventual “conflicto de intereses”, resulta improcedente e insuficiente la enumeración de funciones de la Junta de Gobierno, como de la Comisión Permanente y del ***PUESTO.1, todas ellas establecidas en los Estatutos Particulares del Colegio Oficial de Arquitectos de Granada, para alcanzar la conclusión de que “es evidente la existencia de un conflicto de intereses por parte del ***PUESTO.1 del Colegio Oficial de Arquitectos de Granada para actuar como DPD de dicho Organismo. El COAGranada procedió al nombramiento del DPD en la figura de su ***PUESTO.1 garantizando así la participación del Delegado de Protección de Datos en todas las C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/60 cuestiones relativas a la protección de datos personales y, para su apoyo y asesoramiento le dotó del concurso y asistencia de la Asesoría Jurídica externa. Se hace referencia también a que el hecho de que el COAGranada designara a su ***PUESTO.1 como Delegado de Protección de Datos fue objeto de denuncia ante esta Agencia con fecha 8 de julio de 2021 por el mismo reclamante y que fue archivada mediante Resolución de esta AEPD el 11/11/21, por lo que, existen dos Resoluciones contrarias, de forma que, en la primera, no se imputa conducta infractora alguna respecto del nombramiento del Delegado de Protección de Datos en la figura del ***PUESTO.1 del Colegio y, sin embargo, en la segunda, con dicho nombramiento se imputa al COAGranada una infracción del art. 38.6 del RGPD. Por último, manifiesta que, el Colegio Oficial de Arquitectos de Granada adoptó la decisión de nombrar a un nuevo Delegado de Protección de Datos en fecha 26 de abril de 2022, anticipándose a la medida correctiva propuesta y solicitan que se tenga en cuenta esta decisión al amparo del art. 83.2.
2. c)del RGPD. 2.- sobre la falta de información en los formularios sobre “quejas y reclamaciones”. Respecto a la sanción referida por la vulneración del art. 13 RGPD, manifiestan que se ha incorporado toda la información referida en el art. 13 del RGPD a los formularios a disposición tanto de Colegiados como de la ciudadanía en general, por lo que solicitan que se tenga en cuenta esta medida al amparo del art. 83.2.
3. c)del RGPD. 3.- sobre la política de cookies Manifiesta que, el incumplimiento se debe al uso de una cookie de terceros por el uso de un mapa interactivo y solicitan que para el establecimiento de la cuantía de la sanción se tenga en cuenta la ausencia absoluta de culpabilidad o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el artículo 40, tomando como base los siguientes criterios: -Intencionalidad: El COAGranada puso a disposición de sus Colegiados el mapa interactivo para facilitar el cumplimiento de las disposiciones contenidas en el Real Decreto 732/2019, de 20 de diciembre, por el que se modificó el Código Técnico de la Edificación aprobado por RD 314/2006, de 17 de marzo, proporcionando información sobre los conceptos básicos relacionados con la modificación reglamentaria, sin ánimo de recabar información alguna. -Plazo de tiempo durante el que se ha cometido la eventual infracción. El mapa ya ha sido retirado de la web y estuvo a disposición del público durante el periodo establecido entre el 10 de febrero 2022 y 20 de septiembre 2022, día éste en que fue retirado. -La reincidencia por comisión de infracciones de la misma naturaleza: Este Colegio no ha sido condenado con anterioridad por ninguna infracción similar. 4.- Sobre indebida o errónea interpretación del artículo 77.2 de la LOPDGDD C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/60 En este punto se reitera la aplicación del art 77.2 de la LOPDGDD en los mismos términos que ya expusieron en su escrito de fecha 1/04/22. En lo atinente al referido artículo 77 de la LOPDGDD alegan que la AEPD distingue las funciones públicas y “privadas” que ejercen u ostentan los Colegios Profesionales pero manifiestan que estas entidades asociativas de profesionales son Corporaciones de Derecho Público y se considera que no procede imputar solamente como “funciones privadas” las que son objeto de las presuntas conductas infractoras que se imputan y “desvincularlas” sin motivo ni justificación alguna de las funciones públicas, en las que también pueden incardinarse totalmente. A continuación se reproduce los preceptos estatutarios invocados que implican el ejercicio de funciones públicas, que son perfectamente extensibles a las conductas imputadas; y éstas se pueden perfectamente imbricar con tales funciones púbicas como son el artículo 13. 2. Corresponderá a la Junta de Gobierno, en concreto; artículo 15. La Comisión Permanente y artículo 17. El ***PUESTO.1. “Corresponde al ***PUESTO.1: Se manifiesta también que la Agencia Española de Protección de Datos, en sus Resoluciones de 24 mayo 2021, Procedimiento Nº: PS/00416/2020 y de 11 mayo 2021, Procedimiento Nº: PS/00347/2020, ha adoptado diferente criterio al seguido en el presente Expediente Sancionador ante Corporaciones de Derecho Público. OCTAVO: Con fecha 10/04/23, por parte de esta Agencia se accede nuevamente a la página web https://www.coagranada.es/ teniendo conocimiento de las siguientes características respecto a su “Política de Cookies”: Al entrar en la web por primera vez, una vez limpiado el equipo terminal de historial de navegación y de cookies, sin aceptar nuevas cookies ni realizar ninguna acción sobre la página web, se ha comprobado que se utiliza una única cookie “_GRECAPTCHA”, cuya finalidad es proporcionar su análisis de riesgo, como por ejemplo, detectar intentos erróneos y reiterados de conexión. NOVENO: Con fecha 10/04/23, por parte de esta Agencia se accede a la hoja de quejas y reclamaciones del Colegio de Arquitectos de Granadas, accesibles a través del enlace https://coagranada.es/quejas-y-reclamaciones/ comprobando que en la misma se puede leer el siguiente mensaje: Colegio Oficial de Arquitectos de Granada. Plaza de San Agustín Nº3, 18001 Granada. Secretaría General. Área de Atención al Colegiado y al Usuario. En cumplimiento de los dispuesto en el Reglamento UE 2016/679, de 27 de abril de 2016, en adelante RGPD, el Colegio Oficial de Arquitectos de Granada con domicilio en PLAZA DE SAN AGUSTÍN 3, 18001 GRANADA y NIF nº Q1875003D le informa que la recogida y tratamiento de sus datos a través del presente formulario tiene como finalidad la gestión administrativa, fiscal y contable prevista en la legislación de colegios profesionales y nuestros estatutos. Sus datos podrán ser comunicados al Consejo General de Colegios Oficiales de Arquitectos, organismos afines y a la Administración Pública sin perjuicio de otras cesiones previstas legalmente. Sus datos serán conservados C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/60 durante el tiempo necesario para cumplir con las obligaciones legales. En cualquier momento podrá consultar la información adicional de este tratamiento o ejercitar los derechos de acceso, rectificación, supresión y oposición, portabilidad y limitación del tratamiento dirigiendo su solicitud al domicilio arriba indicado o por email a protecciondedatos@coagranada.org. Asimismo, en caso de considerar vulnerado su derecho a la protección de datos personales, podrá interponer una reclamación ante la Agencia Española de Protección de Datos (www.agpd.es). DÉCIMO: Con fecha 10/04/23 se formuló propuesta de resolución en el sentido de que se sancione a la parte reclamada por la infracción del artículo 38.6 del RGPD, por el conflicto de intereses detectado en el nombramiento del ***PUESTO.1 del Colegio como Delegado de Protección de datos, con una sanción de 5.000 euros (cinco mil euros); por la infracción del artículo 13 del RGPD, por la falta de información suministrada en las hojas de reclamaciones, sobre el tratamiento de los datos personales obtenidos, con una sanción de 8.000 euros (ocho mil euros) y por la infracción del artículo 22.2 de la LSSI, respecto a la utilización de cookies de terceros de carácter no exceptuado, sin el consentimiento del usuario, con una sanción de 1.000 euros (mil euros). Asimismo, se propuso que se requiera a la parte reclamada para que, en el plazo que se determine, adopte las medidas necesarias para adecuar su actuación a la normativa de protección de datos personales. DÉCIMO PRIMERO: Con fecha 28/04/23, se recibe en esta Agencia escrito de alegaciones a la propuesta de resolución, en el que la parte reclamada se reitera y ratifica en sus alegaciones anteriores y solicita nuevamente el archivo del procedimiento. En este escrito, la parte reclamada pone de manifiesto lo siguiente: PRIMERA.- RESPECTO DEL “CONFLICTO DE INTERESES” DEL ***PUESTO.1 DE ESTE COLEGIO COMO DELEGADO DE PROTECCIÓN DE DATOS, LA PROPUESTA DE RESOLUCIÓN RESULTA INCONGRUENTE Y SIGUE SI DESVIRTUAR LOS PRINCIPIOS DE TIPICIDAD Y LEGALIDAD, PROPIOS DEL PROCEDEDIMIENTO SANCIONADOR, QUE OPERAN EN FAVOR DEL COAGRANADA Y EN CONTRA DE ESA AGENCIA.La Propuesta de Resolución, en realidad, no rebate las alegaciones formuladas por este Colegio, especialmente, en cuanto a la vulneración de los principios de tipicidad y legalidad. Es más, sin abordar y tratar dichos principios invocados en nuestro escrito de alegaciones, considera, sin fundamento ni elemento probatorio alguno-Cfr. Último párrafo del FD II
4. a)que “es evidente la existencia de un conflicto de intereses por parte de ***PUESTO.1 del Colegio Oficial de Arquitectos de Granada para actuar como DPD de dicho organismo”. En este punto es preciso recordar que esa Agencia sigue basándose en unas “Directrices” o “prácticas recomendables del Grupo de Trabajo sobre Protección de Datos”. Resulta evidente que cualquier infracción administrativa debe tomar como fundamento inexcusable un elemento normativo (legal, o reglamentario) que, en el presente caso, no existe, puesto que resulta en todo punto improcedente tomar como título de imputación unas directrices o C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/60 recomendaciones, dado que ello implica una vulneración de los principios de tipicidad y de legalidad. Incluso en el artículo 29 de las “Directrices sobre los delegados de protección de datos (DPD)” de dicho Grupo de Trabajo, se llegar a poner un “ejemplo” (que “se pida a un DPD que represente al responsable o al encargado del tratamiento antes los tribunales en casos relacionados con la protección de datos”). El solo hecho de mencionar un ejemplo en un procedimiento sancionador ya implica per se, el prescindir del esencial elemento fáctico que ha de desvirtuar el principio de presunción de inocencia y, asimismo, incluso aplicando tan inverosímil ejemplo, tampoco concurren circunstancias similares en el presente Procedimiento sancionador. Por otra parte, las consideraciones del referido “Grupo de Trabajo” respecto del “conflicto de intereses del DPD son extremadamente genéricas y, en modo alguno pueden tampoco servir de base para enervar la referida presunción de inocencia. Es más, incluso, aplicando tales “Criterios” -lo que se rechaza tampoco resultaría la existencia de un “conflicto de intereses” por nombrar al ***PUESTO.1 del Colegio, con la asistencia y apoyo de la Asesoría Jurídica del COAGranada, como DPD. Los propios “Criterios” establecen que la determinación o ponderación de la existencia de un “conflicto de intereses” en la figura del DPD ha de “considerarse caso por caso”, lo cual no se ha hecho por esa AEPD. En este sentido, cabe citar la Sentencia del Tribunal de Justicia de la Unión Europea (Sala Sexta) de 9 de febrero de 2023, Asunto C-453/21: “Cuarta cuestión prejudicial 43 En tercer lugar, por lo que respecta al contexto en el que se inscribe el artículo 38, apartado 6, del RGPD, ha de señalarse que, según el artículo 39, apartado 1, letra b), del RGPD, el delegado de protección de datos tiene por función, en particular, supervisar el cumplimiento de lo dispuesto en el RGPD, de otras disposiciones de protección de datos de la Unión o de los Estados miembros y de las políticas del responsable o del encargado del tratamiento en materia de protección de datos personales, incluidas la asignación de responsabilidades, la concienciación y formación del personal que participa en las operaciones de tratamiento, y las auditorías correspondientes. De ello se deduce, que no se pueden encomendar a un delegado de protección de dato sus funciones o cometidos que le lleven a determinar los fines y los medios del tratamiento de datos personales del responsable del tratamiento o de su encargado. En efecto, conforme al Derecho de la Unión o al Derecho de los Estados miembros en materia de protección de datos, el control de esos fines y medios debe ser efectuado de manera independiente por dicho delegado. La determinación de la existencia de un conflicto de intereses, en el sentido del art 38 apartado 6 del RGPD, debe efectuarse caso por caso, sobre la base de una apreciación del conjunto de las circunstancias pertinentes, en particular, de la estructura organizativa del responsable o de su encargado y a la luz de toda la normativa aplicable, incluidas las eventuales políticas de estos últimos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/60 Habida cuenta de todas las consideraciones anteriores, procede responder a la cuarta cuestión prejudicial que el artículo 38, apartado 6, del RGPD debe interpretarse en el sentido de que puede existir un «conflicto de intereses», en el sentido de esta disposición, cuando se encomienden a un delegado de protección de datos otras funciones o cometidos que llevarían a este a determinar los fines y los medios del tratamiento de datos personales en el seno del responsable del tratamiento o de su encargado, lo que incumbe determinar en cada caso al juez nacional sobre la base de todas las circunstancias pertinentes, en particular de la estructura organizativa del responsable del tratamiento o de su encargado y a la luz de toda la normativa aplicable, incluidas las eventuales políticas de estos últimos. En virtud de todo lo expuesto, el TJ (Sala Sexta) declara: (…) 2) El artículo 38, apartado 6, del Reglamento 2016/679 debe interpretarse en el sentido de que puede existir un «conflicto de intereses», en el sentido de esta disposición, cuando se encomienden a un delegado de protección de datos otras funciones o cometidos que llevarían a este a determinar los fines y los medios del tratamiento de datos personales en el seno del responsable del tratamiento o de su encargado, lo que incumbe determinar en cada caso al juez nacional sobre la base de todas las circunstancias pertinentes, en particular dela estructura organizativa del responsable del tratamiento o de su encargado y a la luz de toda la normativa aplicable, incluidas las eventuales políticas de estos últimos. En este punto confunde esa Agencia el propio concepto de “conflicto de intereses” cuando parece equiparar el cargo de ***PUESTO.1 del Colegio a “los puestos de dirección”, dado que, como resulta de la aplicación del art 17 de los Estatutos Particulares del COAGranada, resulta evidente que el ***PUESTO.1 no ostenta en modo alguno tales funciones de alta dirección, concepto éste, además, aplicable a otro tipo de entidades, no al COAGranada. A estas consideraciones, como no puede ser de otra forma, no se ofrece por esa AEPD respuesta o fundamentación fáctica ni jurídica que la desvirtúe. Y ello resulta especialmente relevante, dado que la expresión “conflicto de intereses” implica la aplicación de un concepto jurídico indeterminado que, en un procedimiento sancionador, en tanto que restrictivo de derechos, ha de aplicarse con extrema cautela y con un contundente acervo fáctico, probatorio y jurídico-normativo que lo sustente, todo lo cual no ha acontecido en el presente caso. Y es que “el conflicto de intereses” ha de probarse por esa Agencia y no presumirse, que es lo que ha acontecido en el presente Procedimiento Sancionador. No cabe presumir, como se ha dicho, tal “conflicto de intereses” tomando solamente como base los Estatutos del COAGranada, en lo referente a la composición y funciones de la Junta de Gobierno, de la Comisión Permanente y de las funciones del ***PUESTO.1 del COAGranada, puesto que, de los preceptos estatutarios que se invocan por esa AEPD (14.1, 13.2, 15 y 17) no se infiere existencia alguna de “conflicto de intereses” por parte del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/60 ***PUESTO.1 del COAGranada respecto de la tutela de los intereses de los Colegiados y de terceros en materia de protección de datos. Es decir, de los preceptos estatutarios que regulan las funciones de la Junta de Gobierno (Art. 13.2), su composición (Artículo 14.1), la Comisión Permanente de la Junta de Gobierno (artículo 15) y, especialmente las competencias del ***PUESTO.1 (artículo 17) en modo alguno se puede inferir el desempeño de funciones que impliquen un “conflicto de intereses” con la figura del DPD. El COAGranada procedió al nombramiento del DPD en la figura de su ***PUESTO.1 garantizando así la participación del DPD en todas las cuestiones relativas a la protección de datos personales y, para su apoyo y asesoramiento le dotó del concurso y asistencia de la Asesoría Jurídica del COAGranada. 2.- Como se ha dicho, la potestad sancionadora de la Administración Pública enlaza directamente con los principios que inspiran el Derecho penal, dado que ambas potestades son expresión del Ordenamiento Jurídico del Estado, tal y como expresa el propio Texto Constitucional (art. 25) y reconoce la jurisprudencia del Tribunal Constitucional desde la STC 18/1 981, de 8 junio y una muy reiterada doctrina jurisprudencial del TS (STS 29 septiembre de 1980 y S TS 4 de noviembre de 1980 y STS 10 de noviembre de 1980, entre otras). La potestad sancionadora de la Administración tiene su fundamento constitucional en el artículo 25 de la CE. Es doctrina reiterada del Tribunal Constitucional (STC 77/83, de 3 de octubre, STS 42/87, de 7 de abril; STC 29/1989, de 6 de febrero) que el ordenamiento sancionador administrativo comprende una doble garantía: la primera, de orden material, supone la necesidad de predeterminación normativa de las conductas ilícitas y sanciones correspondientes, mediante preceptos jurídicos que permitan predecir, con suficiente grado de certeza, las conductas que constituyen una infracción y las penas o sanciones aplicables. Aparece derivada del mandato de taxatividad o de "lex certa" y se concreta en la exigencia de predeterminación normativa de las conductas ilícitas y de las sanciones correspondientes, que hace recaer sobre el legislador el deber de configurarlas en las leyes sancionadoras con la mayor precisión posible (principio de tipicidad) para que los ciudadanos puedan conocer de antemano el ámbito de lo proscrito y prever, así, las consecuencias de sus acciones. (STC 242/2005, de 10 de octubre y STC 162/2008, de 15 de diciembre). La segunda, de carácter formal, hace referencia al rango de las normas tipificadoras de las infracciones y reguladora de las sanciones, por cuanto que el término "legislación vigente" contenido en el art. 25.1 CE es expresivo de una reserva de Ley. Por tanto, la garantía formal implica que la ley debe contener la determinación de los elementos esenciales. Pues bien, la garantía material, viene a constituir propiamente el referido principio de tipicidad, que "supone la imperiosa necesidad de predeterminación normativa de las conductas infractoras y de las sanciones correspondientes, es decir, la existencia de preceptos jurídicos (lex C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/60 previa) que permitan predecir con suficiente grado de certeza (lex certa) aquellas conductas y se sepa a qué atenerse en cuanto a la responsabilidad y a la eventual sanción" (Cfr. STC 61/1990, de 29 de marzo y STC 24/1996 de 13 febrero; STS 20 abril 2006; STS 18 noviembre 2000; STS 20 diciembre 1999; SAN de 2 diciembre 201 1; STS n o 74/2017, Sala de lo Contencioso Administrativo, de 23 de enero). Por su parte, el artículo 27 de la Ley 40/2015 de 1 de octubre, de LRJSP-, recoge el llamado principio de tipicidad, según el cual sólo constituyen infracciones administrativas las vulneraciones del ordenamiento jurídico previstas como tales infracciones por una Ley. El principio de tipicidad, relacionado con el de legalidad, exige que el hecho que presuntamente presenta carácter ilícito se encuentre expresamente previsto como infracción en algún precepto del ordenamiento jurídico administrativo. Para que una conducta pueda ser calificada como típica, y por ende, antijurídica y punible, se precisa que exista coincidencia entre la acción realizada por el actor y la conducta expuesta en el precepto legal aplicable. Mediante la aplicación del principio de tipicidad se pretende comprobar si un suceso ocurrido en la realidad reúne todas las características descritas en la ley como presupuestos de la infracción de una norma de carácter sancionador. Para ello es necesario que la acción se subsuma en un precepto sancionador, entendiendo por tal aquella parte del ilícito que describe todos los elementos subjetivos y objetivos que, en su conjunto, dan lugar a la infracción de la norma. Según la Sentencia núm. 4672/2022 de 23 de diciembre, del Tribunal Superior de Justicia de Cataluña, (Sala de lo Contencioso-Administrativo, Sección4ª)-JUR 2023\48531-: “Exigencias del principio de tipicidad en materia sancionadora administrativa que, como es bien sabido, pese al notable laconismo y atendido el contenido implícito del precitado artículo 25 de la Constitución ( sentencia del Tribunal Constitucional 34/1996, de 11 de marzo (RTC 1996, 34) ), ha sido ya destacado desde antiguo por la jurisprudencia constitucional en relación con lo que se ha venido denominando la garantía material del principio de legalidad (entre muchas otras, desde la sentencia del Tribunal Constitucional 42/1987, de 7 de abril (RTC 1987, 42) , por las sentencias del Tribunal Constitucional 3, 11, 12, 100 y 101/1988, de 8 de junio (RTC 1988, 101) , 161, 200 y 219/1989, de 21 de diciembre (RTC 1989, 219) , 61/1990, de 29 de marzo (RTC 1990, 61), 207/1990, de 17 de diciembre (RTC 1990, 207) , 120 y 212/1996, 133/1999, de 14 de julio, 142/1999, de 22 de julio (RTC 1999, 142) , y 60 y 276/2000, de 16 de noviembre (RTC 2000, 276) ), que se viene a identificar con el tradicional principio de tipicidad de faltas y sanciones administrativas (sentencias del Tribunal Supremo, Sala Tercera, de fechas 16 de enero y 8 de junio de 1992, 5 de febrero y 2 de octubre de 2002) y que exige siempre la necesaria predeterminación normativa cierta de las concretas conductas que por acción u omisión se estimen constitutivas de un ilícito administrativo, con prohibición de eventuales interpretaciones analógicas al efecto o extensivas in malam partem (sentencia del Tribunal Constitucional 125/2001, de 4 de junio (RTC 2001, 125), con cita de sus sentencias anteriores 81/1995, de 5 de junio (RTC 1995, 81), 34/1996, de 11 de marzo, (RTC 1996, 34) 64/2001, de 17 de marzo (RTC 2001, 64) , y auto del Tribunal Constitucional 3/1993, de 14 de enero, y 72/1993, de 1 de marzo; así como sentencia del Tribunal Supremo, Sala Tercera, de 30 de mayo de 1981, de 4 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/60 de junio de 1983, de 29 de diciembre de 1987, de 20 de octubre de 1998, de 22 de febrero de 2000 y de 3 de marzo de 2003). O dicho sea ello en palabras del propio Tribunal Constitucional, entre otras muchas anteriores y posteriores en su sentencia 113/2002, de 9 de mayo (RTC 2002, 113) , en los siguientes términos: " (...) En concreto, en relación con la garantía material a que se encuentra sujeta la potestad sancionadora de la Administración, hemos precisado que la predeterminación normativa supone la existencia de preceptos jurídicos (lex previa) que permitan predecir con suficiente grado de certeza (lex certa) las conductas infractoras y conocer de antemano a qué atenerse en cuanto a la aneja responsabilidad y a la eventual sanción de que pueda hacerse merecedor el infractor (STC 219/1989, de 21 de diciembre, FJ 4; 61/1990, de 29 de marzo, FJ 7; y 133/1999, de 15 de julio, FJ 2) ". Siendo asimismo doctrina jurisprudencial ya bien consolidada la que enseña que en el ejercicio de su potestad administrativa sancionadora la administración sancionadora actuante no responde, propiamente, al ejercicio de una potestad administrativa de esencia o de tendencia discrecional sino predominantemente reglada para la aplicación a cada caso concreto del marco normativo sancionador preestablecido con carácter general en el ordenamiento jurídico sancionador aplicable, lo que comporta, ya de entrada, la exigencia de la necesaria adecuación y rigor en la calificación de los hechos imputados y en su incardinación puntual y adecuada subsunción en el tipo infractor legalmente definido para su corrección, de tal forma que lo contrario, ciertamente, resultaría determinante de violación del derecho fundamental subjetivo ya apuntado y a todos reconocido por el vigente texto constitucional ex artículo 25.1 de la Constitución (sentencias del Tribunal Constitucional 77/1983, de 3 de octubre (RTC 1983, 77) ,199 7 y 3/1988, de 21 de enero (RTC 1988, 3) ), que por ser susceptible de amparo constitucional haría incurrir a una eventual actuación administrativa sancionadora infractora del mismo en el vicio de nulidad de pleno derecho hoy previsto por el artículo 47.1.
5. a)de la Ley 39/2015 ". 3.- Por último, en relación al incumplimiento relacionado con el nombramiento del DPD, se ha de dejar constancia de que, con anterioridad a la recepción de la Resolución PS/00345/2022, tal y como conoce y le consta a esa Agencia, el COAGranada adoptó la decisión de nombrar a un nuevo Delegado de Protección de Datos en fecha 26 de abril de 2022, con recibí electrónico nº REGAGE22e00014921519, atendiendo a las exigencias del art. 38 del RGPD. Este Colegio se ha anticipado a la medida correctiva propuesta y solicitamos que se tenga en cuenta esta decisión al amparo del art. 83.2.
6. c)del RGPD, que establece lo siguiente: “[…] Al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
7. c)cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados.” En este punto invocamos también la aplicación de proporcionalidad del art 29.3 LRJSP. SEGUNDA.- SOBRE LA FALTA DE INFORMACIÓN EN LOS FORMULARIOS SOBRE “QUEJAS Y RECLAMACIONES”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/60 Respecto a la sanción referida por la vulneración del art. 13 RGPD, se reitera lo expuesto en la Alegación Primera, en el sentido de que no se da respuesta y se aborda lo alegado por el COAGranada en su escrito de alegaciones. Tal y como se expuesto en éste, se aplicó en cuanto se conoció de este hecho, la medida correctiva propuesta habiéndose incorporado toda la información referida en el artículo 13 del RGPD a los formularios a disposición tanto de Colegiados como de la ciudadanía en general, por lo que solicitamos que se tenga en cuenta esta medida al amparo del art. 83.2.
8. c)del RGPD. En este punto, relacionado con lo expuesto en la Alegación Primera, la falta de concurrencia de un elemento esencial implica que el sujeto activo no ha cometido la conducta descrita en el tipo presuntamente vulnerado por su acción, por lo cual, resulta perfectamente lícita. Es decir, la atipicidad determina la ausencia de responsabilidad para el sujeto responsable y, por ende, la imposibilidad de desplegar los efectos del ius puniendi sobre el sujeto. Es más, para que la acción sea considerada como típica, y por ende, despliegue efectos jurídicos, es preciso que junto a los elementos objetivos de tipicidad concurran los llamados elementos subjetivos de tipicidad. En base al principio de tipicidad subjetiva se requiere que, para proceder a imputar y sancionar por una acción, se confirme el carácter voluntario del sujeto activo. En este sentido, la jurisprudencia viene exigiendo de forma reiterada la existencia de la culpabilidad para poder imponer una sanción administrativa, hasta el punto de que hoy en día se configura como uno de los pilares sobre el que se asienta el derecho administrativo sancionador, descartándose toda sanción al margen de una conducta culposa o negligente y, por lo tanto, desechando lo que tradicionalmente se ha denominado responsabilidad objetiva. En concreto, sobre la culpa, el Tribunal Constitucional ha declarado que, en efecto, la Constitución española consagra sin duda el principio de culpabilidad como principio estructural básico del Derecho Penal y ha añadido que, sin embargo, la consagración constitucional de este principio no implica en modo alguno que la Constitución haya convertido en norma un determinado modo de entenderlo (Cfr. STC 150/1991). Este principio de culpabilidad rige en materia de infracciones administrativas, pues en la medida en que la sanción de dicha infracción es una de las manifestaciones del ius puniendi del Estado resulta inadmisible en nuestro ordenamiento un régimen de responsabilidad objetiva o sin culpa (Cfr. STC 76/1990). Esta misma sentencia exige la culpa en el caso de las infracciones administrativas cometidas por personas jurídicas, afirmando que "...Incluso este TC ha calificado de «correcto» el principio de le responsabilidad personal por hechos propios principio de la personalidad de la pena o sanción (STC 219/1988). Todo ello, sin embargo, no impide que nuestro Derecho Administrativo admita la responsabilidad directa de las personas jurídicas, reconociéndoles, pues, capacidad infractora. Esto no significa, en absoluto, que para el caso de las C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 20/60 infracciones administrativas cometidas por personas jurídicas se haya suprimido el elemento subjetivo de la culpa. La propia Ley 40/2015, de Régimen Jurídico del Sector Público, dispone en su artículo 28 que "sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas, así como, cuando una Ley les reconozca capacidad de obrar, los grupos de afectados, las uniones y entidades sin personalidad jurídica y los patrimonios independientes o autónomos, que resulten responsables de los mismos a título de dolo o culpa". La jurisprudencia mayoritaria de nuestro Tribunal Supremo (a partir de sus sentencias de 24 y 25 de enero y 9 de mayo de 1983) y la doctrina del Tribunal Constitucional (después de su STC 76/1990) destacan que el principio de culpabilidad, aún sin reconocimiento explícito en la Constitución, se infiere de los principios de legalidad y prohibición de exceso (art. 25.1 CE), o de las exigencias inherentes a un Estado de Derecho, y requieren la existencia de dolo o culpa. La exigencia de culpabilidad en el derecho administrativo sancionador ha impregnado la jurisprudencia del Tribunal Supremo en los distintos ámbitos materiales en los que ha tenido ocasión de pronunciarse, descartado por exigencia legal y constitucional, la responsabilidad objetiva, esto es, al margen de toda actuación culposa. De esta forma, el principio de culpabilidad constituye un elemento esencial del ilícito administrativo. TERCERA.- SOBRE LA POLÍTICA DE COOKIES En relación a la propuesta de sanción “Sobre la Política de Cookies”, tal y como reconoce la propia Propuesta de Resolución, al entrar en la web por primera vez, sin aceptar cookies ni realizar ninguna acción sobre la página, se puede comprobar que no se utilizan cookies que no sean técnicas o necesarias. El incumplimiento detectado se debe al uso de una cookie de terceros por el uso de un mapa interactivo. En base al art. 39 bis
9. a)de la Ley 34/2002, de 11 de julio, de Servicios de Sociedad de la Información y Comercio electrónico, solicitamos que el establecimiento de para el establecimiento de la cuantía de la sanción tenga en cuenta una la ausencia absoluta de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el artículo 40, tomando como base los siguientes criterios: -Intencionalidad: El COAGranada puso a disposición de sus Colegiados el mapa interactivo para facilitar el cumplimiento de las disposiciones contenidas en el Real Decreto 732/2019, de 20 de diciembre, por el que se modificó el Código Técnico de la Edificación aprobado por Real Decreto 314/2006, de 17 de marzo, proporcionando información sobre los conceptos básicos relacionados con la modificación reglamentaria, sin ánimo de recabar información alguna. Plazo de tiempo durante el que se ha cometido la eventual infracción. El mapa ya ha sido retirado de la web y estuvo a disposición del público durante el periodo establecido entre el 10 de febrero 2022 y se retiró el día 20 de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 21/60 septiembre 2022. -La reincidencia por comisión de infracciones de la misma naturaleza: Este Colegio no ha sido condenado con anterioridad por ninguna infracción similar. En este punto se invoca, al igual que en la Alegación anterior, el principio de culpabilidad y, además, el de proporcionalidad. CUARTA.- ENTENDEMOS QUE LA PROPUESTA DE RESOLUCIÓN REITERA LA INDEBIDA O ERRÓNEA INTERPRETACIÓN DEL ARTÍCULO 77.2 DE LA LEY ORGÁNICA 3/2018 DE 5 DE DICIEMBRE, DE PROTECCIÓN DE DATOS DE CARÁCTER PERSONAL Y GARANTÍA DE LOS DERECHOS DIGITALESLOPDGDD-. Invocamos la aplicación del art 77.2 de la LOPDGDD en los mismos términos que ya expusimos en nuestro escrito de fecha 1 de abril de 2022. Y es que, aquí también es preciso recordar que nos encontramos en el seno de un procedimiento sancionador, en el que se aplican, como principios inspiradores del orden penal, el de presunción de inocencia y el de in dubio pro reo. En lo atinente al referido artículo 77 de la LOPDGDD esa Agencia distingue las funciones públicas y “privadas” que ejercen u ostentan los Colegios Profesionales. Pero es que, además de ser éstos entidades asociativas de profesionales, de base privada, lo fundamental a los efectos que aquí nos ocupan, es que son Corporaciones de Derecho Público. Y, en este punto, consideramos que no procede imputar solamente como “funciones privadas” las que son objeto de las presuntas conductas infractoras que se imputan y “desvincularlas” sin motivo ni justificación alguna de las funciones públicas, en las que también pueden incardinarse totalmente. Lo que resulta en todo punto improcedente es pretender justificar espuriamente el ejercicio de “funciones privadas” imbricándolo con una norma que no resulta en modo de aplicación, como es la Ley 7/2006, de 31 de mayo, del ejercicio de profesiones tituladas y de los colegios profesionales de la Comunidad Autónoma de Cataluña. Dicha Ley no resulta aplicable ni por razón de la materia, ni del territorio y, menos aún en el seno de un procedimiento sancionador, lo que nos conduce nuevamente a la vulneración de los principios de tipicidad y legalidad, sin que se pueda “presumir”, sin elemento probatorio alguno ni fundamentación fáctica y jurídica, el ejercicio de funciones privadas errando en el marco normativo de aplicación y suponiendo que las presuntas infracciones lo han sido en el ejercicio de tales funciones. Si tomamos en consideración los preceptos estatutarios que esa AEPD invoca respecto del presunto “conflicto de intereses” del ***PUESTO.1 del COAGranada, los propios preceptos estatutarios invocados por esa AEPD implican el ejercicio de funciones públicas, que son perfectamente extensibles a las conductas imputadas; y éstas se pueden perfectamente imbricar como funciones púbicas -Artículo 13. 2. Corresponderá a la Junta de Gobierno, en concreto: “
10. a)Elaborar proyectos de normas de carácter general y el impulso del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 22/60 procedimiento de aprobación y reforma de los estatutos.
11. b)Proponer a la Asamblea General los asuntos que le competan, prestarle asesoramiento y apoyo técnico y arbitrar los medios conducentes al exacto cumplimiento de lo acordado por la misma.
12. c)Resolver las solicitudes de incorporación de nuevos colegiados, de bajas colegiales y sobre la suspensión de servicios colegiales y de la condición de colegial.
13. d)Autorizar la inscripción de las Sociedades Profesionales en el correspondiente Registro colegial, previa solicitud, que podrá cursarse telemáticamente a través de la ventanilla única establecida en este Colegio
14. e)Recaudar, distribuir y administrar los fondos del Colegio, conforme a lo previsto en el Título sobre Régimen Económico y Patrimonial de los presentes Estatutos Particulares.
15. h)Promover actuaciones de todo tipo a favor de la profesión.
16. i)Conocer las actuaciones llevadas a cabo en razón de urgencia por el Decano o por la Comisión Permanente, asumiéndolas o censurándolas cuando no fueran de la competencia propia de los mismos.
17. j)Resolver cuantas propuestas le pueda plantear la Comisión Permanente
18. k)Ejercer la función disciplinaria y adoptar medidas cautelares, incoando, de oficio o en virtud de denuncia, los expedientes disciplinarios, en los que dictará la correspondiente Resolución. El ejercicio de tales funciones lo podrá delegar en el Decano, en un grupo de miembros de Junta de Gobierno o en una Comisión.
19. l)Remitir a la Comisión Instructora los Expedientes incoados en materia disciplinaria, a efectos de su tramitación y formulación de la correspondiente propuesta de resolución.
20. m)Aprobar inicialmente el reglamento de funcionamiento de la asistencia y del voto telemático en la Asamblea General, a fin de que sea aprobado definitivamente por la Asamblea General de los Colegiados.” -Artículo 15. La Comisión Permanente. “La Junta de Gobierno se constituirá en Comisión Permanente, integrada por el Decano, el ***PUESTO.1 y el Tesorero como miembros natos, para el cumplimiento de las funciones que se le asignan en estos Estatutos. Corresponde a la Comisión Permanente de la Junta de Gobierno del Colegio: 1. Poner en práctica las directrices emanadas de la Junta de Gobierno. 2. Proponer a la Junta de Gobierno cuantos actos sean consecuencia de las competencias que ésta tiene asumidas. 3. La adopción de las medidas necesarias para el cumplimiento de los acuerdos de la Junta de Gobierno. 5. Adoptar decisiones sobre aquellos asuntos de carácter urgente que, siendo competencia de la Junta de Gobierno, no puedan sufrir aplazamiento hasta la reunión de ésta, debiéndose dar cuenta de estos actos, para su ratificación, en la primera sesión que celebre la Junta de Gobierno. 6. Aquellas funciones que, expresamente, le delegue la Junta de Gobierno.”. -Artículo 17. El ***PUESTO.1. “Corresponde al ***PUESTO.1: 1. Organizar, con el visto bueno del Decano y atendiendo a los criterios de la Junta de Gobierno, la Secretaría del Colegio. 2. Resolver provisionalmente acerca de la admisión de los nuevos colegiados de conformidad con lo dispuesto en estos Estatutos Particulares. 3. Recibir y tramitar todas las solicitudes y comunicaciones que se dirijan al Colegio y a sus diferentes Órganos, dando cuenta de ellas a quien corresponda. 4. Librar las certificaciones que se soliciten y deban ser expedidas y llevar el libro registro de colegiados. 6. Hacer las notificaciones de altas y bajas colegiales. 7. Llevar los libros de actas de las reuniones de la Asamblea General de colegiados, Junta de Gobierno y de la Comisión C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 23/60 Permanente y trasladar los acuerdos, llevando el seguimiento del cumplimiento de los mismos.”. 10. Dirigir los servicios de las oficinas del Colegio.”. Y, como complemento de los anteriores preceptos estatutarios en el artículo 6 se enumeran las funciones del COAGranada, plenamente de Derecho Público Artículo 6. Funciones. “Sin perjuicio de las reservadas al Consejo Superior de los Colegios de Arquitectos de España y al Consejo Andaluz de Colegios Oficiales de Arquitectos, son funciones del Colegio Oficial de Arquitectos de Granada, en su ámbito territorial, las expresamente determinadas, para la consecución de sus fines, en la legislación sobre Colegios Profesionales y, específicamente, las siguientes: 1. De registro:
21. e)Facilitar a los órganos jurisdiccionales y de las Administraciones Públicas, conforme a las leyes, la relación de colegiados que pudieran ser requeridos para intervenir como peritos o designarlos directamente, según proceda.
22. f)Dotarse de los sistemas adecuados de comunicaciones electrónicas y programas informáticos que permitan a los ciudadanos, a los Colegiados y a otros Arquitectos ejercientes en su territorio, a las Administraciones Públicas y a los organismos declarados competentes, resolver sus relaciones administrativas con los mismos en régimen de ventanilla única, sin perjuicio de poderlo hacer también por otras vías.
23. g)Establecer y mantener un servicio telemático y presencial de atención a consumidores y usuarios y a Colegiados y otros arquitectos con las funciones que establezca la Ley y las que regulen el Consejo Superior de Colegios de Arquitectos, el Consejo Andaluz de Colegios Oficiales de Arquitectos y este Colegio, de acuerdo con la Ley 2. De representación y de relaciones con las Administraciones Públicas:
24. a)Representar a la profesión, en el ámbito territorial que le corresponde, ante los poderes públicos de la Comunidad Autónoma Andaluza y restantes Administraciones Públicas, defendiendo los intereses generales de la profesión, prestando su colaboración en las materias de su competencia, para lo que podrá celebrar convenios para la realización de actividades de interés común, así como para la promoción de actuaciones orientadas a la defensa del interés público y, en especial, de los usuarios de los servicios profesionales de los colegiados, con las distintas Administraciones Públicas y con organismos públicos o privados. Cuando la representación deba tener lugar ante órganos con competencia fuera del ámbito del Colegio y se refiera a asuntos que transciendan su ámbito territorial, las actuaciones se realizarán con el conocimiento previo o por mediación del Consejo Superior o Consejo Andaluz, según proceda.
25. b)Previo acuerdo del Consejo de Gobierno de la Junta de Andalucía, que deberá ser publicado en el Boletín Oficial de la Junta de Andalucía, ejercer funciones administrativas relacionadas con la profesión, todo ello previos el informe del Consejo Andaluz de Colegios Oficiales de Arquitectos y la aceptación expresa del Colegio.
26. c)Actuar ante los Jueces y Tribunales, dentro y fuera de su ámbito territorial, tanto en nombre propio y en defensa de los fines e intereses de la profesión y de los profesionales miembros del Colegio o ejercientes en su ámbito territorial, como en nombre, por cuenta y en sustitución procesal de éstos, en la defensa que ellos mismos voluntariamente le encomienden.
27. d)Informar en los procedimientos judiciales o administrativos en que se discutan honorarios u otras cuestiones profesionales, cuando sea requerido para ello.
28. e)Informar, con arreglo a las Leyes, los C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 24/60 proyectos de disposiciones de ámbito local que regulen o afecten directamente a las atribuciones profesionales o a las condiciones de actividad de los Arquitectos así como los de ámbito autonómico cuando no corresponda ello al Consejo Andaluz.
29. f)Cooperar al mejoramiento de la enseñanza e investigación de la arquitectura, el urbanismo y el medio ambiente.
30. g)Participar y representar a la profesión en congresos, jurados y órganos consultivos a petición de la Administración o de particulares.
31. i)Ejercer el derecho de petición conforme a la Ley.
32. j)Atender, en su calidad de órgano competente, las peticiones de información que le sean solicitadas, de acuerdo con lo previsto en la legislación española o de la Unión Europea, tanto por los particulares como por los Colegiados y otros arquitectos ejercientes o por los organismos nacionales o internacionales habilitados por la Ley. 3. De ordenación:
33. a)Velar por la ética y dignidad de la profesión, tanto en las relaciones recíprocas de los Arquitectos como en las de éstos con sus clientes o con las organizaciones en las que desarrollen su tarea profesional.
34. b)Velar por la independencia facultativa del Arquitecto en cualquiera de las modalidades del ejercicio profesional.
35. c)Evitar y perseguir ante los Tribunales el intrusismo profesional.
36. d)Establecer, en el ámbito de su competencia, criterios sobre los niveles mínimos exigibles de diligencia profesional, en particular, respecto a la presentación de trabajos y el control de calidad y seguimiento de las obras.
37. e)Visar de acuerdo con lo que se establezca en las normas de aplicación reglamentarias o legales los trabajos profesionales de los Arquitectos. El visado en ningún caso comprenderá los honorarios, ni las demás condiciones contractuales de prestación de los servicios profesionales convenidos por los Arquitectos con sus clientes.
38. f)Impedir la competencia desleal entre los Arquitectos en los términos establecidos en la legislación vigente sobre competencia desleal.
39. g)Ejercer la potestad disciplinaria sobre los Arquitectos y Sociedades Profesionales que incumplan sus deberes colegiales o profesionales, tanto legales como deontológicos, aprobando a tal fin un Código Deontológico, de acuerdo con lo establecido en la Ley y por el Consejo Superior de los Colegios de Arquitectos de España y el Consejo Andaluz de Colegios Oficiales de Arquitectos. Dicho Código será accesible a los Colegiados y a otros arquitectos ejercientes y a los consumidores y usuarios de los servicios profesionales de éstos.
40. i)Asesorar a los Colegiados y otros arquitectos ejercientes así como a los consumidores y usuarios de sus servicios profesionales sobre las condiciones de contratación de los servicios profesionales de los Arquitectos, procurando la mejor definición y garantía de las respectivas obligaciones y derechos.
41. j)Establecer, en el ámbito de su competencia, normativas sobre la actividad profesional en ejercicio de estas funciones de ordenación, con sujeción a los Estatutos y a las demás disposiciones generales de aplicación. 4. De servicio:
42. e)Resolver por laudo, con arreglo a la legislación sobre arbitraje y al propio Reglamento colegial de procedimiento, los conflictos entre Colegiado y ciudadanos, o planteados por éstos últimos, que le sean sometidos en materias relacionadas con la competencia profesional de los Arquitectos.
43. f)Establecer baremos de honorarios con carácter meramente orientativo a los solos efectos de las tasaciones de costas en conflictos o procedimientos jurisdiccionales.
44. i)Prestar la colaboración que se le requiera en C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 25/60 la organización y difusión de los concursos que afecten a los Arquitectos y velar por la adecuación de sus convocatorias a las normas reguladoras del ejercicio profesional.
45. m)Ejercer cuantas competencias administrativas le sean atribuidas legalmente, colaborar con la Administración mediante la realización de estudios o emisión de informes y ejercer las competencias que le sean atribuidas por otras normas de rango legal o reglamentario, o le sean delegadas por las Administraciones Publicas o se deriven de convenios de colaboración.
46. n)Elaborar la carta de servicios al ciudadano, ofrecer información sobre el contenido de la profesión y los colegiados inscritos en el Colegio, respetando lo establecido en la normativa sobre protección de datos de carácter personal.
47. o)Garantizar la colaboración con la Administración de la Junta de Andalucía y sus organismos dependientes así como con la restantes Administraciones Públicas y entes públicos en el control de las situaciones de los colegiados que, por su condición de empleados públicos a su servicio, pudieran verse afectados por causa de incompatibilidad para el ejercicio de actividades profesionales.
48. p)Ejercer funciones arbitrales y de mediación en los conflictos que, por motivos profesionales, se susciten entre los Colegiados, entre los colegiados y los ciudadanos, y entre éstos cuando lo decidan libremente, todo ello de acuerdo con la legislación aplicable en materia de arbitraje y de mediación. 5. De organización:
49. a)Aprobar los Estatutos Particulares y sus modificaciones previo informe del Consejo Superior de Colegios acerca de su compatibilidad con los Estatutos Generales de los Colegios de Arquitectos y su Consejo Superior, sometiéndolos a informe del Consejo Andaluz de Colegios Oficiales de Arquitectos para su posterior calificación de legalidad e inscripción en el Registro de Colegios Profesionales de Andalucía por parte de la Consejería competente.
50. b)Elaborar y aprobar los presupuestos anuales de ingresos y gastos, así como sus cuentas y liquidaciones.
51. d)Dictar reglamentos de organización y funcionamiento interior para el desarrollo y de los presentes Estatutos.”. Y la propia Agencia Española de Protección de Datos, en sus Resoluciones de 24 mayo 2021, Procedimiento Nº: PS/00416/2020 y de 11 mayo 2021, Procedimiento Nº: PS/00347/2020 ha adoptado diferente criterio al seguido en el presente Expediente Sancionador ante Corporaciones de Derecho Público. Así, la primera de las citadas Resoluciones establece lo siguiente: “Los hechos denunciados se concretan que a través de la página web http//www.albuixech.es/wp-content/uploads/ titularidad del reclamado se podía acceder a datos personales de vecinos como DNI, teléfono, discapacidad, situación económica y que a pesar de que había manifestado dar solución a la incidencia, no se habían tomado las medidas correspondientes ya que se podía seguir accediendo a los datos de los vecinos. El artículo 83.5
52. a)del RGPD (LCEur 2016, 605) , considera que la infracción de "los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9" es sancionable, de acuerdo con el apartado 5 del mencionado artículo 83 del citado RGPD, "con multas administrativas de 20.000.000€ como máximo o, tratándose de una empresa, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 26/60 de una cuantía equivalente al 4% como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía". Por otro lado, la LOPDGDD (RCL 2018, 1629) , a efectos de prescripción, en su artículo 72 indica: "Infracciones consideradas muy graves: 1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
53. a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679. (...)" V La vulneración del artículo 32 del RGPD (LCEur 2016, 605) se encuentra tipificada en el artículo 83.4.
54. a)del citado RGPD en los siguientes términos: 4. Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 10 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 2 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
55. a)las obligaciones del responsable y del encargado a tenor de los artículos 8, 11, 25 a 39, 42 y 43. (...)" Por su parte, la LOPDGDD (RCL 2018, 1629) en su artículo 71 , Infracciones, señala que: "Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica". Y en su artículo 73, a efectos de prescripción, califica de "Infracciones consideradas graves": "En función de lo que establece el artículo 83.4 del Reglamento (UE) 2016/679 se consideran graves y prescribirán a los dos años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes: (...)
56. g)El quebrantamiento, como consecuencia de la falta de la debida diligencia, de las medidas técnicas y organizativas que se hubiesen implantado conforme a lo exigido por el artículo 32.1 del Reglamento (UE) 2016/679". (...)" VI Los hechos probados evidencian el acceso a través de la página web http//www.albuixech.es/wp-content/uploads de titularidad del reclamado a los datos de carácter personal de vecinos de la localidad (DNI, teléfono, discapacidad, situación económica, etc.), a pesar de que haber manifestado a esta AEPD que había dado solución a la incidencia, quebrantando y vulnerando las medidas de carácter técnico y organizativas y el deber de confidencialidad de los datos. Como consta en los antecedentes y acreditado en los hechos probados del procedimiento ha quedado acreditado que dictada resolución de archivo de la reclamación inicial, el reclamante interpuso recurso potestativo de reposición contra la resolución recaída mostrando su disconformidad y exponiendo que el reclamado no había tomado las medidas adecuadas ya que a pesar de lo alegado se continuaba accediendo a los datos de la web municipal, aportando junto al escrito de recurso nueva documentación relevante. Tras el análisis y comprobaciones realizadas se constató que había documentos publicados conteniendo información con datos de carácter C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 27/60 personal que no habían sido eliminados o anonimizados, estimándose el recurso y acordando la admisión de la reclamación presentada. Por tanto, la actuación de la entidad constituye vulneración de los principios de confidencialidad y de seguridad de los datos, regulados en los artículos 5.1.
57. f)y 32.1 del RGPD (LCEur 2016, 605) , y tipificada en los artículos 83.5.
58. a)y 83.4.
59. a)del RGPD. No obstante, con la finalidad de aclarar los términos de la incidencia producida y que propició la apertura del presente procedimiento sancionador, el reclamado mediante escrito de 18/02/2021 señalaba que si bien en un principio se instaló un plugin WP Content Copy Protectión Pro para bloquear el acceso a los documentos existentes en la página web del Ayuntamiento y llevar a cabo la eliminación de los archivos que contenían datos de carácter personal publicados en la citada página, tras la recepción del acuerdo de apertura de procedimiento el servicio de informatica trato en un primer momento de solucionar la incidencia llegando a la conclusión de que la medida adoptada (instalar un plugin de bloqueo de acceso a la web), se antojaba insuficiente ya que aunque impedía el acceso a los contenidos continuaba siendo posible acceder a los mismos si se conocía la dirección URL de los archivos publicados. Por ello, se llevó a cabo la migración de la web de la entidad a otro servidor lo que determino que el contenido al que se podría haber tenido acceso con anterioridad a la citada fecha estaba eliminado no siendo posible el acceder al mismo desde el instante en que se realizó la migración. Con la finalidad de evitar incidencias como la ocurrida, en la nueva página web se adoptaron una serie de medidas técnicas: eliminar el acceso a la carpeta wp-content y de su contenido a través de. htaccess ; chequear antes de servir los permisos WP mediante la función is-luger-logged-in , para recuperar un fichero por una subcarpeta de wp-content, etc. Además, el reclamado ha señalado que asume su responsabilidad como consecuencia de las infracciones cometidas si bien considera que deben tenerse en cuenta los esfuerzos realizados para mejorar las medidas de seguridad con la finalidad de garantizar la seguridad y la confidencialidad de los datos de carácter personal de los que es el responsable y que la infracción no es debido a una inacción o falta de proactividad en el cumplimiento de la normativa sobre protección de datos. Por otra parte, hay que señalar que el reclamado aporta impresión de pantalla de la página web donde deberían estar el contenido de los datos de carácter personal que provoco la reclamación y que en la actualidad se encuentran eliminados, no siendo posible tener acceso a los mismos VII La LOPDGDD (RCL 2018, 1629) en su artículo 77 , Régimen aplicable a determinadas categorías de responsables o encargados del tratamiento, establece lo siguiente: En el supuesto que nos ocupa, de conformidad con las evidencias de las que se dispone y sin perjuicio de lo que resulte de la instrucción, dicha conducta podría constituir, por parte del reclamado la posible infracción a lo dispuesto en el artículo 5.1.
60. f)y 32.1 del RGPD (LCEur 2016, 605) . Hay que señalar que el RGPD, sin perjuicio de lo establecido en su artículo 83, contempla en su artículo 77 la posibilidad de acudir a la sanción de apercibimiento para corregir los tratamientos de datos personales que no se C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 28/60 adecúen a sus previsiones, cuando los responsables o encargados enumerados en el apartado 1 cometiesen alguna de las infracciones a las que se refieren los artículos 72 a 74 de esta ley orgánica. Asimismo, se contempla que la resolución que se dicte establecerá las medidas que proceda adoptar para que cese la conducta, se corrijan los efectos de la infracción que se hubiese cometido y su adecuación a las exigencias contempladas en los artículos 5.1.
61. f)y 32.1 del RGPD, así como la aportación de medios acreditativos del cumplimiento. Sin embargo, se considera que la respuesta formulada por el reclamado en escrito de fecha 18/02/2021 ha sido razonable, subsanando la incidencia producida no procediendo instar la adopción de medidas adicionales a las ya tomadas por el reclamado, que es una de las finalidades principales de los procedimientos respecto de aquellas entidades relacionadas en el art 77 LOPDGDD, habiendo quedado acreditado la suspensión de la web de la entidad donde figuraba la información conteniendo los datos de carácter personal de los vecinos al haber migrado la misma a otro servidor y adoptando medidas para evitar que se produzcan hechos como los que dieron lugar a la reclamación. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, La Directora de la Agencia Española de Protección de Datos RESUELVE : PRIMERO IMPONER al AYUNTAMIENTO DE ALBUIXECH, con NIF P4601400G , por una infracción del artículo 5.1.
62. f)del RGPD (LCEur 2016, 605) , tipificada en el artículo 83.5.
63. a)del RGPD, una sanción de apercibimiento, de conformidad con el artículo 77 de la LOPDGDD (RCL 2018, 1629) . SEGUNDO IMPONER al AYUNTAMIENTO DE ALBUIXECH, con NIF P4601400G , por una infracción del artículo 32.1 del RGPD (LCEur 2016, 605) , tipificada en el artículo 83.4.
64. a)del RGPD, una sanción de apercibimiento, de conformidad con el artículo 77 de la LOPDGDD (RCL 2018, 1629)”. Sobre estas resoluciones dictadas por la propia AEPD no se pronuncia la Propuesta de Resolución. QUINTA.- AUSENCIA DE DETERMINACIÓN DEL TIPO CORESPONDIENTE A LAS SANCIONES PROPUESTAS Y FALTA DE MOTIVACIÓN PARA LA DETERMINACIÓN DEL IMPORTE DE LAS MISMAS. ALTERNATIVA Y SUBSIDIARIAMENTE, INVOCACIÓN DEL PRINCIPIO DE PROPORCIONALIDAD. En la Propuesta de Resolución no se establecen cuáles son los tipos concretos de las sanciones que se proponen y la determinación y graduación del quantum de las mismas, lo que conlleva una ausencia de motivación contraria al artículo 35.1
65. a)de la Ley 39/2015 de 1 de octubre, de Procedimiento Administrativo Común de las Administraciones Públicas. No se concreta el tipo de infracción cometida (entendemos que, leve) ni se motiva porqué se imponen las respectivas sanciones de 5.000, 8.000 y 1.000 euros. Con ello se puede considerar que ha generado indefensión al COAGranada. Alternativa y subsidiariamente, para el supuesto de que se estimase que pudiera concurrir alguna o algunas de las infracciones contenidas en la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 29/60 Propuesta de Resolución, solicitamos la aplicación del principio de proporcionalidad establecido en el citado artículo 29.3 de la LRJSP así como de también invocado artículo 83.2.
66. c)del RGPD. El principio de proporcionalidad en su vertiente aplicativa, ha servido en la jurisprudencia como un importante mecanismo de control jurisdiccional del ejercicio de la potestad sancionadora de la Administración cuando la norma establece para una infracción varias sanciones posibles o señala un margen cuantitativo para la fijación de la sanción pecuniaria; y, así, se viene insistiendo en que el mencionado principio de proporcionalidad o de la individualización de la sanción para adaptarla a la gravedad del hecho, hacen de la determinación de la sanción una actividad reglada y, desde luego, resulta posible en sede jurisdiccional no sólo la confirmación o eliminación de la sanción impuesta sino su modificación o reducción (Cfr. Sentencia de la Audiencia Nacional de 11 de marzo de 2008, Rec. 501/2006). En este sentido, cabe citar la Sentencia del Tribunal Supremo de 25 de septiembre de 2003 (Rec. 527/1998) : “La potestad sancionadora no tiene carácter discrecional y esto conlleva que, cuando para una determinada infracción haya legalmente previsto un elenco de sanciones, la imposición de una más grave o elevada que la establecida con el carácter de mínima deberá ser claramente motivada mediante la consignación de las específicas razones y circunstancias en que se funda la superior malicia o desidia que se tienen en cuenta para elegir ese mayor castigo. Así lo impone la interdicción de arbitrariedad del artículo 9.3 de la Constitución y también el principio de proporcionalidad comprendido en las garantías del artículo 25 del mismo texto constitucional”. Por tanto, el principio de proporcionalidad implica, que al ser la actividad sancionadora de la Administración una actividad típicamente de aplicación de las normas, los factores que han de presidir su aplicación estén en función de lo que disponga cade sector del Ordenamiento Jurídico y, muy especialmente, en las circunstancias concurrentes. Tal y como establece la Sentencia del Tribunal Superior de Justicia de Castilla y León de Burgos, nº 3/2017 de 13 de enero (Rec. 80/2016): “Es en este ámbito en el que juega, precisamente, un papel extraordinariamente clarificador la motivación del concreto acto administrativo sancionador y en la medida en que la misma habrá de definir no sólo las circunstancias modificativas de la responsabilidad apreciadas y probadas sino, además, la específica razón que entiende la Administración que concurre para, en los márgenes otorgados por la ley, imponer una concreta sanción”. Es por ello, por lo que, en virtud de lo expuesto en las presentes Alegaciones, en caso de que se estime que existen las conductas infractoras y consiguientes sanciones que se ha de aplicar, lo sean reduciendo al máximo posible su importe económico, dado que atendidas las circunstancias concurrentes, el importe total de 14.000 euros nos parece desproporcionado y excesivo (dicho sea con el debido respeto y en estrictos términos de defensa-. PIDO A LA AGENCIA ESPAÑOLA DE PROTECIÓN DE DATOS: Que, habiendo por presentado este escrito, se sirva admitirlo y tenga por hechas las alegaciones que en el mismo se formulan. Granada para Madrid, a fecha de la firma electrónica. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 30/60 HECHOS PROBADOS: De las actuaciones practicadas en el presente procedimiento y de la información y documentación presentada por las partes, han quedado acreditados los siguientes hechos: Primero: Al escrito de reclamación presentado en esta Agencia el 21/12/21, se acompañó la siguiente documentación relevante para el presente procedimiento: - Copia del escrito que A.A.A., colegiado ***COLEGIADO.1, remite al reclamante, el día 30/08/21, donde, entre otras, se puede leer: o - Copia de la “Hoja de Reclamaciones” del Colegio Oficial de Arquitectos de Granada donde se puede leer, entre otras, la siguiente información con respecto a la política de protección de datos: o - “(…) La Junta de Gobierno del Colegio en su sesión celebrada el 11 de abril de 2019 adoptó, entre otros, el siguiente acuerdo: “(AIG) 11.04.19/08.- DESIGNAR AL ***PUESTO.1 DEL COLEGIO OFICIAL DE ARQUITECTOS COMO DELEGADO DE PROTECCIÓN DE DATOS PARA EL COLEGIO DE ARQUITECTOS.” Por lo tanto, puedo informarte que, actualmente el Delegado de Protección de Datos del Colegio O4cial de Arquitectos de Granada es su ***PUESTO.1 D. B.B.B. (…)”. Colegio Oficial de Arquitectos de Granada. Plaza de San Agustín Nº 3, 18001 Granada . Secretaría General . Área de Atención al Colegiado y al Usuario. Los datos recogidos formarán parte del Fichero del COAGRANADA, siendo el Responsable el ***PUESTO.1 del mismo, a quién se tendrá que dirigir escrito para el caso de ejercer los derechos de acceso, oposición, rectificación y cancelación, de conformidad con la L.O.P.D. Copia de la “Solicitud de Visado” dirigida al Decano del Colegio Oficial de Arquitectos de Granada, donde se puede leer, entre otras, la siguiente información, respecto a la política de protección de datos: o C/ Jorge Juan, 6 28001 – Madrid Conforme a lo establecido en la LO 15/1999 de Protección de Datos de Carácter Personal, se informa de la existencia de un fichero automatizado cuya finalidad es la prestación del servicio solicitado. Los Solicitantes prestan expresamente su consentimiento para el tratamiento y cesión de los datos existentes en el fichero automatizado a los diversos Colegios Oficiales de Arquitectos españoles y a otros órganos administrativos, a los efectos relacionados con la función de visado. Los firmantes podrán ejercer el derecho de acceso, rectificación, oposición y cancelación por escrito ante el C.O.A. de Granada, con domicilio en Plaza de San Agustín Nº 3, 18001 Granada, correo electrónico coagranada@coagranada.org www.aepd.es sedeagpd.gob.es 31/60 Segundo: Con fecha 27/07/22, por parte de esta Agencia se constató que en el documento “Hoja de Quejas y Reclamaciones de Colegiados”, accesible en la página web, https://coagranada.es/wp-content/uploads/2021/02/ Hoja_queja_reclamaciones_colegiados_V02.pdf, que solamente existía la siguiente leyenda referente a la protección de datos de carácter personal: “Colegio Oficial de Arquitectos de Granada. Plaza de San Agustín Nº 3, 18001 Granada. Secretaría General. Área de Atención al Colegiado y al Usuario. Los datos recogidos formarán parte del Fichero del COAGRANADA, siendo el Responsable el ***PUESTO.1 del mismo, a quién se tendrá que dirigir escrito para el caso de ejercer los derechos de acceso, oposición, rectificación y cancelación, de conformidad con la L.O.P.D.” También se constató que en el documento “Hoja de Quejas y Reclamaciones de Consumidores y Usuarios”, accesible en la página web, https://coagranada.es/wp-content/uploads/2021/02/ Hoja_queja_reclamaciones_consumidores_V02.pdf que solamente existía la siguiente información relacionada con la protección de datos de carácter personal: “Colegio Oficial de Arquitectos de Granada. Plaza de San Agustín Nº 3, 18001 Granada. Secretaría General. Área de Atención al Colegiado y al Usuario. Los datos recogidos formarán parte del Fichero del COAGRANADA, siendo el Responsable el ***PUESTO.1 del mismo, a quién se tendrá que dirigir escrito para el caso de ejercer los derechos de acceso, oposición, rectificación y cancelación, de conformidad con la L.O.P.D.” Con fecha 10/04/23, por parte de esta Agencia se accede a la hoja de quejas y reclamaciones del Colegio de Arquitectos de Granadas, accesibles a través del enlace https://coagranada.es/quejas-y-reclamaciones/ comprobando que en la misma se puede leer el siguiente mensaje: Colegio Oficial de Arquitectos de Granada. Plaza de San Agustín Nº3, 18001 Granada. Secretaría General. Área de Atención al Colegiado y al Usuario. En cumplimiento de los dispuesto en el Reglamento UE 2016/679, de 27 de abril de 2016, en adelante RGPD, el Colegio Oficial de Arquitectos de Granada con domicilio en PLAZA DE SAN AGUSTÍN 3, 18001 GRANADA y NIF nº Q1875003D le informa que la recogida y tratamiento de sus datos a través del presente formulario tiene como finalidad la gestión administrativa, fiscal y contable prevista en la legislación de colegios profesionales y nuestros estatutos. Sus datos podrán ser comunicados al Consejo General de Colegios C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 32/60 Oficiales de Arquitectos, organismos afines y a la Administración Pública sin perjuicio de otras cesiones previstas legalmente. Sus datos serán conservados durante el tiempo necesario para cumplir con las obligaciones legales. En cualquier momento podrá consultar la información adicional de este tratamiento o ejercitar los derechos de acceso, rectificación, supresión y oposición, portabilidad y limitación del tratamiento dirigiendo su solicitud al domicilio arriba indicado o por email a protecciondedatos@coagranada.org. Asimismo, en caso de considerar vulnerado su derecho a la protección de datos personales, podrá interponer una reclamación ante la Agencia Española de Protección de Datos (www.agpd.es). Tercero: Sobre la “Política de Cookies” de la página web https://www.coagranada.es/ se constató inicialmente que se utilizaba una cookie de terceros de carácter no exceptuado, sin el previo consentimiento del usuario de la web. Se da la circunstancia de que esta cookie analítica se instalaba a través de la inserción de un mapa interactivo del Instituto para la Salud Geoambiental de la Fundación “Vivo Sano” en la página: https://coagranada.es/mapa-zonas-radon-en-elnuevo-cte-db-hs6/ . Con fecha 10/04/23, por parte de esta Agencia se accede nuevamente a la página web https://www.coagranada.es/ teniendo conocimiento de las siguientes características respecto a su “Política de Cookies”: Al entrar en la web por primera vez, una vez limpiado el equipo terminal de historial de navegación y de cookies, sin aceptar nuevas cookies ni realizar ninguna acción sobre la página web, se ha comprobado que se utiliza una única cookie “_GRECAPTCHA”, cuya finalidad es proporcionar su análisis de riesgo, como por ejemplo, detectar intentos erróneos y reiterados de conexión. FUNDAMENTOS DE DERECHO I.Competencia: - Sobre el tratamiento de los datos personales y la “Política de Privacidad”: Es competente para resolver este procedimiento, la Directora de la Agencia Española de Protección de Datos, en virtud de los poderes que el art 58.2 del RGPD reconoce a cada Autoridad de Control y, según lo establecido en los arts. 47, 64.2 y 68.1 de la Ley LOPDGDD. - Sobre la “Política de Cookies”: Es competente para resolver este procedimiento, la Directora de la Agencia Española de Protección de Datos, de conformidad con lo establecido en el art. 43.1, párrafo segundo, de la de la Ley LSSI. II Contestación a las alegaciones presentadas a la propuesta de resolución C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 33/60 a).- Sobre los presuntos conflictos de intereses del Delegado de Protección de Datos (DPD) en la persona del ***PUESTO.1 del Colegio Oficial de Arquitectos de Granada. Existe constancia que, en la sesión celebrada por la Junta de Gobierno del Colegio de Arquitectos de Granada, el 11/04/19 se adoptó el acuerdo de designar al ***PUESTO.1 de dicho Colegio como Delegado de Protección de Datos (PDP) y así se especificaba expresamente en el acta de la sesión: “(…) Por lo tanto, puedo informarte que, actualmente el Delegado de Protección de Datos del Colegio Oficial de Arquitectos de Granada es su ***PUESTO.1 D. B.B.B. (…)”. Según afirma la parte reclamada, se adoptó la decisión de nombrar a un nuevo Delegado de Protección de Datos con fecha 26/04/22, y que fue notificado a la Agencia en atendiendo a las exigencias del art. 38 del RGPD. En las alegaciones presentadas por la entidad reclamada, tanto en la incoación del expediente como en la propuesta de resolución defiende esencialmente que no existido nunca ningún conflicto de intereses por el nombramiento del ***PUESTO.1 como Delegado de Protección de Datos (DPD), en el Colegio de Arquitectos de Granada. Pues bien, debemos iniciar este apartado indicando que, como ha señalado en reiteradas ocasiones esta Agencia, la mayor novedad que presenta el RGPD es la evolución de un modelo basado, fundamentalmente, en el control del cumplimiento de la legalidad vigente a otro que descansa en el principio de responsabilidad activa, lo que exige una previa valoración por el responsable o por el encargado del tratamiento del riesgo que pudiera generar el tratamiento de los datos de carácter personal para, a partir de dicha valoración, adoptar las medidas que procedan. Un papel fundamental dentro del nuevo modelo de responsabilidad activa lo desempeñará el DPD. Siguiendo también en este punto la Exposición de motivos de la LPDGDD, “la figura del DPD adquiere una destacada importancia en el RGPD y así lo recoge la ley Orgánica, que parte del principio de que puede tener un carácter obligatorio o voluntario, estar o no integrado en la organización del responsable o encargado y ser tanto una persona física como una persona jurídica”. La Sección 4 del CAPÍTULO IV, del RGPD -artículos 37 a 39-, regula de forma detallada la figura del DPD. En relación con la interpretación y aplicación de estos preceptos puede acudirse a las pautas contenidas en el documento del Grupo del Artículo 29 “Directrices sobre los Delegados de Protección de Datos” -WP243-, revisadas por última vez y adoptadas el 5 de abril de 2017. Esta regulación se ve complementada con lo dispuesto en el CAPÍTULO III del TÍTULO V de la LOPDGDD-, en cuyos artículos 34 a 37 se contienen algunas especialidades directamente aplicables a nuestro derecho interno. En concreto, la designación del delegado de protección de datos se recoge en el artículo 37 del RGPD, ampliándose en el artículo 34 de la LOPDGDD el espectro de sujetos obligados a su nombramiento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 34/60 De lo anterior se extrae que la exigencia del nombramiento de DPD no debe interpretarse, sin más, como una mera formalidad, debiendo cumplirse con los requisitos establecidos en las normas jurídicas aplicables. En consecuencia, resulta necesario realizar un somero análisis de las funciones y recursos de los que deberá disponer el DPD. Así, debe partirse de las importantes funciones que el art 39.1 del RGPD asigna: “1. El delegado de protección de datos tendrá como mínimo las siguientes funciones:
67. a)informar y asesorar al responsable o al encargado del tratamiento y a los empleados que se ocupen del tratamiento de las obligaciones que les incumben en virtud del presente Reglamento y de otras disposiciones de protección de datos de la Unión o de los Estados miembros;
68. b)supervisar el cumplimiento de lo dispuesto en el presente Reglamento, de otras disposiciones de protección de datos de la Unión o de los Estados miembros y de las políticas del responsable o del encargado del tratamiento en materia de protección de datos personales, incluida la asignación de responsabilidades, la concienciación y formación del personal que participa en las operaciones de tratamiento, y las auditorías correspondientes;
69. c)ofrecer el asesoramiento que se le solicite acerca de la evaluación de impacto relativa a la protección de datos y supervisar su aplicación de conformidad con el artículo 35;
70. d)cooperar con la autoridad de control;
71. e)actuar como punto de contacto de la autoridad de control para cuestiones relativas al tratamiento, incluida la consulta previa a que se refiere el artículo 36, y realizar consultas, en su caso, sobre cualquier otro asunto.” Se trata, por consiguiente, de funciones de asesoramiento y supervisión dirigidas a garantizar el adecuado cumplimiento de la normativa sobre protección de datos personales, señalando el artículo 39.2 que “El delegado de protección de datos desempeñará sus funciones prestando la debida atención a los riesgos asociados a las operaciones de tratamiento, teniendo en cuenta la naturaleza, el alcance, el contexto y fines del tratamiento”. Asimismo, el artículo 38.1 establece claramente que: “El responsable y el encargado del tratamiento garantizarán que el delegado de protección de datos participe de forma adecuada y en tiempo oportuno en todas las cuestiones relativas a la protección de datos personales”. Además de las importantes funciones de asesoramiento que el DPD tiene asignadas, incluidos los supuestos en los que sea necesario realizar una evaluación de impacto por tratarse de tratamientos de alto riesgo, y precisando las funciones de supervisión, el artículo 36 de la LOPDGDD prevé que: “El delegado podrá inspeccionar los procedimientos relacionados con el objeto de la presente ley orgánica y emitir recomendaciones en el ámbito de sus competencias”, que “En el ejercicio de sus funciones el delegado de protección de datos tendrá acceso a los datos personales y procesos de tratamiento, no pudiendo oponer a este acceso el responsable o el encargado del tratamiento la existencia de cualquier deber de confidencialidad o secreto, incluyendo el previsto en el artículo 5 de esta ley orgánica”, y que, “Cuando el delegado de protección de datos aprecie la existencia de una vulneración relevante en materia de protección de datos lo documentará y lo comunicará inmediatamente a los órganos de administración y dirección del responsable o el encargado del tratamiento”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 35/60 Por otro lado, el artículo 39.1.
72. e)del RGPD establece también como funciones del DPD “actuar como punto de contacto de la autoridad de control para cuestiones relativas al tratamiento, incluida la consulta previa a que se refiere el artículo 36, y realizar consultas, en su caso, sobre cualquier otro asunto”. Para el adecuado cumplimiento de dichos cometidos, el RGPD exige unos requisitos de capacitación del DPD, y que al mismo se le dote de los recursos necesarios. A los requisitos de capacitación, se refiere el artículo 37.5 RGPD, disponiendo que “El delegado de protección de datos será designado atendiendo a sus cualidades profesionales y, en particular, a sus conocimientos especializados del Derecho y la práctica en materia de protección de datos y a su capacidad para desempeñar las funciones indicadas en el artículo 39”. Por su parte, el artículo 35 de la LOPDGDD añade que “El cumplimiento de los requisitos establecidos en el artículo 37.5 del Reglamento (UE) 2016/679 para la designación del delegado de protección de datos, sea persona física o jurídica, podrá demostrarse, entre otros medios, a través de mecanismos voluntarios de certificación que tendrán particularmente en cuenta la obtención de una titulación universitaria que acredite conocimientos especializados en derecho y la práctica en materia de protección de datos”. En orden a la mejor interpretación y aplicación de estos preceptos, puede acudirse a las pautas contenidas en el documento del Grupo del Artículo 29 “Directrices sobre los Delegados de Protección de Datos” -WP243-, revisadas por última vez y adoptadas el 5 de abril de 2017, que, en relación con los conocimientos y habilidades del DPD, señalan los siguientes puntos: - Nivel de conocimientos: El nivel de conocimientos requerido no está definido estrictamente, pero debe ser acorde con la sensibilidad, complejidad y cantidad de los datos que una organización trata. Por ejemplo, cuando la actividad de tratamiento de los datos es especialmente compleja o cuando implica una gran cantidad de datos sensibles, el DPD podría necesitar un nivel mayor de conocimientos y apoyo. Existe también una diferencia dependiendo de si la organización transfiere sistemáticamente datos personales fuera de la Unión Europea o si dichas 9 Gabinete Jurídico transferencias son ocasionales. Así pues, el DPD debe elegirse con cuidado, teniendo debidamente en cuenta las cuestiones relativas a la protección de datos que surjan en la organización. - Cualidades profesionales: Indicar que, aunque el artículo 37, apartado 5, no especifica las cualidades profesionales que se deben tener en cuenta a la hora de designar al DPD, un factor importante es que este tenga conocimientos sobre la legislación y prácticas nacionales y europeas en materia de protección de datos y una profunda comprensión del RGPD. - Capacidad para desempeñar sus funciones: La capacidad del DPD para desempeñar sus funciones debe interpretarse tanto en referencia a sus cualidades personales y conocimientos como a su puesto dentro de la organización. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 36/60 Las cualidades personales deben incluir, por ejemplo, la integridad y un nivel elevado de ética profesional; la principal preocupación del DPD debe ser posibilitar el cumplimiento del RGPD. El DPD desempeña un papel fundamental en la promoción de una cultura de protección de datos dentro de la organización y contribuye a la aplicación de elementos esenciales del RGPD, como los principios relativos al tratamiento de datos, los derechos de los interesados, la protección de los datos desde el diseño y por defecto, el registro de las actividades de tratamiento, la seguridad del tratamiento y la notificación y comunicación de las violaciones de la seguridad de los datos. Por otro lado, la necesidad de dotar al DPD de los recursos necesarios para el desempeño de sus funciones se recoge como una obligación del responsable en el artículo 38.2 del RGPD: “El responsable y el encargado del tratamiento respaldarán al delegado de protección de datos en el desempeño de las funciones mencionadas en el artículo 39, facilitando los recursos necesarios para el desempeño de dichas funciones y el acceso a los datos personales y a las operaciones de tratamiento, y para el mantenimiento de sus conocimientos especializados”. Deben tenerse en cuenta, en especial, los siguientes aspectos: · Apoyo activo a la labor del DPD por parte de la alta dirección (al nivel del consejo de administración). · Tiempo suficiente para que el DPD cumpla con sus funciones, lo cual es particularmente importante cuando se designa un DPD interno a tiempo parcial o cuando el DPD externo lleva a cabo la protección de datos de manera complementaria a otras obligaciones. De otro modo, el conflicto entre prioridades podría dar lugar al descuido de las obligaciones del DPD. Es primordial contar con tiempo suficiente para dedicárselo a las tareas de DPD. Es una práctica recomendable establecer un porcentaje de tiempo para la labor propia del DPD cuando no se lleve a cabo a tiempo completo. Es también práctica recomendable determinar el tiempo necesario para realizar la labor, el nivel de prioridad adecuado para las funciones del DPD y para que el DPD (o la organización) redacte un plan de trabajo. · Apoyo adecuado en cuanto a recursos financieros, infraestructura (locales, instalaciones, equipos) y personal, según se requiera. · Por consiguiente, lo esencial es que los DPDs reúnan los requisitos de capacitación e independencia que les permitan desarrollar adecuadamente las funciones que el RGPD les asigna, como recuerda el Considerando 97 del RGPD, “El nivel de conocimientos especializados necesario se debe determinar, en particular, en función de las operaciones de tratamiento de datos que se lleven a cabo y de la protección exigida para los datos personales tratados por el responsable o encargado”. De este modo, y siempre que quede adecuadamente garantizada su independencia, lo relevante es que las funciones que se asignan al DPD se puedan realizar con eficacia, debiendo tenerse en cuenta, igualmente, el criterio de la disponibilidad, fundamental para garantizar que los interesados puedan fácilmente contactar con el DPD (conforme al artículo 38.4 del RGPD, “los interesados podrán ponerse en contacto con el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 37/60 delegado de protección de datos por lo que respecta a todas las cuestiones relativas al tratamiento de sus datos personales y al ejercicio de sus derechos al amparo del presente Reglamento”). En conclusión, dichas funciones podrán desarrollarse eficazmente si se cumple con los requisitos de capacitación al proceder a la designación del DPD y se le dota de los recursos necesarios, incluido, como señala el Grupo del Artículo 29 un equipo de DPD (un DPD y su personal), equipo que deberá ser proporcional al tamaño y estructura de la organización, así como a la sensibilidad, complejidad y cantidad de los datos que una organización trata, debiendo garantizarse la disponibilidad del DPD de modo que los interesados puedan contactar con él, así como comunicarse con las autoridades de protección de datos. Centrándonos ya sobre las cuestiones relativas a la independencia y los posibles conflictos de intereses del delegado, deberá estarse a las normas jurídicas que la regula la posición del delegado en sus relaciones con el responsable y/o con el encargado del tratamiento. Así, el artículo 36 de la LOPDDD, dispone lo siguiente: “Posición del delegado de protección de datos” 1. El delegado de protección de datos actuará como interlocutor del responsable o encargado del tratamiento ante la Agencia Española de Protección de Datos y las autoridades autonómicas de protección de datos. El delegado podrá inspeccionar los procedimientos relacionados con el objeto de la presente ley orgánica y emitir recomendaciones en el ámbito de sus competencias. 2. Cuando se trate de una persona física integrada en la organización del responsable o encargado del tratamiento, el delegado de protección de datos no podrá ser removido ni sancionado por el responsable o el encargado por desempeñar sus funciones salvo que incurriera en dolo o negligencia grave en su ejercicio. Se garantizará la independencia del delegado de protección de datos dentro de la organización, debiendo evitarse cualquier conflicto de intereses.” Por su parte, el artículo 38.3 del RGPD, al regular la posición del delegado de Protección de Datos, subraya su independencia al señalar que el responsable y el encargado del tratamiento garantizarán que el delegado de protección de datos no reciba ninguna instrucción en lo que respecta al desempeño de dichas funciones, no pudiendo ser destituido ni sancionado por el responsable o el encargado por desempeñar sus funciones, y rindiendo cuentas directamente al más alto nivel jerárquico del responsable o encargado. Además, según el documento del Grupo del Artículo 29 “Directrices sobre los Delegados de Protección de Datos”, revisadas por última vez y adoptadas el 5 de abril de 2017 -WP243-, en su nombramiento debe tenerse en consideración el elemento relativo a la independencia del DPD. Así, el artículo 38.3 del RGPD establece unas garantías básicas para que los delegados actúen con independencia dentro de la organización en la que prestan sus servicios, incluyendo que “no reciban ninguna instrucción relativa al ejercicio de sus tareas”. Es importante señalar que los obligados al cumplimiento del RGPD son el responsable o el encargado del tratamiento, de forma que, si adoptan decisiones contrarias a la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 38/60 norma y al asesoramiento prestado por el delegado, debe darse a este la posibilidad de expresar con claridad su opinión disconforme respecto a dichas decisiones. El anteriormente citado artículo 38.3 también se refiere a que los delegados de protección de datos “no deben ser destituidos ni penalizados por el responsable o el encargado por llevar a cabo sus funciones”, lo que supone un refuerzo de su autonomía e independencia. Sí podría ser despedido o sancionado de conformidad con la legislación contractual, laboral o penal aplicable de cada país, por causas distintas al desempeño de sus funciones. En relación con el posible conflicto de intereses del delegado, las directrices sobre los delegados de protección de datos adoptadas por el Grupo de Trabajo sobre Protección de Datos del Artículo 29, -WP243-, señalan lo siguiente: “3.5. Conflicto de intereses El artículo 38, apartado 6, permite a los DPD “desempeñar otras funciones y cometidos”. No obstante, requiere que la organización garantice que «dichas funciones y cometidos no den lugar a conflicto de intereses”. La ausencia de conflicto de intereses está estrechamente ligada al requisito de actuar de manera independiente. Esto supone, en especial, que el DPD no puede ocupar un cargo en la organización que le lleve a determinar los fines y medios del tratamiento de datos personales. Por otro lado, aunque los DPD puedan tener otras funciones, solamente podrán confiárseles otras tareas y cometidos si estas no dan lugar a conflictos de intereses. Debido a la estructura organizativa específica de cada organización, esto deberá considerarse caso por caso. Como norma general, los cargos en conflicto dentro de una organización pueden incluir los puestos de alta dirección (tales como director general, director de operaciones, director financiero, director médico, jefe del departamento de mercadotecnia, jefe de recursos humanos o director del departamento de TI) pero también otros cargos inferiores en la estructura organizativa si tales cargos o puestos llevan a la determinación de los fines y medios del tratamiento. Asimismo, también puede surgir un conflicto de intereses, por ejemplo, si se pide a un DPD que represente al responsable o al encargado del tratamiento ante los tribunales en casos relacionados con la protección de datos. De lo anterior se extrae que, al margen de la fórmula adoptada para su nombramiento, la designación del delegado de protección de datos ha de responder a las exigencias derivadas del principio de independencia en el desarrollo de su actividad, debiendo garantizarse que el desempeño de sus funciones y cometidos no den lugar a conflicto de intereses. La provisión de delegado de protección de datos en las organizaciones públicas o privadas exige que la selección se ajuste a los requisitos legalmente establecidos y, en especial, que se acrediten los conocimientos especializados en derecho y práctica de la protección de datos que señala el RGPD. Por lo demás, la fórmula adoptada para el nombramiento de DPD dependerá de la decisión adoptada por la entidad en la que desempeñe sus funciones, como consecuencia de su autonomía organizativa. Sin embargo, las cuestiones relativas a la autonomía de las organizaciones en las que se encuadren los delegados, claramente derivadas en la normativa analizada en este informe, no pueden ser óbice para la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 39/60 necesaria garantía de la independenci