PS-00379-2025

1/8  Expediente N.º: EXP202511078 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Como consecuencia de reclamación presentada ante la Agencia Española de Protección de Datos contra el ORGANISMO ESTATAL INSPECCIÓN DE TRABAJO Y SEGURIDAD SOCIAL con NIF Q2802489A (en adelante, el OEITSS), apreciándose indicios de un posible incumplimiento de las normas en el ámbito de las competencias de la Agencia Española de Protección de Datos, se iniciaron actuaciones con número de expediente EXP202401347. De acuerdo con lo previsto en el artículo 65 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD en lo sucesivo), se trasladó la reclamación al responsable o al Delegado de Protección de Datos que en su caso hubiere designado, solicitándole que remitiera a esta Agencia la información y documentación que se indicaba. El traslado, que se notificó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP) mediante notificación electrónica, fue recogido por el responsable con fecha 24 de enero de 2024, como consta en el acuse de recibo que obra en el expediente. Con fecha 24 de marzo de 2024, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. SEGUNDO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de los poderes de investigación otorgados a las autoridades de control en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la citada LOPDGDD. En el marco de las actuaciones de investigación, se remitió en dos ocasiones al OEITSS un requerimiento de información, relativo a la reclamación indicada en el apartado primero, a fin de que, en los plazos de diez y cinco días hábiles, respectivamente, presentase ante esta Agencia la información y documentación señaladas. TERCERO: El referido requerimiento de información fue notificado en ambas ocasiones conforme a las normas establecidas en la LPACAP, siendo recogido por el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/8 OEITSS en fechas 29 de mayo y 27 de junio 2025, como consta en los acuses de recibo que obran en el expediente. CUARTO: Respecto a la información requerida, el OEITSS no ha remitido respuesta alguna a esta Agencia Española de Protección de Datos en los plazos otorgados para ello. QUINTO: Con fecha 18 de julio de 2025, la Presidencia de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador al OEITSS, con arreglo a lo dispuesto en los artículos 63 y 64 de la LPACAP, por la presunta infracción del artículo 58.1 del RGPD, tipificada en el artículo 83.5 del RGPD. SEXTO: El citado acuerdo de inicio fue notificado al OEITSS con fecha 21 de julio de 2025, como consta en el acuse de recibo que obra en el expediente. SÉPTIMO: Con fecha 23 de julio de 2025 y número de registro de entrada REGAGE25e00064523866, el OEITSS presenta escrito de respuesta al requerimiento de información señalado en los antecedentes segundo y tercero. OCTAVO: Con fecha 21 de abril de 2026 se formuló propuesta de resolución, proponiendo que por la Presidencia de la Agencia Española de Protección de Datos se declare que OEITSS ha infringido lo dispuesto en el Artículo 58.1 del RGPD, infracción tipificada en el Artículo 83.5 del RGPD. Esta propuesta de resolución fue notificada fehacientemente al OEITSS. NOVENO: Con fecha 4 de mayo de 2026 y número de registro REGAGE26e00042799402, el OEITSS presenta escrito de alegaciones a la Propuesta de resolución en el que manifiesta lo siguiente. El OEITSS transcribe el artículo 37.2 de la LOPDGDD y señala que “Desde este Organismo, tal y como se ha indicado, se remitió informe a la Delegada de Protección de Datos de este Ministerio en cumplimiento de la precitada previsión legal”. Asimismo, el OEITSS declara que “Con fecha 29 de abril de 2026 se recibe en este Organismo Resolución del Presidente de la Agencia Española de Protección de Datos en la que se acuerda “DECLARAR la CADUCIDAD de las presentes actuaciones previas de investigación” relativas al expediente EXP202401347, que se acompaña. Recordemos que el presente expediente sancionador número EXP202511078, trae causa de las actuaciones de investigación correspondientes al expediente EXP202401347 (declaradas como caducadas y ordenado su archivo). Por tanto, la declaración de caducidad de las citadas actuaciones previas implica que, según la jurisprudencia consolidada del Tribunal Supremo (Sentencias de 19 de marzo de 2018, núm. 436/2018 (rec. 2412/2015) y 438/2018 (rec. 2054/2017)), cuando un procedimiento sancionador o de intervención (limitativo de derechos) caduca por superar el plazo máximo para dictar y notificar la resolución (art. 25.1.b de la Ley 39/2015), cualquier resolución posterior que imponga una sanción es nula de pleno derecho.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/8 Por lo expuesto, OEITSS solicita “proceder al archivo del procedimiento sancionador en cuanto deriva de unas actuaciones previas que han sido archivadas por caducidad.” A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes, HECHOS PROBADOS PRIMERO: El requerimiento de información indicado en los antecedentes segundo, y tercero fue notificado con arreglo a lo dispuesto en la LPACAP. SEGUNDO: El OEITSS no ha respondido al requerimiento de información efectuado por esta Agencia en el marco de las actuaciones de investigación del expediente número EXP202401347 con anterioridad a que se dictase el acuerdo de inicio del presente procedimiento sancionador. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del RGPD, otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la LOPDGDD, es competente para iniciar y resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos”. II Actuación tras el acuerdo de inicio En relación con la actuación realizada por el OEITSS dando respuesta al requerimiento de información, se señala lo siguiente. La respuesta al requerimiento de información presentada durante la instrucción de este procedimiento no afecta a la existencia de los hechos probados constitutivos de infracción. Por lo que se refiere a la información comunicada, por parte de esta Agencia se acusa su recibo, incorporándose al expediente desde el que fue requerida, sin que esta declaración suponga ningún pronunciamiento sobre la misma. III C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/8 Alegaciones a la propuesta de resolución En respuesta a las alegaciones a la propuesta de resolución del presente expediente presentadas por el OEITSS se debe señalar lo siguiente. El OEITSS alega que remitió la información requerida por esta Agencia “a la Delegada de Protección de Datos de este Ministerio”, en cumplimiento del artículo el artículo 37.2 de la LOPDGDD, según el cual “Cuando el afectado presente una reclamación ante la Agencia Española de Protección de Datos o, en su caso, ante las autoridades autonómicas de protección de datos, aquellas podrán remitir la reclamación al delegado de protección de datos a fin de que este responda en el plazo de un mes”. Al respecto, se señala que, tal y como se recoge en el antecedente primero, de acuerdo con lo previsto en el artículo 65 de la LOPDGDD, se trasladó la reclamación al OEITSS, solicitándole que remitiera a esta Agencia la información y documentación que se indicaba. El OEITSS no remitió respuesta alguna a dicho traslado. En el marco de las actuaciones de investigación del expediente EXP202401347, se remitió al OEITSS el requerimiento de información recogido en los antecedentes segundo y tercero, el cual contenía las mismas peticiones que el mencionado traslado, además de nuevas solicitudes. El OEITSS respondió a dicho requerimiento después de que se le notificara el Acuerdo de inicio del presente procedimiento sancionador. En relación con la Resolución del expediente EXP202401347 en virtud de la cual la Presidencia de Agencia Española de Protección de Datos acordó declarar la caducidad de las actuaciones previas de investigación relativas a dicho expediente, es relevante apuntar que dicho expediente EXP202401347 y el presente expediente EXP202511078 tienen objetos diferentes. En concreto, el presente procedimiento sancionador tiene su causa en la falta de respuesta, en los plazos otorgados al efecto, al mencionado requerimiento recogido en los antecedentes segundo y tercero efectuado por esta Agencia en el marco de las actuaciones de investigación del expediente EXP202401347. El citado requerimiento fue notificado fehacientemente al OEITSS en dos ocasiones, sin que este remitiera respuesta alguna a esta Agencia con anterioridad a la notificación del acuerdo de inicio del presente procedimiento sancionador, ni en relación con la información solicitada ni respecto de las explicaciones que estimara oportunas o de las circunstancias que pudieran justificar una respuesta fuera de plazo. Ello pone de manifiesto una falta de diligencia por parte del OEITSS en la atención del requerimiento. A mayor abundamiento, cabe destacar que el tipo infractor se completa con la falta de respuesta a la información requerida. La conducta desplegada por el OEITSS entorpeció las actuaciones de esta Agencia produciendo un perjuicio a la función de inspección, impidiendo que transcurriera por el camino más adecuado para determinar las circunstancias relevantes de la supuesta infracción. La dilación provocada por la reiteración del requerimiento y la falta de respuesta al mismo influyeron decisivamente en el archivo de las actuaciones de investigación del expediente EXP202401347, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/8 consumiéndose los plazos de caducidad previstos en la LOPDGDD sin obtener resultados. Por todo lo expuesto, no cabe acceder a la solicitud del OEITSS respecto al archivo del presente procedimiento sancionador. IV Obligación incumplida A tenor de los hechos expuestos, se considera que el OEITSS no ha procurado a la Agencia Española de Protección de Datos la información que se le requirió en los plazos otorgados para ello. Con la señalada conducta del OEITSS, la potestad de investigación que el artículo 58.1 del RGPD confiere a las autoridades de control, en este caso, la AEPD, se ha visto obstaculizada. Por tanto, los hechos descritos en el apartado de “Hechos probados” se estiman constitutivos de una infracción, imputable al OEITSS, por vulneración del artículo 58.1 del RGPD, que dispone que cada autoridad de control dispondrá, entre sus poderes de investigación: “

1. a)ordenar al responsable y al encargado del tratamiento y, en su caso, al representante del responsable o del encargado, que faciliten cualquier información que requiera para el desempeño de sus funciones” V Tipificación y calificación de la infracción Esta infracción se tipifica en el artículo 83.5.
2. e)del RGPD, que considera como tal: “no facilitar acceso en incumplimiento del artículo 58, apartado 1.” En el mismo artículo se establece que esta infracción puede ser sancionada con multa de veinte millones de euros (20.000.000 €) como máximo o, tratándose de una empresa, de una cuantía equivalente al cuatro por ciento (4%) como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía. A efectos del plazo de prescripción de las infracciones, la infracción imputada prescribe a los tres años, conforme al artículo 72.1 de la LOPDGDD, que califica de muy grave la siguiente conducta: “ñ) No facilitar el acceso del personal de la autoridad de protección de datos competente a los datos personales, información, locales, equipos y medios de tratamiento que sean requeridos por la autoridad de protección de datos para el ejercicio de sus poderes de investigación.” VI Declaración de infracción C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/8 El artículo 83 “Condiciones generales para la imposición de multas administrativas” del RGPD, en su apartado 7, establece: “Sin perjuicio de los poderes correctivos de las autoridades de control en virtud del artículo 58, apartado 2, cada Estado miembro podrá establecer normas sobre si se puede, y en qué medida, imponer multas administrativas a autoridades y organismos públicos establecidos en dicho Estado miembro.” Asimismo, el artículo 77 “Régimen aplicable a determinadas categorías de responsables o encargados del tratamiento” de la LOPDGDD dispone lo siguiente: “1. El régimen establecido en este artículo será de aplicación a los tratamientos de los que sean responsables o encargados: (…)
3. c)La Administración General del Estado, las Administraciones de las comunidades autónomas y las entidades que integran la Administración Local. (…) 2. Cuando los responsables o encargados enumerados en el apartado 1 cometiesen alguna de las infracciones a las que se refieren los artículos 72 a 74 de esta ley orgánica, la autoridad de protección de datos que resulte competente dictará resolución declarando la infracción y estableciendo, en su caso, las medidas que proceda adoptar para que cese la conducta o se corrijan los efectos de la infracción que se hubiese cometido, con excepción de la prevista en el artículo 58.2.i del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016. La resolución se notificará al responsable o encargado del tratamiento, al órgano del que dependa jerárquicamente, en su caso, y a los afectados que tuvieran la condición de interesado, en su caso. 3. Sin perjuicio de lo establecido en el apartado anterior, la autoridad de protección de datos propondrá también la iniciación de actuaciones disciplinarias cuando existan indicios suficientes para ello. En este caso, el procedimiento y las sanciones a aplicar serán las establecidas en la legislación sobre régimen disciplinario o sancionador que resulte de aplicación. Asimismo, cuando las infracciones sean imputables a autoridades y directivos, y se acredite la existencia de informes técnicos o recomendaciones para el tratamiento que no hubieran sido debidamente atendidos, en la resolución en la que se imponga la sanción se incluirá una amonestación con denominación del cargo responsable y se ordenará la publicación en el Boletín Oficial del Estado o autonómico que corresponda. 4. Se deberán comunicar a la autoridad de protección de datos las resoluciones que recaigan en relación con las medidas y actuaciones a que se refieren los apartados anteriores. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/8 5. Se comunicarán al Defensor del Pueblo o, en su caso, a las instituciones análogas de las comunidades autónomas las actuaciones realizadas y las resoluciones dictadas al amparo de este artículo. 6. Cuando la autoridad competente sea la Agencia Española de Protección de Datos, esta publicará en su página web con la debida separación las resoluciones referidas a las entidades del apartado 1 de este artículo, con expresa indicación de la identidad del responsable o encargado del tratamiento que hubiera cometido la infracción. Cuando la competencia corresponda a una autoridad autonómica de protección de datos se estará, en cuanto a la publicidad de estas resoluciones, a lo que disponga su normativa específica.” Este precepto establece que los procedimientos que tengan causa en infracciones en materia de protección de datos personales cometidas por las categorías de responsables o encargados del tratamiento enumerados en su apartado 1 se resolverán, en todo caso, declarando la infracción. Por lo tanto, de acuerdo con la legislación aplicable, la Presidencia de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR que el ORGANISMO ESTATAL INSPECCIÓN DE TRABAJO Y SEGURI-DAD SOCIAL, con NIF Q2802489A, ha infringido lo dispuesto en el Artículo 58.1 del RGPD, infracción tipificada en el Artículo 83.5 del RGPD. SEGUNDO: NOTIFICAR la presente resolución INSPECCIÓN DE TRABAJO Y SEGURIDAD SOCIAL. al ORGANISMO ESTATAL TERCERO: COMUNICAR la presente resolución al Defensor del Pueblo, de conformidad con lo establecido en el artículo 77.5 de la LOPDGDD. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública. La publicación se realizará una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
4. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/8 interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeaepd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-180725 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es