1/13 C/ Jorge Juan, 6 www.aepd.es 28001 – Madrid sedeagpd.gob.es 2/13 Procedimiento Nº: PS/00382/2019 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: D. A.A.A. (en adelante, el reclamante) con fecha 16/03/2019 presento reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra el AYUNTAMIENTO DE TRES CANTOS con NIF P2818400J (en adelante, el reclamado). Los motivos en que basa la reclamación son: que el Ayuntamiento oferta “Jornada Lúdica" y la autorización para la participación en dicha actividad es como sigue: "Yo XXXXX con D.N.I. XXXXX autorizo a mi Hijo/a XXXXXX que está matriculado en el Curso: XXXXX en el Colegio XXXXX y tiene XXXXXX años, a participar en las actividades de Jornada Lúdica que organiza la Concejalía de Educación del Ayuntamiento de Tres Cantos y permitir la publicación de fotos tomadas durante la actividad, la asistencia a la piscina en el horario establecido y el traslado a centros de urgencia, si fuese necesario.", considerando que, tratándose de una declaración escrita, es necesario que queden claramente diferenciadas la parte referente a la protección de datos del resto de declaraciones. SEGUNDO: Tras la recepción de la reclamación, la Subdirección General de Inspección de Datos procedió a realizar las siguientes actuaciones: El 15/05/2019, fue trasladada al reclamado la reclamación presentada para su análisis y comunicación al afectado de la decisión adoptada al respecto. Igualmente, se le reque-ría para que en el plazo de un mes remitiera a la Agencia determinada información: - Copia de las comunicaciones, de la decisión adoptada que haya remitido al reclamante a propósito del traslado de esta reclamación, y acreditación de que el reclamante ha recibido la comunicación de esa decisión. - Informe sobre las causas que han motivado la incidencia que ha originado la reclamación. - Informe sobre las medidas adoptadas para evitar que se produzcan incidencias similares. - Cualquier otra que considere relevante. El 22/10/2019, de conformidad con el artículo 65 de la LOPDGDD, la Directora de la Agencia Española de Protección de Datos acordó admitir a trámite la reclamación presentada por el reclamante contra el reclamado. El 12/11/2019, el reclamado respondió señalando que ha unificado en una declaración única los requisitos de autorización para la participación en la actividad jornada lúdica y establece las condiciones que acepta quien suscribe la autorización, no contemplando una autorización a la carta del usuario; que desde el Ayuntamiento no se encuentra contradicción entre le modelo de autorización propuesta y la normativa vigente y que examinados los artículos del RGPD desde este organismo no se consideran conculca-dos ninguno de los derechos del menor. C/ Jorge Juan, 6 www.aepd.es 28001 – Madrid sedeagpd.gob.es 3/13 TERCERO: Con fecha 26/02/2020, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador al reclamado, por la presunta infracción de los artículos 7.2 y 13 del RGPD contempladas en el artículo 83.5.
- a)y
- b)del citado Reglamento, considerando que la sanción que pudiera corresponder sería de APERCIBIMIENTO. CUARTO: Notificado el acuerdo de inicio, el reclamado al tiempo de la presente resolución no ha presentado escrito de alegaciones, por lo que es de aplicación lo señalado en el artículo 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, que en su apartado
- f)establece que en caso de no efectuar alegaciones en el plazo previsto sobre el contenido del acuerdo de iniciación, éste podrá ser considerado propuesta de resolución cuando contenga un pronunciamiento preciso acerca de la responsabilidad imputada, por lo que se procede a dictar Resolución. QUINTO: De las actuaciones practicadas en el presente procedimiento, han quedado acreditados los siguientes: HECHOS PROBADOS PRIMERO: El reclamante con fecha 16/03/2019 presento escrito ante la Agencia Española de Protección de Datos, reclamando contra sistema implantado por el AYUNTAMIENTO para solicitar el consentimiento para participar en las actividades de Jornada Lúdica que organiza la Concejalía de Educación y “permitir la publicación de fotos tomadas durante la actividad, la asistencia a la piscina en el horario establecido y el traslado a centros de urgencia, si fuese necesario.", considerando que, tratándose de una declaración escrita, es necesario que queden claramente diferenciadas la parte referente a la protección de datos del resto de declaraciones.. SEGUNDO: En la ficha de participante para tomar parte en la Jornada Lúdica promovida por la Consejería de Educación del reclamado figura en el pie del citado documento la autorización para participar con el siguiente contenido: “Yo...................................................................................con D.N.I. .........................................autorizo a mi Hijo/a ................................................................ que está matriculado en el Curso: ................... en el Colegio ..................................................... y tiene ........ años, a partici-par en las actividades de “Jornada Lúdica” que organiza la Concejalía de Educación del Ayuntamiento de Tres Cantos y permitir la publicación de fotos tomadas durante la ac-tividad, la asistencia a la piscina en el horario establecido y el traslado a centros de urgencia, si fuese necesario. FIRMA DEL PADRE / MADRE O TUTOR/A: Tres Cantos, a ……………………………………………………. C/ Jorge Juan, 6 www.aepd.es 28001 – Madrid sedeagpd.gob.es 4/13 La base jurídica en la que se fundamenta el tratamiento de los datos viene regulada en el art. 6 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/96/CE (Reglamento general de protección de datos). La presente instancia fundamenta el tratamiento de los datos contenidos en ella, en el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos a este Ayuntamiento establecido en el supuesto
- e)del artículo 6 aparatado 1 del Reglamento General de Protección de Datos” TERCERO: El reclamado en escrito de 29/10/2019 ha manifestado: “Que desde este Ayuntamiento, en conclusión, y respecto a este caso, no se encuentra contradicción entre el modelo de autorización propuesto por el Ayuntamiento y la normativa vigente”. FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de control, y según lo establecido en los artículos 47 y 48 de la LOPDGDD, la Directora de la Agencia Española de Protección de Datos es competente para iniciar y para resolver este procedimiento. II La Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, en su artículo 64 “Acuerdo de iniciación en los procedimientos de naturaleza sancionadora”, dispone: “1. El acuerdo de iniciación se comunicará al instructor del procedimiento, con traslado de cuantas actuaciones existan al respecto, y se notificará a los interesados, entendiendo en todo caso por tal al inculpado. Asimismo, la incoación se comunicará al denunciante cuando las normas reguladoras del procedimiento así lo prevean. 2. El acuerdo de iniciación deberá contener al menos:
- a)Identificación de la persona o personas presuntamente responsables.
- b)Los hechos que motivan la incoación del procedimiento, su posible calificación y las sanciones que pudieran corresponder, sin perjuicio de lo que resulte de la instrucción.
- c)Identificación del instructor y, en su caso, Secretario del procedimiento, con expresa indicación del régimen de recusación de los mismos.
- d)Órgano competente para la resolución del procedimiento y norma que le atribuya tal competencia, indicando la posibilidad de que el presunto responsable pueda reconocer voluntariamente su responsabilidad, con los efectos previstos en el artículo 85.
- e)Medidas de carácter provisional que se hayan acordado por el órgano competente para iniciar el procedimiento sancionador, sin perjuicio de las que se puedan adoptar durante el mismo de conformidad con el artículo 56. C/ Jorge Juan, 6 www.aepd.es 28001 – Madrid sedeagpd.gob.es 5/13
- f)Indicación del derecho a formular alegaciones y a la audiencia en el procedimiento y de los plazos para su ejercicio, así como indicación de que, en caso de no efectuar alegaciones en el plazo previsto sobre el contenido del acuerdo de iniciación, éste podrá ser considerado propuesta de resolución cuando contenga un pronunciamiento preciso acerca de la responsabilidad imputada. 3. Excepcionalmente, cuando en el momento de dictar el acuerdo de iniciación no existan elementos suficientes para la calificación inicial de los hechos que motivan la incoación del procedimiento, la citada calificación podrá realizarse en una fase posterior mediante la elaboración de un Pliego de cargos, que deberá ser notificado a los interesados”. En aplicación del anterior precepto y teniendo en cuenta que no se han formula-do alegaciones al acuerdo de inicio, procede resolver el procedimiento iniciado. III Los hechos reclamados evidencian la vulneración por parte del reclamado de lo señalado en los artículos 7.2 y 13 del RGPD; en primer lugar, al solicitar el consentimiento a los padres de los menores para que sus hijos participen en una Jornada Lúdica y posteriormente poder publicar fotos, la asistencia a piscina y traslado a urgencias, etc., y, en segundo lugar, al no informar del tratamiento previsto de conformidad con lo señalado en el artículo 13 del RGPD. El artículo 58 del RGPD, Poderes, señala: “2. Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación: (…)
- b)sancionar a todo responsable o encargado del tratamiento con apercibimiento cuando las operaciones de tratamiento hayan infringido lo dispuesto en el presente Reglamento; (…)
- i)imponer una multa administrativa con arreglo al artículo 83, además o en lugar de las medidas mencionadas en el presente apartado, según las circunstancias de cada caso particular; (…)” El artículo 6 del RGPD, Licitud del tratamiento, establece que: “1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
- a)el interesado dio su consentimiento para el tratamiento de sus datos persona-les para uno o varios fines específicos; (…)” El artículo 7 del RGPD, Condiciones para el consentimiento, establece que: C/ Jorge Juan, 6 www.aepd.es 28001 – Madrid sedeagpd.gob.es 6/13 “1. Cuando el tratamiento se base en el consentimiento del interesado, el responsable deberá ser capaz de demostrar que aquel consintió el tratamiento de sus da-tos personales. 2. Si el consentimiento del interesado se da en el contexto de una declaración escrita que también se refiera a otros asuntos, la solicitud de consentimiento se presentará de tal forma que se distinga claramente de los demás asuntos, de forma inteligible y de fácil acceso y utilizando un lenguaje claro y sencillo. No será vinculante ninguna parte de la declaración que constituya infracción del presente Reglamento. 3. El interesado tendrá derecho a retirar su consentimiento en cualquier momento. La retirada del consentimiento no afectará a la licitud del tratamiento basada en el consentimiento previo a su retirada. Antes de dar su consentimiento, el interesado será informado de ello. Será tan fácil retirar el consentimiento como darlo. 4. Al evaluar si el consentimiento se ha dado libremente, se tendrá en cuenta en la mayor medida posible el hecho de si, entre otras cosas, la ejecución de un contrato, incluida la prestación de un servicio, se supedita al consentimiento al tratamiento de datos personales que no son necesarios para la ejecución de dicho contrato”. Por otra parte, el artículo 13 del RGPD determina la información que debe facilitarse al interesado en el momento de la recogida de sus datos, estableciendo lo siguiente: “Artículo 13. Información que deberá facilitarse cuando los datos personales se obtengan del interesado. 1.Cuando se obtengan de un interesado datos personales relativos a él, el responsable del tratamiento, en el momento en que estos se obtengan, le facilitará toda la información indicada a continuación:
- a)la identidad y los datos de contacto del responsable y, en su caso, de su representante;
- b)los datos de contacto del delegado de protección de datos, en su caso;
- c)los fines del tratamiento a que se destinan los datos personales y la base jurídica del tratamiento; 4.5.2016 L 119/40 Diario Oficial de la Unión Europea ES
- d)cuando el tratamiento se base en el artículo 6, apartado 1, letra f), los intereses legítimos del responsable o de un tercero;
- e)los destinatarios o las categorías de destinatarios de los datos personales, en su caso;
- f)en su caso, la intención del responsable de transferir datos personales a un tercer país u organización internacional y la existencia o ausencia de una decisión de adecuación de la Comisión, o, en el caso de las transferencias indica-das en los artículos 46 o 47 o el artículo 49, apartado 1, párrafo segundo, referencia a las garantías adecuadas o apropiadas y a los medios para obtener una copia de estas o al hecho de que se hayan prestado. C/ Jorge Juan, 6 www.aepd.es 28001 – Madrid sedeagpd.gob.es 7/13 2. Además de la información mencionada en el apartado 1, el responsable del tratamiento facilitará al interesado, en el momento en que se obtengan los datos personales, la siguiente información necesaria para garantizar un tratamiento de datos leal y transparente:
- a)el plazo durante el cual se conservarán los datos personales o, cuando no sea posible, los criterios utilizados para determinar este plazo;
- b)la existencia del derecho a solicitar al responsable del tratamiento el acceso a los datos personales relativos al interesado, y su rectificación o supresión, o la limitación de su tratamiento, o a oponerse al tratamiento, así como el derecho a la portabilidad de los datos;
- c)cuando el tratamiento esté basado en el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), la existencia del derecho a retirar el consentimiento en cualquier momento, sin que ello afecte a la licitud del tratamiento basado en el consentimiento previo a su retirada;
- d)el derecho a presentar una reclamación ante una autoridad de control;
- e)si la comunicación de datos personales es un requisito legal o contractual, o un requisito necesario para suscribir un contrato, y si el interesado está obligado a facilitar los datos personales y está informado de las posibles consecuencias de que no facilitar tales datos;
- f)la existencia de decisiones automatizas, incluida la elaboración de perfiles, a que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado. 3. Cuando el responsable del tratamiento proyecte el tratamiento ulterior de datos personales para un fin que no sea aquel para el que se recogieron, proporcionará al interesado, con anterioridad a dicho tratamiento ulterior, información sobre ese otro fin y cualquier información adicional pertinente a tenor del apartado 2. 4. Las disposiciones de los apartados 1, 2 y 3 no serán aplicables cuando y en la medida en que el interesado ya disponga de la información”. IV En el presente caso, el reclamado manifiesta haber unificado en una sola declaración los requisitos de autorización para la participación en la actividad jornada lúdica estableciendo las condiciones que acepta quien suscribe la autorización, no contemplándose una autorización a la carta del usuario y, que desde el Ayuntamiento no se observa contradicción alguna entre el modelo de autorización propuesto con la normativa vigente y que examinados los artículos del RGPD, desde el citado órgano de gobierno local no se consideran conculcados ninguno de los derechos del menor. C/ Jorge Juan, 6 www.aepd.es 28001 – Madrid sedeagpd.gob.es 8/13 En el procedimiento abierto se imputa al reclamado la vulneración del artículo 7 del RGPD al evidenciarse la infracción de la normativa sobre protección de datos en lo relativo a la obtención del consentimiento en el documento aportado por el reclamante para participar en las actividades de Jornada Lúdica que organiza la Concejalía de Educación de la Entidad Local y en el que además de solicitarse el consentimiento para las citada jornada se pretende el mismo para otras actividades como son la asistencia a la piscina, el traslado a centros de urgencia y la publicación de fotos. El texto aportado no distingue ni discrimina acerca de la autorización para participar en cada una de las actividades a realizar mostrando la obsolescencia de la cláusula incluida para la obtención del consentimiento. Y si bien es cierto que dentro del consentimiento para participar en la Jornada Lúdica podríamos tácitamente entender incluida la autorización para participar en las actividades de piscina así como y el posible traslado a urgencias como consecuencia de la participación en las citadas actividades, no es menos cierto que para la publicación de fotografías de los menores participantes se necesita un nuevo consentimiento de los padres o tutores por tratarse de una finalidad distinta y que podría acreditarse mediante la inclusión en el citado documento formulario de una casilla específica con cuyo marcado se autorice al responsable del fichero a la utilización de los datos personales de los participantes para dicha finalidad, pudiendo revocarse dicho consentimiento en cualquier momento. Hay que destacar que el consentimiento que se preste ha de ser un consentimiento específico; es decir, no sería valido un consentimiento que se preste con carácter general sin que se determine la concreta finalidad para la que serán tratados los da-tos que se pretenden recoger. El artículo 6.1.
- a)del RGPD lo señala cuando otorga al consentimiento el carácter de base legitimadora del tratamiento si se ha otorgado para uno o varios fines específicos y conectándolo con el artículo 7.2 del RGPD se establece que para que el con-sentimiento sea válido y especifico debe ser inteligible, de manera que se determine claramente que datos van a ser objeto de tratamiento, cuál será la operación de trata-miento que se va a llevar a cabo y cuál es la finalidad para la que se pretende realizar esa operación con esos datos, etc. De esta forma, no sería valido un consentimiento que se preste para todas las finalidades legitimas que el responsable pretende alcanzar, sino que se debe hacer referencia a aquellas operaciones que sean razonable y necesarias en relación con las finalidades específicamente pretendidas. Por tanto, el Ayuntamiento vulnera el RGPD en la recogida del consentimiento a los padres de los menores para que sus hijos participen en una Jornada Lúdica puesto que, además, de solicitar el consentimiento para la misma y en la que podríamos en-tender incluidas la participación en la piscina y el traslado a urgencia, se pretende apli-car para otra finalidad: la publicación de fotos y, a mayor abundamiento, no informando adecuadamente sobre el tratamiento previsto. C/ Jorge Juan, 6 www.aepd.es 28001 – Madrid sedeagpd.gob.es 9/13 Tampoco se cumple el requisito según el cual “el consentimiento debe darse mediante un acto afirmativo claro que refleje una manifestación de voluntad libre, específica, informada, e inequívoca del interesado de aceptar el tratamiento de datos de carácter personal que le conciernen”, entendiéndose que “la inacción no debe constituir consentimiento” (Considerando 32). Así las cosas, el reclamado vulneró el artículo 7.2 del RGPD al obtener el consentimiento para todas las actividades en general debiendo recogerse para cada una de ellas en la ficha de participante, por lo que se considera que es inadecuada no cumpliendo los requisitos del RGPD. En segundo lugar, hay que señalar que para una correcta política de privacidad es necesario tener en cuenta lo establecido en el artículo 13 del RGPD. En el presente caso, el reclamado no hace referencia alguna al cumplimiento del deber de información establecido en el citado artículo que contempla la información que debe facilitarse en la recogida de los datos cuando la misma se realiza directamente del interesado de modo que este sea capaz de determinar de antemano cuál es el alcance y las consecuencias que implica el tratamiento de los datos, debiéndose determinar la identidad del responsable, datos de contacto del responsable y, en su caso, del delegado de protección de datos, fines del tratamiento a que se destinaran los datos, destinatarios de los datos, derechos que el interesado puede ejercitar ante el responsable, etc. V El artículo 83.5
- a)y
- b)del RGPD, considera que la infracción de “los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9” y “los derechos de los interesados a tenor de los artículos 12 a 22”, es sancionable, de acuerdo con el apartado 5 del mencionado artículo 83 del citado Reglamento. Por otra parte, la LOPDGDD en su artículo 71, Infracciones, señala que: “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. La LOPDGDD en su artículo 72 indica a efectos de prescripción: “Infracciones consideradas muy graves: “1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes: (…)
- c)El incumplimiento de los requisitos exigidos por el artículo 7 del Reglamento (UE) 2016/679 para la validez del consentimiento. (…) C/ Jorge Juan, 6 www.aepd.es 28001 – Madrid sedeagpd.gob.es 10/13
- h)La omisión del deber de informar al afectado acerca del tratamiento de sus datos personales conforme a lo dispuesto en los artículos 13 y 14 del Reglamento (UE) 2016/679 y 12 de esta ley orgánica. (…)” VI No obstante, la LOPDGDD en su artículo 77, Régimen aplicable a determinadas categorías de responsables o encargados del tratamiento, establece lo siguiente: “1. El régimen establecido en este artículo será de aplicación a los tratamientos de los que sean responsables o encargados:
- a)Los órganos constitucionales o con relevancia constitucional y las instituciones de las comunidades autónomas análogas a los mismos.
- b)Los órganos jurisdiccionales.
- c)La Administración General del Estado, las Administraciones de las comunidades autónomas y las entidades que integran la Administración Local.
- d)Los organismos públicos y entidades de Derecho público vinculadas o dependientes de las Administraciones Públicas.
- e)Las autoridades administrativas independientes.
- f)El Banco de España.
- g)Las corporaciones de Derecho público cuando las finalidades del tratamiento se relacionen con el ejercicio de potestades de derecho público.
- h)Las fundaciones del sector público.
- i)Las Universidades Públicas.
- j)Los consorcios.
- k)Los grupos parlamentarios de las Cortes Generales y las Asambleas Legislativas autonómicas, así como los grupos políticos de las Corporaciones Locales. 2. Cuando los responsables o encargados enumerados en el apartado 1 cometiesen alguna de las infracciones a las que se refieren los artículos 72 a 74 de esta ley orgánica, la autoridad de protección de datos que resulte competente dictará resolución sancionando a las mismas con apercibimiento. La resolución establecerá asimismo las medidas que proceda adoptar para que cese la conducta o se corrijan los efectos de la infracción que se hubiese cometido. La resolución se notificará al responsable o encargado del tratamiento, al órgano del que dependa jerárquicamente, en su caso, y a los afectados que tuvieran la condición de interesado, en su caso. 3. Sin perjuicio de lo establecido en el apartado anterior, la autoridad de protección de datos propondrá también la iniciación de actuaciones disciplinarias cuando existan indicios suficientes para ello. En este caso, el procedimiento y las sanciones a aplicar serán las establecidas en la legislación sobre régimen disciplinario o sancionador que resulte de aplicación. C/ Jorge Juan, 6 www.aepd.es 28001 – Madrid sedeagpd.gob.es 11/13 Asimismo, cuando las infracciones sean imputables a autoridades y directivos, y se acredite la existencia de informes técnicos o recomendaciones para el tratamiento que no hubieran sido debidamente atendidos, en la resolución en la que se imponga la sanción se incluirá una amonestación con denominación del cargo responsable y se ordenará la publicación en el Boletín Oficial del Estado o autonómico que corresponda. 4. Se deberán comunicar a la autoridad de protección de datos las resoluciones que recaigan en relación con las medidas y actuaciones a que se refieren los aparta-dos anteriores. 5. Se comunicarán al Defensor del Pueblo o, en su caso, a las instituciones análogas de las comunidades autónomas las actuaciones realizadas y las resoluciones dictadas al amparo de este artículo. 6. Cuando la autoridad competente sea la Agencia Española de Protección de Datos, esta publicará en su página web con la debida separación las resoluciones referidas a las entidades del apartado 1 de este artículo, con expresa indicación de la identidad del responsable o encargado del tratamiento que hubiera cometido la infracción. Cuando la competencia corresponda a una autoridad autonómica de protección de datos se estará, en cuanto a la publicidad de estas resoluciones, a lo que disponga su normativa específica”. En el supuesto examinado, ha quedado acreditado que el reclamado en la recogida del consentimiento a los padres de menores para que sus hijos participen en una Jornada Lúdica organizada por la Concejalía de Educación del reclamado permitiendo, además, la publicación de fotos si fuese necesario y, sin informar adecuadamente sobre el tratamiento previsto de los datos de carácter personal, incurre en vulneración de la normativa sobre protección de datos, artículos 7.2 y 13 del RGPD. De conformidad con las evidencias de las que se dispone dicha conducta constituye por parte del reclamado la infracción a lo dispuesto en los artículos 7.2 y 13 del RGPD. Hay que señalar que el RGPD, sin perjuicio de lo establecido en su artículo 83, contempla en su artículo 77 la posibilidad de acudir a la sanción de apercibimiento para corregir los tratamientos de datos personales que no se adecúen a sus previsiones, cuando los responsables o encargados enumerados en el apartado 1 cometiesen alguna de las infracciones a las que se refieren los artículos 72 a 74 de esta ley orgánica. C/ Jorge Juan, 6 www.aepd.es 28001 – Madrid sedeagpd.gob.es 12/13 Como se señalaba con anterioridad ha quedado acreditado que el reclamado incumple la normativa de protección de datos en lo relativo a obtención del consentimiento incluido en la ficha de participante en las actividades lúdicas organizadas por la Concejalía de Educación al pretender no un consentimiento específico sino una suerte de consentimiento general para todas aquellas finalidades pretendidas, así como en lo relativo a su deficiente política de privacidad no habiendo adoptado medidas pertinentes y necesarias de conformidad con lo señalado en ellos artículos 7.2 y 13 del RGPD. Se hace necesario señalar que de no corregir dichas deficiencias adoptando las medidas adecuadas a lo señalado en los artículos 7.2 y 13 del RGPD o bien reiterar la conducta puesta de manifiesto en la reclamación y que es causa del presente procedimiento, así como no informar seguidamente a esta AEPD de las medidas adoptadas podría dar lugar al ejercicio de posibles actuaciones ante el responsable del tratamiento a fin de que se apliquen de manera efectiva las medidas apropiadas para garantizar y no comprometer la confidencialidad de los datos de carácter personal y el derecho a la intimidad de las personas. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a AYUNTAMIENTO DE TRES CANTOS, con NIF P2818400J, por una infracción del Artículo 6 del RGPD, tipificada en el Artículo 83.5 del RGPD, una sanción de apercibimiento. SEGUNDO: REQUERIR al AYUNTAMIENTO DE TRES CANTOS, con NIF P2818400J, para que en el plazo de un mes desde la notificación de esta resolución, acredite: la adopción de las medidas necesarias y pertinentes de conformidad con la normativa en materia de protección de datos de carácter personal a fin de evitar que en el futuro vuelvan a producirse incidencias como las que han dado lugar a la reclamación corrigiendo los efectos de la infracción, adecuando la ficha de participante para tomar parte en la Jornada Lúdica promovida por la Consejería de Educación a las citadas medidas de manera que se incluya una casilla que permita a los padres de los menores oponerse a la publicación de fotografías de los menores participantes de las mismas y adecuarse a las exigencias contempladas en los artículos 7.2 y 13 del RGPD. TERCERO: NOTIFICAR la presente resolución a AYUNTAMIENTO DE TRES CANTOS, con NIF P2818400J. CUARTO: COMUNICAR la presente resolución al Defensor del Pueblo, de conformidad con lo establecido en el artículo 77.5 de la LOPDGDD. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la C/ Jorge Juan, 6 www.aepd.es 28001 – Madrid sedeagpd.gob.es 13/13 LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 www.aepd.es 28001 – Madrid sedeagpd.gob.es