PS-00431-2020

1/17  Procedimiento Nº: PS/00431/2020 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 22/09/2019, Dña. A.A.A., con DNI ***NIF.1 (en adelante, la reclamante), representada por D. B.B.B., con DNI ***NIF.2, interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra la entidad ESTACIONAMIENTOS Y SERVICIOS, S.A.U., con CIF A28385458 (en adelante ESTACIONAMIENTOS Y SERVICIOS), empresa prestadora de servicios de gestión de estacionamientos y aparcamientos para el AYUNTAMIENTO DE ***LOCALIDAD.1, con CIF P1814200J (en adelante, AYUNTAMIENTO DE ***LOCALIDAD.1 o entidad reclamada). Los motivos en que basa la reclamación son, en síntesis, los siguientes: Con fecha 05/11/2018, el personal de la entidad ESTACIONAMIENTOS Y SERVICIOS formuló denuncia contra la reclamante por una infracción en la Zona de Estacionamiento Regulado (ORA) de ***LOCALIDAD.1, que dio lugar a la interposición de una sanción por el AYUNTAMIENTO DE ***LOCALIDAD.1. Mediante escrito de 12/02/2019, la reclamante solicitó al citado Ayuntamiento la anulación del procedimiento sancionador. Posteriormente, con fecha 22/03/2019, la reclamante, actuando por medio de su representante, interpuso reclamación en el mismo sentido contra la entidad ESTACIONAMIENTOS Y SERVICIOS, empleando para ello el formulario denominado “Hoja de Quejas y Reclamaciones” de la Junta de Andalucía. Este formulario se presentó acompañado de un escrito en el que la reclamante explica los motivos de su queja, concreta su solicitud (anulación de la multa), y, como otrosí, ejerce su derecho a la limitación del tratamiento de todos sus datos personales que obrasen en ESTACIONAMIENTOS Y SERVICIOS, con oposición a su borrado o supresión mientras se resolvieran las alegaciones interpuestas contra el procedimiento sancionador relacionado. La reclamante acompaña copia de este escrito dirigido a ESTACIONAMIENTOS Y SERVICIOS, que consta reseñado en el Hecho Probado Quinto. Conforme a los hechos puestos de manifiesto, la reclamante añade que constituye el objeto de la reclamación formulada ante esta Agencia la falta de atención del derecho solicitado, sobre el que no ha recibido respuesta alguna por parte de ESTACIONAMIENTOS Y SERVICIOS. Añade que considera que esta entidad no ofrece garantías suficientes como responsable del tratamiento de datos personales, y que su inacción vulnera gravemente los derechos que le asisten en materia de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/17 protección de datos. Asimismo, manifiesta que, con fecha 12/06/2019, también formuló reclamación contra ESTACIONAMIENTOS Y SERVICIOS ante la Oficina Municipal de Información al Consumidor (OMIC) de ***LOCALIDAD.1 por ausencia de respuesta a la “Hoja de reclamaciones” presentada en marzo de ese mismo año (aporta copia del justificante de registro, pero no el escrito de reclamación). SEGUNDO: Con fecha 15/10/2019, la reclamación fue trasladada a ESTACIONAMIENTOS Y SERVICIOS para su análisis y comunicación al reclamante de la decisión adoptada al respecto y para que informase a esta Agencia sobre las cuestiones señaladas en la misma. El 14/11/2019, ESTACIONAMIENTOS Y SERVICIOS respondió al citado traslado exponiendo lo siguiente: Con fecha 02/02/2001, el AYUNTAMIENTO DE ***LOCALIDAD.1 y la entidad ESTACIONAMIENTOS Y SERVICIOS, esta última como prestadora de servicios, suscribieron un contrato de servicios para la gestión integral de los aparcamientos en ***LOCALIDAD.1. La normativa de Contratos de las Administraciones Públicas vigente en el momento de la contratación no contenía ninguna referencia a la protección de datos personales. En cambio, la actual Ley 9/2017, de 8 de noviembre, de Contratos del Sector Público, sí indica que, para el caso de que la contratación implique el acceso del contratista a datos de carácter personal de cuyo tratamiento sea responsable la entidad contratante, aquél tendrá la consideración de encargado del tratamiento. De conformidad con esta norma, el AYUNTAMIENTO DE ***LOCALIDAD.1 es la responsable de tratamiento y ESTACIONAMIENTOS Y SERVICIOS interviene como encargada del tratamiento. Añade ESTACIONAMIENTOS Y SERVICIOS que, con fecha 20/08/2008, presentó ante el AYUNTAMIENTO DE ***LOCALIDAD.1 una propuesta para regularizar la situación respecto al tratamiento de datos personales que conlleva el servicio de gestión integral de los aparcamientos en ***LOCALIDAD.1, que nunca fue firmado por la citada entidad local. En relación con la reclamación formulada ante esta Agencia, ESTACIONAMIENTOS Y SERVICIOS expone que, con fecha 04/04/2019, dio respuesta a la queja planteada por la reclamante el 22/03/2019, indicándole que debía dirigirse al AYUNTAMIENTO DE ***LOCALIDAD.1, tanto en relación con la sanción por infracción de aparcamiento como en relación con el derecho a la limitación del tratamiento, por ser este Ayuntamiento el competente para resolver el procedimiento sancionador y la entidad responsable del tratamiento. A pesar de indicar que el derecho a la limitación del tratamiento debe responderse por el Ayuntamiento, la entidad ESTACIONAMIENTOS Y SERVICIOS señala que este derecho no se ejercitó conforme a lo señalado en el artículo 18 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD) y en la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/17 Guía para el Ciudadano de la AEPD, considerando que el tratamiento que lleva a cabo el AYUNTAMIENTO DE ***LOCALIDAD.1 es lícito y necesario para el cumplimiento de la obligación legal del responsable, que tiene incurso un procedimiento sancionador contra la reclamante. Por último, señala que ha dado traslado de la reclamación al repetido Ayuntamiento y que se está procediendo a actualizar el acuerdo de encargo del tratamiento. Aporta copia de la respuesta dirigida a la reclamante el 04/04/2019, relacionada con la queja formulada por ésta en fecha 22/03/2019. Se comprueba que, a pesar de lo informado por ESTACIONAMIENTOS Y SERVICIOS en su escrito de respuesta a esta Agencia, la contestación dada a la reclamante no hace ninguna referencia al derecho a la limitación del tratamiento. El texto de esta contestación consta reseñado en el Hecho Probado Sexto. TERCERO: Con fecha 19/02/2020, de conformidad con el artículo 65 de la LOPDGDD, la Directora de la Agencia Española de Protección de Datos acordó admitir a trámite la reclamación presentada por la reclamante. CUARTO: A la vista de los hechos denunciados en la reclamación y de los documentos aportados por la reclamante, la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de los poderes de investigación otorgados a las autoridades de control en el artículo 57.1 del RGPD, y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD). 1. Con fecha 02/08/2020, el AYUNTAMIENTO DE ***LOCALIDAD.1 remite a esta Agencia la siguiente información: El Ayuntamiento reclamado informa desconocer el motivo por el que no se firmó la propuesta realizada por ESTACIONAMIENTOS Y SERVICIOS en 2008 para regularizar la situación respecto al tratamiento de datos personales que conlleva el servicio de gestión integral de los aparcamientos de ***LOCALIDAD.1, adjudicado por contratación pública, aunque le consta el asiento de registro de entrada documental correspondiente (no los propios documentos). Alega como justificación de lo indicado anteriormente el tratamiento documental en formato papel de aquel momento, el posterior fallecimiento del titular de su Secretaría General y el cambio de los responsables municipales. El Ayuntamiento presenta como evidencia una copia del “Acuerdo de encargado del tratamiento de datos personales por cuenta del Ayuntamiento de ***LOCALIDAD.1”, de fecha 04/12/2019, enunciado como anexo al contrato de prestación de servicios firmado en 2001 entre ESTACIONAMIENTOS Y SERVICIOS y el AYUNTAMIENTO DE ***LOCALIDAD.1. De los enunciados y estipulaciones recogidos en este Acuerdo, se destacan los que constan reseñados en el Hecho Probado Séptimo. Asimismo, el AYUNTAMIENTO DE ***LOCALIDAD.1 informa que, con fecha 16/01/2018, contrató los servicios de una empresa a fin de que llevara a cabo los C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/17 servicios de auditoría, consultoría e implantación en materia de “LOPD” y RGPD, incluyendo la implantación del Esquema Nacional de Seguridad, auditoría bienal exigida por la “LOPD”, consultoría e implantación y adaptación a la “LOPD” y adaptación al RGPD (aporta copia de este contrato). 2. Por otra parte, los Servicios de Inspección de la AEPD informan que, a fecha 16/11/2020, el AYUNTAMIENTO DE ***LOCALIDAD.1 no había comunicado a esta Agencia la designación de un Delegado de Protección de Datos. QUINTO: Con fecha 17/02/2021, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador al AYUNTAMIENTO DE ***LOCALIDAD.1, por las presuntas infracciones de los artículos 18 y 28.3 del RGPD, tipificadas, respectivamente, en los artículos 83.5.

1. b)y 83.4.
2. a)del mismo Reglamento; señalando en dicho acuerdo que la sanción que pudiera corresponder sería de apercibimiento, sin perjuicio de lo que resulte de la instrucción. SEXTO: Notificado el citado acuerdo de inicio, el AYUNTAMIENTO DE ***LOCALIDAD.1 presentó escrito de alegaciones, en el que solicita el archivo de las actuaciones conforme a las consideraciones siguientes: 1. La reclamante no ha ejercido ante al Ayuntamiento el derecho a la limitación del tratamiento de sus datos. Únicamente presentó una “Hoja de reclamaciones” frente a la entidad ESTACIONAMIENTOS Y SERVICIOS en la que, entre otras cuestiones, manifestaba textualmente “ejercer del tratamiento de todos sus datos personales oponiéndose a su borrado o supresión”, solicitando a la concesionaria que adoptara las medidas oportunas que garanticen dicho extremo. Dicha hoja de reclamaciones se presentó en la Oficina Municipal de Consumo, a los efectos previstos en la normativa sectorial. Ninguna noticia más al respecto hasta el día 21/01/2020, fecha en la que la reclamante vuelve a presentar escrito ante la Oficina Municipal de Consumo solicitando el inicio de procedimiento sancionador contra la concesionaria del servicio. A mayor abundamiento, con fecha 22 de marzo, ESTACIONAMIENTOS Y SERVICIOS envía contestación a la queja que le formula la reclamante, en la que comunica que es el Ayuntamiento el responsable del tratamiento ante el que debe ejercer sus derechos en materia protección de datos. A pesar de ello nunca se llegó a formular solicitud alguna al respecto. Tampoco la empresa concesionaria dio traslado al Ayuntamiento de la solicitud de limitación. 2. La solicitud presentada ante ESTACIONAMIENTOS Y SERVICIOS no reúne los requisitos exigidos por el RGPD. Aunque el derecho se hubiese ejercitado ante el AYUNTAMIENTO DE ***LOCALIDAD.1, una solicitud genérica en la que manifiesta “ejercer del tratamiento de todos sus datos personales oponiéndose a su borrado o supresión” no es suficiente para llevar a cabo ninguna actuación. En primer lugar, porque el derecho a restringir el procesamiento no es un derecho absoluto, sino que su ejercicio puede plantearse cuando la persona impugne la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/17 exactitud de sus datos personales, hasta que se resuelva esa solicitud; y si los datos se procesaron ilegalmente y el interesado se opone al borrado y solicita la restricción en su lugar; la empresa ya no necesita los datos personales, pero la persona necesita que los conserve para establecer, ejercer o defender una reclamación legal; o cuando la persona se ha opuesto a que se procesen sus datos en virtud del artículo 21 del RGPD y la empresa está considerando si sus motivos legítimos prevalecen sobre los de la persona. En este caso, con la solicitud formulada no es posible saber qué pide la reclamante, ni ha acreditado la concurrencia de ninguna de estas circunstancias. 3. En relación con la vulneración del artículo 28.3 del RGPD, señala el AYUNTAMIENTO DE ***LOCALIDAD.1 que el contrato con ESTACIONAMIENTOS Y SERVICIOS para la gestión integral de los aparcamientos se formalizó con fecha 02/02/2001, cuando no existía regulación específica sobre procedimiento para el tratamiento y protección de los datos de carácter personal entre los actuales responsables y encargados del tratamiento. Admite que, con fecha 20/08/2008, ESTACIONAMIENTOS Y SERVICIOS presentó un escrito ante el Ayuntamiento, pero señala que no tiene constancia sobre su contenido y tramitación. En aquel momento el registro y la entrada de documentos se hacía aún en formato papel y no se procedía al escaneo ni archivo digital de los mismos. Además, el destinatario que aparece en el asiento fue el titular de la Secretaría General, el cual dejó de ocupar dicho cargo por fallecimiento. Finalmente, indica que, con fecha 04/12/2019, el AYUNTAMIENTO DE ***LOCALIDAD.1 y la repetida contratista suscribieron un Acuerdo de Encargo de Tratamiento de Datos Personales. SÉPTIMO: Con fecha 05/08/2021, se accede a la información disponible a través de la web del Consejo de Transparencia y Protección de Datos de la Junta de Andalucía y se comprueba que el AYUNTAMIENTO DE ***LOCALIDAD.1 ha notificado a la citada entidad la designación de un delegado de Protección de Datos. OCTAVO: Con fecha 11/08/2021, se formuló propuesta de resolución en el sentido siguiente: 1. Que por la Directora de la Agencia Española de Protección de Datos se dirija apercibimiento contra la entidad reclamada, por las infracciones de los artículos 18 y 28.3 del RGPD, tipificadas en los artículos 83.5
3. b)y 83.4.
4. a)del mismo Reglamento, respectivamente. 2. Que se requiera a la entidad reclamada para que, en el plazo que se determine, adopte las medidas necesarias para adecuar su actuación a la normativa de protección de datos personales, con el alcance expresado en los Fundamentos de Derechos de la propuesta de resolución. NOVENO: Notificada a la entidad reclamada la citada propuesta de resolución, el plazo concedido a la misma para formular alegaciones transcurre sin que en esta Agencia se haya recibido escrito alguno. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/17 De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS PRIMERO: Con fecha 02/02/2001, el AYUNTAMIENTO DE ***LOCALIDAD.1 y la entidad ESTACIONAMIENTOS Y SERVICIOS, esta última como prestadora de servicios, suscribieron un contrato de servicios para la gestión integral de los aparcamientos en ***LOCALIDAD.1. El citado contrato no incluye ninguna estipulación en materia de protección de datos personales. SEGUNDO: Con fecha 20/08/2008, ESTACIONAMIENTOS Y SERVICIOS presentó ante el AYUNTAMIENTO DE ***LOCALIDAD.1 una propuesta para regularizar la situación respecto al tratamiento de datos personales que conlleva el servicio de gestión integral de los aparcamientos en ***LOCALIDAD.1. Esta propuesta nunca fue formalizada por las citadas entidades. TERCERO: Con fecha 05/11/2018, el personal de la entidad ESTACIONAMIENTOS Y SERVICIOS formuló denuncia contra la reclamante por una infracción en la Zona de Estacionamiento Regulado (ORA) de ***LOCALIDAD.1, que dio lugar a la interposición de una sanción por el AYUNTAMIENTO DE ***LOCALIDAD.1. CUARTO: Con fecha 12/02/2019, la reclamante solicitó al citado Ayuntamiento la anulación del procedimiento sancionador iniciado con ocasión de la denuncia reseñada en el Hecho Probado Tercero y la devolución del importe cobrado. QUINTO: Con fecha 22/03/2019, la reclamante interpuso reclamación ante la entidad ESTACIONAMIENTOS Y SERVICIOS, empleando para ello el formulario denominado “Hoja de Quejas y Reclamaciones” de la Junta de Andalucía. Este formulario se presentó acompañado de un escrito en el que la reclamante explica los motivos de su queja, concreta su solicitud (anulación de la multa), y, como otrosí, ejerce su derecho a la limitación del tratamiento de todos sus datos personales que obrasen en ESTACIONAMIENTOS Y SERVICIOS, con oposición a su borrado o supresión. En relación con el ejercicio del derecho de limitación, en dicho escrito se indica: “Otro sí digo, Mediante este escrito, en aplicación de la normativa vigente en protección de datos personales y en virtud de los derechos que le asisten, esta parte viene a ejercer su derecho a la limitación del tratamiento de todos sus datos personales oponiéndose a su borrado o supresión, debiendo adoptar esta empresa concesionaria, como responsable del tratamiento, las medidas oportunas que garanticen tal extremo”. SEXTO: Con fecha 04/04/2019, ESTACIONAMIENTOS Y SERVICIOS dio respuesta a la queja planteada por la reclamante el 22/03/2019. El texto de esta contestación es el siguiente: “En relación con su reclamación del pasado 22 de marzo de 2019 le comunico que, en caso de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/17 haber recibido una notificación de denuncia por infracción a la normativa del Servicio de Estacionamiento Limitado, deberá hacer las alegaciones que estime pertinentes ante el órgano Instructor del Ayuntamiento de ***LOCALIDAD.1, aportando el tique de anulación, que es quien resuelve el expediente. Así mismo, le informa que no consta en nuestros archivos la copia del tique de anulación que aporta; de ser así, se habría procedido a anular el aviso de denuncia”. SÉPTIMO: Con fecha 04/12/2019, el AYUNTAMIENTO DE ***LOCALIDAD.1 y ESTACIONAMIENTOS Y SERVICIOS formalizaron anexo al contrato de prestación de servicios de 02/02/2001, reseñado en el Hecho Probado Primero, denominado “Acuerdo de encargado del tratamiento de datos personales por cuenta del Ayuntamiento de ***LOCALIDAD.1”. Este Acuerdo identifica al Ayuntamiento como responsable del tratamiento y a ESTACIONAMIENTOS Y SERVICIOS como encargada del tratamiento en la actividad referida al servicio público de gestión integral de los aparcamientos de ***LOCALIDAD.1, explotación de la zona regulada mediante parquímetros. En la estipulación tercera (3.6) del acuerdo, se establece que la encargada del tratamiento no atenderá los derechos de protección de datos por cuenta del responsable del tratamiento, aunque sí le trasladará en el plazo de 72 horas hábiles/laborales cualquier solicitud que pudiera recibir. En la estipulación cuarta del acuerdo (4.2.5 y 4.2.6) se establece que la responsable del tratamiento contará con mecanismos adecuados para el ejercicio de los derechos en materia de protección de datos personales por su actividad de tratamiento, así como procedimientos que permitan responder al ejercicio de dichos derechos en los plazos legalmente previstos. FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de control, y según lo establecido en los artículos 47 y 48 de la LOPDGDD, la Directora de la Agencia Española de Protección de Datos es competente para iniciar y para resolver este procedimiento. II Los derechos de las personas en materia de protección de datos personales están regulados en los artículos 15 a 22 del RGPD y 13 a 18 de la LOPDGDD. Se contemplan los derechos de acceso, rectificación, supresión, oposición, derecho a la limitación del tratamiento y derecho a la portabilidad. Los aspectos formales relativos al ejercicio de esos derechos se establecen en los artículos 12 del RGPD y 12 de la LOPDGDD. El artículo 12 “Transparencia de la información, comunicación y modalidades de ejercicio de derechos” del RGPD establece lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/17 “1. El responsable del tratamiento tomará las medidas oportunas para facilitar al interesado toda información indicada en los artículos 13 y 14, así como cualquier comunicación con arreglo a los artículos 15 a 22 y 34 relativa al tratamiento, en forma concisa, transparente, inteligible y de fácil acceso, con un lenguaje claro y sencillo, en particular cualquier información dirigida específicamente a un niño. La información será facilitada por escrito o por otros medios, inclusive, si procede, por medios electrónicos. Cuando lo solicite el interesado, la información podrá facilitarse verbalmente siempre que se demuestre la identidad del interesado por otros medios. 2. El responsable del tratamiento facilitará al interesado el ejercicio de sus derechos en virtud de los artículos 15 a 22. En los casos a que se refiere el artículo 11, apartado 2, el responsable no se negará a actuar a petición del interesado con el fin de ejercer sus derechos en virtud de los artículos 15 a 22, salvo que pueda demostrar que no está en condiciones de identificar al interesado. 3. El responsable del tratamiento facilitará al interesado información relativa a sus actuaciones sobre la base de una solicitud con arreglo a los artículos 15 a 22, y, en cualquier caso, en el plazo de un mes a partir de la recepción de la solicitud. Dicho plazo podrá prorrogarse otros dos meses en caso necesario, teniendo en cuenta la complejidad y el número de solicitudes. El responsable informará al interesado de cualquiera de dichas prórrogas en el plazo de un mes a partir de la recepción de la solicitud, indicando los motivos de la dilación. Cuando el interesado presente la solicitud por medios electrónicos, la información se facilitará por medios electrónicos cuando sea posible, a menos que el interesado solicite que se facilite de otro modo.” 4.Si el responsable del tratamiento no da curso a la solicitud del interesado, le informará sin dilación, y a más tardar transcurrido un mes de la recepción de la solicitud, de las razones de su no actuación y de la posibilidad de presentar una reclamación ante una autoridad de control y de ejercitar acciones judiciales. 5.La información facilitada en virtud de los artículos 13 y 14 así como toda comunicación y cualquier actuación realizada en virtud de los artículos 15 a 22 y 34 serán a título gratuito. Cuando las solicitudes sean manifiestamente infundadas o excesivas, especialmente debido a su carácter repetitivo, el responsable del tratamiento podrá:
5. a)cobrar un canon razonable en función de los costes administrativos afrontados para facilitar la información o la comunicación o realizar la actuación solicitada, o
6. b)negarse a actuar respecto de la solicitud. El responsable del tratamiento soportará la carga de demostrar el carácter manifiestamente infundado o excesivo de la solicitud. 6.Sin perjuicio de lo dispuesto en el artículo 11, cuando el responsable del tratamiento tenga dudas razonables en relación con la identidad de la persona física que cursa la solicitud a que se refieren los artículos 15 a 21, podrá solicitar que se facilite la información adicional necesaria para confirmar la identidad del interesado. 7.La información que deberá facilitarse a los interesados en virtud de los artículos 13 y 14 podrá transmitirse en combinación con iconos normalizados que permitan proporcionar de forma fácilmente visible, inteligible y claramente legible una adecuada visión de conjunto del tratamiento previsto. Los iconos que se presenten en formato electrónico serán legibles mecánicamente. 8.La Comisión estará facultada para adoptar actos delegados de conformidad con el artículo 92 a fin de especificar la información que se ha de presentar a través de iconos y los procedimientos para proporcionar iconos normalizados”. Por su parte, el artículo 12 “Disposiciones generales sobre ejercicio de los derechos” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/17 de la LOPDGDD, en sus apartados 2, 3 y 4, añade lo siguiente: “2. El responsable del tratamiento estará obligado a informar al afectado sobre los medios a su disposición para ejercer los derechos que le corresponden. Los medios deberán ser fácilmente accesibles para el afectado. El ejercicio del derecho no podrá ser denegado por el solo motivo de optar el afectado por otro medio. 3. El encargado podrá tramitar, por cuenta del responsable, las solicitudes de ejercicio formuladas por los afectados de sus derechos si así se establece en el contrato o acto jurídico que les vincule. 4. La prueba del cumplimiento del deber de responder a la solicitud de ejercicio de sus derechos formulado por el afectado recaerá sobre el responsable”. Por otra parte, el artículo 28 del RGPD establece que cuando se realice un tratamiento de datos por cuenta de un responsable del tratamiento, el encargado del tratamiento “asistirá al responsable… para que éste pueda cumplir con su obligación de responder a las solicitudes que tengan por objeto el ejercicio de los derechos de los interesados establecidos en el Capítulo III”. Esta obligación debe estipularse en el contrato o acto jurídico que vincule al encargado respecto del responsable (apartado 3 del citado artículo 28 del RGPD). De conformidad con lo dispuesto en estas normas, el responsable del tratamiento debe arbitrar fórmulas y mecanismos para facilitar al interesado el ejercicio de sus derechos, que serán gratuitas (sin perjuicio de lo dispuesto en los artículos 12.5 y 15.3 del RGPD); y debe impartir instrucciones al encargado del tratamiento, si lo hubiere, para que le remita las solicitudes que reciba o para que las tramite convenientemente, si así se dispone en el contrato o acto jurídico que les vincule. Asimismo, el responsable del tratamiento o el encargado, en su caso, vienen obligados a responder las solicitudes formuladas a más tardar en un mes, salvo que puedan demostrar que no están en condiciones de identificar al interesado; así como a expresar sus motivos en caso de que no atendieran la solicitud. De lo anterior se desprende que la solicitud de ejercicio de derechos formulada por el interesado debe ser respondida en todo caso, recayendo sobre el responsable la prueba del cumplimiento de este deber. Esta obligación de actuar no resulta exigible cuando el responsable del tratamiento pueda demostrar que no está en condiciones de identificar al interesado (en los casos a que se refiere el artículo 11.2 del RGPD). En supuestos distintos al previsto en este artículo, en los que el responsable del tratamiento tenga dudas razonables en relación con la identidad del solicitante, podrá requerir información adicional necesaria para confirmar esa identidad. A este respecto, el Considerando 64 del RGPD se expresa en los términos siguientes: “