← España

PS-00442-2019

1/12  Procedimiento Nº: PS/00442/2019 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: D. A.A.A. (en adelante, el reclamante) con fecha 08/07/2019 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra UNIVERSIDAD POLITECNICA DE VALENCIA (UPV) con NIF Q4618002B (en adelante, UPV ó el reclamado). Los motivos en que basa la reclamación son en síntesis: el reclamante es estudiante de doctorado de la citada Universidad cuyo director de tesis es D. B.B.B. (en lo sucesivo XX) y la investigación realizada esta vinculada a un proyecto dirigido por D. C.C.C. (en lo sucesivo YY), también profesor de la misma; para el desarrollo de la tesis suscribió con la UPV dos contratos de investigación; que XX le confiscó la CPU que venía utilizando, sin previo aviso, en su ausencia y teniéndolo en su poder hasta fecha indeterminada; que en el ordenador se encontraba, además del trabajo de la Tesis Doctoral, una carpeta OneDrive vinculada a su cuenta de correo electrónico de Microsoft en la que guardaba datos personales (número de cuenta bancaria, el TFM, etc), habiéndose procedido a la clonación del disco duro de la CPU, según correo electrónico remitido por YY, extrayendo toda la información del equipo; que en ningún momento firmó ningún protocolo de uso de las TICs, que como consecuencia de estos hechos tiene abierto un procedimiento en el Juzgado de Instrucción nº ***NÚMERO de ***LOCALIDAD.1, en el que tanto XX como YY han aportado los contratos con sus datos personales firmados por el reclamante y UPV por lo que en ningún momento los citados profesores deberían tener esos contratos ya que no son los empleadores. El reclamante aporta: Copia de su DNI Denuncia ante la Dirección General de la Policía, dependencia de ValenciaExposición. Ampliación de la denuncia anterior. Declaraciones ante el Juzgado de Instrucción nº ***NÚMERO de ***LOCALIDAD.1 de YY y XX. SEGUNDO: Tras la recepción de la reclamación, la Subdirección General de Inspección de Datos procedió a realizar las siguientes actuaciones: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/12 El 08/11/2018, fue trasladada a la entidad la reclamación presentada para su análisis y comunicación al reclamante de la decisión adoptada al respecto. Igualmente, se le requería para que en el plazo de un mes remitiera a la Agencia determinada información: - Copia de las comunicaciones, de la decisión adoptada que haya remitido al reclamante a propósito del traslado de esta reclamación, y acreditación de que el reclamante ha recibido la comunicación de esa decisión. - Informe sobre las causas que han motivado la incidencia que ha originado la reclamación. - Informe sobre las medidas adoptadas para evitar que se produzcan incidencias similares. - Cualquier otra que considere relevante. En la misma fecha se le comunicaba a la reclamante la recepción de la reclamación y su traslado a la entidad reclamada. El 06/11/2018 UPV remitió escrito manifestando que sobre el asunto al que se hace referencia se están instruyendo Diligencias Previas 787/2017 ante el Juzgado de Instrucción nº ***NÚMERO de ***LOCALIDAD.1, por lo que se entiende que esta fase administrativa se deberá suspender en tanto en cuanto se de finalización al procedimiento penal ya que entienden que el objeto de la denuncia penal y la reclamación presentada en esta Agencia es el mismo compartiendo ambos la misma causa. Termina el escrito manifestando que si la Agencia considera no estar obligada a la suspensión del procedimiento administrativo le sean concretados los extremos interesados a esa Universidad. TERCERO: El 06/03/2019, de conformidad con el artículo 65 de la LOPDGDD, la Directora de la Agencia Española de Protección de Datos acordó admitir a trámite la reclamación presentada por el reclamante contra el reclamado. CUARTO: Con fecha 03/12/2019, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador al reclamado por la presunta infracción del artículo 5.1.

  1. f)del RGPD, tipificada en el artículo 83.5.
  2. a)del citado Reglamento. QUINTO: Notificado el citado acuerdo de inicio, el reclamado presentó escrito de alegaciones el 30/12/2019 manifestando, en síntesis: que la aportación de los contratos concertados por el reclamante y UPV por parte de XX y YY están amparadas por el derecho fundamental de defensa y tutela judicial efectiva, por lo que se considerar licito el tratamiento de los datos personales del reclamante llevados a cabo y por tanto, no se considera que se ha vulnerado el deber de confidencialidad al que se hace referencia en el acuerdo de inicio. SEXTO: Con fecha 04/02/2020, el instructor del procedimiento acordó la apertura de un período de práctica de pruebas, acordándose las siguientes: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/12 - Dar por reproducidos a efectos probatorios las reclamaciones interpuestas por los reclamantes y su documentación, los documentos obtenidos y generados por los Servicios de Inspección que forman parte del expediente. - Dar por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio presentadas por UPV y la documentación que acompaña. - Solicitar al reclamante copia de la documentación que obre en su poder relativa al procedimiento sancionador que por cualquier motivo no hubieran sido aportadas en el momento de la denuncia ó, cualquier otra manifestación en relación con los hechos denunciados. El 11/02/2020 el reclamante dio respuesta a la prueba requerida cuyo contenido obra en el expediente. SEPTIMO: En fecha 02/06/2020 fue emitida Propuesta de Resolución en el sentido de que por la Directora de la Agencia Española de Protección de Datos se sancionara a UPV, por una infracción del artículo 5.1.
  3. f)del RGPD, tipificada en el artículo 83.5.
  4. a)del RGPD, con apercibimiento de conformidad con el artículo 77.2 de la LOPDGDD. La representación de UPV, en escrito de 18/06/2020 presento escrito mostrando su disconformidad con los hechos considerados probados y que se oficiara al Juagado de Valencia para que informara del estado de las diligencias llevadas a cabo o se solicitara la información al reclamante; que considera que de conformidad con el artículo 6.
  5. f)del RGPD el tratamiento de los datos del reclamante han sido lícitos por cuanto el mismo ha sido necesario para la satisfacción de intereses legítimos perseguidos por terceros; que los profesores no pueden ser considerados como terceros ajenos a toda relación laboral/profesional/investigadora por cuanto el reclamante era estudiante de doctorando siendo su director de tesis XX y el colaborador con el proyecto dirigido por YY, no pudiendo ser desligados estos de los contratos suscritos entre la universidad y el reclamante al ser su relación pertinente y adecuada. OCTAVO: De las actuaciones practicadas en el presente procedimiento, han quedado acreditados los siguientes HECHOS PROBADOS C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/12 PRIMERO. El 25/01/2019 tiene entrada en la AEPD escrito del reclamante manifestando es estudiante de doctorado de la citada Universidad cuyo director de tesis XX y la investigación realizada vinculada a un proyecto dirigido por YY; para el desarrollo de la tesis suscribió con la UPV dos contratos de investigación; que XX le confiscó la CPU que venía utilizando, sin previo aviso; que en el ordenador se encontraba, además del trabajo de la Tesis Doctoral, una carpeta OneDrive vinculada a su cuenta de correo electrónico de Microsoft en la que guardaba datos personales habiéndose procedido a la clonación del disco duro de la CPU, extrayéndose toda la información del equipo; que como consecuencia de estos hechos tiene abierto un procedimiento en el Juzgado de Instrucción nº ***NÚMERO de ***LOCALIDAD.1, en el que tanto XX como YY han aportado los contratos con sus datos personales firmados por el reclamante y UPV. SEGUNDO. Consta copia del DNI del reclamante nº ***NIF.1 TERCERO. Consta denuncia de fecha 28/04/2017 formulada por el reclamante ante la Policía Nacional, en las dependencias de ***LOCALIDAD.1-Exposición-oficina de denuncias, así como la ampliación de la misma de fecha 05/05/2017, realizada en las mismas dependencias y en relación con los hechos reclamados en el punto primero. CUARTO. Constan aportadas copias de los contratos de trabajo concertados entre el reclamante y UPV: Contrato Predoctoral (personal investigador predoctoral en formación), de 01/02/2016 y 20/09/2016. QUINTO. Consta aportados por el reclamante informe pericial sobre evidencias en discos duros clonados. SEXTO. En diligencias previas 000787/2017 ante el Juzgado de Instrucción nº ***NÚMERO de ***LOCALIDAD.1, el 06/06/2017 XX como YY aportan documental consistente en dos contratos predoctorales de fechas 01/02/2016 y 20/09/2016 concertados entre el reclamante y UPV. SEPTIMO. UPV en escrito de 23/12/2019 ha manifestado que “De la misma manera entiende esta Universidad que no se ha vulnerado el deber de confidencialidad al que hace referencia el FUNDAMENTO DE DERECHO II del Acuerdo de inicio del procedimiento sancionador, al proporcionar a terceros los datos del Sr. A.A.A. incluidos en los contratos concertados entre el mismo y la UPV y que fueron aportados al procedimiento penal como ya se ha alegado”. FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de control, y según lo establecido en los artículos 47 y 48 de la LOPDGDD, la Directora de la Agencia Española de Protección de Datos es competente para iniciar y para resolver este procedimiento. II C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/12 El artículo 5, Principios relativos al tratamiento, del RGPD que establece que: “1. Los datos personales serán: (…)
  6. f)tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»). (…)” El artículo 5, Deber de confidencialidad, de la nueva Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), señala que: “1. Los responsables y encargados del tratamiento de datos así como todas las personas que intervengan en cualquier fase de este estarán sujetas al deber de confidencialidad al que se refiere el artículo 5.1.
  7. f)del Reglamento (UE) 2016/679. 2. La obligación general señalada en el apartado anterior será complementaria de los deberes de secreto profesional de conformidad con su normativa aplicable. 3. Las obligaciones establecidas en los apartados anteriores se mantendrán aun cuando hubiese finalizado la relación del obligado con el responsable o encargado del tratamiento”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/12 III En el presente caso, hay que señalar que los profesores no pueden ser considerados como terceros ajenos a la institución universitaria; son y forman parte de la misma contribuyendo a reforzar la actividad investigadora configurando un modelo que la Universidad está obligada a liderar. Por tanto, la determinación de si el tratamiento que hizo el reclamado, UPV, de los datos de carácter personal del reclamante, proporcionando los contratos celebrados con el mismo a los profesores XX y YY y donde constan sus datos para ser aportados como prueba en juicio, es o no ajustado a Derecho, hay que reiterar que los profesores, no pueden ser considerados como terceros ajenos a la universidad, sino como parte de la propia institución en la que imparten su labor, vinculados a la misma no pudiéndose tampoco desligarlos de los contratos de trabajo suscritos entre la UPV y el reclamante puesto que la relación entre ellos es necesaria - el reclamante era estudiante de doctorado, siendo su Director de tesis XX y colaborador con un proyecto dirigido por YY para llevar a cabo los fines propuestos. En este sentido, el artículo 24 de la Constitución Española, en sus apartados 1 y 2, dispone lo siguiente: “1. Todas las personas tienen derecho a obtener la tutela efectiva de los jueces y tribunales en el ejercicio de sus derechos e intereses legítimos, sin que en ningún caso, pueda producirse indefensión. 2. Asimismo, todos tienen derecho al Juez ordinario predeterminado por la ley, a la defensa y a la asistencia de letrado, a ser informados de la acusación formulada contra ellos, a un proceso público sin dilaciones indebidas y con todas las garantías, a utilizar los medios de prueba pertinentes para su defensa, a no declarar contra sí mismos, a no confesarse culpables y a la presunción de inocencia.” Así, constitucionalmente se consagra el derecho de los ciudadanos a la tutela judicial efectiva y al derecho a utilizar los medios de prueba que consideren adecuados para el sostenimiento de su pretensión. Sin embargo, de dicha previsión, surge una colisión entre el derecho a la protección de datos de carácter personal y el derecho a la tutela judicial efectiva de los jueces y tribunales referida, dadas a los bienes jurídicos afectados en su aplicación. Por ello, ante tales situaciones, el legislador ha creado un sistema en que el derecho a la protección de datos de carácter personal cede en aquellos supuestos en que el propio legislador (constitucional u ordinario) haya considerado la existencia de motivos razonados y fundados que justifiquen la necesidad del tratamiento de los datos, incorporando dichos supuestos a normas de, al menos, el mismo rango que la que regula la materia protegida. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/12 En efecto, la exigibilidad del consentimiento del titular de los datos que pudieran ser objeto de un tratamiento en un procedimiento judicial, para dicho tratamiento de sus datos supondría dejar a disposición de aquél el almacenamiento de la información necesaria para que una persona pueda ejercer, en plenitud, su derecho a la tutela judicial efectiva. Así, la falta de estos datos o la dependencia en su aplicación a quien manejara la titularidad del dato implicaría, lógicamente, una merma en la posibilidad de aportación por el interesado de “los medios de prueba pertinentes para su defensa”, vulnerándose otra de las garantías derivadas del citado derecho a la tutela efectiva y coartándose la posibilidad de obtener el pleno desenvolvimiento de este derecho. Tal y como sostiene reiterada jurisprudencia del Tribunal Constitucional (por todas, STC 186/2000, de 10 de julio, con cita de otras muchas) "el derecho a la intimidad no es absoluto, como no lo es ninguno de los derechos fundamentales, pudiendo ceder ante intereses constitucionalmente relevantes, siempre que el recorte que aquél haya de experimentar se revele como necesario para lograr el fin legítimo previsto, proporcionado para alcanzarlo y, en todo caso, sea respetuoso con el contenido esencial del derecho". En consecuencia, en el presente caso se ha producido una colisión entre el derecho del reclamado a ver satisfecha la tutela judicial efectiva, consagrada por el artículo 24 de la Constitución, y del reclamante a la protección de sus datos de carácter personal. Prevaleciendo el derecho a la tutela judicial efectiva. También la AEPD en el Informe Jurídico 0456/2015 señalaba que: “(…) En el presente caso, el interés legítimo invocado parece referirse especialmente al derecho fundamental a la tutela judicial efectiva (art. 24 CE), en la medida en que las imágenes grabadas únicamente se utilizarán para la obtención de pruebas con la finalidad de determinar las responsabilidades asociadas a la producción de un evento, es decir, obtener fotografías o grabaciones de imágenes “como pruebas para denunciar infracciones a las normas de tráfico”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/12 El alcance del derecho a la tutela judicial en relación con la prueba ha sido abordado, entre otras, en la STC 212/2013, de 16 de diciembre, en la que se hace referencia, citando la STC 88/2014, de 28 de mayo a “las íntimas relaciones del derecho a la prueba con otros derechos garantizados en el art. 24 CE. Concretamente, en nuestra doctrina constitucional hemos hecho hincapié en la conexión de este específico derecho constitucional con el derecho a la tutela judicial efectiva (art. 24.1 CE), cuyo alcance incluye las cuestiones relativas a la prueba (SSTC 89/1986, de 1 de julio, FJ 2; 50/1988, de 22 de marzo, FJ 3; 110/1995, de 4 de julio, FJ 4; 189/1996, de 25 de noviembre, FJ 3; y 221/1998, de 24 de noviembre, FJ 3), y con el derecho de defensa (art. 24.2 CE), del que es inseparable (SSTC 131/1995, de 11 de septiembre, FJ 2; 1/1996, de 15 de enero, FJ 2; y 26/2000, de 31 de enero, FJ 2)’’ (STC 19/2001, de 29 de enero, FJ 4; y, en el mismo sentido, STC 133/2003, de 30 de junio, FJ 3)». En las reseñadas SSTC 19/2001 y 133/2003 el Tribunal Constitucional apuntaba que “ha sido justamente esta inescindible conexión (con los otros derechos fundamentales mencionados, en particular el derecho a obtener una tutela judicial efectiva), la que ha permitido afirmar que el contenido esencial del derecho a utilizar los medios de prueba pertinentes se integra por el poder jurídico que se reconoce a quien interviene como litigante en un proceso de provocar la actividad procesal necesaria para lograr la convicción del órgano judicial sobre la existencia o inexistencia de los hechos relevantes para la decisión del conflicto objeto del proceso (por todas, STC 37/2000, de 14 de febrero, FJ 3)”. La relación entre los derechos a la protección de datos personales y a la tutela judicial ha sido, asimismo, analizada en el Informe 469/2011 de 30 de diciembre de 2011, en el que se indica lo siguiente: “En este punto, debe recordarse que esta Agencia ya ha tenido la ocasión de analizar la posible concurrencia en un determinado supuesto de tratamiento de datos de los derechos fundamentales a la protección de datos de carácter personal y a la tutela judicial efectiva del responsable del tratamiento. Así, se ha considerado por ejemplo que el tratamiento por un abogado de los datos de la parte contraria de su cliente encuentra su amparo en el reconocimiento a éste último por el artículo 24.1 de la Constitución de su derecho a la tutela judicial efectiva, lo que implica, según el apartado 2, la defensa letrada y el uso de los medios de prueba pertinentes para la defensa de su derecho. En este sentido, el informe de 21 de febrero de 2001 se señalaba lo siguiente: “En este caso, como se dijo, el tratamiento por los abogados y procuradores de los datos referidos a la contraparte de sus clientes en los litigios en que aquéllos ejerzan la postulación procesal trae su causa, directamente, del derecho de todos los ciudadanos a la asistencia letrada, consagrado por el artículo 24.2 del Texto Constitucional. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/12 En efecto, la exigibilidad del consentimiento del oponente para el tratamiento de sus datos por el abogado o procurador supondría dejar a disposición de aquél el almacenamiento de la información necesaria para que su cliente pueda ejercer, en plenitud, su derecho a la tutela judicial efectiva. Así, la falta de estos datos puede implicar, lógicamente, una merma en la posibilidad de aportación por el interesado de “los medios de prueba pertinentes para su defensa”, vulnerándose otra de las garantías derivadas del citado derecho a la tutela efectiva y coartándose la posibilidad de obtener el pleno desenvolvimiento de este derecho. Por todo ello, si bien ninguna disposición con rango de Ley establece expresamente la posibilidad del tratamiento por abogados y procuradores de los datos referidos al oponente de su cliente en el seno de un determinado proceso judicial, es evidente que dicha posibilidad trae causa directa de una norma de rango constitucional, reguladora además de uno de los derechos fundamentales y libertades públicas consagrados por la Constitución, y desarrollado por las leyes reguladoras de cada uno de los Órdenes Jurisdiccionales, en los preceptos referidos a la representación y defensa de las partes. Por todo ello, existe, desde nuestro punto de vista, una habilitación legal para el tratamiento de los datos, que trae su cobertura del propio artículo 24 de la Constitución y sus normas de desarrollo.” Así las cosas, entendemos que existe un tratamiento licito de los datos del reclamante entendiendo que su situación particular permite el mismo, y ello por varios motivos: en primer lugar por cuanto los datos que denuncia se han vulnerado, no se han proporcionado por parte de la empleadora (UPV) a “cualquier tercero”, sino a las figuras de Director de tesis del propio reclamante e Investigador Principal del Proyecto del Plan Nacional en el que colaboraba el reclamante y estos dos profesores forman parte de la propia institución universitaria. Porque la propia reclamada ha señalado su interés en que la actividad laboral, docente e investigadora pueda alcanzar los fines propuestos; en este sentido, el tratamiento de los datos, aun sin el consentimiento expreso del reclamante, han tenido un fin beneficioso para el mismo en otras circunstancias, puesto que sus datos fueron utilizados para su asistencia en el 2017 a un Congreso, en el que el profesor PA abonó los gastos de inscripción al que iba a asistir el reclamante, necesitándose para ello el tipo de contrato suscrito para poder realizar el abono, ó , la realización de gestiones que llevaron a cabo los dos profesores para dar de alta al reclamante en el Proyecto del Plan Estatal de Investigación para el que hacía falta el referido contrato laboral, si bien finalmente no fue posible darle de alta. Pese a que el reclamante no formaba parte del proyecto, para poder pagar un congreso a alguien externo al proyecto, se necesitaba demostrar que el reclamante tenía un contrato con la UPV, y así se hizo, aportándose el contrato. El contrato predoctoral fue solicitado a la UPV y facilitado por esta a los profesores con la única finalidad de pagar la inscripción a un congreso al que iba a asistir el reclamante para cumplimentar un trámite de interés para el propio denunciante, siendo dicho Congreso anterior a la denuncia formulada. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/12 Por último, el reclamante también ha planteado en su escrito de fecha 02/09/2018 que uno de los profesores en fecha 26/04/2017 le confiscó la CPU que venía utilizando, sin previo aviso, en su ausencia y sin autorización por parte de la UPV, teniéndolo en su poder hasta fecha indeterminada; que en el mismo se encontraba, además del trabajo de la Tesis Doctoral, una carpeta OneDrive vinculada a su cuenta de correo electrónico de Microsoft, en la que guardaba datos personales (número de cuenta bancaria, el TFM, etc) y que se procedió a la clonación del disco duro de la CPU, extrayendo toda la información del equipo y forzando dos claves de seguridad (acceso al equipo y acceso a OneDrive), de modo que se ha accedido de forma ilícita al archivo de ordenador del TFM y se ha violado la restricción de acceso al mismo y que tras los hechos denuncio los mismos el 28/04/2017. A la luz de los hechos manifestados, en la fecha en que ocurrieron los mismos se hallaba vigente la anterior Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (LOPD) y de conformidad con la misma la clonación de la CPD sin autorización del reclamante puede considerarse como infracción del principio de consentimiento establecido en el artículo 6.1 de la anterior LOPD, infracción considerada como grave y tipificada en el artículo 44.3.
  8. b)de la misma Ley. Por tanto, los hechos que constituyen el presupuesto fáctico de la imputación dirigida contra el reclamado se encuadraban, al tiempo de su comisión en el tipo sancionador previsto en el artículo 44.3.
  9. b)de la LOPD, infracción grave para la que el artículo 45.2 de la LOPD preveía una sanción con multa de 40.001 a 300.000 €. La LOPD, en su artículo 47.1, 2 y 3, señalaba que: “1. Las infracciones muy graves prescribirán a los tres años, las graves a los dos años y las leves al año. 2. El plazo de prescripción comenzará a contarse desde el día en que la infracción se hubiera cometido. 3. Interrumpirá la prescripción la iniciación, con conocimiento del interesado, del procedimiento sancionador, reanudándose el plazo de prescripción si el expediente sancionador estuviere paralizado durante más de seis meses por causas no imputables al presunto infractor”. Con carácter general, hay que señalar que las infracciones graves prescriben efectivamente a los dos años, artículo 47.1 de la LOPD. El citado plazo de prescripción comenzará a contarse desde el día en que la infracción se hubiera cometido (artículo 47.2 de la LOPD) y cuando la infracción consiste, en una comisión que despliega sus efectos durante un plazo de temporal más o menos dilatado, según el tiempo que transcurra tratando datos indebidamente el "dies a quo" se mantiene hasta que la actividad infractora cesa. En el presente caso, no se tiene constancia de que la infracción imputada fuera constitutiva de una infracción continuada, es decir, caracterizada porque la conducta merecedora de reproche administrativo se mantuviera durante un espacio de tiempo prolongado. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/12 Por tanto, dado que la vulneración del principio de consentimiento está considerada como una infracción grave, que, por tanto, prescribe a los dos años, ha quedado acreditado que la misma había prescrito el 07/12/2019, cuando se acordó la apertura del presente procedimiento sancionador, con conocimiento del interesado. Por lo expuesto, hay que concluir que en la fecha de adopción del acuerdo de inicio del presente procedimiento sancionador, con conocimiento del reclamante habían transcurrido los dos años de prescripción señalados para las infracciones graves, a contar desde la interrupción de la conducta infractora. Por lo tanto, de acuerdo con la legislación aplicable, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: ARCHIVAR a UNIVERSIDAD POLITECNICA DE VALENCIA (UPV), con NIF Q4618002B, por la supuesta infracción del artículo 5.1.
  10. f)del RGPD, tipificada en el artículo 83.5 del RGPD. SEGUNDO: NOTIFICAR la presente resolución a UNIVERSIDAD POLITECNICA DE VALENCIA (UPV), con NIF E De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
  11. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/12 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.