PS-00458-2020

1/9  Expediente Nº: PS/00458/2020 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: A.A.A. (en adelante, la reclamante) con fecha 21/03/2020 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra CONSELLO GALEGO DE COLEXIOS VETERINARIOS con NIF V27263185 (en adelante, el reclamado). Los motivos en que basa la reclamación son que el reclamado gestiona el Registro Gallego de Identificación de Animales de Compañía (REGIAC) en virtud del Convenio firmado con la Consellería de Medio Ambiente de la Xunta de Galicia. El Registro contiene datos de animales de compañía, asociándolos con los de sus propietarios, figurando tanto en archivo papel como en “archivo telemático”. En formato papel los tiene almacenados en su oficina de Lugo, y los de los perros potencialmente peligrosos en su oficina de Orense. Manifiesta: - “el reclamado, no tiene contratado un Delegado de protección de datos (DPD)”, y tampoco existe en las sedes de los Colegios Oficiales de Veterinarios de Orense, Pontevedra y La Coruña. -“Desde el mes diciembre ha distribuido parte de la documentación en papel que tienen en su oficina de Lugo para los Colegios Oficiales de Veterinarios de Orense, Pontevedra y La Coruña, sin tomar ningún tipo de medida ni registro de la documentación detallada que iba para cada Colegio, resultando que “a día de hoy no se sabe en concreto en donde se puede encontrar la documentación de cada animal identificado, así como los datos de su propietario” . SEGUNDO: A la vista de los hechos denunciados en la reclamación), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la Ley Orgánica 3/2018, de 5/12, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD) con fecha 5/06/2020 se traslada reclamación telemáticamente, resultando “rechazo automático” por no acceder a la misma. TERCERO: Con fecha 17/09/2020 la reclamación fue admitida a trámite. Con la misma fecha se traslada de nuevo la reclamación al reclamado, con el resultado de rechazo automático: 28/09/2020. “El rechazo automático se produce, de forma general, tras haber transcurrido diez días naturales desde su puesta a disposición para su acceso según el párrafo 2, artículo 43, de la ley 39/2015, de 1/10, del Procedimiento Administrativo Común de las Administraciones Públicas (LPCAP) y de forma particular, superado el plazo establecido por la Administración actuante de acuerdo a la normativa”. Se reitera por envió postal el 28 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/9 del mismo mes. CUARTO: Con fecha 17/11/2020 se recibe respuesta del reclamado manifestando: -El Consejo Gallego de Colegios de Veterinarios de Galicia es una Corporación de derecho público regulada por el decreto 172/2000 de 22/06. Relata los cargos de responsabilidades que ha ostentado la reclamante, formando parte entre otros órganos relacionados con la profesión, del ***ORGANO.1, desde ***FECHA.1, por ser ***PUESTO.1 de un Colegio, o ***PUESTO.2 del Consejo. “En el momento de presentar la denuncia, marzo 2020, ocupaba un cargo derecho público en la entidad ahora denunciada”. -Sobre el objeto de denuncia (gestión del REGIAC), con fecha 2/04/2002 (DOGA 63) se publicó el Decreto 90/2002 por el que se regula la tenencia de animales potencialmente peligrosos en la Comunidad Autónoma de Galicia y se crean los registros gallegos de Identificación de Animales de Compañía y Potencialmente Peligrosos y de Adiestradores Caninos. Detalla cómo se produce el registro oficial de identificación de datos del animal y los de su propietario, con la participación de un veterinario de uno de los cuatro Colegios Oficiales de Veterinarios de Galicia y mediando la Consejería de Medio Ambiente. Detalla el procedimiento de identificación de animales establecido en el artículo 10 el decreto 90/2002, a través del implante de un chip, que se inicia con el nombramiento de un veterinario por la Consejería, que debe estar inscrito en uno de los cuatro Colegios oficiales, entre otros requisitos, y también se indica que el veterinario rellenará un impreso oficial de identificación por triplicado ejemplar, aportado por la Dirección General de Conservación de la Consejería, en el que figurara información del animal y de su propietario. “Para la gestión de esta base de datos, el Consejo firma convenios de colaboración quinquenales cuyo objeto es establecer las condiciones de gestión del REGIAC, titularidad de la Consejería de Medio Ambiente” y “aspectos relativos al funcionamiento del sistema”. Se asumen entre otras funciones:  “supervisión, verificación y gestión de solicitudes de alta, modificación o baja realizadas por veterinarios en el registro.  custodia y presentación de formularios enviados por veterinarios así como toda la documentación remitida al registro.  tratamiento y asesoramiento en la gestión de incidencias ocurridas en el proceso de registro.  comunicación y distribución a los propietarios de los animales de la documentación que acredite la identificación y registro, así como las credenciales de acceso a la aplicación informática donde ejercitar su consulta o modificación de datos personales´ Manifiesta que el último Convenio firmado es de desde 11/01/2016, publicado en el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/9 DOGA de 20/05/2016. -Manifiesta que el Consejo tiene en las provincias de Orense y Lugo personal contratado para realizar funciones derivadas del Convenio y al mismo tiempo, la Ley de 11/2001 de Colegios Profesionales de la Comunidad Autónoma de Galicia establece como medios personales del Consejo, los que sean facilitados por los Colegios, según el artículo 32. En el mes de mayo del 2019, se constató que las comprobaciones de registro que debería hacer el personal del Consejo acumulaban un retraso en torno a 10 meses en cuanto a grabación de datos, por lo que se acordó que conforme al artículo 32.1 de la ley 11/ 2001, el personal de los Colegios colaborase en tareas encomendadas al Consejo en cuanto al registro y comprobación de datos volcados en la base de datos del Registro. Las claves de acceso al Registro se proporcionan por la Consejería de Medio Ambiente a los Colegios Provinciales. Una vez recibidas las claves en los Colegios provinciales, se procedió a entregar a estos los documentos enviados por los veterinarios, los necesarios para la inscripción de la mascota. La entrega se efectuó identificando a la persona que retiraba la documentación, y los documentos que se entregaban, grabándose los datos y devolviendo la documentación. “No se ha producido ninguna incidencia con dichas grabaciones”. -En cuanto a la denuncia por falta de medidas de seguridad en los datos, carece de fundamento, teniendo como finalidad “hacer daño a la entidad de la cual en su momento formaba parte”. -El Consejo no tuvo conocimiento de los hechos hasta el 9/10/2020 con el traslado de la denuncia. El alta del DPD se comunicó a la AEPD el 16/10/2020. La reclamante no advirtió la falta del derecho formal de la comunicación-registro a la autoridad de protección de datos del delegado de protección, considerando que, además, fue la responsable de protección de Datos del Consejo desde 1/10 a 23/05/2018, sin que constara que tomara las medidas para adecuar la entrada del RGPD en vigor en el Consejo. Añade que no se ha causado perjuicio de la no comunicación del DPD. Aporta: -copia de acta de 15/06/2019 sobre obtención de claves para que se proceda por los Colegios Provinciales que voluntariamente asuman labores de grabación de registro de identificación de animales. - copia de correos electrónicos remitidos a Colegios, el 9/07/2019 . - copia de “comprobante de retirada de documentación altas en REGISC”, con registro salida 7/05/2020 en el que una representante del COV Pontevedra retira documentación sobre el REGISTRO, con un registro de grabaciones listado y por fechas y carpetas. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/9 -anexo 6, justificante de registro de comunicación a la AEPD del nombramiento del DPD fechado el 16/10/2020. QUINTO: Con fecha 10/03/2021, la Directora de la AEPD acordó: “INICIAR PROCEDIMIENTO SANCIONADOR DE APERCIBIMIENTO a CONSELLO GALEGO DE COLEXIOS VETERINARIOS, con NIF V27263185, por la presunta infracción del artículo 37 del RGPD, en relación con el artículo 34.1 y 3 de la LOPDGDD, de conformidad con el artículo 83.4.

1. a)del RGPD.” SEXTO: Con fecha 8/09/2021, reiterando en escrito de 28/09/2021 enviado por correo postal, se inició periodo de pruebas, solicitando al reclamado que acreditara desde que fecha tenían implantado y comenzó a ejercer sus funciones el DPD, fecha de designación y nombramiento. También se le advertía que esta obligado a recibir las notificaciones electrónicas. Con fecha 20/10/2021 se recibe la respuesta manifestando que cuentan desde octubre del 2020 con una entidad que les asesora en materia de Protección de Datos y que con fecha 16/10/2020 se procedió al nombramiento del DPD indicando la persona representante de dicha entidad. El alta del DPD en la AEPD fue del 16/10/2020. Aporta: 1- Copia de un contrato de prestación de servicios de 1/10/2020. El objeto del contrato es la prestación al Consejo de un servicio de adaptación y mantenimiento al RGPD, “desarrollándose todos y cada uno de los puntos necesarios de acuerdo a la normativa vigente en cada momento”. En la cláusula tercera, se indican los servicios ofrecidos por la empresa entre los que se incluye asesoramiento jurídico y técnico, o evaluación de impacto, figurando también como servicio, el nombramiento y alta del delegado de Protección de Datos. En el contrato no se contempla ni se designa ni se deduce el nombramiento de la citada figura. 2-Aporta copia de escrito de la AEPD, de fecha 16/10/2020, dirigido a la reclamada, comunicando la inclusión de la persona designada como DPD, que se incluye en “la lista prevista en el artículo 34.4 de la LOPDGDD” en la entidad reclamada. SÉPTIMO: Se emite el 22/10/2021 propuesta de resolución con el literal: “Que por la Directora de la Agencia Española de Protección de Datos se sancione con apercibimiento a CONSELLO GALEGO DE COLEXIOS VETERINARIOS, con NIF V27263185, por una infracción del artículo infracción del artículo 37 del RGPD, en relación con el artículo 34.1 y 3 de la LOPDGDD, de conformidad con el artículo 83.4.
2. a)del RGPD. Y 73.
3. v)de la LOPDGDD.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/9 El envío electrónico de la propuesta figura como expirado al no accederse a su contenido. No se reciben alegaciones. De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS PRIMERO: Se presenta reclamación el 21/03/2020 (suspensión de plazos) contra el reclamado CONSELLO GALEGO DE COLEXIOS VETERINARIOS. La reclamación indicaba entre otros extremos, que el reclamado carecía de la figura del DPD. SEGUNDO: El reclamado aporta en pruebas, copia de escrito comunicado por la AEPD, de fecha 16/10/2020, sobre la inclusión de la persona designada como DPD, que queda incluido en “la lista prevista en el artículo 34.4 de la LOPDGDD” . FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de control, y según lo establecido en los arts. 47 y 48.1 de la LOPDGDD, la Directora de la Agencia Española de Protección de Datos es competente para resolver este procedimiento. II Los Consejos Generales de los Colegios son Corporaciones de Derecho público, con personalidad jurídica propia y plena capacidad que se constituyen en los supuestos en que existan varios Colegios de la misma profesión de ámbito inferior al nacional. Como tal, pueden actuar como responsables de tratamientos de datos de carácter personal y, en algunas ocasiones, ejercen funciones de encargados de tratamiento, por lo que les corresponde, siguiendo el principio de responsabilidad proactiva, atender las obligaciones que el RGPD detalla, entre las que se incluye, la obligación de nombrar a un delegado de protección de datos y comunicarlo a esta AEPD, que viene impuesta por el artículo 37 del RGPD, que indica: “1. El responsable y el encargado del tratamiento designarán un delegado de protección de datos siempre que:
4. a)el tratamiento lo lleve a cabo una autoridad u organismo público, excepto los tribunales que actúen en ejercicio de su función judicial;” El articulo 37.3 y 4 del RGPD señala sobre la designación del DPD “Cuando el responsable o el encargado del tratamiento sea una autoridad u organismo público, se podrá designar un único delegado de protección de datos para varias de estas autoriC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/9 dades u organismos, teniendo en cuenta su estructura organizativa y tamaño. 4. En casos distintos de los contemplados en el apartado 1, el responsable o el encargado del tratamiento o las asociaciones y otros organismos que representen a categorías de responsables o encargados podrán designar un delegado de protección de datos o deberán designarlo si así lo exige el Derecho de la Unión o de los Estados miembros. El delegado de protección de datos podrá actuar por cuenta de estas asociaciones y otros organismos que representen a responsables o encargados.” La LOPDGDD determina en su artículo 34.1 y 3: “Designación de un delegado de protección de datos: “1. Los responsables y encargados del tratamiento deberán designar un delegado de protección de datos en los supuestos previstos en el artículo 37.1 del Reglamento (UE) 2016/679 y, en todo caso, cuando se trate de las siguientes entidades:
5. a)Los colegios profesionales y sus consejos generales.” 3. Los responsables y encargados del tratamiento comunicarán en el plazo de diez días a la Agencia Española de Protección de Datos o, en su caso, a las autoridades autonómicas de protección de datos, las designaciones, nombramientos y ceses de los delegados de protección de datos tanto en los supuestos en que se encuentren obligadas a su designación como en el caso en que sea voluntaria.” Si no existe el DPD, no se cumplen tampoco con una serie de obligaciones derivadas que se contienen en distintos artículos por ejemplo en el 13.1.
6. b)y 14.1 del RGPD que obligan a cuando se obtengan datos a facilitar:” los datos de contacto del delegado de Protección de Datos, en su caso”, quiere decir, si existen o deben existir dichos delegados. También de relacionarse datos de contacto en el registro de las actividades del tratamiento artículo 30.1
7. a)del RGPD y en cuestiones de contenido de la notificación de violación de seguridad de los datos personales a la autoridad de control, artículo 33 del RPD. El objetivo de que se comunique los datos de contacto a las autoridades supervisoras correspondientes es garantizar que los interesados (tanto dentro como fuera de la organización) y las autoridades supervisoras puedan ponerse en contacto de forma fácil, directa y confidencial con el DPD sin tener que contactar con otra parte de la organización. Los datos de contacto del DPD deben incluir información que permita a los interesados y a las autoridades supervisoras comunicarse con el DPD de forma fácil (una dirección postal, un número de teléfono específico y una dirección de correo electrónico específica). Cuando corresponda, a efectos de comunicación con el público, podrían disponerse otros medios de comunicación, por ejemplo una línea directa específica o un formulario de contacto específico dirigido al DPD en el sitio web de la organización. III La infracción se contempla como tal en el artículo 83.4.
8. a)del RGPD que señala:”4. Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 10 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 2 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/9 cuantía:
9. a)las obligaciones del responsable y del encargado a tenor de los artículos 8, 11, 25 a 39, 42 y 43;” Se colige en este supuesto que el DPD ni había sido nombrado, designado ni había sido comunicada su designación en el momento en que se registra la reclamación incurriendo en la conducta que describe a efectos de prescripción el artículo 73.
10. v)de la LOPDGDD, que señala: “En función de lo que establece el artículo 83.4 del Reglamento (UE) 2016/679 se consideran graves y prescribirán a los dos años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes “
11. v)El incumplimiento de la obligación de designar un delegado de protección de datos cuando sea exigible su nombramiento de acuerdo con el artículo 37 del Reglamento (UE) 2016/679 y el artículo 34 de esta ley orgánica.” IV El artículo 83.7 del RGPD indica: “Sin perjuicio de los poderes correctivos de las autoridades de control en virtud del artículo 58, apartado 2, cada Estado miembro podrá establecer normas sobre si se puede, y en qué medida, imponer multas administrativas a autoridades y organismos públicos establecidos en dicho Estado miembro” En tal sentido, el artículo 77.1
12. g)y 2, 4 y 5 de la LOPGDD, indica: “1. El régimen establecido en este artículo será de aplicación a los tratamientos de los que sean responsables o encargados:
13. g)Las corporaciones de Derecho público cuando las finalidades del tratamiento se relacionen con el ejercicio de potestades de derecho público. 2. Cuando los responsables o encargados enumerados en el apartado 1 cometiesen alguna de las infracciones a las que se refieren los artículos 72 a 74 de esta ley orgánica, la autoridad de protección de datos que resulte competente dictará resolución sancionando a las mismas con apercibimiento. La resolución establecerá asimismo las medidas que proceda adoptar para que cese la conducta o se corrijan los efectos de la infracción que se hubiese cometido. La resolución se notificará al responsable o encargado del tratamiento, al órgano del que dependa jerárquicamente, en su caso, y a los afectados que tuvieran la condición de interesado, en su caso.” 4.Se deberán comunicar a la autoridad de protección de datos las resoluciones que recaigan en relación con las medidas y actuaciones a que se refieren los apartaC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/9 dos anteriores. 5.Se comunicarán al Defensor del Pueblo o, en su caso, a las instituciones análogas de las comunidades autónomas las actuaciones realizadas y las resoluciones dictadas al amparo de este artículo.” Por lo tanto, de acuerdo con la legislación aplicable, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DIRIGIR a CONSELLO GALEGO DE COLEXIOS VETERINARIOS, con NIF V27263185, por una infracción del artículo 37 del RGPD en relación con el artículo 34.1 y 3 de la LOPDGDD, de conformidad con el artículo 83.4.
14. a)del RGPD y del artículo 73.
15. v)de la LOPDGDD, una sanción de apercibimiento. SEGUNDO: NOTIFICAR la presente resolución a CONSELLO GALEGO DE COLEXIOS VETERINARIOS. TERCERO: COMUNICAR la presente resolución al Defensor del Pueblo, de conformidad con lo establecido en el artículo 77.5 de la LOPDGDD. CUARTO: De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13/07, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
16. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada LPACAP. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/9 938-26102021 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es