1/12 Expediente N.º: EXP202212299 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: DOÑA A.A.A. (en adelante, la parte reclamante) con fecha 18 de octubre de 2022 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra CONSEJERÍA DE CULTURA DE LA RIOJA con NIF S2633001I (en adelante, CONSEJERIA DE CULTURA). Los motivos en que basa la reclamación son los siguientes: La parte reclamante manifiesta que los hechos analizados en el seno del expediente EXP202205687 vinculados a la grabación de imágenes, a través de móvil, de emisiones procedentes del sistema de videovigilancia del MUSEO DE LA RIOJA por personal de la parte reclamada, se ha producido nuevamente, por parte de otro vigilante de la entidad reclamada, habiendo recibido la parte reclamante, en fecha 18 de octubre de 2022, nuevo vídeo procedente del sistema de videovigilancia del Museo, lo que pone de manifiesto la falta de adopción de medidas correctoras, como se señaló en el seno del expediente EXP202205687. Junto a la notificación se aporta imágenes y enlace no operativo a vídeo: 3 imágenes de lo que parece la pantalla del sistema de videovigilancia de la entrada al museo y una imagen de lo que parece ser un vídeo, también de la entrada al museo de la Rioja. Copia del escrito presentado a la unidad Central de Seguridad Privada de Logroño solicitando que se cite a la reclamante para aportar la prueba del vídeo divulgado (17/10/2022). SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a CONSEJERÍA DE CULTURA, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 21 de noviembre de 2022 como consta en el acuse de recibo que obra en el expediente. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/12 Con fecha 23 de diciembre de 2022 se recibe en esta Agencia escrito de respuesta indicando que El responsable del sistema de videovigilancia es la Consejería de Hacienda y Administración Pública del Gobierno de la Rioja. CLECE SEGURIDAD S.A. es encargado de tratamiento y su contrato termina el 21 de diciembre de 2022. Disponen de 36 cámaras en funcionamiento. El cartel de zona videovigilada hace referencia a legislación derogada. Los monitores de visualización de las cámaras se encuentran cercanos al arco detector y el visitante puede ver las imágenes de los monitores. Adjunta el registro de personal autorizado a visionar imágenes. Sobre el incidente reclamado responde que: o CLECE SEGURIDAD deja de prestar el servicio el 31/12/2022. o Los 7 vigilantes son personal subrogado y continúan prestando el servicio a partir de esa fecha. Sólo la responsable del museo puede acceder a las grabaciones, aunque el personal de vigilancia conoce las claves y podría acceder. Los vigilantes ya son conocedores que ninguno puede acceder a las grabaciones en espera que el Responsable de tratamiento establezca la contraseña que únicamente deberá conocer la persona/as autorizadas. TERCERO: Con fecha 18 de enero de 2023, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: El 10 de marzo de 2023 se requirió a la reclamante una ampliación de información sobre la reclamación: Acreditación de la trasmisión por WhatsApp del vídeo divulgado, indicando el número de teléfono desde el que se hizo y el destinatario o grupo de destinatarios del mismo. Vídeo difundido, ya que no se ha tenido acceso, por haber caducado el enlace para la descarga. La notificación postal del 10/03/2023, enviada a la dirección ***DIRECCIÓN.1, fue devuelto por dirección incorrecta. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/12 Ante la imposibilidad de envío de la notificación postal, el 31 de marzo de 2023 se notifica electrónicamente a la reclamante, con el resultado de notificación expirada. El 18 de abril de 2023 la reclamante llamó por teléfono a la Agencia para preguntar por la notificación electrónica, comunicando que no tenía medios de acceso a dicha notificación y que se indicara (XX) en su dirección postal. El 19 de abril de 2023 se reitera la notificación postal con las indicaciones de la reclamante, que fue recibida el 3/05/2023. El 15 de mayo de 2023, la reclamante solicita a la Agencia Española de Protección de Datos: El expediente de la denuncia que presentó contra Dña. B.B.B., su recurso de reposición. Que las comunicaciones de la agencia se hagan a la dirección ***DIRECCIÓN.2. Las medidas que se tomaron referente a la denuncia de su divulgación de imágenes, por parte de la Agencia y de la empresa CLECE SEGURIDAD, S.A. Constancia de la respuesta al recurso de reposición. Solicita que si no se ha tomado ninguna medida se actúe con la misma severidad que un caso idéntico, adjunta denuncia anterior y recurso. Adjunta imagen de enlace a la web ***URL.1. En la que aparece la noticia de una sanción de 3000 € de la Agencia Española de Protección de Datos a la empresa Grupo de Seguridad y Control Global. Adjunta copia de los documentos previamente enviados a esta agencia y tramitados en el expediente EXP202205687. Dicha respuesta de la reclamante nada tiene que ver con el requerimiento de ampliación de información de 19 de abril de 2023. El 08 de junio de 2023, se envía un nuevo requerimiento de información a la reclamante, explicándole que las evidencias de la divulgación de video e imágenes de las que dispone esta Agencia son muy escasas por lo que, para continuar con la investigación, es necesario contar con: - Acreditación de la trasmisión por whatsapp del vídeo divulgado, indicando el número de teléfono desde el que se hizo y el destinatario o grupo de destinatarios del mismo. - Vídeo difundido (No se ha tenido acceso, por haber caducado el enlace para la descarga). El 26 de junio de 2023 la reclamante recibe la notificación. A día de hoy no se ha recibido en esta Agencia información adicional alguna sobre este expediente por parte de la reclamante. El 28 de agosto de 2023 se requiere a la Secretaría General Técnica de la Consejería de Hacienda y Administración Pública del Gobierno de la Rioja y a la Delegada de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/12 Protección de Datos, información sobre el sistema de videovigilancia del Museo de la Rioja como posible Responsable de Tratamiento. El 13 de septiembre de 2023 se recibe respuesta del Director General de Cultura de la Consejería de Cultura, Turismo, Deporte y Juventud del Gobierno de La Rioja, en la que se indica: 1. El responsable de la instalación es la Dirección General de Cultura, que pertenece a la Consejería de Cultura, Turismo, Deporte y Juventud del Gobierno de La Rioja con NIF S2633001I. Número de teléfono ***TELÉFONO.1. 2. Se aportan fotografías de los carteles (uno en cada planta) que avisan de la existencia de una zona videovigilada y todos los carteles son iguales con lo cual únicamente se adjunta uno. Se adjunta en Carpeta comprimida. 3. La empresa de seguridad que gestiona el sistema de videovigilancia es GRUPO CONTROL EMPRESA SEGURIDAD S.A. Los documentos de licitación y de adjudicación, así como el Acuerdo Marco de los servicios de vigilancia y seguridad con destino al sector público de la Comunidad Autónoma de La Rioja, se incluyen como Anexos. 4. Número de cámaras instaladas en el museo son 40. Las fotografías de todos los dispositivos se incluyen en una carpeta comprimida. También se adjunta en la carpeta fotografía de los dos monitores donde se visualizan las imágenes (5 fotografías). Ninguna de las cámaras graba o permite la visión de terrenos colindantes ni del interior de las viviendas, o cualquier otro espacio privado o reservado, ni tampoco de la vía pública. 5. El sistema de vigilancia graba las imágenes y el plazo de conservación de éstas es de un mes. 6. y 7. El número de cámaras de videovigilancia son 40 pero actualmente están 32 en funcionamiento y 8 puestas, pero por diversos problemas técnicos no funcionan correctamente, la instalación no está finalizada y falta que venga la empresa adjudicataria a poner en marcha las 8 restantes. Se aporta declaración responsable, en el que se numeran las cámaras que no emiten imágenes. 8. Los monitores donde se muestran las imágenes son accesibles únicamente desde el puesto de trabajo asignado para el personal que realiza el servicio de vigilancia y seguridad del museo, se aportan fotografías en la carpeta comprimida (5 fotografías). 9. Medidas adoptadas para garantizar que sólo el personal autorizado accede a las imágenes: - Para garantizar que los monitores sólo son accesibles a las personas autorizadas se ha instalado una mampara de 1500x900mm en metacrilato incoloro que está situada en el puesto de trabajo de los vigilantes para obstaculizar la visión de los monitores. (Se adjunta fotografía) - Por otro lado, el acceso a las grabaciones de las imágenes sólo se puede realizar por los vigilantes encargados de seguridad, que disponen de una clave, sin la cual no se pueden visualizar. - Por último, y con el fin de reforzar la seguridad, se han remitido instrucciones a la empresa adjudicataria del contrato de videovigilancia del museo para la elaboración de un Protocolo de actuación y la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/12 realización de formación específica al personal de vigilancia en materia de protección de datos. (se adjunta instrucción) La protocolización referida, deberá contener, entre otras, la obligación de garantizar la trazabilidad en cuanto al acceso a las imágenes grabadas, conteniendo la fecha, hora, circunstancia y persona que accede a las mismas, así como comunicación inmediata de dicho acceso al Director General de Cultura. Se adjunta: Adjudicación a Grupo Control Clausulado específico – Pliego Documento licitación Museo La Rioja Instrucción al responsable de Grupo Control Fotos cámaras Museo La Rioja 01 Fotos cámaras Museo La Rioja 02 Fotos carteles Fotos monitores QUINTO: Con fecha 22 de diciembre de 2023, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, por la presunta infracción del Artículo 32 del RGPD, tipificada en el Artículo 83.4 del RGPD. SEXTO: Notificado el citado acuerdo de inicio conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP) y transcurrido el plazo otorgado para la formulación de alegaciones, se ha constatado que no se ha recibido alegación alguna por la parte reclamada. El artículo 64.2.
- f)de la LPACAP -disposición de la que se informó a la parte reclamada en el acuerdo de apertura del procedimiento- establece que si no se efectúan alegaciones en el plazo previsto sobre el contenido del acuerdo de iniciación, cuando éste contenga un pronunciamiento preciso acerca de la responsabilidad imputada, podrá ser considerado propuesta de resolución. En el presente caso, el acuerdo de inicio del expediente sancionador determinaba los hechos en los que se concretaba la imputación, la infracción del RGPD atribuida a la reclamada y la sanción que podría imponerse. Por ello, tomando en consideración que la parte reclamada no ha formulado alegaciones al acuerdo de inicio del expediente y en atención a lo establecido en el artículo 64.2.
- f)de la LPACAP, el citado acuerdo de inicio es considerado en el presente caso propuesta de resolución. A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/12 HECHOS PROBADOS PRIMERO: Consta acreditado en el expediente que existe una mampara traslucida que no impide que cualquier persona que acceda al Museo pueda ver los monitores de visualización de las cámaras. SEGUNDO: Consta probado en el expediente que el Director General de Cultura envió el 12 de septiembre de 2023 instrucciones al responsable de la empresa de seguridad y encargado de tratamiento para la elaboración de un Protocolo de actuación y la realización de formación específica al personal de vigilancia en materia de protección de datos. TERCERO: No consta acreditado en el expediente medidas tendentes a garantizar que sólo el personal autorizado pueda acceder a las imágenes de las grabaciones, ni el control de acceso a las mismas. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Cuestiones previas En el artículo 4 del RGPD, se establece que: A efectos del presente Reglamento se entenderá por: 1) «datos personales»: toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/12 En consecuencia, la imagen física de una persona, a tenor del artículo 4.1 del RGPD, es un dato personal y su protección, por tanto, es objeto de dicho Reglamento. Las imágenes generadas por un sistema de cámaras o videocámaras son datos de carácter personal, por lo que su tratamiento está sujeto a la normativa de protección de datos. En el artículo 4.2 del RGPD se define el concepto de “tratamiento” de datos personales. 2) «tratamiento»: cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción; En los puntos 7 y 8 del mismo artículo, se especifica lo que se debe entender por responsable del tratamiento y encargado del tratamiento. Así tenemos, como: “7) «responsable del tratamiento» o «responsable» es la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros; 8) «encargado del tratamiento» o «encargado» es la persona física o jurídica, autoridad pública, servicio u otro organismo que trate datos personales por cuenta del responsable del tratamiento...” En el presente caso, consta la realización de un tratamiento de datos personales, toda vez que la CONSEJERÍA DE CULTURA realiza, entre otros tratamientos, la recogida, consulta y utilización de las imágenes de las personas que acceden al Museo, que realiza en su condición de responsable del tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud del citado artículo 4.7 del RGPD. III Artículo 32 del RGPD El Artículo 32 “Seguridad del tratamiento” del RGPD establece: “1. Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, que en su caso incluya, entre otros: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/12 a)la seudonimización y el cifrado de datos personales; b)la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento; c)la capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente físico o técnico; d)un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento. 2. Al evaluar la adecuación del nivel de seguridad se tendrán particularmente en cuenta los riesgos que presente el tratamiento de datos, en particular como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos. 3. La adhesión a un código de conducta aprobado a tenor del artículo 40 o a un mecanismo de certificación aprobado a tenor del artículo 42 podrá servir de elemento para demostrar el cumplimiento de los requisitos establecidos en el apartado 1 del presente artículo. 4. El responsable y el encargado del tratamiento tomarán medidas para garantizar que cualquier persona que actúe bajo la autoridad del responsable o del encargado y tenga acceso a datos personales solo pueda tratar dichos datos siguiendo instrucciones del responsable, salvo que esté obligada a ello en virtud del Derecho de la Unión o de los Estados miembros”. De las imágenes enviadas, se desprende que, si bien existe una mampara traslucida para impedir el acceso del público a las imágenes captadas por las cámaras de seguridad, sólo lo hace parcialmente, por lo que cualquier persona que acceda al Museo podrá ver dichos monitores de visualización de las cámaras. No consta que actualmente existan medidas para garantizar que sólo el personal autorizado accede a las imágenes de las grabaciones, solo consta que el Director General de Cultura envió el 12 de septiembre de 2023 instrucciones al responsable de la empresa de seguridad y encargado de tratamiento para la elaboración de un Protocolo de actuación y la realización de formación específica al personal de vigilancia en materia de protección de datos. Los hechos expuestos son constitutivos de una infracción del artículo 32 del RGPD, toda vez que la CONSEJERÍA DE CULTURA no disponía, en el momento de producirse los hechos, de medidas de seguridad razonables en función de los posibles riesgos estimados en el acceso a las imágenes procedentes del sistema de videovigilancia del Museo de La Rioja. IV Tipificación de la infracción del artículo 32 del RGPD La citada infracción del artículo 32 del RGPD supone la comisión de las infracciones tipificadas en el artículo 83.4 del RGPD que bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/12 “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 10 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 2 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
- a)las obligaciones del responsable y del encargado a tenor de los artículos 8, 11, 25 a 39, 42 y 43; (…)” A este respecto, la LOPDGDD, en su artículo 71 “Infracciones” establece que “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A efectos del plazo de prescripción, el artículo 73 “Infracciones consideradas graves” de la LOPDGDD indica: “En función de lo que establece el artículo 83.4 del Reglamento (UE) 2016/679 se consideran graves y prescribirán a los dos años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
- f)La falta de adopción de aquellas medidas técnicas y organizativas que resulten apropiadas para garantizar un nivel de seguridad adecuado al riesgo del tratamiento, en los términos exigidos por el artículo 32.1 del Reglamento (UE) 2016/679”. (…) V Sanción por la infracción del artículo 32 del RGPD El Artículo 83 “Condiciones generales para la imposición de multas administrativas” del RGPD apartado 7 establece: “Sin perjuicio de los poderes correctivos de las autoridades de control en virtud del artículo 58, apartado 2, cada Estado miembro podrá establecer normas sobre si se puede, y en qué medida, imponer multas administrativas a autoridades y organismos públicos establecidos en dicho Estado miembro.” Asimismo, el artículo 77 “Régimen aplicable a determinadas categorías de responsables o encargados del tratamiento” de la LOPDGDD dispone lo siguiente: “1. El régimen establecido en este artículo será de aplicación a los tratamientos de los que sean responsables o encargados: …
- c)La Administración General del Estado, las Administraciones de las comunidades autónomas y las entidades que integran la Administración Local… 2. Cuando los responsables o encargados enumerados en el apartado 1 cometiesen alguna de las infracciones a las que se refieren los artículos 72 a 74 de esta ley C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/12 orgánica, la autoridad de protección de datos que resulte competente dictará resolución declarando la infracción y estableciendo, en su caso, las medidas que proceda adoptar para que cese la conducta o se corrijan los efectos de la infracción que se hubiese cometido, con excepción de la prevista en el artículo 58.2.i del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016. La resolución se notificará al responsable o encargado del tratamiento, al órgano del que dependa jerárquicamente, en su caso, y a los afectados que tuvieran la condición de interesado, en su caso. 3. Sin perjuicio de lo establecido en el apartado anterior, la autoridad de protección de datos propondrá también la iniciación de actuaciones disciplinarias cuando existan indicios suficientes para ello. En este caso, el procedimiento y las sanciones a aplicar serán las establecidas en la legislación sobre régimen disciplinario o sancionador que resulte de aplicación. Asimismo, cuando las infracciones sean imputables a autoridades y directivos, y se acredite la existencia de informes técnicos o recomendaciones para el tratamiento que no hubieran sido debidamente atendidos, en la resolución en la que se imponga la sanción se incluirá una amonestación con denominación del cargo responsable y se ordenará la publicación en el Boletín Oficial del Estado o autonómico que corresponda. 4. Se deberán comunicar a la autoridad de protección de datos las resoluciones que recaigan en relación con las medidas y actuaciones a que se refieren los apartados anteriores. 5. Se comunicarán al Defensor del Pueblo o, en su caso, a las instituciones análogas de las comunidades autónomas las actuaciones realizadas y las resoluciones dictadas al amparo de este artículo.” VI El artículo 58.2 del RGPD establece los poderes correctivos de los que dispone una autoridad de control. El apartado
- d)del precepto citado establece que puede consistir en “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado”. En el texto de la resolución se establecen cuál ha sido la infracción cometida y los hechos que han dado lugar a la vulneración de la normativa de protección de datos, de lo que se infiere con claridad cuáles son las medidas a adoptar, aquellas tendentes a garantizar que terceros no autorizados no accedan a las imágenes del sistema de videovigilancia. Se advierte que no atender la posible orden de adopción de medidas impuestas por este organismo en la resolución sancionadora podrá ser considerado como una infracción administrativa conforme a lo dispuesto en el RGPD, tipificada como infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la apertura de un ulterior procedimiento administrativo sancionador. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/12 Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR que CONSEJERÍA DE CULTURA DE LA RIOJA, con NIF S2633001I, ha infringido lo dispuesto en el Artículo 32 del RGPD, infracción tipificada en el Artículo 83.4 del RGPD. SEGUNDO: ORDENAR a la CONSEJERÍA DE CULTURA DE LA RIOJA, con NIF S2633001I, que en virtud del artículo 58.2.
- d)del RGPD, en el plazo de un mes desde que la presente resolución sea firme y ejecutiva, acredite haber procedido al cumplimiento de adoptar las medidas adecuadas para garantizar que terceros no autorizados no acceden a las imágenes del sistema de videovigilancia. TERCERO: NOTIFICAR la presente resolución a la CONSEJERÍA DE CULTURA DE LA RIOJA. CUARTO: COMUNICAR la presente resolución al Defensor del Pueblo, de conformidad con lo establecido en el artículo 77.5 de la LOPDGDD. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
- a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/12 938-16012024 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es