1/11 Expediente Nº: PS/00481/2021 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: D. A.A.A. (en adelante, la parte reclamante) con fecha 28/12/2020 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra CONSEJERÍA DE EDUCACIÓN, UNIVERSIDADES, CIENCIA Y PORTAVOCÍA con NIF S7800001E (en adelante, la parte reclamada). Los motivos en que basa la reclamación son los siguientes: el reclamante manifiesta que la reclamada ha consultado sin su autorización los datos de su declaración de renta durante los cinco últimos años para la reducción del precio del menú escolar en centros docentes aplicable a su hija menor que está bajo la custodia de la madre de quien se divorció en 2013, y aporta: - Copia de anexo ampliatorio de la anterior solicitud con el detalle de las consultas presuntamente realizadas sin su consentimiento y copia de imagen de presunta sede electrónica de la reclamada en que se aprecia el listado de accesos presuntamente ilegítimos. - Copia de respuesta de la reclamada a su solicitud, firmada en fecha 29/05/2020, en que se expresa que los accesos se produjeron para determinar el cumplimiento de los requisitos establecidos en las convocatorias anuales de precio reducido de comedor escolar. Se incluye adjunta una copia de la solicitud de la reducción para el curso 2019-2020, en la que la madre de la menor solicita la concesión de la citada reducción no oponiéndose a las consultas correspondientes sobre su situación personal de renta. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), el 12/02/2021 se dio traslado de dicha reclamación a la parte reclamada para que procediese a su análisis e informase a esta Agencia en el plazo de un mes de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. No se ha recibido respuesta a este escrito. TERCERO: Con fecha 19/04/2021 la Directora de la Agencia Española de Protección de Datos acordó admitir a trámite la reclamación presentada por la parte reclamante. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de los poderes de investigación otorgados a las autoridades de control en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: La reclamada: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/11 No se ciñe a responder estrictamente los apartados del requerimiento remitido en el marco de las presentes actuaciones de investigación. Relata una serie de Órdenes y una Resolución administrativa como normativa aplicable en la que se detalle el protocolo que ha suscitado la incidencia. Manifiesta que el procedimiento de aplicación de la reducción del precio del menú escolar corresponde en gestión a los centros docentes, desde los cuales además se informa a las familias sobre la posibilidad de acogerse a dichos precios reducidos. Expresa que el expediente de la unidad familiar aparecía en su base de datos con los datos de la madre y del padre de la menor para quien se solicitó la reducción. Alega no haber recibido del centro docente información sobre el cambio necesario de la composición de la unidad familiar, a pesar de reconocer de que, en la solicitud, la madre de la menor señaló ser una familia monoparental. Sin embargo, la reclamada expresa que en la solicitud de reducción de precios de comedor no constaba documentación acreditativa de ser familia monoparental. Informa que, al no haber recibido la correspondiente información desde el centro docente, consultó los datos de renta del reclamante para la concesión a su hija de la reducción en cuestión como requisito establecido en cada convocatoria. Describe haber requerido al centro docente implicado que solicite a la familia de la menor la documentación acreditativa de ser familia monoparental para proceder a actualizar su expediente en la base de datos correspondiente. Señala que para el curso 2020/2021 no se consultaron los datos de renta del reclamante puesto que la madre de la menor presentó los suyos y se mantuvo señalada como familia monoparental, aunque tampoco lo acreditó. Adopta las siguientes medidas a partir de esta incidencia: o Solicitar a los 1.600 centros docentes que revisen el procedimiento de grabación de datos, expresando que de las más de 108.000 solicitudes presentadas ya disponía revisadas de 10.000 solicitudes el 03/06/2020. o Estudiar una mejora de las ayudas para la reducción del precio del menú escolar en centros docentes en un planteamiento global para garantizar la seguridad jurídica de los solicitantes y la mejora de la gestión en su conjunto. QUINTO: Con fecha 12/01/2022, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador al reclamado, por la presunta infracción del artículo 6.1.
- a)del RGPD, tipificada en el artículo 83.5.
- a)del RGPD, una sanción de apercibimiento. SEXTO: Notificado el acuerdo de inicio el 14/01/2022, se recibió escrito del reclamado señalando que la solicitud de información remitida por la AEPD tuvo entrada en la Consejería el día 29/04/2021, trasladándose al responsable el 05/05/2021, señalando que el plazo para contestar a la AEPD finalizaba el día 14/05/2021. El responsable remitió escrito el día 07/06/2021, indicando que si la Agencia consideraba que la presentación extemporánea de la contestación al requerimiento C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/11 tenía como consecuencia que la contestación del responsable no sería tenida en cuenta por esta causa debió señalarlo en su escrito de inicio del procedimiento sancionador, en lugar de informar que no se ha recibido respuesta. No obstante, el 28/01/2022 el reclamado presentó escrito de alegaciones al acuerdo de inicio en el que, en síntesis, manifestaba lo siguiente: que la Subdirección General de Becas y Ayudas (en lo sucesivo SGBA) ya dio respuesta al requerimiento de la AEPD acerca de las acciones llevadas a cabo para adecuarse a los requisitos en materia de protección de datos e hizo constar el procedimiento para la aplicación de un precio reducido de comedor escolar a la hija del reclamante, basándose en la composición de la unidad familiar que constaba en la base de datos de la SGBA; que a raíz de la queja, la SGBA requirió al centro la documentación de las solicitudes presentadas y solo pudieron aportar las del curso 2019-2020, ya que las anteriores fueron destruidas por el centro; que dado que junto con la solicitud no fue acreditada la situación de monoparentalidad, ni el centro comunicó a la SGBA el cambio de situación de esta unidad familiar, se consultaron los datos de ambos progenitores; que la SGBA ya indico que para la elaboración del informe solicitado, en la solicitud correspondiente al curso 2020-2021 seguía sin figurar el padre, y tampoco se aportó la documentación acreditativa de la monoparentalidad, sin que en este caso se consultaran los datos al presentar la madre la documentación acreditativa de los ingresos; que en el momento que hizo la reclamación, con carácter inmediato se tomaron las medidas oportunas, actualizando la composición de la unidad familiar, sin que se haya vuelto a realizar ninguna consulta de datos del reclamante; que la finalidad de estas consultas de datos tenía por objeto posibilitar un precio reducido de comedor a la hija del reclamante y que en la respuesta remitida por la SGBA, ya se dio a conocer la adopción de medidas para evitar que se vuelva a dar un caso como este. SEPTIMO: Con fecha 15/02/2022 se inició la apertura de un período de práctica de pruebas, acordándose las siguientes: - Dar por reproducidos a efectos probatorios la reclamación interpuesta por el reclamante y su documentación, los documentos obtenidos y generados que forman parte del procedimiento E/04761/2021. - Dar por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio del procedimiento sancionador referenciado, presentadas por el reclamado. OCTAVO: El 16/03/2022 fue emitida Propuesta de Resolución en el sentido de que por la Directora de la AEPD se sancionara al reclamado por infracción del artículo 6.1.
- a)del RGPD, tipificada en el artículo 83.5.
- a)del RGPD, con apercibimiento. El reclamado en escrito de 31/03/2022 formuló alegaciones a la Propuesta ratificando y reiterando lo manifestado con anterioridad a lo largo del procedimiento y solicitando el archivo del procedimiento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/11 NOVENO: De las actuaciones practicadas han quedado acreditados los siguientes HECHOS PROBADOS PRIMERO. El 28/12/2020 tiene entrada en la Agencia Española de Protección de Datos escrito del reclamante manifestando que la reclamada había consultado sin su autorización los datos de su declaración de renta durante los cinco últimos años para la reducción del precio del menú escolar en centros docentes aplicable a su hija menor, que está bajo la custodia de la madre de quien se divorció en 2013. SEGUNDO. Consta aportado por el reclamante documento de las consultas realizadas a los datos de renta del reclamante entre el 11/11/2015 y 11/11/2020. Los accesos han sido confirmados por el reclamado. TERCERO. El 17/04/2020 el reclamante remitió al reclamado escrito solicitando información sobre las actuaciones llevadas a cabo en relación con los accesos a los datos de sus declaraciones de la renta. CUARTO. El reclamado dio respuesta al escrito anterior, de fecha 29/05/2020, informando que los accesos se produjeron para determinar el cumplimiento de los requisitos de las convocatorias anuales de precio reducido de comedor escolar. Junto al escrito se aporta copia de la solicitud de la reducción para el curso 2019-2020, en la que la madre de la menor solicita la concesión de la citada reducción, no oponiéndose a las consultas correspondientes sobre su situación personal de renta. QUINTO. El reclamado ha aportado Informe de fecha 07/06/2021 en el que se señalan las medidas que se estaban adoptando como consecuencia de la queja del reclamante. SEXTO. El reclamado en escrito de alegaciones de fecha 28/01/2022 ha manifestado que “…a raíz de la queja presentada por el reclamante, la SGBA requirió al centro la documentación de las solicitudes presentadas en los cursos de referencia, de las cuales sólo pudieron aportar la correspondiente al curso 2019-2020, ya que las anteriores fueron destruidas por el centro, dado el tiempo transcurrido. Dado que junto con la solicitud no fue acreditada la situación de monoparentalidad, …, se realizaron las consultas de datos económicos de ambos progenitores, al no oponerse expresamente a la consulta de datos con la Agencia Estatal de Administración Tributaria. (…) Hay que poner en valor que en el momento que el reclamado hizo una reclamación a esta SGBA en el mes de abril de 2020 en relación a las consultas realizadas, con carácter inmediato se tomaron las medidas oportunas, requiriendo al centro la documentación acreditativa de la situación de monoparentalidad y actualizando la composición de la unidad familiar en base a la documentación aportada, sin que se haya por tanto vuelto a realizar ninguna consulta de datos del reclamado. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/11 (…)”. FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de control, y según lo establecido en los artículos 47 y 48 de la LOPDGDD, la Directora de la Agencia Española de Protección de Datos es competente para iniciar y para resolver este procedimiento. II Los hechos denunciados consisten según manifestación del reclamante en el tratamiento de sus datos de carácter personal por parte del reclamado sin su consentimiento; en concreto el reclamado consultó sin autorización del reclamante los datos de su declaración de renta durante los cinco últimos años para la reducción del precio del menú escolar de su hija, lo que podría suponer la vulneración de la normativa sobre protección de datos. El artículo 6, Licitud del tratamiento, del RGPD establece que: “1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
- a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
- b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
- c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
- d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
- e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
- f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
- f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones. (…)” El artículo 4 del RGPD, Definiciones, en su apartado 11, señala que: “11) «consentimiento del interesado»: toda manifestación de voluntad libre, específica, informada e inequívoca por la que el interesado acepta, ya sea mediante una declaración o una clara acción afirmativa, el tratamiento de datos personales que le conciernen”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/11 También el artículo 6, Tratamiento basado en el consentimiento del afectado, de la nueva Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), señala que: “1. De conformidad con lo dispuesto en el artículo 4.11 del Reglamento (UE) 2016/679, se entiende por consentimiento del afectado toda manifestación de voluntad libre, específica, informada e inequívoca por la que este acepta, ya sea mediante una declaración o una clara acción afirmativa, el tratamiento de datos personales que le conciernen. 2. Cuando se pretenda fundar el tratamiento de los datos en el consentimiento del afectado para una pluralidad de finalidades será preciso que conste de manera específica e inequívoca que dicho consentimiento se otorga para todas ellas. 3. No podrá supeditarse la ejecución del contrato a que el afectado consienta el tratamiento de los datos personales para finalidades que no guarden relación con el mantenimiento, desarrollo o control de la relación contractual”. III De la documentación obrante en el expediente se evidencia que el reclamado vulneró el artículo 6.1.
- a)del RGPD, puesto que la citada entidad trato los datos personales del reclamante sin acreditar su consentimiento, para el acceso a la consulta de sus datos de renta a efectos de la posibilidad de reducir el precio del menú escolar de su hija menor. Hay que señalar que el respeto al principio de licitud de los datos exige que conste acreditado que el titular de los datos consintió en el tratamiento de los datos de carácter personal y desplegar una razonable diligencia imprescindible para acreditar ese extremo. De no actuar así el resultado sería vaciar de contenido el principio de licitud. El propio reclamado ha confirmado los accesos al señalar que como consecuencia de la queja del reclamante la SGBA requirió al centro la documentación relativa a las solicitudes de los cursos en los que se habían realizado los accesos, aportándose únicamente la correspondiente al curso 2019-2020, ya que debido al tiempo transcurrido las mismas habían sido destruidas. Y puesto que con la solicitud no fue acreditada la situación de monoparentabilidad, se realizaron las consultas de los datos económicos de ambos progenitores, si bien, a raíz de la incidencia se procedió a poner al día la composición de la unidad familiar tomando como base la documentación aportada, sin que se volviera a consultar los datos del reclamante. IV En respuesta a la Propuesta de Resolución emitida el reclamado ha alegado que las consultas de datos a la AEAT tenían por objeto la posibilidad de aplicar un precio reducido de comedor a la hija del reclamante y que la base legitimadora del tratamiento de los datos, tal y como figura en el Registro de Actividades del Tratamiento (RAT), no se hallaría en el artículo 6.1.a), sino en el artículo 6.1.
- e)del RGPD, que establece que “el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/11 Sin embargo, tal alegato no puede ser admitido, puesto que existe una norma específica que considera necesario el consentimiento del reclamante, en su condición de obligado tributario, para acceder a los datos que tienen dicha particularidad o condición. El artículo 95, Carácter reservado de los datos con trascendencia tributaria, de la Ley General Tributaria establece que: “1. Los datos, informes o antecedentes obtenidos por la Administración tributaria en el desempeño de sus funciones tienen carácter reservado y sólo podrán ser utilizados para la efectiva aplicación de los tributos o recursos cuya gestión tenga encomendada y para la imposición de las sanciones que procedan, sin que puedan ser cedidos o comunicados a terceros, salvo que la cesión tenga por objeto: (…)
- k)La colaboración con las Administraciones públicas para el desarrollo de sus funciones, previa autorización de los obligados tributarios a que se refieran los datos suministrados” (…) . V El artículo 83.5
- a)del RGPD, considera que la infracción de “los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9” es sancionable, de acuerdo con el apartado 5 del mencionado artículo 83 del citado Reglamento, “con multas administrativas de 20.000.000€ como máximo o, tratándose de una empresa, de una cuantía equivalente al 4% como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía”. Por otra parte, la LOPDGDD en su artículo 72 indica: “Infracciones consideradas muy graves: 1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguiente: (…)
- b)El tratamiento de datos personales sin que concurra alguna de las condiciones de licitud del tratamiento establecidas en el artículo 6 del Reglamento (UE) 2016/679. (…)” VI No obstante, el artículo 77 de la LOPDGDD, Régimen aplicable a determinadas categorías de responsables o encargados del tratamiento, dispone lo siguiente: “1. El régimen establecido en este artículo será de aplicación a los tratamientos de los que sean responsables o encargados:
- a)Los órganos constitucionales o con relevancia constitucional y las instituciones de las comunidades autónomas análogas a los mismos.
- b)Los órganos jurisdiccionales. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/11
- c)La Administración General del Estado, las Administraciones de las comunidades autónomas y las entidades que integran la Administración Local.
- d)Los organismos públicos y entidades de Derecho público vinculadas o dependientes de las Administraciones Públicas.
- e)Las autoridades administrativas independientes.
- f)El Banco de España.
- g)Las corporaciones de Derecho público cuando las finalidades del tratamiento se relacionen con el ejercicio de potestades de derecho público.
- h)Las fundaciones del sector público.
- i)Las Universidades Públicas.
- j)Los consorcios.
- k)Los grupos parlamentarios de las Cortes Generales y las Asambleas Legislativas autonómicas, así como los grupos políticos de las Corporaciones Locales. 2. Cuando los responsables o encargados enumerados en el apartado 1 cometiesen alguna de las infracciones a las que se refieren los artículos 72 a 74 de esta ley orgánica, la autoridad de protección de datos que resulte competente dictará resolución sancionando a las mismas con apercibimiento. La resolución establecerá asimismo las medidas que proceda adoptar para que cese la conducta o se corrijan los efectos de la infracción que se hubiese cometido. La resolución se notificará al responsable o encargado del tratamiento, al órgano del que dependa jerárquicamente, en su caso, y a los afectados que tuvieran la condición de interesado, en su caso. 3. Sin perjuicio de lo establecido en el apartado anterior, la autoridad de protección de datos propondrá también la iniciación de actuaciones disciplinarias cuando existan indicios suficientes para ello. En este caso, el procedimiento y las sanciones a aplicar serán las establecidas en la legislación sobre régimen disciplinario o sancionador que resulte de aplicación. Asimismo, cuando las infracciones sean imputables a autoridades y directivos, y se acredite la existencia de informes técnicos o recomendaciones para el tratamiento que no hubieran sido debidamente atendidos, en la resolución en la que se imponga la sanción se incluirá una amonestación con denominación del cargo responsable y se ordenará la publicación en el Boletín Oficial del Estado o autonómico que corresponda. 4. Se deberán comunicar a la autoridad de protección de datos las resoluciones que recaigan en relación con las medidas y actuaciones a que se refieren los apartados anteriores. 5. Se comunicarán al Defensor del Pueblo o, en su caso, a las instituciones análogas de las comunidades autónomas las actuaciones realizadas y las resoluciones dictadas al amparo de este artículo. 6. Cuando la autoridad competente sea la Agencia Española de Protección de Datos, esta publicará en su página web con la debida separación las resoluciones referidas a las entidades del apartado 1 de este artículo, con expresa indicación de la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/11 identidad del responsable o encargado del tratamiento que hubiera cometido la infracción. Cuando la competencia corresponda a una autoridad autonómica de protección de datos se estará, en cuanto a la publicidad de estas resoluciones, a lo que disponga su normativa específica.” En el presente caso, se acordó la apertura del procedimiento sancionador en base a la presunción de que el reclamado, tal y como se expone en los hechos, ha vulnerado la normativa en materia de protección de datos de carácter personal, principio de licitud de los datos. De conformidad con las evidencias de las que se dispone, dicha conducta constituye por parte del reclamado la infracción a lo dispuesto en el artículo 6.1.
- a)del RGPD. Hay que señalar que la LOPDGDD contempla en su artículo 77 la sanción de apercibimiento en relación con los tratamientos de datos personales que no se adecúen a sus previsiones. A este respecto, el artículo 83.7 del RGPD contempla que “Sin perjuicio de los poderes correctivos de las autoridades de control en virtud del artículo 58, apartado 2, cada Estado miembro podrá establecer normas sobre si se puede, y en qué medida, imponer multas administrativas a autoridades y organismos públicos establecidos en dicho Estado miembro”. Asimismo, se contempla que la resolución que se dicte se podrán establecer medidas que proceda adoptar para que cese la conducta, se corrijan los efectos de la infracción que se hubiese cometido y su adecuación a las exigencias contempladas en el artículo 6.1.
- a)del RGPD, así como la aportación de medios acreditativos del cumplimiento de lo requerido. El reclamado ha reconocido que los datos fueron consultados aunque para la finalidad de conceder un precio reducido en el comedor escolar a la menor sin que el centro docente tuviera acceso a la información de renta de la unidad familiar, puesto que solo se le informa si la familia cumple o no los requisitos para la aplicación del precio reducido de comedor escolar, pero no los datos económicos y que en el mismo momento de conocer que el reclamante hizo la reclamación en relación a las consultas realizadas, con carácter inmediato se tomaron las medidas oportunas, requiriendo al centro la documentación acreditativa de la situación de monoparentalidad y actualizando la composición de la unidad familiar, sin que se haya vuelto a realizar ninguna consulta alguna de los datos del reclamante. Por último, insiste el reclamado que en sus respuestas de fechas 07/06/2021 y 31/03/2022 en la adopción de diferentes medidas para evitar incidencias como la que ha dado lugar a la reclamación: - Solicitar al centro escolar y a los más de 1.600 que participan de estas ayudas, que hagan revisiones del procedimiento de grabación de datos para que se eviten los errores de grabación y queden perfectamente identificados los miembros que firman las solicitudes, las familias que son monoparentales y las otras situaciones familiares, con el objetivo de que la base de datos esté correctamente actualizada cada curso. - Que se había hecho una revisión, desde la Subdirección General de Becas y Ayudas, de casi 10.000 solicitudes cada curso de las más de 100.000 presentadas C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/11 cada curso escolar, para garantizar que no se produjeran errores. Además, desde la puesta en marcha de estas becas, en el curso 2012/2013, no se ha recibido ninguna otra queja o reclamación por el tratamiento de datos, siendo una ayuda que recibe más de 100.000 solicitudes cada curso y tiene un número aproximadamente igual de beneficiarios. - Que se va a mejorar el impreso de solicitud con el fin de aclarar que para que se considere familia monoparental, u otro tipo de situación, y concretamente en el caso de divorcio hay que aportar documentación acreditativa de la situación. -Que la Delegación de Protección de Datos va a realizar una pequeña formación a los funcionarios del área para recordar las bases de legitimación del tratamiento de datos y los principios básicos de protección de datos. Por tanto, a la luz de lo que antecede, se considera que la respuesta del reclamado ha sido razonable, subsanando la incidencia no procediendo instar la adopción de medidas adicionales, al haber adoptado medidas de carácter técnico y organizativas de conformidad con la normativa en materia de protección de datos para evitar que vuelvan a producirse situaciones como la que dio lugar a la presente reclamación, que es la finalidad principal de los procedimientos respecto de aquellas entidades relacionadas en el artículo 77 de la LOPDGDD. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la CONSEJERÍA DE EDUCACIÓN, UNIVERSIDADES, CIENCIA Y PORTAVOCÍA de la CAM, con NIF S7800001E, por una infracción del artículo 6.1.
- a)del RGPD, tipificada en el artículo 83.5 del RGPD, una sanción de apercibimiento. SEGUNDO: NOTIFICAR la presente resolución a CONSEJERÍA DE EDUCACIÓN, UNIVERSIDADES, CIENCIA Y PORTAVOCÍA de la CAM. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
- a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/11 si el interesado manifiesta su intención de interponer recurso contenciosoadministrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es