PS-00483-2024

1/37  Expediente N.º: EXP202401484 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: La Agencia Española de Protección de Datos ha tenido conocimiento de ciertos hechos que podrían constituir una posible infracción imputable a CONSELLERÍA DE POLÍTICA SOCIAL E IGUALDAD, con NIF S1511001H (en adelante, CONSELLERÍA). La parte denunciante recoge la noticia publicada en un medio de comunicación, según la cual, la CONSELLERÍA habría cedido datos personales de titulares del carné de familia numerosa, sin su consentimiento, a una cadena de supermercados de GADISA RETAIL S.L.U. (en adelante GADISA), que les enviaría por correo postal “cheques regalo” en base a las compras realizadas previamente por estos en sus establecimientos. A la denuncia se adjunta enlace a la página web del periódico que publica la noticia. SEGUNDO: Como consecuencia de los hechos conocidos, con fecha 19 de enero de 2024, la Directora de la Agencia Española de Protección de Datos instó a la Subdirección General de Inspección de Datos (SGID) a iniciar las actuaciones previas de investigación a las que se refiere el artículo 67 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD). TERCERO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VIII, de la LOPDGDD. Como consecuencia de las actuaciones realizadas, se ha tenido conocimiento de los siguientes extremos: Con fecha 11/03/2024, se recoge la noticia publicada en el diario Público el 15/01/2024, actualizada el 18/01/2024: “La Xunta de Rueda cede datos de familias a una cadena de supermercados para que les ofrezca descuentos en plena precampaña”, en la que se basa la denuncia. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/37 Con fecha 20/02/2024, se recoge la publicación de la página web de GADISA, de 17/01/2024, de título “GADISA, 21 AÑOS APOYANDO A LAS FAMILIAS NUMEROSAS DE GALICIA”, que contiene la siguiente información: “[…] Para el envío de esos cheques regalo, la Xunta de Galicia proporciona a Gadisa la información vinculada a ese carné familiar (nombre, apellidos y dirección del titular). Gadisa, en su condición de encargada de tratamiento de datos de la Xunta de Galicia para este proceso, no utiliza esos datos para ninguna otra finalidad, ni los cede a terceros, cumpliendo con todas las medidas técnicas y organizativas necesarias para salvaguardar la legalidad, integridad y confidencialidad de estos. […]” Con fecha 01/02/2024, se recoge la información del Registro de Actividades de Tratamiento de la CONSELLERÍA para las ayudas a familias numerosas y monoparentales. En ella se publica la siguiente información (traducción al castellano con la herramienta https://tradutorgaio.xunta.gal/TradutorPublico/traducir/index): “Base jurídica del tratamiento RXPD 6.1.

1. c)Tratamiento necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento. RXPD 6.1.
2. a)Consentimiento de las personas interesadas. RXPD 9.2.
3. b)Tratamiento necesario para el cumplimiento de obligaciones y el ejercicio de derechos específicos del responsable del tratamiento o del interesado en el ámbito del Derecho laboral y de la seguridad y protección #social, en la medida en que así lo autorice el Derecho de la Unión de los Estados miembros o un convenio colectivo con arreglo al derecho de los Estados miembros que establezca garantías adecuadas del respeto de los derechos fundamentales y de los intereses del interesado. RXPD 9.2.
4. la)Consentimiento explícito para el tratamiento de los datos personales”. Asimismo, se recogen como categorías de destinatarios de los datos, las siguientes: Administración autonómica. Entidades financeiras. Administracións públicas no exercicio das súas competencias. Con fecha 11/03/2024 se recoge el formulario de solicitud “TÍTULO DE FAMILIA NUMEROSA / CERTIFICADO LEY 3/2011”, obtenido de la web de la Xunta de Galicia. En su apartado “INFORMACIÓN BÁSICA SOBRE PROTECCIÓN DE DATOS PERSONALES” se indica lo siguiente: “Responsable del tratamiento Xunta de Galicia. Consellería o entidad a la que se dirige esta solicitud, escrito o comunicación. Finalidades del tratamiento La tramitación administrativa que se derive de la gestión de este formulario y la actualización de la información y contenidos de la carpeta del ciudadano. Legitimación para el tratamiento C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/37 El cumplimiento de una tarea de interés público o el ejercicio de poderes públicos según la normativa recogida en el formulario, en la página https://www.xunta.gal/informacion-xeral-proteccion-datos y en la ficha del procedimiento en la Guía de procedimientos y servicios. Consentimiento de las personas interesadas, cuando corresponda. Personas destinatarias de los datos Las administraciones públicas en el ejercicio de sus competencias, cuando sea necesario para la tramitación y resolución de sus procedimientos o para que las personas interesadas puedan acceder de forma integral a la información relativa a una materia. Ejercicio de derechos Las personas interesadas podrán acceder, rectificar y suprimir sus datos, así como ejercer otros derechos a través de la sede electrónica de la Xunta de Galicia o en los lugares y registros establecidos en la normativa reguladora del procedimiento administrativo común. Contacto delegado de protección de datos y más información https://www.xunta.gal/proteccion-datos-persoais Actualización normativa: en el caso de existir diferentes referencias normativas en materia de protección de datos personales en este procedimiento, prevalecerán en todo caso aquellas relativas al Reglamento general de protección de datos”. En respuesta al requerimiento de esta Agencia, recibida el 17/04/2024, la CONSELLERÍA manifiesta lo siguiente: “(…) PRIMERO.- El programa “Carné familiar galego” se creó en el año 2001 como medio para ampliar los beneficios de las familias numerosas en Galicia, concibiéndose como una medida de apoyo social basada en la colaboración entre la Administración autonómica y la iniciativa privada, con el objetivo de facilitar el acceso de las familias numerosas a distintos bienes y servicios mediante descuentos u otro tipo de ventajas ampliando y complementando los beneficios que otorga el título oficial de familia numerosa. SEGUNDO.- Para hacer efectivos dichos objetivos, en el año 2014 se subscribió un acuerdo de colaboración entre la denominada en aquel entonces Consellería de trabajo y bienestar de la Xunta de Galicia (actual Consellería de Política Social e Igualdad) y otras entidades del sector privado, entre ellas, la empresa GADISA-RETAIL, S.L.U. (en adelante, Gadisa). Posteriormente, de adhirieron al programa más entidades. A través del referido acuerdo Gadisa adquiría el compromiso de hacer un descuento acumulado de un 2% de la compra efectuada en los establecimientos GADIS de la entidad, materializándose a través del envío por parte de ésta, de un cheque semestral al domicilio de las familias beneficiarias del programa, para canjearlo por productos en sus establecimientos. Asimismo, Gadisa podría realizar descuentos en productos concretos que se acumularían C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/37 al descuento total, y que se notificarían a las familias beneficiarias del programa a través de los envíos semestrales de los cheques. Por su parte, la Consellería, se comprometía, entre otras obligaciones, a facilitar los datos personales de las personas beneficiarias de dichos descuentos a Gadisa con la finalidad exclusiva de que ésta pudiese hacer llegar a las familias el cheque semestral con el descuento acumulado del 2% de las compras. Concretamente, los datos facilitados conforme a lo especificado por el acuerdo serían: nombre y apellidos, domicilio familiar y número del título oficial de familia numerosa (cotejo). TERCERO.- La cláusula NOVENA del acuerdo establecía la condición de encargados del tratamiento tanto de Gadisa como de las restantes entidades firmantes, y se regulaba su relación […] A este respecto, los datos de carácter personal de las familias numerosas están incluidos en el fichero "relaciones administrativas con la ciudadanía y entidades" creado por la Orden de 15 de diciembre de 2011, por la que se regulan los ficheros de carácter personal de la Consellería de Trabajo y Bienestar.” CUARTO.- Respecto a la gestión de los referidos descuentos por Gadisa en la práctica, se estableció el siguiente sistema: • El poseedor del “Carné familiar galego” que así lo decidiese voluntariamente, puede exhibirlo en cada establecimiento en el momento de abonar su compra. • Semestralmente, Gadisa remite a esta Consellería, a través de la Agencia para la modernización tecnológica de Galicia (en adelante, Amtega) una relación de los beneficiarios de los descuentos (número de carnet) a fin de que ésta le facilite a su vez, como se ha indicado anteriormente el nombre y apellidos del titular y la dirección actualizada a los efectos de posibilitar el envío de los cheques descuento por parte de Gadisa. Es decir, Gadisa no puede acceder al nombre y apellidos del titular del carnet y domicilio familiar de éste si previamente, salvo que previamente alguna persona poseedora de dicho carnet lo utilizó en alguno de sus establecimientos, precisamente, con el objeto de conseguir el descuento acumulado. • La condición de encargado del tratamiento de la Amtega respecto de esta Consellería se ha regulado recientemente a través de la Ley 10/2023, de 28 de diciembre, de medidas fiscales y administrativas de Galicia (BOE número 39 de 14 de febrero de 2024). Por todo lo anterior, cabe concluir, que la Consellería de Política Social e Igualdad de la Xunta de Galicia no “cedió” a la cadena de supermercados Gadisa datos personales pertenecientes a familias numerosas inscritas en el programa “Carné familiar galego” sin contar con el consentimiento de las personas afectadas sino que, por el contrario, la Consellería únicamente comunica a Gadisa, en su condición de encargado del tratamiento regulada a través de un acuerdo subscrito entre ambas entidades, el nombre y apellidos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/37 del titular y la dirección familiar de aquellos poseedores del carnet que, voluntariamente, lo exhiban en el momento de realizar sus compras, precisamente, para poder recibir los referidos descuentos. Del mismo modo, tampoco puede decirse que la referida sociedad mercantil haya “incorporado” dichos datos personales sin conocimiento de esta circunstancia por las personas afectadas puesto que, tal como se recoge en el referido convenio, Gadisa sólo podrá utilizar dichos datos según las instrucciones que determine la Xunta de Galicia, como responsable del tratamiento, y no podrá utilizarlos ni aplicarlos con una finalidad distinta de la realización de las acciones establecidas a su cargo en el convenio, ni los podrá comunicar a otras personas. Se acompaña copia del Acuerdo de colaboración como documento UNO. QUINTO.- El registro de Actividades de tratamiento de la Consellería de Política Social e Igualdad de la Xunta de Galicia se encuentra publicado, de acuerdo con lo exigido en el artículo 31.3 de la Ley Orgánica 3/2018, de 5 de diciembre, de protección de datos personales y garantía de los derechos digitales, y resulta accesible a través de la siguiente dirección: https://ficheirosweb.xunta.gal/proteccion-datos-persoais/rexistroactividades/RXPD_RAT_CPSX.pdf En la página 17 del referido documento, se describe el tratamiento denominado “Axudas a familias numerosas e monoparentais” (Ayudas a familias numerosas y monoparentales). SEXTO.- Respecto a los fines y la licitud del tratamiento del programa “Carné familiar galego”, tal como se indicó anteriormente, el fin último del tratamiento de los datos personales es gestionar una medida de apoyo social basada en la colaboración entre la Administración autonómica y la iniciativa privada, con el objetivo de facilitar el acceso de las familias numerosas a distintos bienes y servicios mediante descuentos u otro tipo de ventajas ampliando y complementando los beneficios que otorga el título oficial de familia numerosa. Así, los fines del tratamiento consistirían en la expedición y envío de un carnet, previa solicitud de las personas interesadas, con el objetivo de facilitar a éstas la posibilidad de beneficiarse de los descuentos y otras ventajas ofertados por las entidades adheridas al programa. La base legitimadora para el tratamiento de los datos necesarios para la gestión del “Carné familiar galego” es el cumplimiento de una misión realizada en interés público derivada de una competencia legalmente atribuida a la Consellería de Política Social e Igualdad como responsable del tratamiento (Ley 40/2003, de 18 de noviembre, de protección a las familias numerosas; Lei 3/2011, de 30 de junio, de apoyo a la familia y a la convivencia de Galicia). SÉPTIMO.- En cuanto al formulario de solicitud que los interesados tenían que presentar antes del 15 de enero de 2024, para obtener el “carné familiar”, se acompaña copia del formulario de solicitud del “carné familiar” como DOCUMENTO DOS. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/37 El citado Acuerdo de Colaboración de 16/05/2014, firmado entre la CONSELLERÍA y, entre otras entidades, GADISA, recoge en su cláusula séptima lo siguiente (traducción automática con la herramienta: https://tradutorgaio.xunta.gal/TradutorPublico/traducir/index): “Por su parte, la Consellería de Trabajo y Bienestar se compromete a:  Facilitar los datos personales de las personas titulares del Título oficial de familia numerosa a la entidad financiera Novagalicia Banco, previo consentimiento de las personas interesadas, con la finalidad exclusiva de producir los carnés del programa “Carné Familiar Gallego” y hacer llegar los dichos carnés del programa “Carné Familiar Gallego” al direcciones particulares de las personas titulares del Título oficial de familia numerosa. Asimismo, facilitará los datos personales de las personas titulares del Título oficial de familia numerosa a la entidad GADISA, previo consentimiento de las personas interesadas, con la finalidad exclusiva de hacer llegar a la dirección de las familias beneficiarias del programa el cheque semestral con el descuento acumulado del 2% de las compras. Estos datos comprenderán: el nombre, los apellidos, el domicilio particular y el número del Título oficial de familia numerosa”. Asimismo, en su cláusula novena establece lo siguiente (traducción automática con la herramienta: https://tradutorgaio.xunta.gal/TradutorPublico/traducir/index): “Novagalicia Banco y GADISA, como encargadas del tratamiento de los datos personales de las personas titulares del Título oficial de familia numerosa, solo podrán utilizarlos según las instrucciones que determine la Xunta de Galicia, como responsable del tratamiento, y no podrán utilizarlos nm aplicarlos con una finalidad distinta de la realización de las acciones establecidas a su cargo en el presente acuerdo, nm los podrán comunicar, nm siquiera para su conservación, la otras personas, segundo el establecido en la Ley orgánica 15/1999, de 13 de diciembre , de protección de datos de carácter personal. No caso del envío, a la dirección de las personas titulares de las familias numerosas, del carné nominativo de beneficiario del programa Carne Familiar Gallego y de la carta informativa la que se refiere la cláusula tercera, Novagalicia Banco podrá subcontratar la realización del dicho envío y, por lo tanto, también del tratamiento de los datos que le había encomendado la Consellería de Trabajo y Bienestar a los efectos de tal envío, con las entidades prestadoras de servicios postales que estime conveniente en cada momento (actualmente la Sociedad Estatal Correos y Telégrafos, S.A. y la empresa UNIPOST, S.A.), la cuyos efectos Novagalicia Banco deberá haber suscrito con las entidades subcontratistas un contrato con el contenido y alcance previstos en el artículo 12 de la Ley orgánica 15/1999, en el que se estipulen, por tanto, a cargo de las entidades subcontratistas, todos los deberes y los deberes que respeto del encargado del tratamiento se contemplan en el dicho artículo 12. Una vez cumplida la prestación correspondiente, Novagalicia Banco y GADISA destruirán o devolverán a la Xunta de Galicia, la elección de esta última, los datos que habían tratado, al igual que cualquier soporte o documentos en que consten datos objeto de tratamiento, de conformidad con el previsto en el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/37 artículo 22 del Reglamento de desarrollo de la Ley orgánica 15/1999, aprobado por Real Decreto 1720/2007, de 21 de diciembre. Asimismo, de acuerdo con el dispuesto en el artículo 9 de la Ley orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal, Novagalicia Banco y GADISA deberán adoptar las medidas técnicas y organizativas necesarias para garantizar la seguridad de los datos de carácter personal que eviten su alteración, pérdida, tratamiento o acceso no autorizado. En todo caso, dichas medidas de seguridad que se obligan a adoptar serán las exigibles, en función de la naturaleza de los datos, de acuerdo con el dispuesto en el Reglamento de desarrollo de la Ley Orgánica 15/1999, aprobado por Real Decreto 1720/2007, de 21 de diciembre, sin perjuicio de la implementación de las restantes medidas de seguridad que, en su caso, resulten preceptivas de acuerdo con la normativa vigente en cada momento. A este respeto, los datos de carácter personal de las familias numerosas están incluidos en el fichero "relaciones administrativas con la ciudadanía y entidades" creada por la Orden de 15 de diciembre de 2011, por la que se regulan los ficheros de carácter personal de la Consellería de Trabajo y Bienestar.” En el documento “SOLICITUD CARNÉ FAMILIAR”, que deben completar los solicitantes de las ayudas, enviado por la CONSELLERÍA y recibido en esta Agencia el 17 de abril de 2024, en el apartado: “INFORMACIÓN BÁSICA SOBRE PROTECCIÓN DE DATOS”, como “Destinatario de los datos” recoge “La administración pública en el ejercicio de sus competencias y la entidad financiera colaboradora en la expedición del Carné familiar”. En su respuesta al requerimiento de esta Agencia, de 16/04/2024, GADISA manifiesta que “GADISA con NIF A15106925 es la cabecera (matriz) de las empresas del grupo, del que forma parte GADISA RETAIL S.L.U., con C.I.F.: B15735590, y domicilio en Polígono Piadela s/n 15300 de Betanzos (A Coruña). Es, por tanto, esta última la entidad a la cual debió de dirigirse citado requerimiento”. Haciendo referencia al citado convenio de colaboración con la CONSELLERÍA, manifiesta lo siguiente: “En el marco del citado acuerdo, GADISA RETAIL S.L.U. asume el compromiso de: -Realizar un descuento acumulado de un 2% en la compra realizada en los supermercados GADIS, materializándose dicho descuento a través del envío a los domicilios de los beneficiarios de un cheque semestral para que pueda canjearlo en sus establecimientos. Por su parte la Consellería de Traballo e Benestar se compromete, a su vez, a facilitar los datos personales de las personas titulares del Título oficial de familia numerosa a GADISA RETAIL, previo consentimiento de las personas C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/37 interesadas, (…). Estos datos comprenderán; el nombre, apellidos, domicilio particular y el número del título oficial de familia numerosa”. […] “3.-PROCEDIMIENTO DE EMISIÓN CHEQUE REGALO POR GADISA RETAIL S.L.U.  Los clientes que han solicitado el “carné familiar galego” pueden utilizarlo en cualquiera de los establecimientos de Gadis al realizar su compra, en el momento de pasar los productos por la caja, pasan el carné y el número queda registrado en el ticket de compra. Estos tickets se almacenan en los sistemas de GADISA RETAIL y, cada semestre se calcula el volumen de compras realizadas por los titulares para generar el cheque regalo correspondiente a cada número de carné.  Dado que GADISA RETAIL dispone únicamente de la información relativa al número de carné, pero sin poder vincularla a un beneficiario concreto, se solicita de la Xunta de Galicia, los datos personales de los titulares que han realizado las compras en los establecimientos de su titularidad, para poder emitir y enviar el “cheque regalo” al domicilio de los beneficiarios.  En la comunicación enviada a cada beneficiario del programa de apoyo a las familias numerosas y que han pasado su carné familiar por la caja para reflejarlo en el ticket de la compra, GADISA RETAIL informa a los interesados de los siguientes extremos (ANEXO II) : o Que es beneficiario del programa de apoyo a las familias numerosas, promovido pola Consellería de Traballo e benestar da Xunta de Galicia. o De la información de las compras que ha realizado y presentado su carne de familia numerosa: período de compra, importe de compra y vale descuento. o Información sobre como canjear el vale descuento o Cláusula de protección de datos en la que se ofrece la siguiente información: -Origen de los datos -Finalidad del tratamiento -periodo de conservación -ejercicio de derechos  GADISA RETAIL, únicamente trata los datos personales facilitados por la Xunta de Galicia, para la emisión y envío del “cheque regalo” y atender cualquier consulta sobre el envío de los cheques, una vez cumplida dicha finalidad, se procede a su destrucción”. Adjunta un modelo de carta de envío de cheque como anexo II, que incluye la siguiente cláusula (traducción al castellano con https://tradutorgaio.xunta.gal/): [“Cláusula de protección de datos: Gadisa Retail S.L.U con domicilio en Poligono Piadela s/n 15.300 de Betanzos (A Coruña) informa que sus datos identificativos y de contacto fueron obtenidos a través de la Xunta de Galicia (Consellería de la Familia y Bienestar) y serán tratados por Gadisa Retail con la Finalidad de gestionar los programas de apoyo a las familias numerosas en cumplimiento del convenio firmado con el citado organismo. Siendo necesario dicho tratamiento para cumplir con la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/37 finalidad descrita. Serán conservados durante el tiempo imprescindible para cumplir con la citada finalidad. Usted tiene derecho a solicitar al responsable del tratamiento, en cualquier momento, el acceso, rectificación o supresión de sus datos personales y la limitación de su tratamiento, También tendrá derecho a oponerse a dicho tratamiento, así como a solicitar, salvo casos de interés público y/o ejercicio de poder públicos, a la portabilidad de sus datos. Dichos derechos podrá ejercerlos mediante solicitud, remitida a Gadisa Retail S.L.U, a través de un escrito firmado a tal efecto, indicando Ref: protección de datos FN, adjuntando una fotocopia de su DNI. Asimismo, usted tiene derecho a presentar una reclamación ante la Agencia Española de Protección de Datos (AEPD”] La Agencia para la Modernización Tecnológica de Galicia es encargada de tratamiento de acuerdo con la Disposición adicional tercera de la Ley 10/2023, de 28 de diciembre, de medidas fiscales y administrativas de la Comunidad Autónoma de Galicia («BOE» núm. 39, de 14 de febrero de 2024). Con fecha 09/07/2024 se recoge evidencia la publicación de una nueva versión del “RAT RXPD_RAT_CPSX_v.01.06, que modifica la información sobre protección de datos. Con fecha 07/08/2024, se recoge la información sobre protección de datos proporcionada en la solicitud de “TÍTULO FAMILIA NUMEROSA / CARNÉ FAMILIAR” es la siguiente: “INFORMACIÓN PERSONALES BÁSICA SOBRE LA PROTECCIÓN DE DATOS Responsable del tratamiento Xunta de Galicia. Consellería de Política Social e Igualdad. Finalidades del tratamiento Tramitar este procedimiento, verificar los datos y documentos que la persona interesada aporte en su solicitud para comprobar la exactitud de estos, llevar a cabo las actuaciones administrativas que se deriven e informar sobre el estado de tramitación. Así mismo, los datos personales se incluirán en la Carpeta ciudadana de cada persona interesada para facilitar el acceso a la información, tanto personal como de carácter administrativo. En su caso, expedición y envío del Carné Familiar Gallego con el objetivo de facilitar a las personas interesadas la posibilidad de beneficiarse de los descuentos y otras ventajas ofertadas por las entidades adheridas a este programa. Legitimación para el tratamiento El cumplimiento de una misión realizada en interés público o el ejercicio de poderes públicos derivada de una competencia legalmente atribuida al responsable del tratamiento, así como el cumplimiento de obligaciones legales impuestas a dicho responsable (Ley 40/2003, de 18 de noviembre, de protección a las familias numerosas; ley 3/2011, de 30 de junio, de apoyo a la familia y a la convivencia de Galicia) fundamentada en un interés público C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 10/37 esencial (Texto refundido de la Ley General de Derechos de las Personas con Discapacidad y de su inclusión social) Destinatarios de los datos La Administración pública autonómica, estatal y local cuando sea estrictamente necesario para el ejercicio de sus competencias. En el caso de solicitud de carné familiar galego: • Entidad financiera colaboradora en la expedición y envío del carné familiar galego. • Cuando las ventajas ofertadas por las entidades adheridas al Programa Carné familiar Galego consistan en envío de cheques de descuento a domicilio, en el caso de que las personas interesadas hagan uso voluntariamente del carné en el momento de realizar sus compras, la Consellería de Política Social e Igual-dad remitirá a las mencionadas entidades adheridas los siguientes datos: número de título de familia numerosa, dirección familiar y nombre y apellidos del titular del carné, a los efectos de posibilitar el envío de los cheques así obtenidos. Las personas interesadas podrán solicitar ante el responsable del tratamiento el acceso, rectificación, limitación y supresión de sus datos, así como oponerse a su tratamiento a través de la sede electrónica de la Xunta de Galicia o en los lugares y registros establecidos en la normativa reguladora del procedimiento administrativo común, según se recoge en https://www.xunta.gal/exercicio-dedereitos Contacto con la persona delegada de protección de datos y más información https://www.xunta.gal/informacion-xeral-proteccion-datos” CUARTO: Con fecha 13 de mayo de 2025, la Presidencia de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, por la presunta infracción del artículo 26 del RGPD, tipificada en el Artículo 83.4.
5. a)del RGPD. QUINTO: Notificado el citado acuerdo de inicio conforme a las normas establecidas en la LPACAP, con fecha 02/06/2025 la parte reclamada presentó escrito de alegaciones en el que, en síntesis, manifestaba lo siguiente: - La relación entre la CONSELLERIA y GADISA era la propia de un responsable y un encargado del tratamiento. Remite la CONSELLERÍA al contenido del acuerdo de colaboración de 2014 y en particular su cláusula novena, en la que se establecía la condición de encargado de tratamiento de GADISA. Al respecto señala que “A través de la referida regulación, GADISA asumía las obligaciones de - Tratar los datos personales facilitados por la Consellería de acuerdo con las instrucciones determinadas por ésta, - No utilizar ni aplicar dichos datos personales con una finalidad distintas a la prevista en el referido acuerdo, - No comunicar los datos a terceros. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 11/37 - Destruir (en el caso de Gadisa) los datos personales una vez cumplida la prestación correspondiente. Cabe señalar, a este respecto, que las anteriores obligaciones caracterizaban ya, en el año 2014, la figura del encargado del tratamiento, conforme a lo dispuesto en el artículo 12 de la actualmente derogada Ley Orgánica 15/1999, de13 de diciembre, de Protección de Datos de Carácter Personal. Por su parte, la Consellería asumía la condición de responsable del tratamiento de los datos en base a las competencias otorgadas para ello en la legislación aplicable, determinando, tanto la finalidad del tratamiento de los datos, como el perfil de los destinatarios de los referidos descuentos, los propios datos a facilitar desde la Consellería a GADISA y demás condiciones del tratamiento. Es decir, la Consellería determinaba los fines y medios del tratamiento (…) No hubo, por lo tanto, una determinación conjunta por parte de la Consellería y de GADISA, de los fines y los medios del tratamiento de los datos, sin perjuicio de que GADISA pudiese albergar otros intereses legítimos, además de la mera colaboración en facilitar el acceso a las familias numerosas a distintos bienes, al igual que en la contratación de otro tipo de prestaciones de servicios, la entidad contratada, encargado del tratamiento de los datos personales, recibe una contraprestación económica.” Añade la CONSELLERÍA que a través del formulario de solicitud del Carné Familiar que figuraba en su página web informaba de su condición de responsable del tratamiento respecto de los datos recabados y, en la misma página web, informaba de las condiciones en las que GADISA llevaba a cabo los descuentos. Afirma la CONSELLERÍA que en el caso de GADISA la aplicación del descuento requería la exhibición del carné familiar, de lo que se deriva que la CONSELLERÍA no comunicaba a GADISA ni ésta podía tratar datos de las personas interesadas sin su conocimiento o consentimiento, si bien la base legitimadora sería el cumplimiento de una misión realizada en interés público. Por otra parte, destaca la CONSELLERÍA que, en 2014, año de suscripción del acuerdo, no se regulaba la figura de la corresponsabilidad que actualmente recoge el artículo 26 del RGPD. - Actualización de las cláusulas informativas y del RAT Informa asimismo de que se han actualizado las cláusulas informativas en la solicitud del título de familia numerosa conforme al artículo 13 del RGPD, así como el RAT en lo relativo al tratamiento objeto de este procedimiento y que se ha suscrito un nuevo contrato de encargo, que se adjunta. - C/ Jorge Juan, 6 28001 – Madrid No ha pretendido incumplir la normativa en materia de protección de datos. www.aepd.es sedeaepd.gob.es 12/37 Por todo lo anterior, alega la CONSELLERÍA que no ha tenido intención de realizar un tratamiento desleal o no transparente, ni de incumplir lo dispuesto en la normativa de protección de datos, dado que se consideró que GADISA ostentaba la condición de encargado y en este sentido se llevaron a cabo las diferentes actuaciones. Por último, la CONSELLERÍA comunica que, de manera provisional, prevé asumir la siguiente remesa de descuentos en tanto no recaiga resolución en este procedimiento sancionador y que, de resolverse que ha existido infracción, formalizará el correspondiente acuerdo de corresponsabilidad, previo acuerdo con GADISA, o “de ser factible modificar la operativa en la gestión de los descuentos de tal forma que no fuese necesario el tratamiento de datos personales por parte de esta”. Junto a su escrito de alegaciones presenta: - - Copia en gallego del Contrato de encargado de tratamiento por cuenta de la Consellería de Política Social e Igualdad para la aplicación de descuentos a las familias numerosas que dispongan del carné familiar gallego suscrito entre GADISA y la CONSELLERÍA. El documento se encuentra firmado por ambas partes digitalmente el 19 de agosto de 2024. Copia en castellano del documento anterior, traducido a través de https://tradutorgaio.xunta.gal/ SEXTO: Con fecha 4 de julio de 2025 se formuló propuesta de resolución, proponiendo Que por la Presidencia de la Agencia Española de Protección de Datos se declare que la CONSELLERÍA ha cometido una infracción del artículo 26 del RGPD, tipificada en el Artículo 83.4.
6. a)del RGPD. Que por la Presidencia de la Agencia Española de Protección de Datos se ordene a CONSELLERÍA que en virtud del artículo 58.2.
7. d)del RGPD, en el plazo de seis meses, a contar desde la fecha de ejecutividad de la resolución finalizadora de este procedimiento, adopte el acuerdo exigido por el artículo 26 del RGPD, en los términos y con el contenido que se establecen en dicho precepto y poniendo a disposición de los interesados los aspectos esenciales de dicho acuerdo. SÉPTIMO: Con fecha 21 de julio de 2025 se recibió escrito de alegaciones de la CONSELLERÍA en el que, en síntesis, manifestaba lo siguiente: 1. Reitera las alegaciones realizadas al acuerdo de inicio. 2. Señala que desde que se firmó el convenio de colaboración en 2014 la CONSELLERÍA actuó en todo momento intentando cumplir la normativa vigente y que su actuación, en concreto la relación con GADISA como de responsable y encargado, fue de buena fe. Añade que “prueba de la voluntad de dar cumplimiento a la normativa son las sucesivas actualizaciones de las cláusulas informativas a las personas interesadas y el registro de actividades de tratamiento. Con la misma intencionalidad se C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 13/37 formalizó un nuevo contrato de encargado de tratamiento entre ambas partes en el año 2024”. 3. En tercer lugar, alega la CONSELLERÍA que “en ningún momento la Consellería de Política Social e Igualdad ha tenido la intención de llevar a cabo un tratamiento desleal o no transparente de los datos personales utilizados para gestionar los descuentos en bienes y servicios ofrecidos a las familias numerosas, sino que, por el contrario, el objeto de este tratamiento es precisamente ampliar los beneficios a estas familias en Galicia”. Añade que tampoco ha sido intención de la CONSELLERÍA obviar la formalización de un acuerdo como corresponsables, sino que se consideró desde el inicio del tratamiento que la condición que ostentaba GADISA era de encargado. 4. Por último, alega la CONSELLERÍA que, en caso de que esta Agencia confirme la infracción, adoptará las medidas que sean impuestas a la mayor brevedad, en particular, la firma de un acuerdo de corresponsabilidad y la puesta a disposición de los interesados de los aspectos esenciales del mismo. A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes, HECHOS PROBADOS PRIMERO: La CONSELLERIA es un órgano administrativo de la Xunta de Galicia entre cuyas competencias se encuentra la promoción y desarrollo de políticas públicas orientadas a la asistencia y apoyo de las familias. A estos efectos podrá promover actuaciones de colaboración con organismos y entidades privadas de acuerdo con la Ley 3/2011, de 30 de junio, de apoyo a la familia y a la convivencia de Galicia. SEGUNDO: En el ejercicio de sus competencias, se creó en el año 2001 el programa “Carné familiar galego”, en palabras de la CONSELLERIA “como medio para ampliar los beneficios de las familias numerosas en Galicia (…) basada en la colaboración entre la Administración autonómica y la iniciativa privada, con el objetivo de facilitar el acceso de las familias numerosas a distintos bienes y servicios mediante descuentos u otro tipo de ventajas ampliando y complementando los beneficios que otorga el título oficial de familia numerosa”. TERCERO: GADISA es una entidad privada propietaria de los supermercados GADIS. CUARTO: Con fecha 16/05/2014 se suscribió entre la empresa GADISA y la CONSELLERÍA (entonces denominada Consellería de Traballo e Benestar de la Xunta de Galicia), un acuerdo de colaboración cuyo objeto es el “desarrollo del programa “Carné Familiar Gallego””. En virtud del acuerdo de colaboración, los titulares del mencionado carné, una vez se hubieran identificado como tales al realizar una compra en los establecimientos de GADISA, podrían beneficiarse de descuentos en forma de cheques en estos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 14/37 establecimientos atendiendo al volumen de compras realizadas. A estos efectos, la CONSELLERIA remitiría a GADISA determinados datos personales de los mencionados titulares. QUINTO: El apartado tercero del acuerdo de colaboración establece que GADISA tiene entre sus objetivos la “colaboración en la presentación de determinados servicios sociales a la comunidad, ya sea directamente o colaborando con entidades públicas o privadas”. SEXTO: La cláusula quinta del mencionado acuerdo de colaboración establece que GADISA se compromete a hacer un descuento acumulado de un 2% en la compra efectuada en sus establecimientos a las familias beneficiarias del programa, materializándose en el envío de un cheque semestral para cambiar por productos en sus establecimientos y que podrá hacer descuentos en productos concretos que se acumularán al descuento total. SÉPTIMO: La cláusula séptima de dicho acuerdo establece que la CONSELLERÍA “facilitará los datos personales de las personas titulares del Título oficial de familia numerosa a la entidad GADISA, previo consentimiento de las personas interesadas, con la finalidad exclusiva de hacer llegar a la dirección de las familias beneficiarias del programa el cheque semestral con el descuento acumulado del 2% de las compras. Estos datos comprenderán: el nombre, los apellidos, el domicilio particular y el número del Título oficial de familia numerosa”. OCTAVO: La cláusula novena de dicho acuerdo identifica a GADISA como encargado de tratamiento de los datos de personas titulares del carné familiar gallego, y a la CONSELLERÍA como responsable del tratamiento. Esta identificación se mantiene tanto en las diferentes versiones (de 11 de marzo de 2024 y de 7 de agosto de 2024) de la INFORMACIÓN BÁSICA SOBRE PROTECCIÓN DE DATOS PERSONALES facilitada en el formulario de solicitud “TÍTULO DE FAMILIA NUMEROSA / CERTIFICADO LEY 3/2011”, así como en la información facilitada junto a los cheques de descuento. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 15/37 reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Cuestiones previas El artículo 4.1 del RGPD define «datos personales» como: “toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona”. Por su parte, el artículo 4.2 define «tratamiento» como: “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción;” En el presente caso, de acuerdo con lo establecido en el artículo 4.1 y 4.2 del RGPD, consta la realización de un tratamiento de datos personales, toda vez que CONSELLERÍA realiza, entre otras operaciones, la recogida, almacenamiento y comunicación de datos personales de las personas físicas que solicitan el carné de familia numerosa, como el nombre, apellidos y la dirección postal. A su vez, el artículo 4.7 del RGPD recoge el concepto de «responsable» como: “la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros”. Esta figura no debe confundirse con la de encargado del tratamiento definida en el artículo 4.8 del RGPD como: “la persona física o jurídica, autoridad pública, servicio u otro organismo que trate datos personales por cuenta del responsable del tratamiento”. Las Directrices del Comité Europeo de Protección de Datos (CEPD), 07/2020 sobre los conceptos de «responsable del tratamiento» y «encargado del tratamiento» adoptadas el 7 de julio de 2020 versión 2.0, indican dos condiciones fundamentales C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 16/37 para tener la consideración de encargado del tratamiento, que deben analizarse caso por caso para concluir si existe esta figura: “76. Para ser considerado encargado del tratamiento, es necesario reunir dos condiciones fundamentales:
8. a)ser un ente independiente del responsable del tratamiento; y
9. b)tratar datos personales por cuenta del responsable.” (subrayado de la AEPD) Conviene remarcar, llegados a este punto, que las Directrices del CEPD 07/2020 destacan que los conceptos de responsable del tratamiento y encargado del tratamiento son conceptos funcionales, siendo necesario establecerlos en virtud de sus actividades concretas en el caso analizado y no en función de la designación formal que pueda figurar en el contrato: “12. Los conceptos de «responsable del tratamiento» y «encargado del tratamiento» son conceptos funcionales: su objetivo es asignar responsabilidades en función del papel real de cada parte. Esto implica que la condición jurídica de «responsable del tratamiento» o «encargado del tratamiento» de los participantes debe establecerse en principio en virtud de sus actividades concretas en una situación determinada y no en función de la designación formal de un participante como «responsable del tratamiento» o «encargado del tratamiento» (p. ej., en un contrato).Esto implica que la asignación de la función de responsable o encargado debe derivar normalmente de un análisis de los hechos o circunstancias del caso y, en consecuencia, no es negociable.” Por tanto, para determinar quién es en cada caso el responsable del tratamiento, será necesario realizarse dos preguntas de acuerdo con las mencionadas Directrices: “20. (…) El responsable del tratamiento es quien decide determinados aspectos esenciales del tratamiento de los datos. La responsabilidad del tratamiento puede establecerse en la normativa o deducirse de un análisis de los hechos o las circunstancias del caso. Es necesario dirigir la atención a las actividades de tratamiento concretas de que se trate y comprender quién las determina. Para ello, primero deben examinarse las siguientes cuestiones: «¿por qué tiene lugar el tratamiento?» y «¿quién ha decidido que debe llevarse a cabo el tratamiento para un fin concreto?».” Es necesario, no obstante, matizar lo señalado anteriormente, en los supuestos, como el que nos ocupa, en el que el responsable es una Administración Pública. En estos casos, el responsable del tratamiento es aquel órgano administrativo que tenga atribuidas las competencias por una norma jurídica, para cuyo ejercicio sea preciso realizar tratamientos de datos de carácter personal. Si no se ostenta la competencia para realizar una determinada actividad, tampoco se tiene para llevar a cabo los tratamientos que de la misma se derivarían. La competencia determinará, por tanto, la legitimación para realizar el tratamiento. Y todo ello, partiendo de la premisa de que, frente a lo que sucede en el ámbito privado, en el que se puede hacer todo lo que no está prohibido, las Administraciones Públicas solo C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 17/37 pueden acometer lo que el ordenamiento jurídico les permite, con sometimiento pleno a la Ley y al Derecho (artículos 9.1 y 103.1 de la Constitución Española). Así se dispone en el artículo 8 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público (en lo sucesivo, LRJSP), cuando se dispone que “la competencia es irrenunciable y se ejercerá por los órganos administrativos que la tengan atribuida como propia, salvo los casos de delegación o avocación, cuando se efectúen en los términos previstos en esta u otras leyes”. El apartado segundo del artículo 8.1 de la LRJSP añade que “la delegación de competencias, las encomiendas de gestión, la delegación de firma y la suplencia no suponen alteración de la titularidad de la competencia, aunque sí de los elementos determinantes de su ejercicio que en cada caso se prevén”, de tal forma que se establecen mecanismos para asignar, en su caso, el ejercicio de las competencias a otros órganos administrativos. En el presente caso, la CONSELLERÍA es una de las consellerías que forman parte de la Xunta de Galicia, de acuerdo con lo establecido en el artículo 1 del Decreto 49/2024, de 22 de abril, por el que se fija la estructura orgánica de las consellerías de la Xunta de Galicia. Su ámbito competencial está definido en el Decreto 139/2024, de 20 de mayo, por el que se establece la estructura orgánica de la Consellería de Política Social e Igualdad, que establece el su artículo 1 lo siguiente: “La Consellería de Política Social e Igualdad es el órgano de la Administración general de la Comunidad Autónoma de Galicia al cual, además de aquellas competencias y funciones establecidas por la Ley 1/1983, de 22 de febrero, de normas reguladoras de la Xunta y de su Presidencia, corresponde, de conformidad con el Estatuto de autonomía y con la Constitución española, proponer y ejecutar las directrices generales del Gobierno en el ámbito del bienestar, que engloban las competencias en materia de servicios sociales, incluyendo las políticas de familia, menores, bienestar social, inclusión social, servicios comunitarios, inmigración, atención a las personas discapacitadas y a las personas mayores, la promoción de la autonomía personal y la atención a las personas en situación de dependencia, y promover y adoptar medidas encaminadas a la consecución de la igualdad efectiva entre mujeres y hombres, en la forma establecida en este decreto.” A este respecto, conviene recordar que, el artículo 27.23 de la Ley Orgánica 1/1981, de 6 de abril, de Estatuto de Autonomía para Galicia atribuye a esta Comunidad Autónoma la competencia exclusiva en materia de asistencia social, que se desarrolla entre otras en la Ley 13/2008, de 3 de diciembre, de servicios sociales de Galicia o la Ley 3/2011, de 30 de junio, de apoyo a la familia y a la convivencia de Galicia. En el artículo 3 de esta última norma se señala que: “(…) En particular, la Xunta de Galicia, a través de los departamentos competentes, proveerá actuaciones de cooperación con los municipios, diputaciones y otras instituciones públicas, así como la colaboración con los organismos y entidades privadas, a fin de promover y fomentar la participación en las actuaciones de protección, asistencia y apoyo a la familia y a la infancia y la adolescencia (…). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 18/37 A la vista de lo anterior, la CONSELLERÍA tendría la condición de responsable del tratamiento, en la medida en que determina los medios y fines del mismo, en el ámbito de sus competencias. Dicho esto, como se ha visto, el artículo 4.7 del RGPD permite que la determinación de los medios y los fines realizada por el responsable la lleve a cabo “solo” o “junto con otros”. A este respecto, la STJUE de 7 de marzo de 2024 en el asunto EC-604/22, ha determinado: “ (…) 56 Además, puesto que, tal como prevé expresamente el artículo 4, punto 7, del RGPD, el concepto de «responsable del tratamiento» se refiere al organismo que «solo o junto con otros» determine los fines y los medios del tratamiento de datos personales, dicho concepto no se remite necesariamente a una única entidad, sino que puede aludir a varios actores que participen en ese tratamiento, cada uno de los cuales estará por tanto sujeto a las disposiciones aplicables en materia de protección de datos (véanse, por analogía, las sentencias de 5 de junio de 2018, Wirtschaftsakademie Schleswig-Holstein, C-210/16, EU:C:2018:388, apartado 29, y de 10 de julio de 2018, Jehovan todistajat, C-25/17, EU:C:2018:551, apartado 65). 57 Asimismo, el Tribunal de Justicia ha considerado que una persona física o jurídica que, atendiendo a sus propios objetivos, influye en el tratamiento de datos personales y participa, por ello, en la determinación de los fines y los medios de dicho tratamiento puede ser considerada responsable del tratamiento en el sentido del artículo 4, punto 7, del RGPD (véase, por analogía, la sentencia de 10 de julio de 2018, Jehovan todistajat, C-25/17, EU:C:2018:551, apartado 68). Así, de conformidad con el artículo 26, apartado 1, del RGPD, existen «corresponsables del tratamiento» cuando dos o más responsables del tratamiento determinen conjuntamente los fines y medios del tratamiento (sentencia de 5 de diciembre de 2023, Nacionalinis visuomenės sveikatos centras, C-683/21, EU:C:2023:949, apartado 40) (…)”. Por tanto, cuando los fines y los medios son definidos conjuntamente por dos responsables surge la figura de los “corresponsables” de la que las mencionadas Directrices 7/2020 aseveran: “(…) La figura de los corresponsables del tratamiento puede surgir cuando existen varios participantes en el tratamiento. El RGPD introduce disposiciones específicas sobre los corresponsables del tratamiento y establece un marco regulatorio para la relación entre estos. El criterio general para la existencia de la corresponsabilidad del tratamiento es la participación conjunta de dos o más entes en la determinación de los fines y los medios de una operación de tratamiento. La participación conjunta puede tomar la forma de una decisión común adoptada por dos o más entes o ser el resultado de la convergencia de decisiones de dos o más entes, siempre que dichas decisiones se complementen entre sí y sean necesarias para que se lleve a cabo el tratamiento debido a que tienen un efecto tangible sobre la determinación de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 19/37 los fines y los medios del tratamiento. Un criterio importante para determinar la existencia de corresponsabilidad es la imposibilidad del tratamiento sin la participación de ambas partes, en el sentido de que los tratamientos por las distintas partes son inseparables los unos de los otros por estar indisolublemente unidos. La participación conjunta debe conllevar la determinación de los fines, por un lado, y de los medios, por otro.” En la misma línea se pronuncia el artículo 26 del RGPD que señala en su apartado 1 que “cuando dos o más responsables determinen conjuntamente los objetivos y los medios del tratamiento serán considerados corresponsables del tratamiento”. En el caso que nos ocupa, es necesario analizar si la CONSELLERÍA realiza la definición de los medios y fines del tratamiento sola o junto a otros y si, atendiendo a lo anterior, puede tener la condición de “corresponsable” del tratamiento. En el presente caso hay un tratamiento de los datos de las personas titulares del “carné familiar galego”, que implica varias operaciones de tratamiento, entre ellos los siguientes: - Cuando una persona solicita el citado carné, la CONSELLERÍA recoge y conserva determinados datos a través del formulario de solicitud (nombre y apellidos del titular y sus familiares). - Cuando el titular de ese carné lo exhibe al realizar una compra en un establecimiento de GADISA, la empresa recoge y conserva los datos del carné y los asocia junto con los relativos a la compra. - De acuerdo con lo que afirman ambas partes, semestralmente GADISA comunica los números de carné a la CONSELLERÍA, con el objeto de conocer nombre, apellidos y dirección postal de los titulares de dicha numeración para enviarles un cheque descuento en función de las compras realizadas durante ese periodo (si bien las fechas de los documentos que obran en el expediente no se corresponden con semestres naturales). - Por su parte, la CONSELLERÍA le remite a GADISA los datos identificativos y dirección postal de las personas indicadas. Se trata de un dato que la CONSELLERÍA no obtiene del formulario de solicitud del carné. - Finalmente, GADISA remite una carta, a las direcciones facilitadas por la CONSELLERÍA, con los datos de compra del semestre y el descuento que les ofrece en futuras compras. En sus respuestas a los requerimientos de esta Agencia, tanto la CONSELLERÍA como GADISA, se amparan en un acuerdo de colaboración de 16/05/2014 firmado por la entonces Consellería de Traballo e Benestar (cuyas competencias corresponden actualmente a la CONSELLERÍA) y, entre otras entidades, GADISA. En dicho acuerdo se hace referencia a la CONSELLERÍA como responsable del tratamiento y a GADISA como encargado, recogiendo los compromisos asumidos por una y otra en las cláusulas séptima y novena, respectivamente, que se han transcrito anteriormente. No obstante, cabe cuestionar que la relación y obligaciones que se establecen en el convenio de colaboración se correspondan con la de un responsable (CONSELLERÍA) y un encargado (GADISA) del tratamiento y no con la de dos corresponsables. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 20/37 Este hecho es relevante, ya que la calificación como corresponsables del tratamiento repercute en la asignación de obligaciones con vistas a cumplir la normativa en materia de protección de datos, en la medida en que el artículo 26 del RGPD, establece para los corresponsables unas obligaciones específicas, consistentes en reflejar de forma transparente las responsabilidades de cada uno de ellos, en particular en relación con las obligaciones de información a los interesados. . Pues bien, dichas Directrices se refieren específicamente al concepto de corresponsable en su apartado I.3 y a las consecuencias de la corresponsabilidad en su apartado II.2. Sobre el concepto de corresponsable, las Directrices señalan lo siguiente: 51. (…) En términos generales, existe una corresponsabilidad del tratamiento concreta cuando diferentes partes determinan conjuntamente los objetivos y los medios del tratamiento. Por tanto, para evaluar la existencia de corresponsabilidad del tratamiento es necesario examinar si la determinación de los fines y los medios que caracteriza la responsabilidad del tratamiento puede atribuirse a más de una parte. El término conjuntamente debe interpretarse en el sentido de «junto con otros» o «no solo» y puede revestir distintas formas y combinaciones. (…) 54. La participación conjunta en la determinación de los fines y los medios implica que más de un ente influye de manera decisiva en la decisión de llevar a cabo el tratamiento y el modo de hacerlo. En la práctica, la participación conjunta puede revestir varias formas. Por ejemplo, puede tomar la forma de una decisión común adoptada por dos o más entes o ser el resultado de la convergencia de decisiones de dos o más entes en relación con los fines y los medios esenciales. 55. La participación conjunta por medio de una decisión común implica decidir conjuntamente y conlleva una intención común, y representa la interpretación más habitual del término conjuntamente incluido en el artículo 26 del RGPD. La participación conjunta como resultado de la convergencia de decisiones puede extraerse más concretamente de la jurisprudencia del TJUE sobre el concepto de «corresponsables del tratamiento». Puede considerarse que las decisiones convergen en los fines y los medios si se complementan entre sí y son necesarias para que tenga lugar el tratamiento de tal manera que tengan un efecto tangible en la determinación de los fines y los medios del tratamiento. Es necesario señalar que la noción de convergencia de decisiones debe considerarse en relación con los fines y los medios del tratamiento, con independencia de otros aspectos de la relación comercial entre las partes. En consecuencia, para identificar la convergencia de decisiones en este contexto, es importante preguntarse si el tratamiento no hubiera sido posible sin la participación de ambas partes en los fines y los medios, en el sentido de que los tratamientos por las distintas partes son C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 21/37 inseparables los unos de los otros por estar indisolublemente unidos. La corresponsabilidad del tratamiento como consecuencia de la convergencia de decisiones debe distinguirse, sin embargo, de la figura del encargado del tratamiento, puesto que este, a pesar de participar en el tratamiento, no trata los datos para sus propios fines, sino que lleva a cabo el tratamiento por cuenta del responsable. (…) 59. Existe corresponsabilidad del tratamiento cuando los entes que participan en el mismo tratamiento lo llevan a cabo para unos fines definidos conjuntamente. Esto es así cuando los entes participantes tratan los datos para el mismo fin o para un fin común. 60. Además, en vista de la jurisprudencia del TJUE, es posible determinar la corresponsabilidad cuando los participantes persigan unos fines estrechamente vinculados o complementarios, aunque no compartan un mismo fin en el tratamiento. En la misma línea se ha pronunciado el TJUE que, en su STJUE de 7 de marzo de 2024 en el asunto C-604/22: “58. A este respecto, si bien cada corresponsable del tratamiento debe responder de manera independiente a la definición de «responsable del tratamiento» del artículo 4, punto 7, del RGPD, la existencia de una responsabilidad conjunta no supone necesariamente que, con respecto a un mismo tratamiento de datos personales, los diversos agentes tengan una responsabilidad equivalente. Bien al contrario, los agentes pueden estar implicados en distintas etapas del tratamiento y en distintos grados, de modo que el nivel de responsabilidad de cada uno de ellos debe evaluarse teniendo en cuenta todas las circunstancias pertinentes del caso concreto. Además, la responsabilidad conjunta de varios agentes respecto a un mismo tratamiento en virtud de dicho precepto no presupone que cada uno de ellos tenga acceso a los datos personales en cuestión (véase, por analogía, la sentencia de 10 de julio de 2018, Jehovan todistajat, C-25/17, EU:C:2018:551, apartados 66 y 69 y jurisprudencia citada). 59. La participación en la determinación de los fines y medios del tratamiento puede adoptar distintas formas y resultar tanto de una decisión común adoptada por dos o más entidades como de decisiones convergentes de esas entidades. En este último caso, dichas decisiones deben complementarse, de modo que cada una de ellas tenga un efecto concreto en la determinación de los fines y medios del tratamiento. En cambio, no puede exigirse que exista un acuerdo formal entre dichos responsables del tratamiento en cuanto a los fines y medios del tratamiento (sentencia de 5 de diciembre de 2023, Nacionalinis visuomenės sveikatos centras, C-683/21, EU:C:2023:949, apartados 43 y 44) (…)”. En el presente caso, el documento principal en el que se determinan los objetivos y medios del tratamiento es el acuerdo de colaboración de 2014. En él se establecen los C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 22/37 objetivos de cada parte y la forma de llevarlos a cabo. En relación con los objetivos de GADISA, el apartado tercero establece lo siguiente (traducción automática realizada con la herramienta https://tradutorgaio.xunta.gal/TradutorPublico/traducir/index): TERCERO. Que la entidad financiera Novagalicia Banco, y las empresas CITRÖEN y GADISA tienen entre sus objetivos a colaboración en la presentación de determinados servicios sociales a la comunidad, ya sea directamente o colaborando con entidades públicas o privadas. En cuanto al objetivo del acuerdo de colaboración de 2014, éste se establece en su cláusula primera, que establece lo siguiente (traducción automática realizada con la herramienta https://tradutorgaio.xunta.gal/TradutorPublico/traducir/index): “PRIMERA Constituye el objeto del presente acuerdo a colaboración entre las partes firmantes para el desarrollo del programa “Carné Familiar Gallego”, como instrumento que amplía los beneficios de los que disponen las familias numerosas. En este sentido, se llevarán a cabo diferentes actuaciones tendentes a la consecución del dicho objetivo”. Esto es, existe un interés por ambas partes en alcanzar los objetivos del mencionado acuerdo, alineado con los fines de cada una: en el caso de la CONSELLERÍA, para el desarrollo de sus competencias de apoyo a la familia y, en el caso de GADISA, para la consecución de su “objetivo de colaboración en la presentación (sic) de determinados servicios sociales a la comunidad (…) colaborando con entidades públicas”. Cabe hablar, por tanto, de la existencia de una voluntad conjunta y una convergencia de intereses y para la consecución de dicho objetivo, utilizan un instrumento propio de una actuación conjunta, como es un acuerdo de colaboración. Lo anterior, por tanto, contradice la identificación de GADISA como encargada de la CONSELLERÍA, atendiendo al carácter funcional del concepto, aun cuando así se determine en el mencionado convenio, en tanto que no cumpliría uno de los dos requisitos determinados por el CEPD para tener está condición: actuar por cuenta de la CONSELLERÍA o en nombre de la CONSELLERÍA. Así, por encima de lo que formalmente se estipula en el acuerdo, lo más relevante a efectos de determinar la condición de CONSELLERÍA y GADISA como corresponsables del tratamiento son las actuaciones que, en la práctica, están realizando y estas, como se ha indicado, responden a que ambas entidades tienen objetivos que convergen y se complementan y, para conseguirlos, articulan una colaboración que implica el tratamiento de datos personales en la que cada parte asume unas obligaciones y operaciones de tratamiento. En el caso de la CONSELLERÍA, en particular, en el ámbito de sus competencias como administración pública, mientras que, en el caso de GADISA en el marco de su actividad profesional. Las actuaciones de CONSELLERÍA y GADISA son complementarias y destinadas a articular e implementar medidas que supongan un beneficio para su público objetivo. Así, tal como se deriva de las obligaciones asumidas por las partes en el convenio reproducidas anteriormente, el tratamiento no sería posible sin las diferentes C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 23/37 operaciones de tratamiento definidas y llevadas a cabo por cada una de las partes. De lo anterior se desprende que, tal y como se señala en las Directrices 07/2020, el tratamiento no sería posible sin la participación de ambas. Es decir, los tratamientos por las distintas partes son inseparables los unos de los otros por estar indisolublemente unidos. Se ha partido de los fines o intereses propios de cada entidad (implementación de políticas públicas y gestión de servicios públicos al servicio de los intereses generales, en el marco de sus competencias, en el caso de la CONSELLERIA; y el cumplimiento de sus objetivos de colaboración en la prestación de servicios sociales en lo que respecta a GADISA) para establecer un fin común del tratamiento: el desarrollo del programa “Carné Familiar Galego”. También cabe señalar que el hecho de que sea la CONSELLERÍA quien obtiene los datos de los interesados o que la participación de una y otra entidad sea diferente, no impediría la consideración de GADISA como corresponsable, de acuerdo con lo que señalan las citadas Directrices: 56. El hecho de que una de las partes no disponga de acceso a los datos personales tratados no es suficiente para excluir la corresponsabilidad del tratamiento. (…) 58. La existencia de corresponsabilidad no implica necesariamente una responsabilidad idéntica de los distintos participantes involucrados en el tratamiento de los datos personales. Más bien al contrario: el TJUE ha aclarado que las partes pueden participar en distintas fases del tratamiento y en distinto grado. Por tanto, el nivel de responsabilidad de cada una debe evaluarse en función de todas las circunstancias pertinentes del caso concreto. Una vez determinado que CONSELLERÍA y GADISA son corresponsables del tratamiento (y no responsable y encargado, respectivamente), ha de verificarse si se han cumplido las obligaciones que el artículo 26 del RGPD establece para estos supuestos. III Contestación a las alegaciones al acuerdo de inicio En respuesta a las alegaciones presentadas por la entidad reclamada se debe señalar lo siguiente: - En cuanto a las alegaciones relativas a que la relación entre la CONSELLERIA y GADISA era la propia de un responsable y un encargado del tratamiento. En relación con el contenido del acuerdo de 2014, si bien la CONSELLERÍA alega que las obligaciones asumidas por GADISA caracterizaban la figura del encargado y que no hubo determinación conjunta de fines y medios, hay diferentes aspectos de dicho acuerdo contradictorios con esa afirmación. Sin perjuicio de que estos aspectos se desarrollen con detalle en el epígrafe de Cuestiones Previas, al que se remite, conviene reiterar como se indicó en el acuerdo de inicio, que los conceptos de responsable y encargado son, como señalan las Directrices del CEPD 07/2020, conceptos funcionales. Esto implica que la condición C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 24/37 jurídica se establece en virtud de las actividades concretas que desarrollan y no de su designación formal (en el presente caso, a través del acuerdo de colaboración). En este sentido, al margen de que el acuerdo designe expresamente a GADISA como encargado, es necesario analizar por qué tiene lugar el tratamiento, quién decide que se lleve a cabo y cómo. El propio hecho de que el acto jurídico sea un acuerdo de colaboración es un indicio de que hay dos entidades que tienen una finalidad compartida. No en vano, el artículo 47 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público define un convenio de colaboración público-privada como un acuerdo con efectos jurídicos los acuerdos con efectos jurídicos adoptado por las Administraciones Públicas, los organismos públicos y entidades de derecho público vinculados o dependientes o las Universidades públicas con sujetos de derecho privado para un fin común. Así en la parte expositiva del convenio que regula la relación entre la CONSELLERÍA y GADISA, se indica (apartado segundo) que GADISA tiene entre sus objetivos la colaboración en la prestación de servicios sociales a la comunidad, directamente o colaborando con entidades públicas o privadas. Este sería, por tanto, un fin propio de GADISA. Ese fin es convergente con un fin perseguido por la CONSELLERÍA y por ese motivo acuerdan colaborar en una actividad (conceder descuentos a los titulares del carné) que implica un tratamiento de datos personales. El hecho de que la CONSELLERÍA tenga una competencia atribuida en la legislación, como dice, no impide que la finalidad de esa competencia converja con uno de los fines de GADISA y que ambas acuerden colaborar para la consecución de un fin común que requiere el tratamiento de datos personales. En este sentido, conviene señalar que GADISA persigue un interés propio con el tratamiento de los datos personales de sus clientes titulares del carnet de familia numerosa, en la medida en que el beneficio de las familias numerosas se basa en un sistema descuentos en sus supermercados. Por tanto, la iniciativa repercute indirectamente en el volumen de ventas en sus establecimientos. Los tratamientos necesarios para la realización de estos descuentos en compras y la forma de facilitárselos a los titulares los lleva a cabo GADISA por cuenta propia y no por cuenta de la CONSELLERÍA. De hecho, la CONSELLERÍA ni asume el coste de dichos descuentos ni podría imponérselos a una empresa. La decisión de participar en el proyecto y cómo llevará a cabo su contribución la toma, de forma exclusiva, GADISA, y para ello acuerda con la CONSELLERÍA dar ese beneficio a sus clientes, dado que ésta tiene entre sus objetivos, como se ha dicho, la prestación de servicios sociales a la comunidad. Por tanto, CADISA y la CONSELLERÍA definen conjuntamente los fines del tratamiento y no exclusivamente la CONSELLERÍA Además, GADISA realiza el tratamiento determinando con la CONSELLERÍA los medios para ello, en tanto que el convenio establece los mecanismos en los que se llevarán a la práctica y se implementarán esos descuentos, tal y como se recoge en la cláusula quinta del convenio. Ligado a lo anterior, se enfatiza que el CEPD ha establecido en sus Directrices 07/2020 las dos condiciones acumulativas que han de cumplirse para que una entidad C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 25/37 tenga la condición de encargada de otra: en primer lugar, es necesario que sean independientes y, en segundo lugar, que el supuesto encargado trate los datos por cuenta del responsable. En este sentido, si bien el primero de los requisitos podría entenderse cumplido, en la medida en que GADISA y la CONSELLERÍA son dos entidades independientes, no puede afirmarse que GADISA sirva los intereses de la CONSELLERÍA, ni actúe por delegación o por cuenta de esta en la medida en que, en plano de igualdad, determina los fines y medios del tratamiento tal y como se ha señalado previamente. En cuanto a la aseveración de que la CONSELLERÍA informaba a través del formulario y de su página web, se subraya que, tal y como se recogía en el acuerdo de inicio, la información facilitada a los interesados se enmarca en una relación entre la CONSELLERÍA y GADISA como responsable y encargado del tratamiento, respectivamente, no en tanto que corresponsables. En consecuencia, no puede apreciarse el cumplimiento de las obligaciones específicas que establece el artículo 26 del RGPD y que son objeto del presente procedimiento sancionador. En lo referente a la afirmación de que la aplicación del descuento requería la exhibición del carné por lo que la CONSELLERÍA no comunicaba a GADISA ni ésta podía tratar datos de las personas interesadas sin su conocimiento o consentimiento, esta alegación no es relevante para el hecho de considerar o no un incumplimiento del artículo 26 del RGPD, que es el objeto de este procedimiento. Por último, señala la CONSELLERÍA que en el momento en el que se suscribió el convenio, en el año 2014 no se regulaba la figura de la corresponsabilidad en los mismos términos que los actualmente recogidos en el artículo 26 del RGPD. Al respecto se subraya que, si bien es cierto que las exigencias del artículo 26 son una novedad establecida por el RGPD, la alegación efectuada no exime a la CONSELLERIA del cumplimiento de la normativa vigente y de su adaptación, en su caso, a la misma. En este sentido, conviene, además, realizar algunas precisiones sobre la entrada en vigor y la aplicabilidad del RGPD. El RGPD, de conformidad con lo previsto en su artículo 99, fue plenamente aplicable desde el 25 de mayo de 2018, si bien su entrada en vigor se produjo casi dos años antes de esa fecha, en mayo de 2016. Además, a diferencia de la Directiva 95/46/CE del Parlamento Europeo y del Consejo, de 24 de octubre de 1995, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, no necesitaba su transposición al ordenamiento jurídico español, siendo directamente aplicable en la medida en que se trata de un reglamento comunitario. De esta manera, el legislador europeo previó un lapso particular de vacatio legis, de nada menos que 2 años, para que los responsables y encargados del tratamiento adecuaran los tratamientos de datos personales que realizaban a lo previsto en el RGPD cuya aplicación comenzaría, sin atisbo de dudas, el 25 de mayo de 2018. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 26/37 Dicho lo cual, corresponde a los responsables o corresponsables del tratamiento adoptar todas las medidas y cautelas para adaptar sus tratamientos al nuevo marco regulador. - Actualización de las cláusulas informativas y del RAT En cuanto a que se hayan actualizado las cláusulas informativas en la solicitud del título de familia numerosa y el RAT y se haya suscrito un nuevo contrato de encargo, se subraya que el presente procedimiento sancionador tiene por objeto el incumplimiento del artículo 26 del RGPD, que exige la suscripción de un acuerdo de corresponsabilidad tomando como base el documento jurídico existente en el momento en que se procedió a la apertura del procedimiento sancionador y que regulaba las relaciones entre las partes. - No ha pretendido incumplir la normativa en materia de protección de datos. Por último, se señala que, de conformidad con el artículo 6 del Código Civil, la ignorancia de las leyes no exime de su incumplimiento. IV Contestación a las alegaciones a la propuesta de resolución En respuesta a las alegaciones presentadas a la propuesta de resolución, se señala lo siguiente (se sigue la misma numeración utilizada en el antecedente de hecho séptimo): 1. En relación con la reiteración de las alegaciones realizadas al acuerdo de inicio, dichas alegaciones ya fueron analizadas en la propuesta de resolución, no obstante, cabe resaltar lo siguiente, El artículo 4, punto 7, del RGPD define, de manera amplia, el concepto de «responsable del tratamiento», como la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento de datos personales, con el objetivo de garantizar, mediante una definición amplia del concepto de «responsable del tratamiento», una protección eficaz y completa de los interesados, como viene declarando el TJUE (por todas STJUE de 5 de junio de 2018, C-210/16, apartado 28). El responsable del tratamiento es, por tanto, el que determina los fines y medios del tratamiento; esto es, el porqué y el cómo del tratamiento, como aclaran las citadas Directrices del CEPD, y cuando los fines y los medios del tratamiento se determinen conjuntamente por dos o más responsables, estos serán considerados corresponsables del tratamiento, debiendo dar cumplimiento, además de a las obligaciones que les competen como responsables en virtud del RGPD, a lo dispuesto en el artículo 26 del mismo. Pues bien, en este caso, cada una de las partes persigue sus propios intereses (implementación de políticas públicas y gestión de servicios públicos al servicio de los intereses generales, en el marco de sus competencias, en el caso de la CONSELLERIA; y el cumplimiento de sus objetivos de colaboración en la prestación C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 27/37 de servicios sociales en lo que respecta a GADISA), y deciden participar en el proyecto para la consecución de sus propios objetivos pero ambas participan en la determinación de los fines del tratamiento (el desarrollo del programa “Carné Familiar Galego”). Es importante destacar al respecto, como indican las Directrices 7/2020 del CEPD, en su párrafo 62, “que la mera existencia de un beneficio mutuo (p. ej., comercial) derivado de una actividad de tratamiento no da lugar a la corresponsabilidad del tratamiento. Si el ente que participa en el tratamiento no persigue ningún fin propio con dicha actividad, sino simplemente recibe una remuneración por los servicios prestados, actúa como encargado del tratamiento y no como corresponsable”, lo que no ocurre en este caso, pues la participación de GADISA no se limita a la obtención de una mera remuneración, sino que se produce para la consecución de sus propios fines. Además, se infiere de los hechos probados que con motivo del acuerdo de colaboración de 2014 entre GADISA y la COMSELLEDRÍA, los titulares del mencionado carné, una vez se hubieran identificado como tales al realizar una compra en los establecimientos de GADISA, podrían beneficiarse de descuentos en forma de cheques para cambiar por productos en sus establecimientos, atendiendo al volumen de compras realizadas. A estos efectos, la CONSELLERIA remitiría a GADISA determinados datos personales de los mencionados titulares con la finalidad exclusiva de que GADISA remitiera a la dirección de las familias beneficiarias del programa el cheque semestral con el descuento acumulado del 2% de las compras. Por tanto, ambos responsables también determinan los medios del tratamiento, como el tipo de datos personales tratados (nombre, apellidos y dirección postal de titulares del carné familiar), la duración del tratamiento y las categorías de interesados (los titulares del citado carné que compren en los establecimientos de GADISA). Es más, la participación conjunta también se deduce del hecho de que ambos deciden utilizar el “Carné Familiar Galego”, lo que se considera una decisión conjunta de ambos sobre los medios para el tratamiento, pues, aunque se trate de un carné desarrollado por la CONSELLERÍA, GADISA elige utilizarlo para sus propios fines, lo que también revela la existencia de corresponsabilidad, acorde con la interpretación que realiza el TJUE en su sentencia, de 29 de julio de 2019 asunto C-40/17. Respecto de esta cuestión, conviene recordar la interpretación que realiza el CEPD en sus Directrices 7/2020 sobre la citada STJUE 67. Además, cuando un ente elige utilizar, para sus propios fines, una herramienta u otro sistema desarrollado por otro ente, de modo que sea posible tratar los datos personales, esto normalmente se considera una decisión conjunta de dichos entes sobre los medios para el tratamiento. Esta interpretación se desprende de la sentencia del TJUE en el asunto Fashion ID, en la que el Tribunal concluyó que, al insertar en su sitio web el botón «me gusta» de Facebook, puesto por Facebook a disposición de los administradores de sitios web, Fashion ID influía de manera decisiva en la recogida y transmisión de datos personales de los visitantes de ese sitio a C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 28/37 favor de Facebook y había determinado conjuntamente con Facebook los medios para dicho tratamiento. En definitiva, todo ello lleva a concluir que existe en este caso corresponsabilidad del tratamiento, en los términos del artículo 26 del RGPD. 2. En relación con la buena fe con la que la CONSELLERÍA afirma haber actuado, cabe reiterar que, como ya se indicaba como contestación a las alegaciones al acuerdo de inicio, de conformidad con el artículo 6 del Código Civil, el desconocimiento de la norma no exime de la obligación de su cumplimiento. 3. En tercer lugar, alega la CONSELLERÍA que no ha habido un tratamiento desleal o no transparente de los datos y que éstos han sido utilizados para beneficiar a los titulares del carné de familia numerosa. En este sentido cabe aclarar que en el presente procedimiento no se está poniendo en cuestión la legitimidad del tratamiento ni de la finalidad con la que se realizaba el tratamiento, sino el incumplimiento en concreto de la obligación que el RGPD impone a los corresponsables para la realización de ese tratamiento. Esa obligación, establecida en el artículo 26 del RGPD, consiste en documentar la relación entre los dos corresponsables y en la puesta a disposición de a los afectados por el tratamiento de los aspectos esenciales de dicha relación. El incumplimiento de dicha obligación supone una infracción del RGPD al margen de las consideraciones manifestadas por la CONSELLERÍA sobre la finalidad y los principios con los que se realizara dicho tratamiento. V Obligación incumplida. Corresponsables del tratamiento El artículo 26 del RGPD establece lo siguiente: 1. Cuando dos o más responsables determinen conjuntamente los objetivos y los medios del tratamiento serán considerados corresponsables del tratamiento. Los corresponsables determinarán de modo transparente y de mutuo acuerdo sus responsabilidades respectivas en el cumplimiento de las obligaciones impuestas por el presente Reglamento, en particular en cuanto al ejercicio de los derechos del interesado y a sus respectivas obligaciones de suministro de información a que se refieren los artículos 13 y 14, salvo, y en la medida en que, sus responsabilidades respectivas se rijan por el Derecho de la Unión o de los Estados miembros que se les aplique a ellos. Dicho acuerdo podrá designar un punto de contacto para los interesados. 2. El acuerdo indicado en el apartado 1 reflejará debidamente las funciones y relaciones respectivas de los corresponsables en relación con los interesados. Se pondrán a disposición del interesado los aspectos esenciales del acuerdo. 3. Independientemente de los términos del acuerdo a que se refiere el apartado 1, los interesados podrán ejercer los derechos que les reconoce el presente Reglamento frente a, y en contra de, cada uno de los responsables. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 29/37 En definitiva, el artículo 26 establece una serie de obligaciones específicas cuando el tratamiento se lleve a cabo por corresponsables. A saber: la determinación de modo transparente de las respectivas responsabilidades de los corresponsables del tratamiento en el cumplimiento de las obligaciones impuestas por el RGPD, en especial en cuanto al ejercicio de los derechos del interesado y las obligaciones de suministro de información a la que se refieren los artículos 13 y 14; la necesidad de atribuir las responsabilidades mediante un acuerdo; así como obligaciones con la autoridad de control. La determinación de las respectivas responsabilidades de los corresponsables del tratamiento establecida en el artículo 26.1 del RGPD supone que los corresponsables del tratamiento deben determinar “quién hace qué”, decidiendo de manera conjunta qué tareas debe llevar a cabo cada uno de ellos a fin de garantizar que el tratamiento cumpla las correspondientes obligaciones establecidas el RGPD. De acuerdo con las Directrices 7/2020 el objetivo de estas disposiciones es garantizar que: 163. “(…) la responsabilidad por el cumplimiento de las normas de protección de datos se reparta claramente a fin de evitar que se reduzca la protección de los datos personales o que un conflicto negativo de competencia dé lugar a lagunas en el cumplimiento de determinadas obligaciones por las partes involucradas en el tratamiento. Debe quedar claro que, para alcanzar un acuerdo eficaz, todas las responsabilidades deben atribuirse en función de las circunstancias de hecho. El CEPD observa que existen situaciones en las que la influencia real de un corresponsable del tratamiento complica la consecución de un acuerdo. Sin embargo, tales circunstancias no niegan la existencia de corresponsabilidad del tratamiento y no pueden eximir a ninguna de las partes de sus obligaciones en virtud del RGPD”. La determinación de las respectivas responsabilidades o tareas de los corresponsables ha de hacerse particularmente, de acuerdo con el RGPD, en cuanto al ejercicio de los derechos y obligaciones de suministro de información a que se refieren los artículos 13 y 14 del RGPD lo que implica, detallar quién se hará cargo de dar respuesta a las solicitudes de los interesados cuando estos ejerciten los derechos reconocidos en el RGPD, así como de suministrar la información cuando los datos se obtuvieran del propio interesado o de un tercero. En definitiva, debe definirse qué solicitudes del interesado corresponde responder a cada una de las partes. En cualquier caso, con independencia de este acuerdo, tal y como señala el artículo 26.3 del RGPD, el interesado podrá dirigirse a cualquiera de las partes. Además, debe remarcarse que el que el RGPD haga especial énfasis en la determinación de responsabilidades respecto al ejercicio de derechos y el suministro de información previsto en los artículos 13 y 14, no supone una exoneración del deber de definir el papel a desempeñar por cada uno de los actores respecto al resto de obligaciones establecidas por el RGPD. Así se recoge por las mencionadas Directrices 7/2020 cuando establecen: 165. “(…) el uso de la expresión «en particular» indica que las obligaciones previstas en esta disposición para cuyo cumplimiento se reparten responsabilidades entre las partes involucradas en el tratamiento no tienen C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 30/37 carácter exhaustivo, de lo cual se deduce que el reparto de las responsabilidades por el cumplimiento entre los corresponsables del tratamiento no se limita a los aspectos a que hace referencia el artículo 26, apartado 1, sino que se extiende a otras obligaciones del responsable previstas en el RGPD. De hecho, los corresponsables del tratamiento deben asegurarse de que todo el tratamiento conjunto cumpla íntegramente lo dispuesto en el RGPD. 166. En este contexto, además de las expresamente indicadas en el artículo 26, apartado 1, los corresponsables del tratamiento deben tener en cuenta, entre otras, las siguientes medidas dirigidas al cumplimiento y las siguientes obligaciones relacionadas al determinar sus respectivas responsabilidades: la aplicación de los principios generales en materia de protección de datos (artículo 5); la base jurídica del tratamiento (artículo 6); las medidas de seguridad (artículo 32); la notificación de una violación de la seguridad de los datos personales a la autoridad de control y al interesado74 (artículos 33 y 34); las evaluaciones de impacto relativas a la protección de datos (artículo 35 y 36);75 el recurso a un encargado del tratamiento (artículo 28); las transferencias de datos a terceros países (capítulo V); y la organización del contacto con los interesados y las autoridades de control”. Por otra parte, otras de las obligaciones específicas derivadas de la corresponsabilidad determinadas por el artículo 26 es la necesidad de que la atribución de las responsabilidades se lleve a cabo mediante un acuerdo. A este respecto, las Directrices señalan: “171. El artículo 26, apartado 1, del RGPD introduce una nueva obligación para los corresponsables del tratamiento: deben determinar sus responsabilidades respectivas «de mutuo acuerdo». Sin embargo, el RGPD no especifica la forma jurídica que debe adoptar el acuerdo. Por tanto, queda a discreción de los corresponsables del tratamiento la decisión sobre la forma del acuerdo”. (…) 173. (…) en aras de la seguridad jurídica, y pese a la ausencia de una exigencia legal en el RGPD que obligue a la celebración de un contrato u otro acto jurídico en este sentido, el CEPD recomienda que dicho acuerdo se formalice por medio de un documento vinculante, como un contrato, u otro acto jurídico vinculante en virtud del Derecho de la Unión o del Derecho de los Estados miembros que se aplique a los responsables del tratamiento. Estos documentos ofrecerían una mayor seguridad jurídica y podrían utilizarse para probar la transparencia y la responsabilidad proactiva. Así, en caso de incumplimiento de los términos del acuerdo sobre el reparto de obligaciones por uno de los responsables del tratamiento, el carácter vinculante del documento permitiría al otro responsable hacer valer lo dispuesto en este para exigir la responsabilidad de la parte incumplidora. Además, el uso de un contrato u otro acto jurídico permite a los corresponsables demostrar el cumplimiento de las obligaciones que les impone el RGPD, en consonancia con el principio de responsabilidad proactiva”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 31/37 En cualquier caso, adopte la forma jurídica que adopte el acuerdo, deberá, conforme al artículo 26.2 del RGPD, reflejar debidamente las funciones y relaciones respectivas de los corresponsables en relación con los interesados. En este sentido, las Directrices concretan que debe entenderse por “debidamente”: “178. El modo en que estas obligaciones se recogen en el acuerdo debe reflejar «debidamente», es decir, con exactitud, la realidad del tratamiento conjunto al que hacen referencia. Por ejemplo, si únicamente uno de los corresponsables se comunica con los interesados con motivo del tratamiento conjunto, dicho responsable podría estar en mejor posición para informar a los interesados y, posiblemente, dar respuesta a sus solicitudes.” Además, habrá de ponerse a disposición del interesado los aspectos esenciales del acuerdo. Este elemento exigido por el artículo 26.2 del RGPD es esencial para en la medida en que permite al interesado conocer cuáles son las responsabilidades de cada uno de los responsables del tratamiento. Si bien el RGPD no indica de manera expresa cuáles han de considerarse elementos esenciales del acuerdo, el CEPD recomienda que estos incluyan, al menos, todos los elementos de los artículos 13 y 14 del RGPD, la identificación del corresponsable responsable para cada uno de ellos y el punto de contacto cuando se haya designado: “180. (…) que los aspectos esenciales abarquen al menos todos los elementos de la información a la que hacen referencia los artículos 13 y 14, que ya deben encontrarse a disposición del interesado. Además, el acuerdo debe especificar qué corresponsable del tratamiento es responsable de garantizar el cumplimiento de cada uno de estos elementos. Los aspectos esenciales del acuerdo también deben incluir el punto de contacto, cuando se haya designado”. (El subrayado es de la AEPD). Tampoco se especifica en el RGPD la forma en que la información debe ponerse a disposición del interesado. No obstante, a este respecto el CEPD ha señalado que corresponde a los corresponsables decidirlo, sin perjuicio de que deba hacerse de manera sistémica: “181. No se especifica el modo en que esta información deberá ponerse a disposición del interesado. Al contrario de lo que sucede con otras disposiciones del RGPD (como el artículo 30, apartado 4, en relación con el registro del tratamiento o el artículo 40, apartado 11, en relación con el registro de los códigos de conducta aprobados), el artículo 26 no estipula que la información deba ponerse a disposición del interesado cuando «lo solicite» ni «a disposición pública por cualquier medio apropiado». Por tanto, corresponde a los corresponsables del tratamiento decidir sobre el modo más eficaz de poner el contenido esencial del acuerdo a disposición de los interesados (p. ej., junto con la información prevista en los artículos 13 o 14, en la política de privacidad o previa solicitud al delegado de protección de datos, en caso de que lo hubiera, o al punto de contacto que pudiera haberse designado). Los corresponsables del tratamiento deben garantizar, respectivamente, que suministrarán la información de un modo sistemático”. (El subrayado es de la AEPD). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 32/37 Por último, tal y como se ha señalado previamente, en la medida en que el acuerdo debe recoger el reparto entre los corresponsables de todas las obligaciones que el RGPD prevé para los responsables, también deberá hacer mención al modo en el que se comunicarán con las autoridades de control, en particular, respecto a las consultas previstas en el artículo 36 del RGPD, las notificaciones de brechas de datos personales o, en su caso, la designación de un delegado de protección de datos. Sin perjuicio de lo que figure en el acuerdo, la autoridad de control será libre para dirigirse, en el marco de sus competencias a cualquiera de los corresponsables: “191. Cabe recordar también que los términos del acuerdo no vinculan a las autoridades de protección de datos ni en relación con la calificación de las partes como corresponsables del tratamiento ni en relación con el punto de contacto designado. Por tanto, las autoridades pueden ponerse en contacto con cualquiera de los corresponsables del tratamiento para hacer uso de sus poderes previstos en el artículo 58 en relación con el tratamiento conjunto”. En el presente caso, la relación de colaboración público-privada entre la CONSELLERÍA y GADISA se ha articulado a través de un convenio de colaboración firmado en mayo de 2014. Se debe comprobar si el mencionado convenio o acuerdo de colaboración satisface las obligaciones impuestas en el artículo 26 y, por tanto, puede ser considerado como el acuerdo exigido en el mencionado artículo. El acuerdo de colaboración, como se ha dicho anteriormente, recoge una referencia a la normativa de protección de datos. En este sentido se menciona la finalidad con la que la CONSELLERÍA facilita a GADISA los datos de los titulares del carné familiar (cláusula SÉPTIMA), así como la obligación de actuar GADISA siguiendo las instrucciones de la CONSELLERÍA, y de contar con medidas de seguridad adecuadas. También se hace referencia a la existencia de un fichero de datos responsabilidad de la CONSELLERÍA (cláusula NOVENA). Sin embargo, dicha información se enmarca en una relación entre la CONSELLERÍA y GADISA como responsable y encargado del tratamiento, respectivamente, no en tanto que corresponsables. En consecuencia, el convenio no refleja debidamente las funciones y relaciones respectivas de los corresponsables en el cumplimiento de las obligaciones impuestas por el RGPD ni de manera general, ni de manera particular respecto al ejercicio de derechos por los interesados o las obligaciones de suministro de información previstas en los artículos 13 y 14 del RGPD. Tampoco puede entenderse cumplida la obligación de poner a disposición de los interesados los aspectos esenciales del acuerdo, en la medida en que el convenio no recoge los aspectos esenciales mínimos en los términos anteriormente señalados. En definitiva, el convenio de colaboración suscrito en el año 2014 no puede tener la consideración, atendiendo a su contenido, del acuerdo de corresponsabilidad al que hace referencia el artículo 26 del RGPD, dado que no especifica “quién hace qué”, esto es, las funciones y relaciones respectivas de los corresponsables en el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 33/37 cumplimiento de las obligaciones que el RGPD impone a los responsables, ni tampoco en relación con los interesados. En consecuencia, no puede entenderse tampoco que se haya cumplido con la obligación de puesta a disposición a estos de los elementos esenciales del mismo. Siguiendo el mismo razonamiento, y teniendo en cuenta que las responsabilidades y tareas de los corresponsables no han sido adecuadamente definidas, tampoco puede considerase como adecuada a los efectos de cumplimiento del deber de puesta a disposición a los interesados exigida por el artículo 26.2 la información que facilitaba GADISA en la comunicación que se remitía los receptores del cheque regalo. En la misma se incluía una “Cláusula de protección de datos” que incluía exclusivamente información relativa al origen de los datos del interesado, la existencia del convenio y del plazo de conservación de los datos. Además, en relación con los derechos de acceso, rectificación, supresión, limitación, oposición y portabilidad, remitía al responsable del tratamiento (entendiendo por tal la CONSELLERÍA), ofreciendo la posibilidad de ejercerlos mediante solicitud remitida a GADISA en tanto que encargado del tratamiento. Por último, se señala que el convenio no hace referencia alguna al modo en que los corresponsables se comunicarán con las autoridades de protección de datos y control competentes. Por todo lo anterior, se considera que los hechos anteriores son constitutivos de un incumplimiento, imputable a la CONSELLERÍA, del artículo 26 del RGPD, transcrito anteriormente. VI Tipificación de la infracción del artículo 26 del RGPD y calificación a efectos de prescripción El artículo 83.4 del RGPD tipifica como infracción administrativa la vulneración del artículo siguiente, se sancionará, de acuerdo con el apartado 2, con multas administrativas de 10.000.000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 2 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: "
10. a)las obligaciones del responsable y del encargado a tenor de los artículos 8, 11, 25 a 39, 42 y 43;" Por su parte, la LOPDGDD en su artículo 71, Infracciones, señala que: “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A los solos efectos del plazo de prescripción, el artículo 74 de la LOPDGDD establece lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 34/37 "Se consideran leves y prescribirán al año las restantes infracciones de carácter meramente formal de los artículos mencionados en los apartados 4 y 5 del artículo 83 del Reglamento (UE) 2016/679 y, en particular, las siguientes:
11. h)La falta de formalización por los corresponsables del tratamiento del acuerdo que determine las obligaciones, funciones y responsabilidades respectivas con respecto al tratamiento de datos personales y sus relaciones con los afectados al que se refiere el artículo 26 del Reglamento (UE) 2016/679 o la inexactitud en la determinación de las mismas." VII Declaración de infracción El artículo 83 “Condiciones generales para la imposición de multas administrativas” del RGPD, en su apartado 7, establece: “Sin perjuicio de los poderes correctivos de las autoridades de control en virtud del artículo 58, apartado 2, cada Estado miembro podrá establecer normas sobre si se puede, y en qué medida, imponer multas administrativas a autoridades y organismos públicos establecidos en dicho Estado miembro.” El artículo 77 “Régimen aplicable a determinadas categorías de responsables o encargados del tratamiento” de la LOPDGDD dispone lo siguiente: “1. El régimen establecido en este artículo será de aplicación a los tratamientos de los que sean responsables o encargados:
12. a)Los órganos constitucionales o con relevancia constitucional y las instituciones de las comunidades autónomas análogas a los mismos.
13. b)Los órganos jurisdiccionales.
14. c)La Administración General del Estado, las Administraciones de las comunidades autónomas y las entidades que integran la Administración Local.
15. d)Los organismos públicos y entidades de Derecho público vinculadas o dependientes de las Administraciones Públicas.
16. e)Las autoridades administrativas independientes.
17. f)El Banco de España.
18. g)Las corporaciones de Derecho público cuando las finalidades del tratamiento se relacionen con el ejercicio de potestades de derecho público.
19. h)Las fundaciones del sector público.
20. i)Las Universidades Públicas.
21. j)Los consorcios. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 35/37
22. k)Los grupos parlamentarios de las Cortes Generales y las Asambleas Legislativas autonómicas, así como los grupos políticos de las Corporaciones Locales. 2. Cuando los responsables o encargados enumerados en el apartado 1 cometiesen alguna de las infracciones a las que se refieren los artículos 72 a 74 de esta ley orgánica, la autoridad de protección de datos que resulte competente dictará resolución declarando la infracción y estableciendo, en su caso, las medidas que proceda adoptar para que cese la conducta o se corrijan los efectos de la infracción que se hubiese cometido, con excepción de la prevista en el artículo 58.2.i del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016. La resolución se notificará al responsable o encargado del tratamiento, al órgano del que dependa jerárquicamente, en su caso, y a los afectados que tuvieran la condición de interesado, en su caso. 3. Sin perjuicio de lo establecido en el apartado anterior, la autoridad de protección de datos propondrá también la iniciación de actuaciones disciplinarias cuando existan indicios suficientes para ello. En este caso, el procedimiento y las sanciones a aplicar serán las establecidas en la legislación sobre régimen disciplinario o sancionador que resulte de aplicación. Asimismo, cuando las infracciones sean imputables a autoridades y directivos, y se acredite la existencia de informes técnicos o recomendaciones para el tratamiento que no hubieran sido debidamente atendidos, en la resolución en la que se imponga la sanción se incluirá una amonestación con denominación del cargo responsable y se ordenará la publicación en el Boletín Oficial del Estado o autonómico que corresponda. 4. Se deberán comunicar a la autoridad de protección de datos las resoluciones que recaigan en relación con las medidas y actuaciones a que se refieren los apartados anteriores. 5. Se comunicarán al Defensor del Pueblo o, en su caso, a las instituciones análogas de las comunidades autónomas las actuaciones realizadas y las resoluciones dictadas al amparo de este artículo. 6. Cuando la autoridad competente sea la Agencia Española de Protección de Datos, esta publicará en su página web con la debida separación las resoluciones referidas a las entidades del apartado 1 de este artículo, con expresa indicación de la identidad del responsable o encargado del tratamiento que hubiera cometido la infracción. Cuando la competencia corresponda a una autoridad autonómica de protección de datos se estará, en cuanto a la publicidad de estas resoluciones, a lo que disponga su normativa específica.” Este precepto establece que los procedimientos que tengan causa en infracciones en materia de protección de datos personales cometidas por las categorías de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 36/37 responsables o encargados del tratamiento enumerados en su apartado 1 se resolverán, en todo caso, declarando la infracción. En el presente caso, la CONSELLERÍA es un órgano ejecutivo de la Xunta de Galicia, de acuerdo con lo establecido en el artículo 1 del Decreto 49/2024, de 22 de abril, por el que se fija la estructura orgánica de las consellerías de la Xunta de Galicia, cuyo ámbito competencial se desarrolla en el Decreto 139/2024, de 20 de mayo, por el que se establece la estructura orgánica de la CONSELLERÍA. Como órgano de la administración de una comunidad autónoma, le es de aplicación lo dispuesto por el artículo 77 de la LOPGDD, de acuerdo con el apartado 1.
23. c)de dicho artículo. VIII Medidas correctivas Se acuerda, además, imponer al responsable la adopción de medidas adecuadas para ajustar su actuación a la normativa mencionada en este acto, de acuerdo con lo establecido en el citado artículo 58.2
24. d)del RGPD, según el cual cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…” La imposición de esta medida es compatible con la sanción consistente en multa administrativa, según lo dispuesto en el art. 83.2 del RGPD. En el presente caso, consisten en requerir a la CONSELLERÍA para que, en el plazo de seis meses, a contar desde la fecha de ejecutividad de la resolución finalizadora de este procedimiento, adopte el acuerdo exigido por el artículo 26 del RGPD, en los términos y con el contenido que se establecen en dicho precepto y poniendo a disposición de los interesados los aspectos esenciales de dicho acuerdo. Se advierte que no atender la orden de adopción de medidas impuestas por este organismo en la resolución sancionadora podrá ser considerado como una infracción administrativa conforme a lo dispuesto en el RGPD, tipificada como infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la apertura de un ulterior procedimiento administrativo sancionador. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Presidencia de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR que CONSELLERÍA DE POLÍTICA SOCIAL Y JUVENTUD, con NIF S1511001H, ha infringido lo dispuesto en el Artículo 26 del RGPD, infracción tipificada en el Artículo 83.4.
25. a)del RGPD. SEGUNDO: ORDENAR a la CONSELLERÍA DE POLÍTICA SOCIAL Y JUVENTUD, con NIF S1511001H, que en virtud del artículo 58.2.
26. d)del RGPD, en el plazo máximo de 6 meses desde que la presente resolución sea firme y ejecutiva, acredite haber adoptado el acuerdo exigido por el artículo 26 del RGPD, en los términos y con el contenido que se establecen en dicho precepto y poniendo a disposición de los interesados los aspectos esenciales de dicho acuerdo. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 37/37 TERCERO: NOTIFICAR la presente resolución a la CONSELLERÍA DE POLÍTICA SOCIAL Y JUVENTUD. CUARTO: COMUNICAR la presente resolución al Defensor del Pueblo, de conformidad con lo establecido en el artículo 77.5 de la LOPDGDD. QUINTO: Esta resolución será ejecutiva una vez finalice el plazo para interponer el recurso potestativo de reposición (un mes a contar desde el día siguiente a la notificación de esta resolución) sin que el interesado haya hecho uso de esta facultad. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública. La publicación se realizará una vez la resolución sea firme en vía administrativa. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
27. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeaepd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-180725 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es