1/12 Expediente N.º: EXP202207415 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Dª. A.A.A. (en adelante, la parte reclamante) con fecha 9 de junio de 2022 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra la D.G. DEL SERVICIO PÚBLICO DE EMPLEO con NIF S7800001E (en adelante, DGSEPE). Los motivos en que basa la reclamación son los siguientes: La recepción de un correo electrónico, enviado desde la dirección ***EMAIL.1 y remitido a una pluralidad de destinatarios sin haber hecho uso de la funcionalidad CCO, permitiendo que cada uno de los receptores tuviera acceso a las direcciones de envío de todos. Junto a la notificación se aporta una captura del mensaje, de fecha 9/6/22. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la DGSEPE, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 8 de julio de 2022 como consta en el certificado que obra en el expediente. Si bien, no se ha recibido respuesta a este escrito de traslado. TERCERO: Con fecha 9 de septiembre de 2022, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: Con fecha 15 de noviembre de 2022, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, por la presunta infracción del Artículo 5.1.
- f)del RGPD y del Artículo 32 del RGPD, tipificadas en el Artículo 83.5 del RGPD y Artículo 83.4 del RGPD, respectivamente. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/12 QUINTO: Notificado el citado acuerdo de inicio conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), la parte reclamada presentó escrito de alegaciones en el que manifestaba: “Por todo lo expuesto, se formulan las siguientes ALEGACIONES: PRIMERO. A continuación, se realiza un relato cronológico de cómo la DGSPE tuvo conocimiento de hechos relacionados con la reclamación que ha motivado la incoación del expediente sancionador: A) BRECHA DE PROTECCION DE DATOS 9 de junio de 2022 La persona de la DGSPE que actúa como interlocutora entre este centro directivo y la Delegación de Protección de Datos de la Consejería (en adelante, DPD), tiene conocimiento de una brecha de protección de datos trasladada por correo electrónico de la DPD (a quien un particular –diferente de la reclamantehabía remitido un correo electrónico informando de los mismos hechos), en los siguientes términos: “Adjunto más abajo denuncia por correo electrónico de interesada …, copiada entre las 700 o más direcciones de correo electrónico que aparecen en el apartado copia del correo que se envía desde (***EMAIL.1) la Unidad de Gestión de procesos centralizados de oficinas de empleo de la Subdirección General de Oficinas de Empleo y Servicios al Empleador (informando sobre un curso de ofimática).” (Documento “Evidencia 1 Comunicación de brecha de seguridad.msg) 10 de junio de 2022: La brecha se notifica a la Responsable del tratamiento: titular de la DGSPE. (Documento “Evidencia 1 Comunicación de brecha de seguridad.msg) Se registra la brecha de seguridad en el registro habilitado para ello (según el procedimiento interno). Se solicita informe de lo sucedido a la Subdirección de oficinas de empleo y servicios al empleador (Documento “Evidencia2 solicitud de informe brecha de seguridad.msg) Se evalúa la brecha de seguridad según el procedimiento interno establecido, sin que procediera su notificación a la AEPD o a los interesados. Se envía correo para difusión entre las oficinas de empleo, recordando las normas sobre el uso del correo electrónico, a cuyo efecto se acompaña documento sobre “Recomendaciones y buenas prácticas en protección de datos personales para el uso del correo electrónico corporativo” aprobado por el Grupo de trabajo de protección de Datos de la Comunidad de Madrid (Documento “Evidencia3 recomendaciones y buenas prácticas para el uso del correo electrónico.msg” y Documento “Evidencia 3 y 4 recomendaciones y buenas practicas PDP en uso de correo V1.pdf) Igualmente, se envía recordatorio a todas las subdirecciones de esta Dirección General del Servicio Público de Empleo, recordando las normas de uso del correo electrónico. (Documento “Evidencia 4 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/12 recomendaciones y buenas prácticas para el uso del correo electrónico para resto subdirecciones.msg”) B) RECLAMACION Y SOLICITUD DE INFORMACIÓN DE LA AEPD 7 de julio de 2022: La DPD traslada a la interlocución de protección de datos en la Dirección General del Servicio Público de Empleo el aviso recibido en el buzón corporativo, que anunciaba la notificación que cursaba la AEPD a la DGSPE para conocimiento de la delegación. 8 de julio de 2022: Se acepta notificación de la AEPD a las 05:00 de manera automática, a través del aplicativo de registro de la Comunidad de Madrid (e-reg), en el que se vuelcan las notificaciones cursadas vía DEHU, ya que el NIF de la Comunidad de Madrid es único, al ser quien ostenta la personalidad jurídica propia de la que carecen las consejerías. La notificación de la AEPD, de fecha 7 de julio de 2022, consiste en un requerimiento de información al Responsable del Tratamiento (la DGSPE), a propósito de la reclamación presentada ante la misma (referida a la brecha de confidencialidad antes tratada), que ha dado origen al presente procedimiento sancionador, así como para que se informara sobre las medidas adoptadas para evitar incidencias similares y demás extremos relevantes, concediéndole un plazo de un mes para ello. 21 de julio de 2022 Antes de agotar el referido plazo del mes, quedó listo el Informe sobre la brecha de protección de datos solicitado en el requerimiento de la AEPD (Documento “Evidencia5 Elaboración de informe para remitir a la AEPD.msg” y el documento PFD que se adjunta “INFORME BRECHA EXP XXXXXXXX”)”. En contestación a dicha alegación, esta Agencia Española de Protección de Datos debe señalar que el relato cronológico de los hechos expuestos; en ningún caso, desvirtúa la calificación jurídica de los hechos y las infracciones cometidas. “SEGUNDO. Lamentablemente, coincidiendo con otros temas y con la intención de dejar cerrados los más perentorios ante la inminencia de las vacaciones de verano, se cometió un error administrativo fatal, dejando sin envío la respuesta a dicho requerimiento a pesar de que estaba elaborada y de que se habían adoptado medidas al respecto. Como medida preventiva añadida, se informa que, actualmente, está en marcha un plan para modernizar y mejorar el sistema de información denominado “Sistema Integral de Empleo”, al que va ligada (entre otras funcionalidades), el envío de correos electrónicos informando de cursos de formación (hecho que causó, junto con un error humano, el erróneo envío masivo sin copia oculta). Se está trabajando en el análisis de los requisitos necesarios para una mejor y más controlada comunicación con los usuarios que evite todo lo posible estos errores.”. En contestación a dicha alegación, hay que mencionar que todas las medidas de seguridad adoptadas para evitar que se produzcan incidentes como el ocurrido entran C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/12 dentro de sus obligaciones en cumplimiento de la normativa de protección de datos; ya que, como responsable del tratamiento de datos, está obligado a aplicar las medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo que presente el tratamiento de datos. Dichas medidas no solo son medidas de los sistemas informáticos sino también medidas de organizativas de factor humano. No obstante, este organismo valora positivamente las medidas de seguridad adoptadas con posterioridad; si bien, eso no desvirtúa la comisión de las citadas infracciones. Por todo lo expuesto, se DESESTIMARON las alegaciones presentadas. SEXTO: Con fecha 10 de marzo de 2023 se formuló propuesta de resolución, proponiendo se sancione a D.G. DEL SERVICIO PÚBLICO DE EMPLEO, con NIF S7800001E, por una infracción del Artículo 5.1.
- f)del RGPD y Artículo 32 del RGPD, tipificadas en el artículo 83.5 y en el artículo 83.4 del RGPD respectivamente, con una sanción de apercibimiento por cada una de las infracciones. SÉPTIMO: Notificada la propuesta de resolución, conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), en fecha 27 de marzo de 2023 se presentaron alegaciones por la DGSPE. A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes, HECHOS PROBADOS PRIMERO: Consta acreditada la recepción por parte de la reclamante de un correo electrónico, en fecha 9 de junio de 2022, enviado desde la dirección ***EMAIL.1 y remitido a una pluralidad de destinatarios (700 o más direcciones de correo electrónico) sin haber hecho uso de la funcionalidad CCO. SEGUNDO: Consta acreditada que la no utilización de la funcionalidad CCO en el envío de dicho correo electrónico permitió que cada uno de los receptores tuviera acceso a las direcciones de envío de todos. FUNDAMENTOS DE DERECHO I De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/12 iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II En respuesta a las alegaciones presentadas a la propuesta de resolución por la entidad reclamada se debe señalar lo siguiente, según el orden planteado: “PRIMERO. La DGSPE se reitera en el relato cronológico presentado en su escrito anterior de alegaciones, sobre cómo tuvo conocimiento de hechos relacionados con la reclamación que ha motivado la incoación del expediente sancionador, reiterando que lamentablemente el 21 de julio de 2022, antes de agotar el plazo, quedó listo el Informe sobre la brecha de protección de datos solicitado en el requerimiento de la AEPD, pero se cometió un error administrativo fatal, dejando sin envío la respuesta a dicho requerimiento a pesar de que estaba elaborada y de que se habían adoptado medidas al respecto.” En contestación a dicha alegación, esta Agencia Española de Protección de Datos debe señalar que el relato cronológico de los hechos expuestos; en ningún caso, desvirtúa la calificación jurídica de los hechos y las infracciones cometidas. “SEGUNDO La DGSPE informa de las medidas adicionales adoptadas para evitar en lo posible que vuelvan a ocurrir casos como este, han sido la siguientes: - Se envía correo para difusión entre las oficinas de empleo, recordando las normas sobre el uso del correo electrónico, a cuyo efecto se acompaña documento sobre “Recomendaciones y buenas prácticas en protección de datos personales para el uso del correo electrónico corporativo” aprobado por el Grupo de trabajo de protección de Datos de la Comunidad de Madrid (Evidencia 1 y 2). - Igualmente, se envía recordatorio a todas las subdirecciones de esta Dirección General del Servicio Público de Empleo, recordando las normas de uso del correo electrónico. (Evidencia 3). - Con fecha 21/03/2023 se envía oficio a Doña B.B.B. – Consejera Delegada de la Agencia para la Administración Digital de la Comunidad de Madrid solicitando la adopción urgente de medidas que impidan enviar, desde cuentas genéricas, correos a múltiples usuarios, sin que estos vayan en copia oculta y se reitera la necesidad e importancia de disponer del Sistema Automatizado de Comunicación Multicanal solicitado por esta Dirección General en el proyecto SIE_NUBE, empleando todos los medios disponibles para agilizar la contratación y el desarrollo de este sistema, con el propósito de que la automatización de estas comunicaciones elimine la posibilidad de que se produzcan errores humanos. (Evidencia 4). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/12 - Se está tramitando la contratación de un curso de formación a medida, de 30 horas de duración dirigido a empleados de la DGSPE destinados en oficinas de empleo, sobre protección de datos y seguridad digital. (Evidencia 5).”. En contestación a dicha alegación, este Organismo valora positivamente todas las medidas adoptadas. Todas las medidas adoptas permiten afirmar que el responsable antes de dictarse esta resolución ya ha adoptado medidas adecuadas para ajustar su actuación a la normativa de protección, de acuerdo con lo establecido en el citado artículo 58.2
- d)del RGPD, según el cual cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…”. En consecuencia, no procederá la imposición de ninguna medida en dicho sentido en la presente resolución. III Artículo 5.1.
- f)del RGPD El artículo 5.1.
- f)“Principios relativos al tratamiento” del RGPD establece: “1. Los datos personales serán: (…)
- f)tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»).” En el presente caso, consta que los datos personales de la parte reclamante y de todos los destinatarios, obrantes en la base de datos de la DGSEPE, fueron indebidamente expuestos a terceros el día 9 de junio de 2022 con el envío de un correo electrónico sin copia oculta, siendo accesible su dirección de correo electrónico. IV Tipificación de la infracción del artículo 5.1.
- f)del RGPD De confirmarse, la citada infracción del artículo 5.1.
- f)del RGPD podría suponer la comisión de las infracciones tipificadas en el artículo 83.5 del RGPD que bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/12
- a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9; (…)” A este respecto, la LOPDGDD, en su artículo 71 “Infracciones” establece que: “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A efectos del plazo de prescripción, el artículo 72 “Infracciones consideradas muy graves” de la LOPDGDD indica: “1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
- a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679. (…)” V Sanción por la infracción del artículo 5.1.
- f)del RGPD El Artículo 83 “Condiciones generales para la imposición de multas administrativas” del RGPD apartado 7 establece: “Sin perjuicio de los poderes correctivos de las autoridades de control en virtud del artículo 58, apartado 2, cada Estado miembro podrá establecer normas sobre si se puede, y en qué medida, imponer multas administrativas a autoridades y organismos públicos establecidos en dicho Estado miembro.” Asimismo, el artículo 77 “Régimen aplicable a determinadas categorías de responsables o encargados del tratamiento” de la LOPDGDD dispone lo siguiente: “1. El régimen establecido en este artículo será de aplicación a los tratamientos de los que sean responsables o encargados: ...
- c)La Administración General del Estado, las Administraciones de las comunidades autónomas y las entidades que integran la Administración Local… 2. Cuando los responsables o encargados enumerados en el apartado 1 cometiesen alguna de las infracciones a las que se refieren los artículos 72 a 74 de esta ley orgánica, la autoridad de protección de datos que resulte competente dictará resolución sancionando a las mismas con apercibimiento. La resolución establecerá asimismo las medidas que proceda adoptar para que cese la conducta o se corrijan los efectos de la infracción que se hubiese cometido. 3. Sin perjuicio de lo establecido en el apartado anterior, la autoridad de protección de datos propondrá también la iniciación de actuaciones disciplinarias cuando existan indicios suficientes para ello. En este caso, el procedimiento y las sanciones a aplicar C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/12 serán las establecidas en la legislación sobre régimen disciplinario o sancionador que resulte de aplicación. Asimismo, cuando las infracciones sean imputables a autoridades y directivos, y se acredite la existencia de informes técnicos o recomendaciones para el tratamiento que no hubieran sido debidamente atendidos, en la resolución en la que se imponga la sanción se incluirá una amonestación con denominación del cargo responsable y se ordenará la publicación en el Boletín Oficial del Estado o autonómico que corresponda. 4. Se deberán comunicar a la autoridad de protección de datos las resoluciones que recaigan en relación con las medidas y actuaciones a que se refieren los apartados anteriores. 5. Se comunicarán al Defensor del Pueblo o, en su caso, a las instituciones análogas de las comunidades autónomas las actuaciones realizadas y las resoluciones dictadas al amparo de este artículo. (…)” Por tanto, corresponde sancionar con apercibimiento a la DGSEPE por la infracción del artículo 5.1.
- f)del RGPD, VI Artículo 32 del RGPD El Artículo 32 “Seguridad del tratamiento” del RGPD establece: “1. Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, que en su caso incluya, entre otros: a)la seudonimización y el cifrado de datos personales; b)la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento; c)la capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente físico o técnico; d)un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento. 2. Al evaluar la adecuación del nivel de seguridad se tendrán particularmente en cuenta los riesgos que presente el tratamiento de datos, en particular como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos. 3. La adhesión a un código de conducta aprobado a tenor del artículo 40 o a un mecanismo de certificación aprobado a tenor del artículo 42 podrá servir de elemento para C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/12 demostrar el cumplimiento de los requisitos establecidos en el apartado 1 del presente artículo. 4. El responsable y el encargado del tratamiento tomarán medidas para garantizar que cualquier persona que actúe bajo la autoridad del responsable o del encargado y tenga acceso a datos personales solo pueda tratar dichos datos siguiendo instrucciones del responsable, salvo que esté obligada a ello en virtud del Derecho de la Unión o de los Estados miembros”. En el presente caso, en el momento de producirse la brecha de seguridad, no consta que la DGSEPE. dispusiese de medidas de seguridad razonables en función de los posibles riesgos estimados. Es evidente que la DGSEPE no utilizó el procedimiento de envío de los correos electrónicos cuando van dirigidos a múltiples destinatarios, consistente en utilizar la opción que ofrece la aplicación de correo electrónico a través del campo conocido como «copia oculta» (CCO), permitiendo que cada uno de los receptores tenga a la vista el resto de las direcciones de envío; y por tanto, vulnerando la normativa vigente en materia de protección de datos. En consecuencia, la DGSEPE no disponía de las medidas adecuadas para garantizar la confidencialidad, integridad y disponibilidad de los sistemas y servicios del tratamiento. VII Tipificación de la infracción del artículo 32 del RGPD De confirmarse, la citada infracción del artículo 32 del RGPD podría suponer la comisión de las infracciones tipificadas en el artículo 83.4 del RGPD que bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 10 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 2 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
- a)las obligaciones del responsable y del encargado a tenor de los artículos 8, 11, 25 a 39, 42 y 43; (…)” A este respecto, la LOPDGDD, en su artículo 71 “Infracciones” establece que “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A efectos del plazo de prescripción, el artículo 73 “Infracciones consideradas graves” de la LOPDGDD indica: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/12 “En función de lo que establece el artículo 83.4 del Reglamento (UE) 2016/679 se consideran graves y prescribirán a los dos años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
- f)La falta de adopción de aquellas medidas técnicas y organizativas que resulten apropiadas para garantizar un nivel de seguridad adecuado al riesgo del tratamiento, en los términos exigidos por el artículo 32.1 del Reglamento (UE) 2016/679”. (…) VIII Sanción por la infracción del artículo 32 del RGPD El Artículo 83 “Condiciones generales para la imposición de multas administrativas” del RGPD apartado 7 establece: “Sin perjuicio de los poderes correctivos de las autoridades de control en virtud del artículo 58, apartado 2, cada Estado miembro podrá establecer normas sobre si se puede, y en qué medida, imponer multas administrativas a autoridades y organismos públicos establecidos en dicho Estado miembro.” Asimismo, el artículo 77 “Régimen aplicable a determinadas categorías de responsables o encargados del tratamiento” de la LOPDGDD dispone lo siguiente: “1. El régimen establecido en este artículo será de aplicación a los tratamientos de los que sean responsables o encargados: …
- c)La Administración General del Estado, las Administraciones de las comunidades autónomas y las entidades que integran la Administración Local… 2. Cuando los responsables o encargados enumerados en el apartado 1 cometiesen alguna de las infracciones a las que se refieren los artículos 72 a 74 de esta ley orgánica, la autoridad de protección de datos que resulte competente dictará resolución sancionando a las mismas con apercibimiento. La resolución establecerá asimismo las medidas que proceda adoptar para que cese la conducta o se corrijan los efectos de la infracción que se hubiese cometido. 3. Sin perjuicio de lo establecido en el apartado anterior, la autoridad de protección de datos propondrá también la iniciación de actuaciones disciplinarias cuando existan indicios suficientes para ello. En este caso, el procedimiento y las sanciones a aplicar serán las establecidas en la legislación sobre régimen disciplinario o sancionador que resulte de aplicación. Asimismo, cuando las infracciones sean imputables a autoridades y directivos, y se acredite la existencia de informes técnicos o recomendaciones para el tratamiento que no hubieran sido debidamente atendidos, en la resolución en la que se imponga la sanción se incluirá una amonestación con denominación del cargo responsable y se ordenará la publicación en el Boletín Oficial del Estado o autonómico que corresponda. 4. Se deberán comunicar a la autoridad de protección de datos las resoluciones que recaigan en relación con las medidas y actuaciones a que se refieren los apartados anteriores. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/12 5. Se comunicarán al Defensor del Pueblo o, en su caso, a las instituciones análogas de las comunidades autónomas las actuaciones realizadas y las resoluciones dictadas al amparo de este artículo.” Por tanto, corresponde sancionar con apercibimiento a la DGSEPE por la infracción del artículo 32 del RGPD, Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la D.G. DEL SERVICIO PÚBLICO DE EMPLEO, con NIF S7800001E, por una infracción del Artículo 5.1.
- f)del RGPD tipificada en el Artículo 83.5 del RGPD, una sanción de apercibimiento. IMPONER a la D.G. DEL SERVICIO PÚBLICO DE EMPLEO, con NIF S7800001E, por una infracción del Artículo 32 del RGPD tipificada en el Artículo 83.4 del RGPD, una sanción de apercibimiento. SEGUNDO: NOTIFICAR la presente resolución a D.G. DEL SERVICIO PÚBLICO DE EMPLEO. TERCERO: COMUNICAR la presente resolución al Defensor del Pueblo, de conformidad con lo establecido en el artículo 77.5 de la LOPDGDD. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
- a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/12 documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-181022 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es