1/4 Expediente N.º: EXP202310940 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 27 de junio de 2023, A.A.A. (en adelante, la parte reclamante) interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra el DEPARTAMENTO DE EDUCACIÓN, CULTURA Y DEPORTE con NIF S5011001D (en adelante, la parte reclamada). Los motivos en que basa la reclamación son los siguientes: La parte reclamante manifiesta que es madre de una menor de edad matriculada en el Colegio de Educación y Primaria ***CEP.1, de Zaragoza y que facilitó (…), teniendo conocimiento que, sin su consentimiento, se facilitó copia de dicho documento a familiares de otra alumna, lo que entiende que es una grave vulneración del derecho a la protección de datos y privacidad de la menor. Aporta copia de mensajes intercambiados con la Directora del Centro a dicho respecto, quien reconoce los hechos y señala que se trató de un error. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), el 4 y 15 de agosto de 2023 se dio traslado de dicha reclamación a la parte reclamada, y se le reiteró vía postal, el 10 de octubre de 2023, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. Aunque la notificación se practicó válidamente por medios electrónicos, dándose por efectuado el trámite conforme a lo dispuesto en el artículo 41.5 de la LPACAP, a título informativo se envió una copia por correo postal que fue notificada fehacientemente en fecha 19 de octubre de 2023. En dicha notificación, se le recordaba su obligación de relacionarse electrónicamente con la Administración, y se le informaban de los medios de acceso a dichas notificaciones, reiterando que, en lo sucesivo, se le notificaría exclusivamente por medios electrónicos. No se ha recibido respuesta a este escrito de traslado. TERCERO: Con fecha 27 de septiembre de 2023, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/4 CUARTO: Con fecha 13 de febrero de 2024, la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, por la presunta infracción del Artículo 9 del RGPD, Artículo 5.1.
- f)del RGPD y Artículo 32 del RGPD, tipificadas en el Artículo 83.5 del RGPD y Artículo 83.4 del RGPD. QUINTO: Notificado el citado acuerdo de inicio conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP) se presentaron alegaciones por la parte reclamada. . SEXTO: Con fecha 1 de mayo de 2024 se dictó propuesta de resolución requiriendo que por la Agencia Española de Protección de Datos se declare que el DEPARTAMENTO DE EDUCACIÓN, CULTURA Y DEPORTE, con NIF S5011001D, ha infringido lo dispuesto en el Artículo 9 del RGPD, Artículo 5.1.
- f)del RGPD y Artículo 32 del RGPD, tipificadas en el Artículo 83.5 del RGPD y Artículo 83.4 del RGPD. De conformidad con el artículo 14 de la ley 39/2015 de 1 de octubre de Procedimiento Administrativo Común de las Administraciones Públicas, (en adelante LPACAP) al ser la parte reclamada persona jurídica, está obligada a relacionarse electrónicamente con la Administración por lo que la notificación de la propuesta de resolución se practicó válidamente por medios electrónicos. El artículo 43.2 de la LPACAP, establece que transcurridos 10 días naturales sin acceder al documento puesto a disposición en la dirección electrónica habilitada única (DEHu), se entenderá rechazada la notificación. El artículo 30.5 de la LPACAP establece que, si el día de la notificación es inhábil, dicho plazo comenzará a partir del primer día hábil siguiente, en este caso el 2 de mayo de 2024. El artículo 41.5 de la LPACAP establece que, si el interesado rechaza la notificación, se dará por efectuado el trámite y seguirá el procedimiento. Por lo tanto, el 12 de mayo de 2024 se dio por válida la notificación de la propuesta de resolución de este procedimiento sancionador. SÉPTIMO: Con fecha 5 de febrero de 2025, de conformidad con el artículo 87 de la LPACAP, se dictan actuaciones complementarias por la Agencia Española de Protección de Datos, requiriendo información al DEPARTAMENTO DE EDUCACIÓN, CULTURA Y DEPORTE de Aragón, constando su notificación con fecha de 17 de febrero de 2025. FUNDAMENTOS DE DERECHO I De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/4 autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento, la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II El artículo 64.2 de la LOPDGDD, con relación a la duración de los procedimientos establece lo siguiente: “(…) El procedimiento tendrá una duración máxima de doce meses a contar desde la fecha del acuerdo de inicio. Transcurrido ese plazo se producirá su caducidad y, en consecuencia, el archivo de actuaciones” Por otro lado, el artículo 92.3 de la LRJAP y PAC establece que “La caducidad no producirá por sí sola la prescripción de las acciones del particular o de la Administración, pero los procedimientos caducados no interrumpirán el plazo de prescripción”. Al respecto la Audiencia Nacional viene estableciendo (por ejemplo en su Sentencia de 10 de julio de 2013) que “declarada la caducidad de las actuaciones previas de investigación iniciadas por la Agencia Española de Protección de Datos, tal circunstancia no supone obstáculo alguno para que dicha entidad proceda a iniciar o reiniciar otras actuaciones previas de investigación sobre los mismos hechos, siempre y cuando no hubiere transcurrido el plazo de prescripción de la infracción administrativa objeto de investigación”. En consecuencia, dado que el acuerdo de inicio del presente procedimiento sancionador fue dictado el 13 de febrero de 2024, y de conformidad con el artículo 64.2 de la LPDGDD, el procedimiento tiene una duración máxima de doce meses a contar desde la fecha del acuerdo de inicio, y una vez transcurrido ese plazo se produce su caducidad y, en consecuencia, el archivo de actuaciones, el 13 de febrero de 2025 se ha producido la caducidad del presente procedimiento. Señalar, no obstante, la posible apertura de un nuevo expediente, toda vez que los hechos objeto de reclamación y susceptibles de infracción administrativa no se encuentren prescritos. Por lo tanto, de acuerdo con lo señalado, por la Presidencia de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: DECLARAR la CADUCIDAD del presente procedimiento sancionador y proceder a su ARCHIVO. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/4 SEGUNDO: NOTIFICAR la presente resolución a DEPARTAMENTO DE EDUCACIÓN, CIENCIA Y UNIVERSIDADES. TERCERO: COMUNICAR la presente resolución al Defensor del Pueblo, de conformidad con lo establecido en el artículo 77.5 de la LOPDGDD. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
- a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-16012024 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es