← España

PS-00506-2023

1/14  Expediente N.º: EXP202310874 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 03/07/2023 se interpuso reclamación ante la Agencia Española de Protección de Datos por una posible infracción imputable a la entidad AGENCIA ESTATAL DE METEOROLOGIA, con NIF Q2801668A (en adelante, parte reclamada o AEMET). Los hechos que se pone en conocimiento de esta autoridad: El 09/03/2023 la parte reclamante envió un correo al delegado de protección de datos de la parte reclamada con el objeto de corroborar si la documentación que se solicita por parte del Servicio de Asuntos Generales y Régimen Interior para solicitar la tarjeta de aparcamiento se ajusta a lo establecido en la normativa de protección de datos. Según afirma la parte reclamante, el delegado emitió un informe en el que concluye que no existe motivación que ampare la petición de documentos que se realiza, considerando el fin que se persigue. Añade que, el 22/06/2023, solicitó el cambio de vehículo en su tarjeta de aparcamiento y le requirieron de nuevo la documentación sin resolución expresa y sin justificar los fines del tratamiento de los datos ni de la minimización de la documentación. Junto a la reclamación aporta el formulario que debe presentar para solicitar la tarjeta de aparcamiento, mediante el que se recaban datos personales del solicitante relativos a número de DNI, teléfono/extensión, nombre, apellidos, unidad administrativa, matrícula y marca/modelo del vehículo. Según consta en este formulario, el solicitante debe adjuntar la documentación siguiente: fotocopia del carnet de conducir vigente, fotocopia del permiso de circulación del vehículo o vehículos, fotocopia del Libro de Familia o autorización original, si el vehículo no está a nombre del solicitante. Asimismo, acompaña, entre otra, la documentación siguiente: . Copia del correo electrónico de fecha 09/03/2023, citado en la reclamación, remitido por la parte reclamante a la dirección “dpd@aemet.es”, en el que consulta si recabar la documentación antes mencionada se ajusta a los principios de minimización de datos y limitación de la finalidad. . Correo electrónico de fecha 30/06/2023, dirigido a la parte reclamante desde la dirección “buzónasuntosgenerales@aemet.es”, en el que se incluye el texto siguiente: “Recibida solicitud para modificar su tarjeta de aparcamiento en la Sede Central, este servicio, para poder iniciar las gestiones oportunas, de acuerdo al procedimiento establecido, le informa que ha de aportar la siguiente documentación del nuevo C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/14 vehículo matrícula…: . documento de autorización para su uso de la persona titular del vehículo, si éste no está a su nombre . documentación del permiso de conducción del vehículo”. . Copia de dos correos electrónicos, ambos de fecha 03/07/2023, dirigidos por la parte reclamante a la dirección “dpd@aemet.es”, en los que plantea nuevamente la pertinencia de recabar aquellos documentos y solicita respuesta expresa a su consulta. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a AEMET, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó electrónicamente conforme a lo prevenido en la Ley 39/2015, de 1 de octubre, de Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), fue aceptado por la entidad AEMET en fecha 03/08/2023. Así consta en el certificado que obra en el expediente, emitido por el servicio de Soporte del Servicio de Dirección Electrónica Habilitada Única (DEHÚ). Con fecha 07/09/2023, se recibe respuesta de la citada entidad en la que da cuenta del informe elaborado con motivo del correo electrónico que fue remitido por la parte reclamante a la dirección a la dirección “dpd@aemet.es”, con el detalle siguiente: “El procedimiento referido podría vulnerar varios preceptos recogidos en la normativa de protección de datos: . Los datos solicitados no se recogen para un fin determinado, que tiene que explicitarse en el formulario de solicitud, o en algún documento que lo acompañe. . Los datos solicitados son excesivos para la posible finalidad legítima que puede tener AEMET, de controlar y limitar los vehículos que pueden acceder y aparcar en las instalaciones de la agencia. . No se especifica quien es el responsable del tratamiento de estos datos, ni al encargado del tratamiento de dichos datos. . No se especifica durante cuánto tiempo se conservarán los datos recabados. . Los datos no son adecuados, ni pertinentes al posible fin perseguido. . No se especifica si los datos serán cedidos o no a otras secciones de la propia agencia, o incluso a otros organismos, públicos o privados. . No se especifica donde se pueden dirigir para ejercer sus derechos en materia de protección de datos previstos”. Y realiza una serie de recomendaciones y aconseja la modificación del procedimiento en los siguientes términos: “. No solicitar tanta documentación, puesto que no se entiende cual es la necesidad de la misma para autorizar el aparcamiento en las instalaciones de la Agencia, y por tanto para emitir la correspondiente tarjeta de aparcamiento. . Solicitar únicamente los datos imprescindibles para emitir la correspondiente tarjeta de aparcamiento. A juicio de este delegado, y sin más datos que los C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/14 facilitados en la reclamación para valorar adecuadamente este punto, únicamente serían imprescindibles para la emisión de la tarjeta de aparcamiento los datos personales del usuario/trabajador y los datos del coche o coches que serán autorizados a realizar dicho aparcamiento; matrícula, modelo, y características físicas del mismo (color). . Sustituir la exigencia de documentación del automóvil y del permiso de circulación y carnet de conducir, por una simple declaración responsable del usuario de que está al corriente y en disposición de todos los requisitos legales, y permisos, para circular con el referido automóvil. Estos datos se solicitarán únicamente si se consideran imprescindibles para emitir la correspondiente tarjeta de aparcamiento. En todo caso se deberá justificar debidamente dicha necesidad. . Facilitar a los usuarios un documento que incluya todos los puntos necesarios para que esté debidamente informado para prestar el consentimiento para el tratamiento por parte del servicio responsable del registro de datos de los datos facilitados. Se incluye junto a este informe un documento que constituye un modelo para esta finalidad. . Recoger en la solicitud el consentimiento explícito del interesado para tratar los datos solicitados en los fines específicos y exclusivos para los que se recogen”. Asimismo, en la mencionada respuesta al trámite de traslado de la reclamación se ponen de manifiesto las conclusiones siguientes: “Según la información remitida desde los Servicios Centrales de la AEMET, Sección de Servicios Generales: - El servicio de Asuntos Generales y Régimen interior es el responsable de la tramitación de las tarjetas de aparcamiento en la sede central de AEMET (se incluye el actual modelo de solicitud en el Anexo IV). - El procedimiento vigente está colgado en intranet, y se actúa conforme al mismo en tanto no sufra modificaciones (se está analizando un nuevo procedimiento relativo a todos los accesos a la Sede Central, ya sea por vehículos rodados o por acceso peatonal). Por ello la solicitud mencionada es la que se utiliza actualmente, y cuyos datos que se solicitan, fueron aprobados por el Comité de Dirección y es de carácter idéntico al procedimiento y datos solicitados por nuestro Ministerio de adscripción, respecto a sus vehículos. - Este servicio es el responsable de los datos requeridos, y de conformidad con el art. 5 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales, todas las personas que tengan acceso a datos de carácter personal están sujetas al deber de confidencialidad al que se refiere el artículo 5.1.f del Reglamento General de Protección de Datos. Esta obligación general se mantendrá aun cuando hubiese finalizado la relación del obligado con el responsable o encargado del tratamiento de los datos personales a los que tuviera acceso. - Dichos datos se mantienen durante la existencia de relación laboral de AEMET con sus empleados, y no son objeto de utilización por personal y para fines distintos al hecho de acceso al parking”. Posteriormente, con fecha 12/09/2023, en respuesta a la solicitud de información que le fue cursada por la Subdirección General de Inspección de Datos, aportó copia del formulario de “Solicitud de tarjeta de aparcamiento”, que coincide con el aportado por la parte reclamante, ya reseñado en el Hecho Primero. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/14 TERCERO: Con fecha 03/10/2023, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación. CUARTO: Con fecha 25/02/2025, la Presidencia de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la entidad AEMET, por la presunta infracción de los artículos 5.1.

  1. c)y 13 del RGPD, tipificadas en los artículos 83.5.
  2. a)y
  3. b)del mismo Reglamento, respectivamente. En el acuerdo de apertura se advertía que dichas infracciones, de confirmarse, podrán conllevar la imposición de medidas. QUINTO: Notificado el citado acuerdo de inicio conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP) y transcurrido el plazo otorgado para la formulación de alegaciones, se ha constatado que no se ha recibido alegación alguna por la parte reclamada. El artículo 64.2.
  4. f)de la LPACAP -disposición de la que se informó a la parte reclamada en el acuerdo de apertura del procedimiento- establece que si no se efectúan alegaciones en el plazo previsto sobre el contenido del acuerdo de iniciación, cuando éste contenga un pronunciamiento preciso acerca de la responsabilidad imputada, podrá ser considerado propuesta de resolución. En el presente caso, el acuerdo de inicio del expediente sancionador determinaba los hechos en los que se concretaba la imputación, la infracción del RGPD atribuida a la reclamada y la sanción que podría imponerse. Por ello, tomando en consideración que la parte reclamada no ha formulado alegaciones al acuerdo de inicio del expediente y en atención a lo establecido en el artículo 64.2.
  5. f)de la LPACAP, el citado acuerdo de inicio es considerado en el presente caso propuesta de resolución. A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes, HECHOS PROBADOS PRIMERO: La entidad AEMET tiene habilitado un procedimiento para que sus empleados de la Sede Central puedan solicitar una tarjeta de aparcamiento que les autorice a utilizar dichas instalaciones. Para ello, el empleado solicitante debe de cumplimentar un formulario de “Solicitud de tarjeta de aparcamiento” con sus datos personales relativos a número de DNI, teléfono/extensión, nombre, apellidos, unidad administrativa, matrícula y marca/modelo del vehículo. Conforme al procedimiento seguido por AEMET para otorgar aquellas autorizaciones, y según consta en el propio formulario de solicitud, el interesado viene obligado a aportar a la citada entidad copia del carnet de conducir vigente, permiso de circulación del vehículo o vehículos, fotocopia del Libro de Familia o autorización original, si el vehículo no está a nombre del solicitante. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/14 El mencionado formulario de solicitud no incluye ninguna información en materia de protección de datos personales ni indicación alguna sobre cómo obtenerla. SEGUNDO: La entidad AEMET ha informado que el procedimiento reseñado en el Hecho Probado Primero “está colgado en intranet, y se actúa conforme al mismo en tanto no sufra modificaciones (se está analizando un nuevo procedimiento relativo a todos los accesos a la Sede Central, ya sea por vehículos rodados o por acceso peatonal)”. TERCERO: La parte reclamante ha manifestado que, en fecha 22/06/2023, solicitó el cambio de vehículo en su tarjeta de aparcamiento. Según la documentación aportada, en respuesta a dicha solicitud le fue remitido un correo electrónico, de fecha 30/06/2023, dirigido a la parte reclamante desde la dirección “buzónasuntosgenerales@aemet.es”, en el que se incluye el texto siguiente: “Recibida solicitud para modificar su tarjeta de aparcamiento en la Sede Central, este servicio, para poder iniciar las gestiones oportunas, de acuerdo al procedimiento establecido, le informa que ha de aportar la siguiente documentación del nuevo vehículo matrícula…: . documento de autorización para su uso de la persona titular del vehículo, si éste no está a su nombre . documentación del permiso de conducción del vehículo”. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Cuestiones previas El artículo 4.1) del RGPD, define «dato personal» como: “toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/14 indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona”. El artículo 4.2) del RGPD, define «tratamiento» como: “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción.” El artículo 4.7) del RGPD, define al «responsable del tratamiento» o «responsable» como: “la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros”. A su vez el artículo 4.8) del RGPD determina al «encargado del tratamiento» o «encargado» como la persona física o jurídica, autoridad pública, servicio u otro organismo que trate datos personales por cuenta del responsable del tratamiento. En el presente caso, de acuerdo con lo establecido en el artículo 4.1 y 4.2 del RGPD, consta la realización de un tratamiento de datos personales, toda vez que AEMET realiza, entre otros tratamientos, la recogida y conservación de datos personales de personas físicas relativos a número de DNI, teléfono/extensión, nombre, apellidos, unidad administrativa, matrícula y marca/modelo del vehículo; así como los contenidos en los siguientes documentos: carnet de conducir vigente, permiso de circulación de vehículos y Libro de Familia. AEMET realiza esta actividad en su condición de responsable del tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del RGPD. III Obligación incumplida: infracción del artículo 5.1.
  6. c)del RGPD En el presente caso, se pone de manifiesto que la entidad AEMET, para la concesión a sus empleados de la Sede Central de una tarjeta de aparcamiento, además de la cumplimentación del formulario de solicitud habilitado al efecto, exige a los interesados la aportación de fotocopia del carnet de conducir vigente, fotocopia del permiso de circulación del vehículo o vehículos, fotocopia del Libro de Familia o autorización original, si el vehículo no está a nombre del solicitante. El uso de los datos personales contenidos en estos documentos no ha sido justificado por la entidad AEMET. Atendiendo a la finalidad pretendida y al uso al que se destinan, se concluye que dichos datos personales no resultan necesarios, ni adecuados, ni pertinentes, de modo que su tratamiento es constitutivo de una infracción de lo dispuesto en el artículo 5.1.
  7. c)(Principios relativos al tratamiento) del RGPD, que establece lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/14 “1. Los datos personales serán: (…)
  8. c)adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados («minimización de datos»)”. El artículo 5 del RGPD se refiere a los principios generales para el tratamiento de datos. En su apartado
  9. c)se hace referencia al principio de minimización de datos, indicando que los datos han de ser “adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados”. Si examinamos la definición podemos deducir que solo se pueden recabar los datos personales que se vayan a tratar, es decir, los que sean estrictamente necesarios para el tratamiento; que solo podrán ser utilizados para la finalidad que motivó su recogida, pero no con ningún otro objetivo. Cabe traer a colación las consideraciones acerca del principio de minimización de datos realizadas por el Comité Europeo de Protección de Datos (CEPD) en las Directrices 4/2019, “relativas al artículo 25, Protección de datos desde el diseño y por defecto”, versión 2.0, de fecha 20/10/2020, adoptadas en cumplimiento de la función que el artículo 70 del RGPD le encomienda de garantizar su aplicación coherente. En el epígrafe 74 de dichas directrices se establece que: “En primer lugar, los responsables del tratamiento deben determinar si tienen siquiera necesidad de tratar datos personales para sus fines pertinentes. El responsable debe verificar si se pueden alcanzar los fines pertinentes tratando menos datos personales, o utilizando datos personales menos detallados o agregados, o sin tener que tratar datos personales en modo alguno. Dicha verificación debe tener lugar antes de cualquier tratamiento, pero también puede llevarse a cabo en cualquier momento durante el ciclo de tratamiento.” (Epígrafe 74). Y en su epígrafe 76, estas Directrices 4/2019 indican que pueden ser “Elementos esenciales desde el diseño y por defecto con respecto a la minimización de datos” entre otros, los siguientes: “. Evitación de datos: Se evitará todo tratamiento de datos personales cuando ello sea posible para cumplir la finalidad pertinente. . Limitación: Se limitará la cantidad de datos personales recogidos a lo estrictamente necesario para el fin previsto. . Limitación de acceso: Se configurará el tratamiento de datos de manera que se minimice el número de personas que necesiten acceder a datos personales para desempeñar sus funciones, y se limitará el acceso en consecuencia. . Pertinencia: Los datos personales deben ser pertinentes para el tratamiento en cuestión, y el responsable del tratamiento deberá poder acreditar dicha pertinencia. . Necesidad: Cada categoría de datos personales será necesaria para los fines especificados y solo deberá ser objeto de tratamiento si no es posible cumplir la finalidad por otros medios.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/14 Por tanto, es necesario llevar a cabo una debida ponderación de la información a requerir a los interesados, sopesando las circunstancias que rodean un determinado tratamiento y analizando las consecuencias que puede conllevar el acceso a determinados datos. También en el Considerando 39 del RGPD se señala que: “…Los datos personales deben ser adecuados, pertinentes y limitados a lo necesario para los fines para los que sean tratados”. En este caso, se da la circunstancia de que las indicadas irregularidades se pusieron de manifiesto por la parte reclamante mediante correo electrónico de fecha 09/03/2023, dando lugar a un pronunciamiento del DPD de la AEMT que, a septiembre del mismo año, no había sido tomado en consideración por dicha entidad. IV Tipificación y calificación de la infracción La infracción que se le atribuye a la parte reclamada se encuentra tipificada en el artículo 83.5
  10. a)del RGPD, que considera que la infracción de “los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9” es sancionable. La LOPDGDD en su artículo 71, Infracciones, señala que: “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. Y en su artículo 72, considera a efectos de prescripción, que son: “Infracciones consideradas muy graves: 1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes: (…)
  11. a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679. (…)” V Obligación incumplida: Infracción del artículo 13 del RGPD El artículo 12.1 del RGPD indica que quien lleve a cabo un tratamiento de datos personales deberá suministrar a los interesados la información indicada en los artículos 13 y 14 del RGPD. El artículo 13 del RGPD establece la información que deberá facilitarse cuando los datos personales se obtengan del interesado, en virtud del cual: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/14 “1. Cuando se obtengan de un interesado datos personales relativos a él, el responsable del tratamiento, en el momento en que estos se obtengan, le facilitará toda la información indicada a continuación:
  12. a)la identidad y los datos de contacto del responsable y, en su caso, de su representante;
  13. b)los datos de contacto del delegado de protección de datos, en su caso;
  14. c)los fines del tratamiento a que se destinan los datos personales y la base jurídica del tratamiento;
  15. d)cuando el tratamiento se base en el artículo 6, apartado 1, letra f), los intereses legítimos del responsable o de un tercero;
  16. e)los destinatarios o las categorías de destinatarios de los datos personales, en su caso;
  17. f)en su caso, la intención del responsable de transferir datos personales a un tercer país u organización internacional y la existencia o ausencia de una decisión de adecuación de la Comisión, o, en el caso de las transferencias indicadas en los artículos 46 o 47 o el artículo 49, apartado 1, párrafo segundo, referencia a las garantías adecuadas o apropiadas y a los medios para obtener una copia de estas o al lugar en que se hayan puesto a disposición. 2. Además de la información mencionada en el apartado 1, el responsable del tratamiento facilitará al interesado, en el momento en que se obtengan los datos personales, la siguiente información necesaria para garantizar un tratamiento de datos leal y transparente:
  18. a)el plazo durante el cual se conservarán los datos personales o, cuando no sea posible, los criterios utilizados para determinar este plazo;
  19. b)la existencia del derecho a solicitar al responsable del tratamiento el acceso a los datos personales relativos al interesado, y su rectificación o supresión, o la limitación de su tratamiento, o a oponerse al tratamiento, así como el derecho a la portabilidad de los datos;
  20. c)cuando el tratamiento esté basado en el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), la existencia del derecho a retirar el consentimiento en cualquier momento, sin que ello afecte a la licitud del tratamiento basado en el consentimiento previo a su retirada;
  21. d)el derecho a presentar una reclamación ante una autoridad de control;
  22. e)si la comunicación de datos personales es un requisito legal o contractual, o un requisito necesario para suscribir un contrato, y si el interesado está obligado a facilitar los datos personales y está informado de las posibles consecuencias de no facilitar tales datos;
  23. f)la existencia de decisiones automatizadas, incluida la elaboración de perfiles, a que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado. 3. Cuando el responsable del tratamiento proyecte el tratamiento ulterior de datos personales para un fin que no sea aquel para el que se recogieron, proporcionará al interesado, con anterioridad a dicho tratamiento ulterior, información sobre ese otro fin y cualquier información adicional pertinente a tenor del apartado 2. 4. Las disposiciones de los apartados 1, 2 y 3 no serán aplicables cuando y en la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/14 medida en que el interesado ya disponga de la información.” Esta información debe suministrarse por adelantado -considerando 39 del RGPD-. En este caso, la entidad AEMET ha dispuesto un formulario para que sus empleados de la Sede Central puedan solicitar una tarjeta de aparcamiento que les autorice a utilizar dichas instalaciones, si bien dicho formulario no incluye ninguna información en materia de protección de datos personales ni indicación alguna sobre cómo obtenerla, por lo que se considera vulnerado lo establecido en el artículo 13 del RGPD antes transcrito. VI Tipificación y calificación de la infracción del artículo 13 del RGPD La parte reclamada ha incumplido las estipulaciones del artículo 13 del RGPD. El artículo 83.5
  24. b)dispone que “las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
  25. a)(…)
  26. b)los derechos de los interesados a tenor de los artículos 12 a 22;” (…)”. A los efectos del plazo de prescripción de las infracciones, el artículo 72.1
  27. h)de la LOPDGDD califica de muy grave “La omisión del deber de informar al afectado acerca del tratamiento de sus datos personales conforme a lo dispuesto en los artículos 13 y 14 del Reglamento (UE) 2016/679 y 12 de esta Ley Orgánica”. El plazo de prescripción de las infracciones muy graves previsto en la LOPDGDD es de tres años. VII Declaración de infracción El artículo 83 “Condiciones generales para la imposición de multas administrativas” del RGPD, en su apartado 7, establece: “Sin perjuicio de los poderes correctivos de las autoridades de control en virtud del artículo 58, apartado 2, cada Estado miembro podrá establecer normas sobre si se puede, y en qué medida, imponer multas administrativas a autoridades y organismos públicos establecidos en dicho Estado miembro.” El artículo 77 “Régimen aplicable a determinadas categorías de responsables o encargados del tratamiento” de la LOPDGDD dispone lo siguiente: “1. El régimen establecido en este artículo será de aplicación a los tratamientos de los que sean responsables o encargados: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/14
  28. a)Los órganos constitucionales o con relevancia constitucional y las instituciones de las comunidades autónomas análogas a los mismos.
  29. b)Los órganos jurisdiccionales.
  30. c)La Administración General del Estado, las Administraciones de las comunidades autónomas y las entidades que integran la Administración Local.
  31. d)Los organismos públicos y entidades de Derecho público vinculadas o dependientes de las Administraciones Públicas.
  32. e)Las autoridades administrativas independientes.
  33. f)El Banco de España.
  34. g)Las corporaciones de Derecho público cuando las finalidades del tratamiento se relacionen con el ejercicio de potestades de derecho público.
  35. h)Las fundaciones del sector público.
  36. i)Las Universidades Públicas.
  37. j)Los consorcios.
  38. k)Los grupos parlamentarios de las Cortes Generales y las Asambleas Legislativas autonómicas, así como los grupos políticos de las Corporaciones Locales. 2. Cuando los responsables o encargados enumerados en el apartado 1 cometiesen alguna de las infracciones a las que se refieren los artículos 72 a 74 de esta ley orgánica, la autoridad de protección de datos que resulte competente dictará resolución declarando la infracción y estableciendo, en su caso, las medidas que proceda adoptar para que cese la conducta o se corrijan los efectos de la infracción que se hubiese cometido, con excepción de la prevista en el artículo 58.2.i del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016. La resolución se notificará al responsable o encargado del tratamiento, al órgano del que dependa jerárquicamente, en su caso, y a los afectados que tuvieran la condición de interesado, en su caso. 3. Sin perjuicio de lo establecido en el apartado anterior, la autoridad de protección de datos propondrá también la iniciación de actuaciones disciplinarias cuando existan indicios suficientes para ello. En este caso, el procedimiento y las sanciones a aplicar serán las establecidas en la legislación sobre régimen disciplinario o sancionador que resulte de aplicación. Asimismo, cuando las infracciones sean imputables a autoridades y directivos, y se acredite la existencia de informes técnicos o recomendaciones para el tratamiento que no hubieran sido debidamente atendidos, en la resolución en la que se imponga la sanción se incluirá una amonestación con denominación del cargo responsable y se ordenará la publicación en el Boletín Oficial del Estado o autonómico que corresponda. 4. Se deberán comunicar a la autoridad de protección de datos las resoluciones que recaigan en relación con las medidas y actuaciones a que se refieren los apartados anteriores. 5. Se comunicarán al Defensor del Pueblo o, en su caso, a las instituciones análogas de las comunidades autónomas las actuaciones realizadas y las resoluciones dictadas al amparo de este artículo. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/14 6. Cuando la autoridad competente sea la Agencia Española de Protección de Datos, esta publicará en su página web con la debida separación las resoluciones referidas a las entidades del apartado 1 de este artículo, con expresa indicación de la identidad del responsable o encargado del tratamiento que hubiera cometido la infracción. Cuando la competencia corresponda a una autoridad autonómica de protección de datos se estará, en cuanto a la publicidad de estas resoluciones, a lo que disponga su normativa específica.” Este precepto establece que los procedimientos que tengan causa en infracciones en materia de protección de datos personales cometidas por las categorías de responsables o encargados del tratamiento enumerados en su apartado 1 se resolverán, en todo caso, declarando la infracción. VIII Medidas correctivas Confirmadas las infracciones, el citado artículo 77 de la LOPDGDD contempla que la resolución que se dicte pueda establecer las medidas que la entidad infractora deberá adoptar para que cese la conducta infractora, se corrijan los efectos de la infracción que se hubiese cometido y se lleve a cabo la necesaria adecuación, en este caso, a las exigencias contempladas en los artículos 5.1.
  39. c)y 13 del RGPD, debiendo, además, aportar a la AEPD los medios acreditativos del cumplimiento de lo requerido. Así, se podrá requerir a la entidad responsable para que adecúe su actuación a la normativa de protección de datos personales, con el alcance expresado en los anteriores Fundamentos de Derecho. En el presente acto se establece cuál es la presunta infracción cometida y los hechos que podrían dar lugar a esa posible vulneración de la normativa de protección de datos, de lo que se infiere con claridad cuáles son las medidas a adoptar, sin perjuicio de que el tipo de procedimientos, mecanismos o instrumentos concretos para implementarlas corresponda a la parte sancionada, pues es el responsable del tratamiento quien conoce plenamente su organización y ha de decidir, en base a la responsabilidad proactiva y en enfoque de riesgos, cómo cumplir con el RGPD y la LOPDGDD. No obstante, en este caso, con independencia de lo anterior, se requiere a la entidad AEMET para que, en el plazo de tres meses, a contar desde la fecha de ejecutividad de la presente resolución finalizadora de este procedimiento, adopte las medidas siguientes: . El cese en el tratamiento de los datos personales que conlleva la recogida de los documentos que la citada entidad exige a sus empleados interesados en utilizar las instalaciones de aparcamiento de su Sede Central, distintos al formulario de solicitud. Ello supone el cese en la recogida de tales documentos para nuevos solicitantes y la supresión de la información ya recabada de usuarios anteriores o actuales. . Cumplir el deber de información a los interesados incluyendo en el formulario C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/14 “Solicitud de tarjeta de aparcamiento” la información que dé cumplimiento a lo establecido en el artículo 13 del RGPD. En el mismo plazo, AEMET deberá justificar ante esta Agencia haber adoptado las medidas impuestas. Se advierte que no atender la presente orden de adopción de medidas podrá ser considerado como una infracción administrativa conforme a lo dispuesto en el RGPD, tipificada como infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la apertura de un ulterior procedimiento administrativo sancionador. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Presidencia de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR que AGENCIA ESTATAL DE METEOROLOGIA, con NIF Q2801668A, ha infringido lo dispuesto en los artículos 5.1.
  40. c)y 13 del RGPD, infracciones tipificadas en los artículos 83.5.
  41. a)y
  42. b)del mismo Reglamento, respectivamente. SEGUNDO: ORDENAR a AGENCIA ESTATAL DE METEOROLOGIA, con NIF Q2801668A, que en virtud del artículo 77 de la LOPDGDD, en el plazo de tres meses desde que la presente resolución sea firme y ejecutiva, acredite haber procedido al cumplimiento de las medidas acordadas en el Fundamento de Derecho VIII. TERCERO: NOTIFICAR METEOROLOGIA. la presente resolución a AGENCIA ESTATAL DE CUARTO: COMUNICAR la presente resolución al Defensor del Pueblo, de conformidad con lo establecido en el artículo 77.5 de la LOPDGDD. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
  43. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/14 De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-100325 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.