PS-00511-2024

1/35  Expediente N.º: EXP202307414 ÍNDICE ÍNDICE........................................................................................................................... 1 ANTECEDENTES..........................................................................................................2 PRIMERO:.................................................................................................................2 SEGUNDO:................................................................................................................ 3 TERCERO:.................................................................................................................3 CUARTO:................................................................................................................. 13 QUINTO:.................................................................................................................. 13 SEXTO:.................................................................................................................... 17 SÉPTIMO:................................................................................................................ 17 OCTAVO:.................................................................................................................. 18 HECHOS PROBADOS................................................................................................18 PRIMERO:............................................................................................................... 18 SEGUNDO:.............................................................................................................. 18 TERCERO:............................................................................................................... 18 CUARTO:................................................................................................................. 19 QUINTO:.................................................................................................................. 19 FUNDAMENTOS DE DERECHO.................................................................................20 I. Competencia......................................................................................................... 20 II. Cuestiones previas...............................................................................................20 III. Contratos tramitados y adjudicados por el INE....................................................22 IV. Contestación a las Alegaciones al acuerdo de inicio...........................................23 V. Obligación incumplida. Artículo 28 RGPD. Encargado del tratamiento.................28 VI. Tipificación de la infracción del artículo 28 del RGPD y calificación a efectos de prescripción.............................................................................................................. 32 VII. Declaración de infracción...................................................................................33 RESUELVE:................................................................................................................. 34 PRIMERO:............................................................................................................... 35 SEGUNDO:.............................................................................................................. 35 TERCERO:............................................................................................................... 35 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/35 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: La Agencia Española de Protección de Datos ha tenido conocimiento de ciertos hechos que podrían constituir una posible infracción imputable al INSTITUTO NACIONAL DE ESTADÍSTICA con NIF Q2826039F (en adelante, el INE o la parte reclamada). Los hechos que se pone en conocimiento de esta autoridad son los siguientes: Como consecuencia de la información recibida a través de denuncia, se pone de manifiesto a esta Agencia la presunta existencia de conductas contrarias a la normativa de protección de datos llevadas a cabo por la entidad ***EMPRESA.1 (en lo sucesivo ***EMPRESA.1) en relación con la conservación y eventual tratamiento sin legitimación de ficheros con datos personales de diversa índole obtenidos principalmente a raíz de su condición de adjudicataria de diferentes contratos públicos. Según los hechos denunciados, la citada mercantil conserva en su poder copia de los últimos censos electorales, particularmente de los años 2014, 2016, 2019, 2021, de los ficheros elaborados para la remisión por el Instituto Nacional de Estadística de las tarjetas censales, que incluyen, además de los datos del censo, el DNI/NIF, así como de distintos ficheros procedentes de la Tesorería General de la Seguridad Social, en todos los casos obtenidos a partir de contratos en los que la empresa habría sido adjudicataria. Igualmente, dispondría de copia de los ficheros elaborados por la CNMC para la prestación de los servicios de directorio y guía telefónica, para los que la mercantil es entidad autorizada desde el año 2004. La información contenida en los distintos ficheros se ha consolidado en un fichero único con datos de más de 47 millones de ciudadanos españoles, que se pone comercialmente a disposición de distintas entidades en la modalidad de consulta individualizada, a través de un servicio web o para la realización de envíos de marketing de distintas entidades españolas. Los servicios ofrecidos incluirían también la realización de envíos postales no personalizados a personas que previamente han sido segregadas en función de segmentos de edad o de número de integrantes del núcleo familiar, por ejemplo. Los datos están alojados en servicios de nube prestados por una compañía francesa, aunque los servidores están localizados en un nodo sito en la ciudad de Madrid. La denuncia alude a un entramado societario, que vincula a ***EMPRESA.1 con otra empresa instrumental, gestionada por la propia mercantil, a la que se habrían cedido los datos del fichero consolidado, aparentando que es esta entidad la fuente que los facilita a ***EMPRESA.1 para la prestación de servicios comerciales, e igualmente, con una compañía que presta los servicios de delegado de Protección de Datos, que sería conocedora y encubridora de las supuestas irregularidades. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/35 Finalmente, en la denuncia se señala que ***EMPRESA.1 habría resultado adjudicataria de un servicio vinculado con el censo de no residentes con derecho a voto y de ausentes en países con convenio para las elecciones de 2023. Teniendo en cuenta la relevancia de la información, se consideró necesario por esta Agencia conocer en profundidad los hechos descritos, y los tratamientos llevados a cabo para, en su caso, determinar las consecuencias que de ellos pueden derivarse para los derechos y libertades de las personas. En relación con lo anterior, la necesidad de evaluar las implicaciones en materia de protección de datos personales determinó la apertura de una investigación para verificar estos extremos y, en su caso, la adecuada observancia de la normativa. SEGUNDO: Como consecuencia de los hechos conocidos, con fecha de 2 de junio de 2023 la Directora de la Agencia Española de Protección de Datos instó a la Subdirección General de Inspección de Datos (SGID) a iniciar las actuaciones previas de investigación a las que se refiere el artículo 67 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD). TERCERO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VIII, de la LOPDGDD. Como consecuencia de las actuaciones realizadas, se ha tenido conocimiento de los siguientes extremos: Con fecha de 01 de junio de 2023 la Directora de la Agencia Española de Protección de Datos acuerda iniciar actuaciones de investigación en relación con ***EMPRESA.1, por los hechos que se describen a continuación. Como consecuencia de la información recibida a través de denuncia, se pone de manifiesto a esta Agencia la presunta existencia de conductas contrarias a la normativa de protección de datos llevadas a cabo por la entidad ***EMPRESA.1 en relación con la conservación y eventual tratamiento sin legitimación de ficheros con datos personales de diversa índole obtenidos principalmente a raíz de su condición de adjudicataria de diferentes contratos públicos. Según los hechos denunciados, la citada mercantil conserva en su poder copia de los últimos censos electorales, particularmente de los años 2014, 2016, 2019, 2021, de los ficheros elaborados para la remisión por el Instituto Nacional de Estadística de las tarjetas censales, que incluyen, además de los datos del censo, el DNI/NIF, así como de distintos ficheros procedentes de la Tesorería General de la Seguridad Social, en todos los casos obtenidos a partir de contratos en los que la empresa habría sido adjudicataria. Igualmente, dispondría de copia de los ficheros elaborados por la CNMC C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/35 para la prestación de los servicios de directorio y guía telefónica, para los que la mercantil es entidad autorizada desde el año 2004. La información contenida en los distintos ficheros se habría consolidado en un fichero único con datos de más de 47 millones de ciudadanos españoles, que se pone comercialmente a disposición de distintas entidades en la modalidad de consulta individualizada, a través de un servicio web o para la realización de envíos de marketing de distintas entidades españolas. Los servicios ofrecidos incluirían también la realización de envíos postales no personalizados a personas que previamente han sido segregadas en función de segmentos de edad o de número de integrantes del núcleo familiar, por ejemplo. Los datos están alojados en servicios de nube prestados por una compañía francesa, aunque los servidores están localizados en un nodo sito en la ciudad de Madrid. Teniendo en cuenta la relevancia de la información, resulta necesario por esta Agencia conocer en profundidad los hechos descritos y los tratamientos llevados a cabo para, en su caso, determinar las consecuencias que de ellos pueden derivarse para los derechos y libertades de las personas. En relación con lo anterior, la necesidad de evaluar las implicaciones en materia de protección de datos personales requiere la apertura de una investigación para verificar estos extremos y, en su caso, la adecuada observancia de la normativa. En fecha 21 de diciembre de 2023 se realiza requerimiento de información a ***EMPRESA.1 marcado, entre otras, por la siguiente línea de investigación: - Investigar los contratos de encargo con el INE en los que la empresa hubiera resultado adjudicataria a partir de los cuales se hubieran obtenidos ficheros del censo electoral. Investigar la adecuada certificación sobre la destrucción y borrado de los datos obtenidos en la adjudicación de concursos públicos. Investigar las actividades de tratamiento de datos personales de la empresa. En fecha 22 de enero de 2024 y registro de entrada REGAGE24e00005131561 se recibe respuesta a requerimiento anterior, de su análisis se extrae la siguiente información relevante: - - Se aporta el RAT como responsable de tratamiento, con las siguientes actividades de tratamiento de la empresa: “Clientes, Proveedores, Personal, Control Acceso, Selección, Videovigilancia, Gestión Brechas, Ejercicio Derechos, Redes y Contactos.” Se aporta RAT de la empresa actuando como encargado de tratamiento, con el siguiente contenido: o Categorías de tratamientos:   C/ Jorge Juan, 6 28001 – Madrid Servicio impresión/envío: “Recepción/Descarga De Datos Del Cliente, Edición, Normalización, Impresión De Documentos O Preparación De Soporte Electrónico Y Envío O Bien Entrega A Otro Operador Para Envío”. Servicio de tratamiento o normalización de base de datos: “Recepción/Descarga De Datos Del Cliente, Edición, www.aepd.es sedeaepd.gob.es 5/35 Normalización, Devolución De La Base De Datos O Entrega A Un Tercero Indicado Por El responsable”. - o Categorías de datos personales afectados: Dni, Nombre, Apellidos, Direccion, Telefono, Datos Economicos (En Su Caso), Cualquier Información Necesaria Para La Prestación Del Servicio. o Se incluye el siguiente texto: “La presente ficha describe los tratamientos más habituales efectuados para clientes y se completa con el listado de clientes de ***EMPRESA.1, a los que es aplicable, junto con la relación de servicios prestados a cada uno de ellos”. En relación con los posibles contratos públicos adjudicados a través de los cuales se hubiera obtenido copia del censo, afirman que ***EMPRESA.1 ha resultado adjudicataria de los siguientes contratos: o ***EXPEDIENTE.1 “(…)”:  Destacan las siguientes afirmaciones relevantes en relación con este contrato: “Al tratarse de un contrato menor y urgente, se recibió un requerimiento del INE por e-mail para la presentación de ofertas y sólo nos consta la publicación de un Pliego de Prescripciones Técnicas. El concurso se adjudicó a ***EMPRESA.1, en fecha 7 de agosto de 2018”. o o C/ Jorge Juan, 6 28001 – Madrid "La Administración no requirió la firma de contrato de encargado del tratamiento, ni nos consta que se publicase en el concurso Pliego de Condiciones Administrativas que incluyese clausulado al efecto, probablemente por la urgencia del procedimiento”. ***EXPEDIENTE.7 (…):  Destacan las siguientes afirmaciones relevantes en relación con este contrato: “Contrato menor y urgente, se recibió un requerimiento del INE por e-mail para la presentación de ofertas y sólo nos consta la publicación de un Pliego de Prescripciones Técnicas. El concurso se adjudicó a ***EMPRESA.1 en fecha 8 de octubre de 2019. Por la urgencia del procedimiento.” “La Administración Pública convocante no requirió la firma de contrato de encargado del tratamiento, ni nos consta que se publicase en el concurso Pliego de Condiciones Administrativas que incluyese clausulado al efecto”. ***EXPEDIENTE.2 “(…)”.  Destacan las siguientes afirmaciones relevantes en relación con este contrato: “El anuncio de licitación se publicó en la Plataforma de Contratación del Sector Público el 7 de julio de 2022. El apartado 10.11 del Pliego de Condiciones Administrativas www.aepd.es sedeaepd.gob.es 6/35 o o - Particulares recoge el clausulado de encargado del tratamiento al que se sujeta el servicio. Tras la adjudicación a ***EMPRESA.1, el contrato fue suscrito con fecha de 31 de agosto de 2022”. Año 2023 - ***EXPEDIENTE.3 “(…)”:  Destacan las siguientes afirmaciones relevantes en relación con este contrato: “El anuncio de licitación se publicó en la Plataforma de Contratación del Sector Público el 22 de diciembre de 2022. El apartado 10.11 del Pliego de Condiciones Administrativas Particulares recoge el clausulado de encargado del tratamiento al que se sujeta el servicio. El concurso resultó adjudicado a la UTE formada por las entidades ***EMPRESA.2 y ***EMPRESA.1”. Año 2023 - ***EXPEDIENTE.4 “(…)”:  Destacan las siguientes afirmaciones relevantes en relación con este contrato: “El anuncio de licitación se publicó en la Plataforma de Contratación del Sector Público el 1 de junio de 2023. No nos consta la publicación de Pliego de Condiciones Administrativas Particulares La falta de estas, probablemente, vino motivada por la situación de extrema urgencia en que se hallaba la Administración Pública convocante en este proceso y la premura de los plazos, teniendo en cuenta la fecha de convocatoria de elecciones y la circunstancia de que el envío a los ciudadanos de las correspondientes tarjetas censales es un trámite previo y necesario para el correcto ejercicio de su derecho de voto, de conformidad con la normativa electoral. La Administración Pública sólo requirió a ***EMPRESA.1 la firma del documento de adjudicación del concurso, que se produjo con fecha de 12 de junio de 2023”. Afirman que los servicios realizados por ***EMPRESA.1, en las licitaciones anteriores pueden clasificarse en tres categorías distintas: o “Servicio de edición, manipulado y entrega al operador postal Sociedad Estatal de Correos y Telégrafos, S.A. de notificaciones: Dado el tiempo transcurrido desde la ejecución de dichos servicios, no pueden precisarse exactamente las categorías de datos personales que fueron facilitados por el INE para su ejecución”. o “Elaboración de comunicaciones a ciudadanos de la UE no españoles residentes en España. Los datos personales recibidos del INE fueron DNI/NIE, Nombre y Apellido, Dirección, Sexo, Fecha de nacimiento, Nacionalidad, Grado de escolaridad, Fecha de residencia legal en España”. o “Composición, edición, manipulado y entrega al operador postal Sociedad Estatal de Correos y Telégrafos, S.A. de un número variable de tarjetas censales para su envío a los electores en diversos procesos electorales. Los datos personales recibidos del INE fueron Provincia y C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/35 - Municipio de Residencia, Fecha de Nacimiento, Nombre y Apellidos, DNI/Identificador, Domicilio de residencia, Distrito, Sección, Mesa y local electoral en que corresponde votar, Nacionalidad”. En respuesta a nuestra solicitud para que aporten detalles de los tiempos de conservación de los datos personales obtenidos en las adjudicaciones anteriores y los mecanismos de borrado, afirman: “Los datos personales recibidos en cada uno de los procesos mencionados fueron tratados durante el tiempo necesario para la ejecución del servicio y, posteriormente, destruidos, de conformidad con lo que, como regla, viene exigiendo el INE en los PPT o PCAP. No obstante, hay algunos casos en los que no existen PCAP que indiquen el destino de los datos tras el servicio. Además, en ocasiones, los PCAP y los PPT de un mismo expediente se contradicen entre sí sobre si los datos han de ser destruidos o devueltos. Por ello y teniendo en cuenta que nunca se han recibido instrucción del INE sobre cómo proceder a la devolución de los datos, ***EMPRESA.1 ha seguido siempre el criterio de destruirlos una vez finalizado el servicio, para evitar cualquier tratamiento ilícito”. “Por otra parte, aunque los PCAP reconocen la posibilidad al adjudicatario de conservar una copia bloqueada de los datos mientras puedan derivarse responsabilidades de la ejecución de la prestación (ver el apartado 10.11 de los PCAP), por razones de prudencia y dada la sensibilidad de la información facilitada por el INE, ***EMPRESA.1 no conserva nunca la copia bloqueada durante tanto tiempo, sino que, tras la ejecución del trabajo, bloquea los datos y procede a su destrucción una vez que se confirma que se ha recibido el pago de la factura del servicio”. “El procedimiento de bloqueo y destrucción segura de los datos personales tratados por ***EMPRESA.1 como encargado del tratamiento se encuentra documentado en el Procedimiento de Seguridad PRS-IT13, que forma parte de nuestro Sistema de Gestión de la Seguridad de la Información de la Entidad, que se halla certificado conforme a la norma ISO 27.001”. (Se acredita documentalmente). “El Consejero Delegado de ***EMPRESA.1 emite un certificado de destrucción de los datos, una vez que verifica que esta se ha producido, tras el pago de la factura de servicios por parte del INE, lo que presupone que este no manifiesta objeciones al servicio prestado. Aunque, habitualmente, el INE no nos solicita el envío de estos certificados tras la realización del servicio”. Se acreditan certificados de destrucción de los datos personales tratados en las últimas licitaciones del INE. Afirman que no es posible aportar los certificados de destrucción de las licitaciones correspondientes a los expedientes ***EXPEDIENTE.1 y ***EXPEDIENTE.7, ejecutados en los años 2018 y 2019, ya que no se conservan, dado el tiempo transcurrido. Afirman que nunca se han C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/35 utilizado estos datos personales obtenidos del INE para finalidades distintas del objeto de cada licitación. - En relación con la designación de la figura de un Delegado de Protección de Datos en la entidad, se afirma: “La designación de un DPO no es legalmente obligatoria para ***EMPRESA.1, no obstante, el DPO fue nombrado por la entidad de forma voluntaria y como muestra de su compromiso en el cumplimiento de la normativa de protección de datos personales, con los siguientes datos:. ***EMPRESA.3. ***EMAIL.1 ***TELÉFONO.1 Persona de contacto: A.A.A.”. En fecha 5 de febrero de 2024 se realiza requerimiento al INSTITUTO NACIONAL DE ESTADÍSTICA (en lo sucesivo INE) marcado por la siguiente línea: - Investigar los contratos de encargo formalizados con ***EMPRESA.1 en las adjudicaciones de los expedientes ***EXPEDIENTE.1, ***EXPEDIENTE.7, ***EXPEDIENTE.2, ***EXPEDIENTE.4. - Investigar qué datos personales se pusieron a disposición de ***EMPRESA.1 en el marco de estas adjudicaciones. - Investigar las instrucciones que se proporcionaron para garantizar una adecuada destrucción de los datos personales tras la finalización del objeto de los contratos. En fecha 14 de febrero de 2024 y registros de entrada REGAGE24e00011918447, REGAGE24s00011620584, REGAGE24e00012005462, REGAGE24e00012293924, REGAGE24e00012295668, REGAGE24e00012296116 y REGAGE24e00012296667 se recibe respuesta al requerimiento anterior por parte de la OFICINA DEL CENSO ELECTORAL del INE (en adelante OCE), de su análisis se extrae la siguiente información relevante: - En relación con el contrato adjudicado en el expediente ***EXPEDIENTE.1 (contrato menor) se proporciona Memoria Justificativa, el Informe de Valoración y el Pliego de Prescripciones Técnicas (PPT). Se adjunta fichero Excel con el detalle del tipo de datos personales que se proporcionó a ***EMPRESA.1 en el marco de este contrato, que fueron: País de Residencia, Provincia, Municipio, Apellidos, Nombre, Sexo, Fecha Nacimiento, Provincia Nacimiento, Municipio nacimiento, DNI/PASAPORTE, Nivel de Estudios. No se acredita contrato de encargo de tratamiento, tampoco se proporciona información sobre protección de datos en el PPT. - En relación con el contrato adjudicado en el expediente ***EXPEDIENTE.7 (contrato menor) se proporciona la memoria justificativa, informe de valoración y PPT del contrato. No existe contrato de encargo. El PPT incorpora el siguiente texto: “La información que se suministre por parte de la SGOCE, recogida en el Anexo I, únicamente puede utilizarse para la edición de tarjetas censales, quedando prohibida cualquier información particularizada sobre los datos personales contenidos en el censo electoral (artículo 41 de la Ley Orgánica del Régimen Electoral General). Una vez finalizada la edición, deberán devolverse los soportes informáticos facilitados para la realización del trabajo y traer un documento en el que se certifique la no conservación de dicha información total o parcialmente en ningún soporte”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/35 - - Los datos personales que se proporcionaron a la empresa adjudicataria para el envío de las tarjetas censales fueron: DNI, Provincia, Municipio, Distrito, Sección, Apellidos, Fecha Nacimiento. En relación con el contrato adjudicado en el expediente ***EXPEDIENTE.2 se afirma: “Los datos se transfirieron a la empresa adjudicataria depositándolos en su servidor encriptados con la clave pública de la misma. En concreto se transmitieron los siguientes datos personales: NIE, Nombre y Apellidos, Sexo, Fecha Nacimiento, Domicilio, Código Postal, Intención de Voto, Idioma”. Aportan Pliego de Cláusulas Administrativas Particulares (PCAP) y un informe de valoración. En relación con el encargo de tratamiento de los datos personales, del PCAP se obtiene información sobre el tipo de interesados afectados, tipos de datos personales tratados, objeto del tratamiento, medidas de seguridad, ejercicio de derechos y disposición de los datos al finalizar el servicio. Con respecto a este último apartado se afirman distintas opciones que la empresa adjudicataria puede optar tras finalizar el contrato: “

1. a)Devolver al responsable del tratamiento los datos de carácter personal y, si procede, los soportes donde consten, una vez cumplida la prestación. La devolución debe comportar el borrado total de los datos existentes en los equipos informáticos utilizados por el encargado. No obstante, el encargado puede conservar una copia, con los datos debidamente bloqueados, mientras puedan derivarse responsabilidades de la ejecución de la prestación.
2. b)Devolver al encargado que designe por escrito el responsable del tratamiento, los datos de carácter personal y, si procede, los soportes donde consten, una vez cumplida prestación. La devolución debe comportar el borrado total de los datos existentes en los equipos informáticos utilizados por el encargado. No obstante, el encargado puede conservar una copia, con los datos debidamente bloqueados, mientras puedan derivarse responsabilidades de la ejecución de la prestación.
3. c)Destruir los datos, una vez cumplida la prestación. Una vez destruidos, el encargado debe certificar su destrucción por escrito y debe entregar el certificado al responsable del tratamiento. No obstante, el encargado puede conservar una copia, con los datos debidamente boqueados, mientras puedan derivarse responsabilidades de la ejecución de la prestación. El Responsable del Tratamiento podrá requerir al encargado para que en vez de la opción a), cumpla con la
4. b)o con la c).” En relación con el contrato adjudicado en el expediente ***EXPEDIENTE.3 se proporciona la siguiente información: “Este contrato no se adjudicó a ***EMPRESA.1 sino a la empresa ***EMPRESA.2 (que concurrió en UTE con ***EMPRESA.1). Se proporciona la declaración de emergencia, informe de valoración, memoria justificativa y PPT. Los datos personales que se proporcionaron a la empresa adjudicataria fueron los mismos que en el contrato ***EXPEDIENTE.7. Los datos se transfirieron depositándolos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 10/35 - - en el servidor de ***EMPRESA.2 encriptados con la clave pública de dicha empresa”. En relación con el contrato adjudicado en el expediente ***EXPEDIENTE.4, se proporciona declaración de emergencia, informe de valoración, memoria justificativa del mismo y PPT. Se afirma: “Los datos personales que se proporcionaron a las empresas adjudicatarias de los 3 lotes en que se dividió el contrato fueron los que figuran en el Anexo I del PPT. Los datos se transfirieron a la empresa adjudicataria del Lote 1 depositándolos en su servidor encriptados con la clave pública de la misma”. En la respuesta al requerimiento se incorpora la siguiente afirmación proporcionada por parte de OCE: “La empresa adjudicataria está informada, como se puede ver en la documentación adjunta para cada uno de los contratos, de sus obligaciones relativas al tratamiento de los datos durante y tras la prestación del servicio, obligaciones que asume mediante la aceptación de la adjudicación del contrato. Se considera que se ha informado debidamente al adjudicatario de las medidas necesarias en materia de protección de datos, en particular de la obligación de que los datos suministrados sólo puedan utilizarse para los fines del contrato y la obligación de devolver o eliminar dichos datos. En los contratos de 2018 y 2019 la empresa adjudicataria devolvió la información suministrada en el soporte físico en que le fue entregada, y ya no se conserva al haber transcurrido varios años. A partir de 2020 y debido a la situación provocada por la pandemia por Covid-19, los datos necesarios para la ejecución de los contratos electorales no se entregan en CD sino mediante depósito en el servidor de la empresa adjudicataria, encriptando los ficheros mediante la clave pública de la empresa y garantizando de este modo que sólo la empresa mediante el uso de la clave privada de la misma, puede desencriptarlos y acceder a los datos, si bien en el PPT se siguen mencionando soportes informáticos para seguir teniendo la opción del CD si por alguna razón no se pueden dejar los ficheros en el servidor de la empresa adjudicataria”. En fecha 12 de febrero de 2024 y registro de entrada REGAGE24e00010984253 se recibe escrito en esta Agencia por parte de ***EMPRESA.3, actuando como DPD de ***EMPRESA.1, del escrito se incluyen las siguientes afirmaciones relevantes: “Que ***EMPRESA.1 ha designado voluntariamente a ***EMPRESA.3 como Delegado de Protección de Datos externo. Pese a ello, sin previa notificación de la reclamación al DPO, con fechas de 21 diciembre de 2023 y 6 de febrero de 2024 esa Agencia remitió sendos requerimientos de información directamente a la empresa ***EMPRESA.1 Siendo práctica habitual de esa Agencia la de remitir al DPO copia de la reclamación antes de decidir sobre su admisión o no (art. 37.2 y 65.4 Ley Orgánica 3/2018, de 5 de diciembre), la omisión de dicho trámite no se entiende. Habernos postergado en la interlocución es tremendamente grave, porque, con ello, el inspector nos ha impedido el desempeño de las funciones que tenemos legal y contractualmente asumidas, con la consiguiente posibilidad de que de ello se deriven responsabilidades”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 11/35 - “Solicita: o Que se dé traslado a este DPO de copia completa del expediente administrativo, incluyendo, en especial, la denuncia que ha dado origen a él, junto con la documentación que la acompañe y resto de actuaciones practicadas. o Que se declaren nulos los dos requerimientos de información remitidos a ***EMPRESA.1”. Al requerimiento escrito anterior se contesta por parte del presente inspector informando sobre la imposibilidad de facilitar copia del expediente dadas las actuaciones previas de investigación que se están realizando en esta Agencia. En fecha 06 de febrero de 2024 se notifica nuevo requerimiento de información a ***EMPRESA.1 marcado, entre otras, por la siguiente línea de investigación: - Investigar los sistemas que utiliza la empresa para el almacenamiento y tratamiento de los datos personales, poniendo el foco en todos los servicios de nube. - Investigar todos los detalles del Registro de Actividades de Tratamiento donde la empresa actúa como encargado de tratamiento. En fecha 6 de marzo de 2024 y registro de entrada REGAGE24e00017400239 se recibe respuesta al requerimiento de información anterior, de su contenido se extrae la siguiente información relevante: - Aportan el Registro de Actividades de Tratamiento de ***EMPRESA.1 * como encargado, destacando las siguientes categorías de tratamientos: o Tratamiento de datos para la realización de envíos postales con información transaccional.  Datos identificativos de la persona, NOMBRE, APELLIDOS, DIRECCION POSTAL, así como cualquier tipo de dato transaccional en virtud de la tipología del cliente. Movimientos bancarios, información financiera, registro de llamadas, datos de facturación, numeración de documentos (pólizas).  Los datos suelen recibirse en formatos de base de datos como dbf, txt, o análogos, así como en documentos ya formateados para su impresión, generalmente en pdf, xml..  Descarga de fichero desde FTPs cliente o depósito por parte de este en FTPs de ***EMPRESA.1. Normalización de datos, y combinación de los mismos con plantillas de impresión para su posterior impresión láser o Inkjet, manipulado y despósito en operador postal o dependencias del cliente.  Clientes: Facturas de compañías Telco, Utilities, Bancos, aguas, aseguradoras, recobro, retail.. o Tratamiento de datos para la realización de envíos postales para campañas de marketing.  Datos identificativos de la persona, NOMBRE, APELLIDOS, DIRECCION POSTAL, algún dato adicional orientado la tipología de Marketing o al segmento al que se dirige la comunicación para adjudicación de la creatividad designada por el cliente C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 12/35 Los datos suelen recibirse en formatos de base de datos como dbf, txt, o análogos.  Los datos suelen recibirse en formatos de base de datos como dbf, txt, o análogos.  Clientes: Todo tipo de compañías. Se acredita documentalmente la última versión de la Política de Seguridad RGPD de la empresa, documento con fecha de creación mayo 2018 y varias actualizaciones posteriores. En relación con esta política afirman: “***EMPRESA.1 dispone de un Sistema de Gestión de la Seguridad de la Información certificado conforme a la norma ISO 27.001, lo que acredita el cumplimiento de los más altos estándares internacionales en materia de seguridad de la información, incluyendo los datos personales”. Aportan documentación con los sistemas que utiliza ***EMPRESA.1 para el almacenamiento y tratamiento de los datos personales. En relación con los servicios de nube contratados para el tratamiento de datos personales proporcionan contratos de encargo formalizados con los siguientes tres proveedores de Cloud: ***EMPRESA.4, ***EMPRESA.5, ***EMPRESA.6. De todos estos contratos destacan principalmente los servicios que la entidad tiene con el proveedor ***EMPRESA.4, existiendo una gran variedad de servicios de almacenamientos contratados y con distintas tecnologías de bases de datos. En concreto (…). Se trata del servicio Cloud donde ***EMPRESA.1 parece disponer del grueso de su infraestructura tecnológica, utilizando los otros dos proveedores (***EMPRESA.5 y ***EMPRESA.6) para casos de uso muy concretos (…).  - - CUARTO: Con fecha 29 de noviembre de 2024, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, por la presunta infracción de los artículos 25 y 28 del RGPD, tipificadas ambas en el artículo 83.4 del RGPD. El acuerdo de inicio fue notificado conforme a las normas establecidas en la LPACAP, mediante notificación electrónica, siendo recibido en fecha 2 de diciembre de 2024, como consta en el certificado que obra en el expediente. QUINTO: Notificado el citado acuerdo de inicio, en fecha 13 de diciembre de 2024, la entidad investigada presentó escrito de alegaciones en el que, en síntesis, manifestaba lo siguiente: 1. Incumplimiento obligación artículo 28 RGPD. En primer lugar, señala que el objeto de ambos contratos corresponde a gastos de naturaleza electoral, financiados conforme al procedimiento para la gestión económica del Presupuesto Electoral, regulado por la Disposición Adicional Sexta de la Ley 47/2003, de 26 de noviembre, General Presupuestaria, y en el Real Decreto 562/1993, de 16 de abril, sobre el procedimiento especial de gestión de gastos electorales. En lo que respecta a las Elecciones Locales y Autonómicas de mayo de 2023 (***EXPEDIENTE.5), afirma que ciertamente, estaban previstas en la planificación de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 13/35 la OCE, de tal forma que en el mes de diciembre de 2022, se inició el correspondiente expediente de contratación (Nº ***EXPEDIENTE.3), publicándose en la Plataforma de Contratación del Sector Público el anuncio de licitación del contrato de “Composición, edición, manipulado y entrega al operador postal Sociedad Estatal Correos y Telégrafos, S.A. de aproximadamente 36.500.000 tarjetas censales que se enviarán a los electores residentes en España con motivo de las elecciones Municipales y Autonómicas de 28 de mayo de 2023”, mediante procedimiento abierto. Manifiesta que en los pliegos reguladores de la licitación sí figuraban las preceptivas cláusulas de responsable y encargado del tratamiento de datos personales, como así se informó a esa AEPD en el requerimiento efectuado en febrero de 2024, y como se ha recogido en la exposición de hechos del acuerdo de inicio del procedimiento sancionador. Expone que la declaración de emergencia, en este caso, se produce, en síntesis, porque, aunque la LOREG atribuye al INE una serie de competencias en materia electoral, sin embargo, el crédito presupuestario que sufraga los gastos derivados del proceso es aportado por el Ministerio del Interior. Ello condiciona enormemente las actuaciones desde el punto de vista presupuestario y temporal, de tal forma que, en este caso concreto, aun estando iniciado ya el procedimiento de contratación, no fue posible la formalización en plazo del contrato debido a que la Resolución de la Subsecretaría del Ministerio del Interior por la que se aprueba el Presupuesto Electoral de los centros de gasto y las Instrucciones Económico-Administrativas de aplicación a las Elecciones Locales y Autonómicas se dictó con fecha 9 de marzo de 2023. Indica que, a pesar de la adecuada planificación realizada por parte del INE, la falta de aprobación del presupuesto electoral en plazo impidió cumplir con el calendario establecido y como consecuencia, no fue posible concluir el proceso de licitación a tiempo para asegurar el cumplimiento del plazo de ejecución establecido en los Pliegos de Cláusulas Administrativas Particulares y de Prescripciones Técnicas, lo que imposibilitó la formalización del contrato. Habida cuenta de los antecedentes expuestos, y ante la inminente convocatoria de las Elecciones Locales y Autonómicas que tendrían lugar el 28 de mayo de 2023,explica que hubo de procederse a la renuncia del contrato, con fundamento en razones de interés público, conforme a lo dispuesto en el artículo 152 de la Ley 9/2017, de 8 de noviembre, de Contratos del Sector Público (LCSP), y a la posterior declaración de emergencia, con arreglo al criterio plasmado en el informe nº 17/2019, de la Junta Consultiva de Contratación Pública del Estado, en el que equipara la “situación que suponga un grave peligro” a la coyuntura de no celebración de las “elecciones generales, con los riesgos inherentes para el normal desenvolvimiento del proceso democrático y los riesgos de orden público que todo ello puede implicar”, considerando que la omisión del envío de estas tarjetas censales implicaría el incumplimiento de la LOREG y afectaría al ejercicio del derecho fundamental de sufragio activo, reconocido en el artículo 23.1 de la Constitución Española. Por tanto, entiende que se trataría de una de las situaciones que podrían suponer un grave peligro para el normal desenvolvimiento del proceso democrático a las que anteriormente se ha hecho referencia. Precisa, asimismo, que en todo caso la adjudicación del contrato de emergencia ***EXPEDIENTE.5 a la UTE formada por ***EMPRESA.2 y ***EMPRESA.1. se realizó atendiendo a que esa mercantil había concurrido al procedimiento de licitación ***EXPEDIENTE.3, habiendo resultado la mejor clasificada en dicho procedimiento, tal y como consta en el informe de valoración emitido por la OCE con fecha de 9 de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 14/35 febrero de 2023. Por tanto, entiende que se confirma, a través de la concurrencia en el proceso de licitación, que esta empresa no solo era conocedora de sus obligaciones respecto al tratamiento de datos personales del contrato, los elementos del tratamiento y la necesaria devolución y borrado de los datos una vez cumplido el objeto de la prestación, sino que se comprometía a su estricto cumplimiento. En cuanto a las Elecciones Generales (***EXPEDIENTE.4) de 2023, convocadas de manera anticipada mediante Real Decreto 400/2023, de 29 de mayo, de disolución del Congreso de los Diputados y del Senado y de convocatoria de elecciones, a celebrar el día 23 de julio del mismo año, comenta la absoluta imprevisibilidad de dicha convocatoria electoral, y por ende, la necesaria declaración de emergencia para proceder a la contratación externa, no solo de la actuación en cuestión, sino de todas aquellas necesarias para la celebración del proceso electoral, todo ello con arreglo a los estrictos plazos que se prevén en la LOREG, y cuya omisión conllevaría el peligro de no celebración del proceso, con la consiguiente afectación al ejercicio de derechos fundamentales previstos constitucionalmente. A la vista de lo expuesto, por tanto, considera que la actuación del INE ha sido diligente en todo momento, obedeciendo las declaraciones de emergencia a circunstancias absolutamente imprevisibles para ese organismo. En este punto, pone de manifiesto que con arreglo a las previsiones del artículo 120 de la LCSP, la tramitación de emergencia de los contratos, por las causas tasadas en dicho precepto, permite, en su opinión, la omisión de los requisitos formales establecidos en dicha ley, siendo uno de ellos, entre otros, el previsto en el artículo 122.2 LCSP, el cual hace una referencia expresa al artículo 28.2 RGPD, donde se establecen las cláusulas de responsable y encargado del tratamiento, y cuya omisión es, precisamente, la infracción que se imputa al INE. Ciertamente, como se expone en el acuerdo de inicio del expediente sancionador, “el RGPD no regula en su artículo 28 ninguna excepción a la obligación de formalizar el contrato o acto jurídico vinculante para el encargado respecto del responsable”, pero entiende que sí lo hace, de manera clara, la LCSP, ley especial de aplicación preferente en este caso. Y ello porque, como se recoge en el artículo 2.3 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales, en el caso de los tratamientos realizados al amparo de la legislación orgánica del régimen electoral general, el RGPD no es directamente aplicable, rigiéndose dichos tratamientos “por lo dispuesto en su legislación específica si la hubiere y supletoriamente por lo establecido en el citado reglamento y en la presente ley orgánica”. A mayor abundamiento, y sin perjuicio de la excepción contenida en la LCSP respecto al cumplimiento de los requisitos formales de la contratación en aquellos procesos declarados de emergencia, considera que es evidente que la empresa ya había sido adjudicataria, también con el INE, de contratos de contenido sustancialmente idéntico a los ahora analizados, en los que sí se habían recogido las cláusulas de encargado y responsable con arreglo a lo previsto en el artículo 28.2 RGPD. Por tanto, entiende que sería perfectamente conocedora de las obligaciones a las que estaba sometida como parte del contrato, en su condición de encargado del tratamiento, sin que la mera omisión formal de las cláusulas en el PCAP, cuando medie declaración de emergencia, haya de suponer, en ningún caso, que no esté sujeta a lo previsto en el RGPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 15/35 Por otro lado, en el supuesto concreto del contrato “***EXPEDIENTE.5”, como se ha expuesto, alega que sí se había tramitado un expediente de contratación previo, “***EXPEDIENTE.3”, donde sí se recogían las repetidas cláusulas, y donde la UTE formada por ***EMPRESA.2 y ***EMPRESA.1 ya había concurrido al proceso de licitación, con el lógico conocimiento de todas las obligaciones inherentes al contrato, incluidas las relativas a su condición de encargado del tratamiento. Por tanto, afirma que no puede imputarse la total inexistencia de las cláusulas previstas en el artículo 28 RGPD. Se da la circunstancia, además, de que en el caso del contrato “***EXPEDIENTE.4”, aun después de la declaración de emergencia, y antes de la formalización de la adjudicación, se remitieron al contratista el PPT (documento 1 del Anexo documental del presente oficio), donde, aunque fuera de manera somera y no ajustado al contenido mínimo del art. 28.2 RGPD, se recogían algunas obligaciones esenciales del encargado del tratamiento, constando en el escrito de adjudicación del contrato (doc.2) que “La empresa adjudicataria ***EMPRESA.1. se compromete a cumplir las condiciones establecidas en la documentación del expediente, especialmente las contempladas en el Pliego de Prescripciones Técnicas”. Por tanto, entiende que se constataría que, al menos, no hay la omisión absoluta de las cláusulas, que constituyen el objeto principal de la infracción. 2. Incumplimiento obligación artículo 25 RGPD. Alega que no puede hablarse de “ausencia de procedimientos” cuando es evidente, que desde la entrada en vigor del RGPD, en 2018, el INE sí ha implantado dichos procedimientos, incorporando, a los efectos que ahora interesan, a los pliegos de contratación, las cláusulas de encargado y responsable, con los requisitos a los que obliga el RGPD, cumpliendo, por tanto, con todos los principios previstos en dicho Reglamento, incluido el de la PDDD. Indica que, de esta forma, de manera preceptiva, y previamente a la publicación de los pliegos, todas las unidades responsables de los contratos administrativos que se tramitan en el INE han de remitir dichos pliegos al DPD del INE para su informe previo. Asimismo, señala que, sin perjuicio de los procedimientos implantados, el INE trabaja de manera constante para que dichos procedimientos se conozcan, de tal forma que, con carácter general, tiene establecido un sistema de formación continua de sus empleados en esta materia, impartiendo el DPD del INE tanto cursos anuales -con varias ediciones en el año- al personal de plantilla del INE, como los dirigidos a aquellos otros que se incorporan como nuevos funcionarios, en los respectivos cursos selectivos de las oposiciones a cuerpos estadísticos. Por otra parte afirma que, aun admitiendo, a efectos meramente dialécticos, que las excepciones previstas en la LCSP no eximieran al INE de la obligación de incorporar dichas cláusulas, expone que el INE ya ha implantado, meses antes de la notificación del presente procedimiento sancionador, y antes también del requerimiento de información de esa AEPD en febrero de 2024, procedimientos que aseguran que, a pesar de dichas excepciones, se incorporen en la tramitación de las contrataciones de emergencia cláusulas de encargado y responsable en aquellos casos que sea necesario. Prueba de ello menciona el expediente “***EXPEDIENTE.6”, donde puede apreciarse que, aun habiéndose tramitado por el procedimiento de emergencia previsto en el artículo 120 LCSP (doc. 3), se han incorporado pliegos (doc. 4) con el contenido previsto en el artículo 28.4 RGPD. Manifiesta que dicha incorporación prueba que el INE, en aplicación del principio de responsabilidad proactiva, sí aplica C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 16/35 dichos procedimientos, aun en aquellos casos en los que no estaba claro que existiera obligación legal. En el caso ejemplificado -Elecciones Gallegas 2024- se incorporaba un PPT -fechado el 10 de enero de 2024, antes del conocimiento de las actuaciones de investigación de la AEPD con la empresa ***EMPRESA.1- con un apartado específico relativo a la protección de datos personales, adaptado al contenido mínimo previsto en el artículo 28.4 RGPD, prueba evidente de que ese organismo sí revisa constantemente sus procedimientos para adaptarlos, entre otros, a las exigencias de lo previsto legalmente, aun en aquellos casos, como el presente, donde, al menos, existen dudas razonables sobre su aplicabilidad en determinados supuestos. En línea con lo anterior, indica que se observa que la empresa ***EMPRESA.1. ha resultado adjudicataria del procedimiento de emergencia de las Elecciones al Parlamento de Cataluña 2024 (al que concurrieron también las empresas ***EMPRESA.7. y ***EMPRESA.2), pudiendo apreciarse que en este caso sí se han incorporado procedimientos que permiten un mayor grado de cumplimiento en los requisitos formales de la contratación de emergencia, como son el pliego de prescripciones técnicas con el contenido previsto en el artículo 28.4 RGPD (doc. 5), la adjudicación firmada por las partes (doc. 6) y el Anexo 5 “Declaración relativa al tratamiento de datos personales” suscrito por el encargado del tratamiento (doc. 7). 3. Aplicación del principio de proporcionalidad. Entiende que no existe tal culpabilidad y mucho menos intencionalidad, por cuanto, como mínimo, no se constata, en su opinión, de manera clara, la vulneración de los referidos preceptos del RGPD, por aplicación de otra normativa específica. Correlativamente, afirma que no hay persistencia en la conducta infractora y la naturaleza de los posibles perjuicios causados sería mínima, toda vez que el contratista ya conocía las obligaciones inherentes a su condición de encargado del tratamiento, tanto por haber sido adjudicatario de contratos similares en ocasiones anteriores como por haber tenido conocimiento del contenido esencial de dichas clausulas en los dos contratos objeto del procedimiento sancionador instruido contra el INE. En conclusión, dicho organismo entiende, por las circunstancias anteriormente expuestas, que no puede imputarse infracción a lo previsto en el artículo 28 RGPD, toda vez que, en el caso de las contrataciones de emergencia, la LCSP, de aplicación preferente en el presente caso, exime de los requisitos formales establecidos en dicha ley, siendo uno de ellos, entre otros, el previsto en el artículo 122.2 LCSP, el cual hace una referencia expresa al artículo 28.2 RGPD, donde se establecen las cláusulas de responsable y encargado del tratamiento. En cuanto a la infracción a la obligación prevista en el artículo 25 RGPD, alega que tiene implantados procedimientos, desde la entrada en vigor del RGPD, que garantizan el cumplimiento de la normativa de protección de datos personales, incluido el de la PDDD, no pudiendo imputarse, en modo alguno, la pretendida ausencia de procedimientos en esta materia. Por tanto, a la vista de las alegaciones expuestas, considera que, no habiéndose producido infracción alguna, ha de procederse al sobreseimiento de las actuaciones derivadas del procedimiento sancionador instruido al efecto. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 17/35 Subsidiariamente, para el caso de que se considere, a pesar de lo expuesto, que existe infracción a lo previsto en el RGPD, indica que debería apreciarse tan solo la inexistencia formal del clausulado exigido, habiendo tenido conocimiento el contratista de dichas cláusulas de manera indirecta y en todo caso, en sentido material. Asimismo, en aplicación del principio de proporcionalidad antes expuesto, solicita aplicar la sanción en su grado mínimo, máxime cuando las medidas correctoras que pudieran determinarse en la resolución ya están adoptadas por el INE con anterioridad a la incoación del presente procedimiento sancionador. SEXTO: En fecha 16 de diciembre de 2024, se recibe en esta Agencia escrito del Delegado de Protección de Datos, en el que, en síntesis, manifiesta que dado que la empresa ***EMPRESA.1 ha sido adjudicataria de varios contratos de servicios con el INE, solicita a esta AEPD que, al amparo de lo previsto en el artículo 4.1.
5. c)de la Ley 39/2015, de 1 de octubre, de Procedimiento Administrativo Común de las Administraciones Públicas, se dé cuenta a ese organismo del resultado de la resolución sancionadora que, en su caso, pudiera dictarse contra ***EMPRESA.1, toda vez que el resultado del procedimiento abierto contra dicha empresa pudiera afectar a intereses legítimos del INE. SÉPTIMO: Con fecha 8 de octubre de 2025 se formuló propuesta de resolución en la que se dio respuesta a las alegaciones presentadas frente al acuerdo de inicio y se propuso lo siguiente: <<Que por la Presidencia de la Agencia Española de Protección de Datos se declare que INSTITUTO NACIONAL DE ESTADÍSTICA, con NIF Q2826039F, ha infringido lo dispuesto en el artículo 28 del RGPD, tipificado en el artículo 83.4 del RGPD. Que por la Presidencia de la Agencia Española de Protección de Datos se proceda a ordenar el ARCHIVO por una infracción del artículo 25 del RGPD, tipificado en el artículo 83.4 del RGPD. >> OCTAVO: Notificada la propuesta de resolución en fecha 8 de octubre de 2025, no se han recibido alegaciones. De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS PRIMERO: Consta como órgano de contratación y poder adjudicador: el Instituto Nacional de Estadística, con NIF Q2826039F. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 18/35 SEGUNDO: En relación con contratos públicos adjudicados a través de los cuales se ha obtenido copia del censo, ***EMPRESA.1 ha resultado adjudicataria de los siguientes contratos, (en alguno de ellos concurriendo en UTE):  (…) TERCERO: Respecto del ***EXPEDIENTE.3 “(…)”. Consta que se tramitaron realmente dos procedimientos: uno ordinario (***EXPEDIENTE.3) que no llegó a concluirse porque se acordó la no adjudicación o celebración del contrato; y otro de emergencia ***EXPEDIENTE.5, cuya tramitación no fue regida por cláusulas administrativas particulares. Así consta en el expediente administrativo la siguiente documentación: - Pliego de cláusulas administrativas particulares de 19/12/2022 del expediente ***EXPEDIENTE.3 - Pliego de prescripciones ***EXPEDIENTE.3 técnicas de 30/11//2022 del expediente Destacan las siguientes afirmaciones relevantes en relación con este contrato: “El anuncio de licitación se publicó en la Plataforma de Contratación del Sector Público el 22 de diciembre de 2022. El apartado 10.11 del Pliego de Condiciones Administrativas Particulares recoge el clausulado de encargado del tratamiento al que se sujeta el servicio. El concurso resultó adjudicado a la UTE formada por las entidades ***EMPRESA.2, y ***EMPRESA.1”. En relación con el ***EXPEDIENTE.4: “(…) “. Destacan las siguientes afirmaciones relevantes en relación con este contrato: “El anuncio de licitación se publicó en la Plataforma de Contratación del Sector Público el 1 de junio de 2023. No nos consta la publicación de Pliego de Condiciones Administrativas Particulares La falta de estas, probablemente, vino motivada por la situación de extrema urgencia en que se hallaba la Administración Pública convocante en este proceso y la premura de los plazos, teniendo en cuenta la fecha de convocatoria de elecciones y la circunstancia de que el envío a los ciudadanos de las correspondientes tarjetas censales es un trámite previo y necesario para el correcto ejercicio de su derecho de voto, de conformidad con la normativa electoral. La Administración Pública sólo requirió a ***EMPRESA.1 la firma del documento de adjudicación del concurso, que se produjo con fecha de 12 de junio de 2023”. CUARTO: No consta ningún documento formalmente denominado “contrato de encargo del tratamiento” para las contrataciones citadas, celebrado con los adjudicatarios de los C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 19/35 contratos, ni otro jurídico vinculante conforme a las estipulaciones del art. 28.3 del RGPD. QUINTO: En relación con los Pliegos de Cláusulas administrativas particulares: ***EXPEDIENTE.4: “(…) “, no estuvo regida por un Pliego de cláusulas administrativas particulares. Fue objeto de declaración de emergencia en su tramitación con fecha de 01/06/2023 conforme a lo dispuesto en el artículo 120 de la Ley 9/2017, de 8 de noviembre, de Contratos del Sector Público. ***EXPEDIENTE.5 – (…) -, si bien inicialmente se siguió un procedimiento ordinario de licitación que se regía por el correspondiente Pliego de Cláusulas administrativas particulares, (19/12/22), se acuerda la no adjudicación o celebración del contrato y mediante Declaración de emergencia de 21/03/23 se desiste del mencionado procedimiento, y se inicia el expediente ***EXPEDIENTE.5 pasando a una adjudicación directa a la que no sería aplicable el PCP. En consecuencia, para los expedientes ***EXPEDIENTE.5 y ***EXPEDIENTE.4 A CORTES 23-07-2023 no estaban dispuestas las cláusulas relativas a la normativa de protección de datos que han de incluirse en los PCAP de las contrataciones del Sector Público, de conformidad con lo dispuesto en el artículo 122 de Ley 9/2017, de 8 de noviembre, de Contratos del Sector Público, por la que se transponen al ordenamiento jurídico español las Directivas del Parlamento Europeo y del Consejo 2014/23/UE y 2014/24/UE, de 26 de febrero de 2014 (LCSP). FUNDAMENTOS DE DERECHO I. Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales (en adelante, LOPDGDD), es competente para resolver este procedimiento, la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II. Cuestiones previas El artículo 25 de la Ley 12/1989, de 9 de mayo, de la Función Estadística Pública establece lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 20/35 1. El Instituto Nacional de Estadística es un organismo autónomo, con personalidad jurídica y patrimonio propio, que queda adscrito al Ministerio de Asuntos Económicos y Transformación Digital. Su estructura y funciones se desarrollarán por medio de un Estatuto que será aprobado por Real Decreto. 2. En el ejercicio de sus competencias y desempeño de sus funciones el Instituto Nacional de Estadística se regirá por la presente ley, y, en lo no previsto por ella, por las normas contenidas en la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público, y la Ley 46/2003, de 26 de noviembre, General Presupuestaria, y demás disposiciones generales que le sean de aplicación. 3. El Instituto Nacional de Estadística es la autoridad estadística nacional. Conforme al artículo 26.
6. t)de la misma Ley, corresponde al INE la función de “La formación del Censo Electoral, de acuerdo con lo establecido en la Ley Orgánica 5/1985, de 19 de junio, del Régimen Electoral General” (LOREG) De acuerdo con el artículo 29.1 de la LOREG “1. La Oficina del Censo Electoral, encuadrada en el instituto nacional de estadística, es el órgano encargado de la formación del censo electoral y ejerce sus competencias bajo la dirección y la supervisión de la Junta Electoral Central.” Por su parte, el artículo 39 de la misma Ley establece que “La Oficina del Censo Electoral remitirá a todos los electores una tarjeta censal con los datos actualizados de su inscripción en el censo electoral y de la Sección y Mesa en la que le corresponde votar, y comunicará igualmente a los electores afectados las modificaciones de Secciones, locales o Mesas, a que se refiere el artículo 24 de la presente Ley Orgánica.” En el presente caso, de acuerdo con lo establecido en el artículo 4.1 y 4.2 del RGPD, consta la realización de un tratamiento de datos personales, toda vez que el INE realiza, entre otros tratamientos, la recogida y conservación de datos personales de personas físicas, entre ellos, nombre y apellidos; DNI/NIE, dirección postal, fecha de nacimiento, grado de escolaridad, fecha de residencia legal en España. Conforme a la normativa citada más arriba, el INE realiza esta actividad en su condición de responsable del tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del RGPD. Asimismo, de acuerdo con lo explicitado tanto los antecedentes de este acuerdo de inicio como en los Fundamentos jurídicos que se exponen a continuación, el INE ha celebrado procedimientos de licitación para la encomienda de la realización de funciones que tiene atribuidas por ley. Conforme a la definición de “encargado del tratamiento” contenida en el artículo 4.8, los adjudicatarios de tales contratos tendrán la consideración de encargados: “la persona física o jurídica, autoridad pública, servicio u otro organismo que trate datos personales por cuenta del responsable del tratamiento”. La prestación del servicio encomendado por el responsable implica el tratamiento por en encargado datos personales, tal y como consta en los documentos del expediente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 21/35 1. 2. 3. 4. 5. 6. 7. Provincia y municipio de residencia. Fecha de nacimiento. Nombre y apellidos. DNI/Identificador. Domicilio de residencia. Distrito, Sección, Mesa y local electoral en que corresponde votar. Nacionalidad, en caso de electores del CERE El artículo 28.3 del RGPD establece que “El tratamiento por el encargado se regirá por un contrato u otro acto jurídico con arreglo al Derecho de la Unión o de los Estados miembros, que vincule al encargado respecto del responsable y establezca el objeto, la duración, la naturaleza y la finalidad del tratamiento, el tipo de datos personales y categorías de interesados, y las obligaciones y derechos del responsable.”. A continuación, ese precepto determina el contenido mínimo que deberá tener el contrato de encargo del tratamiento. III. Contratos tramitados y adjudicados por el INE En lo que se refiere a este procedimiento sancionador, y con referencia a la tramitación y adjudicación por el INE de contratos administrativos en los que, de detectarse alguna infracción no prescrita del RGPD, procede referirse a las siguientes actuaciones. 1. (…) “. En relación con la contratación de la elaboración de las tarjetas censales para las elecciones municipales y autonómicas de 28 de mayo de 2023, es preciso señalar que se tramitaron realmente dos procedimientos: uno ordinario (***EXPEDIENTE.3) que no llegó a concluirse porque se acordó la no adjudicación o celebración del contrato; y otro de emergencia ***EXPEDIENTE.5, cuya tramitación no fue regida por cláusulas administrativas particulares. Así consta en el expediente administrativo la siguiente documentación: -Pliego de cláusulas administrativas particulares de 19/12/2022 del expediente ***EXPEDIENTE.3 -Pliego de prescripciones técnicas de 30/11//2022 del expediente ***EXPEDIENTE.3 -Acuerdo de no adjudicación o celebración del contrato y declaración de emergencia de 21/03/2023. La explicación consiste en que “Debido a que la Resolución de la Subsecretaría del Ministerio del Interior por la que se aprueba el Presupuesto Electoral de los centros de gasto y las Instrucciones Económico-Administrativas de aplicación a las Elecciones Locales y Autonómicas se ha dictado con fecha 9 de marzo de 2023, no ha sido posible la conclusión del procedimiento de licitación con la formalización del contrato con tiempo suficiente para el cumplimiento del plazo de ejecución previsto en los correspondientes Pliegos de Cláusulas Administrativas Particulares y de Prescripciones Técnicas. “La Declaración prosigue indicando que “Ello ha motivado la adopción de la Resolución de la Presidencia del INE de 14 de marzo de 2023, por la que se acuerda la no adjudicación o celebración del contrato con fundamento en razones de interés público, conforme a lo dispuesto en el artículo 152 de la Ley 9/2017, de 8 de noviembre, de Contratos del Sector Público (LCSP).” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 22/35 El mencionado artículo 152 regula la “Decisión de no adjudicar o celebrar el contrato y desistimiento del procedimiento de adjudicación por la Administración” -Adjudicación del contrato relacionado con el expediente ***EXPEDIENTE.5 a la ***EMPRESA.2 (…): 22/03/2023. 1. Expediente ***EXPEDIENTE.4: “(…) “. -No existe Pliego de cláusulas administrativas particulares -Pliego de prescripciones técnicas: 01/06/2023 -Declaración de emergencia en la tramitación del contrato 01/06/2023. Se indica que “De acuerdo con las consideraciones expuestas por la Junta Consultiva de Contratación Pública del Estado en su informe nº 17/2019, queda acreditado que en este caso se cumplen las condiciones establecidas por el Tribunal Administrativo Central de Recursos Contractuales en su Resolución nº 102/2017 para utilizar la tramitación de emergencia” A este respecto, en el mencionado informe 17/2019, la Junta consultiva declara lo siguiente: “…dentro del supuesto de “situaciones que supongan un grave peligro” al que se hace referencia en el art. 120 de la LCSP para justificar el recurso a la tramitación de emergencia, puede encuadrarse “una posible coyuntura en la que, por la falta de terminación de los procedimientos de licitación iniciados, no fuese posible celebrar las elecciones generales, con los riesgos inherentes para el normal desenvolvimiento del proceso democrático y los riesgos de orden público que todo ello puede implicar.” -Adjudicación del lote 1 del contrato a ***EMPRESA.1. 12/06/2023 Pliegos de Cláusulas administrativas particulares Como se ha indicado anteriormente, la tramitación del contrato vinculado a la celebración de elecciones generales el 23/07/2023: “***EXPEDIENTE.4: “(…) “, no estuvo regida por un Pliego de cláusulas administrativas particulares. Fue objeto de declaración de emergencia en su tramitación con fecha de 01/06/2023 conforme a lo dispuesto en el artículo 120 de la Ley 9/2017, de 8 de noviembre, de Contratos del Sector Público. Asimismo, en relación con el contrato ***EXPEDIENTE.5 – (…)-, si bien inicialmente se siguió un procedimiento ordinario de licitación que se regía por el correspondiente Pliego de Cláusulas administrativas particulares, (19/12/22), se acuerda la no adjudicación o celebración del contrato y mediante Declaración de emergencia de 21/03/23 se desiste del mencionado procedimiento, y se inicia el expediente ***EXPEDIENTE.5 pasando a una adjudicación directa a la que no sería aplicable el PCP. IV. Contestación a las Alegaciones al acuerdo de inicio C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 23/35 En relación con las alegaciones aducidas al acuerdo de inicio del presente procedimiento sancionador, se procede a dar respuesta a las mismas según el orden expuesto: 1. Incumplimiento obligación artículo 28 RGPD. Considera que la actuación del INE ha sido diligente en todo momento, obedeciendo las declaraciones de emergencia a circunstancias absolutamente imprevisibles para ese organismo. En este punto, pone de manifiesto que con arreglo a las previsiones del artículo 120 de la LCSP, la tramitación de emergencia de los contratos, por las causas tasadas en dicho precepto, permite, en su opinión, la omisión de los requisitos formales establecidos en dicha ley, siendo uno de ellos, entre otros, el previsto en el artículo 122.2 LCSP, el cual hace una referencia expresa al artículo 28.2 RGPD, donde se establecen las cláusulas de responsable y encargado del tratamiento, y cuya omisión es, precisamente, la infracción que se imputa al INE. No obstante, el planteamiento que la entidad investigada realiza sobre esta cuestión en sus alegaciones no se ajusta a Derecho: Los contratos suscritos al efecto se realizaron a través de la tramitación de emergencia, en los términos del artículo 120 de la Ley 9/2017, de 8 de noviembre, de Contratos del Sector Público, por la que se transponen al ordenamiento jurídico español las Directivas del Parlamento Europeo y del Consejo 2014/23/UE y 2014/24/UE, de 26 de febrero de 2014 (en adelante, LCSP). Se establece así un régimen excepcional “cuando la Administración tenga que actuar de manera inmediata a causa de acontecimientos catastróficos, de situaciones que supongan grave peligro o de necesidades que afecten a la defensa nacional”. La finalidad última es ejecutar todo lo necesario “para remediar el acontecimiento producido o satisfacer la necesidad sobrevenida”, artículo 120 de la LCSP. Las graves circunstancias concurrentes en estos supuestos exceptúan la necesidad de tramitar expediente de contratación en los términos del artículo 116 y siguientes de la LCSP, excluyendo incluso la existencia de crédito adecuado y suficiente. Es por ello por lo que no se cuenta con los Pliegos de Cláusulas Administrativas Particulares de los citados contratos. La Resolución del Tribunal Administrativo Central de Recursos Contractuales núm. 906/2018, de 5 de octubre, en su fundamento de derecho séptimo, indica que los Pliegos de Cláusulas Administrativas Particulares son el instrumento jurídico que delimitan las condiciones y circunstancias de desenvolvimiento desde su inicio de la contratación administrativa y que constituyen la ley del contrato. Se encuentran regulados en el artículo 120 de la LCSP. En los mismos se determinan, entre otras cuestiones “los criterios de solvencia y adjudicación del contrato; las consideraciones sociales, laborales y ambientales que como criterios de solvencia, de adjudicación o como condiciones especiales de ejecución se establezcan; los pactos y condiciones definidores de los derechos y obligaciones de las partes del contrato; la previsión de cesión del contrato salvo en los C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 24/35 casos en que la misma no sea posible de acuerdo con lo establecido en el segundo párrafo del artículo 214.1; la obligación del adjudicatario de cumplir las condiciones salariales de los trabajadores conforme al Convenio Colectivo sectorial de aplicación; y las demás menciones requeridas por esta Ley y sus normas de desarrollo. En el caso de contratos mixtos, se detallará el régimen jurídico aplicable a sus efectos, cumplimiento y extinción, atendiendo a las normas aplicables a las diferentes prestaciones fusionadas en ellos”. Los Pliegos de Cláusulas Administrativas Particulares contendrán también las prescripciones en materia de protección de datos, pues lo relativo al desenvolvimiento del contrato en relación con el tratamiento de los datos personales que se encomienda al encargado del tratamiento también forma parte del contrato suscrito. Siendo las cláusulas de estos pliegos de carácter jurídico, deberán complementarse con las de carácter técnico del Pliego de prescripciones técnicas particulares (artículo 124 de la LCSP), que fijarán desde un punto de vista técnico, cómo se debe ejecutar materialmente el contrato administrativo. Fijadas, así las cosas, si bien la tramitación de emergencia excluye las formalidades previstas en la LCSP respecto de la tramitación del correspondiente expediente de contratación administrativa, no exceptúa el cumplimiento de la normativa de protección de datos, máxime si de lo que se trata es de la defensa de un Derecho Fundamental. La responsabilidad proactiva no se difumina en estos supuestos, sino que sigue plenamente vigente, de tal forma que el responsable del tratamiento deberá cumplir con las obligaciones impuestas por el RGPD y la LOPDGDD. Ciertamente, como se expone en el acuerdo de inicio del expediente sancionador, “el RGPD no regula en su artículo 28 ninguna excepción a la obligación de formalizar el contrato o acto jurídico vinculante para el encargado respecto del responsable”, y la Disposición Adicional vigésima quinta de la LCSP establece que “Los contratos regulados en la presente Ley que impliquen el tratamiento de datos de carácter personal deberán respetar en su integridad la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, y su normativa de desarrollo.” El artículo 28 del RGPD impone la obligación de celebrar un contrato de encargo de tratamiento, cuando no esté en vigor ningún otro acto jurídico vinculante, por lo que su ausencia constituye una infracción del RGPD. Por otra parte, alega que la empresa ya había sido adjudicataria, también con el INE, de contratos de contenido sustancialmente idéntico a los ahora analizados, en los que sí se habían recogido las cláusulas de encargado y responsable con arreglo a lo previsto en el artículo 28.2 RGPD y, por tanto, entiende que es perfectamente conocedora de las obligaciones a las que está sometida como parte del contrato, en su condición de encargado del tratamiento. No obstante, esta Agencia tampoco puede compartir dicha alegación. La relación entre responsable y encargado del tratamiento no puede ser considerada como una mera formalidad administrativa o como un intercambio de opiniones, sino como un medio para procurar la defensa y la protección del Derecho Fundamental a la protección de datos de carácter personal. Y ello porque el artículo 28.1.
7. a)del RGPD impone que las C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 25/35 instrucciones que rigen la relación entre responsables y encargados del tratamiento se encuentren documentadas. Y es que las instrucciones a las que hace mención el RGPD no dejan de ser documentos internos con efectos en la relación entre el responsable y el encargado del tratamiento en el marco de un contrato de encargado del tratamiento; contrato de encargado de tratamiento u otro acto jurídico que no existe en el presente supuesto. La obligación prevista en el artículo 28.1 del RGPD -de seleccionar un encargado del tratamiento que ofrezca garantías suficientes para garantizar la aplicación del Reglamento y los derechos y libertades del interesado- no se agota en la actuación previa de selección y contratación de encargado de tratamiento. Esto obliga al responsable del tratamiento a evaluar en todo momento durante la ejecución del contrato si las garantías (técnicas u organizativas) ofrecidas por el encargado del tratamiento son suficientes. Las Directrices 07/2020 del CEPD sobre los conceptos de responsable del tratamiento y encargado en el RGPD disponen, sin lugar a duda que, “97. La obligación de utilizar únicamente los encargados de tratamiento "que proporcionan garantías suficientes" contenidas en el artículo 28, apartado 1, del RGPD es una obligación continua. No termina en el momento en que el responsable y el encargado del tratamiento celebran un contrato u otro acto legal. En su lugar, el responsable debe, a intervalos apropiados, verificar las garantías del encargado, incluso a través de auditorías e inspecciones cuando corresponda”. Y ello, porque el responsable del tratamiento es quien tiene la obligación de garantizar la aplicación de la normativa de protección de datos y la protección de los derechos de los interesados, así como ser capaz de demostrarlo (artículos 5.2, 24, 28 y 32 del RGPD). El control del cumplimiento de la legalidad se extiende durante todo el tratamiento, desde el principio hasta el final. El responsable del tratamiento debe actuar, en cualquier caso, de forma diligente, consciente, comprometida y activa. En este sentido, el contrato de encargo de tratamiento ha de tener en cuenta la concreta actividad de tratamiento y, según las mencionadas directrices recuerdan, en su apartado 113, el contrato debe tener en cuenta «las funciones y responsabilidades específicas del encargado en el contexto del tratamiento que ha de llevarse a cabo y del riesgo para los derechos y libertades del interesado». El cumplimiento de lo anterior no sería posible si, simplemente, se pretendiera hacer valer un contrato de encargo del tratamiento firmado respecto de una concreta y previa operación de tratamiento, por más que afectara a las mismas partes, a otro tratamiento, de nuevo concreto y específico, que se desarrollara posteriormente. Así pues, actuando como responsable del tratamiento debió celebrar el preceptivo contrato de encargo de tratamiento. En consecuencia, las alegaciones deben ser desestimadas. 2. Incumplimiento obligación artículo 25 RGPD. El artículo 25 del RGPD estipula que los responsables del tratamiento deben tener en C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 26/35 cuenta la PDDD desde el momento en que comienzan a planificar una nueva operación de tratamiento. Asimismo, aplicarán la PDDD antes del tratamiento, y también de forma continuada en el momento del tratamiento, revisando regularmente la efectividad de las medidas y garantías elegidas. En el acuerdo de inicio del presente procedimiento se tomó en consideración que el INE no tenía previsto un procedimiento desde el diseño para la garantía de la aplicación de la normativa de protección de datos en caso de que el procedimiento de contratación se realizara por el procedimiento de emergencia. Sin embargo, a tenor de las alegaciones formuladas por el INE y de la documentación aportada, no existen indicios de una conducta contraria a esa disposición toda vez que el INE ya había implantado, meses antes de la notificación del presente procedimiento sancionador, y antes también del requerimiento de información de esa AEPD en febrero de 2024, procedimientos que aseguran que, a pesar de las excepciones, se incorporasen en la tramitación de las contrataciones de emergencia cláusulas de encargado y responsable en aquellos casos que fuese necesario. Por ello, en virtud del principio de presunción de inocencia y del mencionado artículo 25 del RGPD, se estiman las alegaciones formuladas contra el acuerdo de inicio del presente procedimiento, por lo que se propone el archivo de la infracción citada -artículo 25 RGPD- que se atribuyó al INE en el acuerdo de inicio de este procedimiento. 3. Aplicación del principio de proporcionalidad. Se recuerda que, ciertamente, el principio de responsabilidad previsto en el artículo 28.1 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público, dispone que: “Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas, así como, cuando una Ley les reconozca capacidad de obrar, los grupos de afectados, las uniones y entidades sin personalidad jurídica y los patrimonios independientes o autónomos, que resulten responsables de los mismos a título de dolo o culpa.” No obstante, según lo dictaminado en la STS 7887/2011 de 24 de noviembre de 2011, Rec. 258/2009, “(…) desde su sentencia 76/1990, de 26 de abril, el Tribunal Constitucional viene declarando que no cabe en el ámbito sancionador administrativo la responsabilidad objetiva o sin culpa, doctrina que se reafirma en la sentencia 164/2005, de 20 de junio de 2005 , en cuya virtud se excluye la posibilidad de imponer sanciones por el mero resultado, sin acreditar un mínimo de culpabilidad aun a título de mera negligencia. Ahora bien, el modo de atribución de responsabilidad, a las personas jurídicas no se corresponde con las formas de culpabilidad dolosas o imprudentes que son imputables a la conducta humana. Sucede así que, en el caso de infracciones cometidas por personas jurídicas, aunque haya de concurrir el elemento de la culpabilidad (véase la sentencia de esta Sala del Tribunal Supremo de 20 de noviembre de 2011 (recurso de casación en interés de ley 48/2007), éste se aplica necesariamente de forma distinta a como se hace respecto de las personas físicas. Según la STC 246/1991 “(...) esta construcción distinta de la imputabilidad de la autoría de la infracción a la persona jurídica nace de la propia C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 27/35 naturaleza de ficción jurídica a la que responden estos sujetos. Falta en ellos el elemento volitivo en sentido estricto, pero no la capacidad de infringir las normas a las que están sometidos. Capacidad de infracción y, por ende, reprochabilidad directa que deriva del bien jurídico protegido por la norma que se infringe y la necesidad de que dicha protección sea realmente eficaz y por el riesgo que, en consecuencia, debe asumir la persona jurídica que está sujeta al cumplimiento de dicha norma.” A lo expuesto debe añadirse, siguiendo la sentencia de 23 de enero de 1998, parcialmente trascrita en la STS 6262/2009, de 9 de octubre de 2009, Rec 5285/2005, y STS 6336/2009, de 23 de octubre de 2009, Rec 1067/2006, que "aunque la culpabilidad de la conducta debe también ser objeto de prueba, debe considerarse en orden a la asunción de la correspondiente carga, que ordinariamente los elementos volitivos y cognoscitivos necesarios para apreciar aquélla forman parte de la conducta típica probada, y que su exclusión requiere que se acredite la ausencia de tales elementos, o en su vertiente normativa, que se ha empleado la diligencia que era exigible por quien aduce su inexistencia; no basta, en suma, para la exculpación frente a un comportamiento típicamente antijurídico la invocación de la ausencia de culpa". En consecuencia, las alegaciones deben ser desestimadas, significándose que las argumentaciones presentadas no desvirtúan el contenido esencial de la infracción que se declara cometida ni supone causa de justificación o exculpación suficiente. Por último, con respecto a que se dé cuenta a ese organismo del resultado de la resolución sancionadora que, en su caso, pudiera dictarse contra ***EMPRESA.1, toda vez que el resultado del procedimiento abierto contra dicha empresa pudiera afectar a intereses legítimos del INE, se informa que en el momento en que una resolución que pone fin al procedimiento instruido es firme, se publica en la página web de la Agencia http://www.aepd.es. V. Obligación incumplida. Artículo 28 RGPD. Encargado del tratamiento. Las previsiones respecto al encargado del tratamiento están recogidas en el artículo 28 del RGPD que estipula lo siguiente: "1. Cuando se vaya a realizar un tratamiento por cuenta de un responsable del tratamiento, este elegirá únicamente un encargado que ofrezca garantías suficientes para aplicar medidas técnicas y organizativas apropiadas, de manera que el tratamiento sea conforme con los requisitos del presente Reglamento y garantice la protección de los derechos del interesado. 2. El encargado del tratamiento no recurrirá a otro encargado sin la autorización previa por escrito, específica o general, del responsable. En este último caso, el encargado informará al responsable de cualquier cambio previsto en la incorporación o sustitución de otros encargados, dando así al responsable la oportunidad de oponerse a dichos cambios. 3. El tratamiento por el encargado se regirá por un contrato u otro acto jurídico con arreglo al Derecho de la Unión o de los Estados miembros, que vincule al encargado respecto del responsable y establezca el objeto, la duración, la naturaleza y la finalidad del tratamiento, el tipo de datos personales y categorías de interesados, y las C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 28/35 obligaciones y derechos del responsable. Dicho contrato o acto jurídico estipulará, en particular, que el encargado:
8. a)tratará los datos personales únicamente siguiendo instrucciones documentadas del responsable, inclusive con respecto a las transferencias de datos personales a un tercer país o una organización internacional, salvo que esté obligado a ello en virtud del Derecho de la Unión o de los Estados miembros que se aplique al encargado; en tal caso, el encargado informará al responsable de esa exigencia legal previa al tratamiento, salvo que tal Derecho lo prohíba por razones importantes de interés público;
9. b)garantizará que las personas autorizadas para tratar datos personales se hayan comprometido a respetar la confidencialidad o estén sujetas a una obligación de confidencialidad de naturaleza legal;
10. c)tomará todas las medidas necesarias de conformidad con el artículo 32;
11. d)respetará las condiciones indicadas en los apartados 2 y 4 para recurrir a otro encargado del tratamiento;
12. e)asistirá al responsable, teniendo en cuenta la naturaleza del tratamiento, a través de medidas técnicas y organizativas apropiadas, siempre que sea posible, para que este pueda cumplir con su obligación de responder a las solicitudes que tengan por objeto el ejercicio de los derechos de los interesados establecidos en el capítulo III;
13. f)ayudará al responsable a garantizar el cumplimiento de las obligaciones establecidas en los artículos 32 a 36, teniendo en cuenta la naturaleza del tratamiento y la información a disposición del encargado;
14. g)a elección del responsable, suprimirá o devolverá todos los datos personales una vez finalice la prestación de los servicios de tratamiento, y suprimirá las copias existentes a menos que se requiera la conservación de los datos personales en virtud del Derecho de la Unión o de los Estados miembros;
15. h)pondrá a disposición del responsable toda la información necesaria para demostrar el cumplimiento de las obligaciones establecidas en el presente artículo, así como para permitir y contribuir a la realización de auditorías, incluidas inspecciones, por parte del responsable o de otro auditor autorizado por dicho responsable. En relación con lo dispuesto en la letra
16. h)del párrafo primero, el encargado informará inmediatamente al responsable si, en su opinión, una instrucción infringe el presente Reglamento u otras disposiciones en materia de protección de datos de la Unión o de los Estados miembros. 4. Cuando un encargado del tratamiento recurra a otro encargado para llevar a cabo determinadas actividades de tratamiento por cuenta del responsable, se impondrán a este otro encargado, mediante contrato u otro acto jurídico establecido con arreglo al Derecho de la Unión o de los Estados miembros, las mismas obligaciones de protección de datos que las estipuladas en el contrato u otro acto jurídico entre el responsable y el encargado a que se refiere el apartado 3, en particular la prestación de garantías suficientes de aplicación de medidas técnicas y organizativas apropiadas de manera que el tratamiento sea conforme con las disposiciones del presente Reglamento. Si ese otro encargado incumple sus obligaciones de protección de datos, el encargado inicial seguirá siendo plenamente responsable ante el responsable del tratamiento por lo que respecta al cumplimiento de las obligaciones del otro encargado. 5. La adhesión del encargado del tratamiento a un código de conducta aprobado a tenor del artículo 40 o a un mecanismo de certificación aprobado a tenor del artículo C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 29/35 42 podrá utilizarse como elemento para demostrar la existencia de las garantías suficientes a que se refieren los apartados 1 y 4 del presente artículo. 6. Sin perjuicio de que el responsable y el encargado del tratamiento celebren un contrato individual, el contrato u otro acto jurídico a que se refieren los apartados 3 y 4 del presente artículo podrá basarse, total o parcialmente, en las cláusulas contractuales tipo a que se refieren los apartados 7 y 8 del presente artículo, inclusive cuando formen parte de una certificación concedida al responsable o encargado de conformidad con los artículos 42 y 43. 7. La Comisión podrá fijar cláusulas contractuales tipo para los asuntos a que se refieren los apartados 3 y 4 del presente artículo, de acuerdo con el procedimiento de examen a que se refiere el artículo 93, apartado 2. 8. Una autoridad de control podrá adoptar cláusulas contractuales tipo para los asuntos a que se refieren los apartados 3 y 4 del presente artículo, de acuerdo con el mecanismo de coherencia a que se refiere el artículo 63. 9. El contrato u otro acto jurídico a que se refieren los apartados 3 y 4 constará por escrito, inclusive en formato electrónico. 10. Sin perjuicio de lo dispuesto en los artículos 82, 83 y 84, si un encargado del tratamiento infringe el presente Reglamento al determinar los fines y medios del tratamiento, será considerado responsable del tratamiento con respecto a dicho tratamiento." De la documentación obrante en el expediente se desprende que el INE, determinó acudir a la contratación externa para la realización de las prestaciones objeto de los contratos que se describen en el Fundamento de Derecho IV de este acuerdo de inicio. La contratación de los procedimientos objeto de este expediente se materializó a través de los siguientes instrumentos: 1. ***EXPEDIENTE.5. (…). se hizo una declaración de emergencia sobrevenida y no existió Pliego de cláusulas administrativas particulares ni contrato u acto jurídico vinculante que contuviera las previsiones del artículo 28.3 del RGPD 1. ***EXPEDIENTE.4. (…). No existió Pliego de cláusulas administrativas particulares ni contrato u acto jurídico vinculante que contuviera las previsiones del artículo 28.3 del RGPD Consta en el expediente, en la fase de actuaciones previas de investigación, requerimiento efectuado por el inspector al INE, de fecha 05/02/2024, en el que se le requería, entre otros aspectos “Copia del contrato de encargo de tratamiento formalizado con la empresa adjudicataria”. En la contestación del INE no se aporta ningún documento formalmente denominado “contrato de encargo del tratamiento” para las contrataciones citadas, que hubiera C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 30/35 celebrado con los adjudicatarios de los contratos, ni otro jurídico vinculante con las estipulaciones del art. 28.3 del RGPD. Como se ha indicado anteriormente, la tramitación del contrato vinculado a la celebración de elecciones generales el 23/07/2023: “***EXPEDIENTE.4: “(…) “, no estuvo regida por un Pliego de cláusulas administrativas particulares. Fue objeto de declaración de emergencia en su tramitación con fecha de 01/06/2023 conforme a lo dispuesto en el artículo 120 de la Ley 9/2017, de 8 de noviembre, de Contratos del Sector Público. Asimismo, en relación con el contrato ***EXPEDIENTE.5 – (…), mediante Declaración de emergencia de 21/03/23 se desiste del anterior procedimiento, pasando a una adjudicación directa a la que no sería aplicable ningún PCAP. En consecuencia, para estos dos últimos contratos no estaban dispuestas las cláusulas relativas a la normativa de protección de datos que es incluían en los PCAP anteriores. Ello aparte de que las meras previsiones que deben incluirse en dichos pliegos no pueden suplir las exigencias del art. 28.3 del RGPD No puede entenderse que por sí solas tuvieran la consideración de contrato de encargo del tratamiento, ya que no contienen previsiones específicas para todos los aspectos que dicho contrato debe tener conforme al artículo 28.3 del RGPD. Con ello, no existe un contrato u otro acto jurídico vinculante entre responsable y encargado que contenga las estipulaciones exigidas por el artículo 28.3 del RGPD, ni se ha aportado ningún otro documento con carácter vinculante para el encargado respecto del responsable que las contenga. En relación con el carácter urgente de la celebración de los contratos, consta en el procedimiento que los dos últimos procedimientos de contratación expediente ***EXPEDIENTE.5. Tarjetas censales elecciones municipales y autonómicas mayo 2023 y ***EXPEDIENTE.4 Tarjetas censales elecciones generales fueron objeto de declaración de emergencia en su tramitación, pero también lo es que ello no debería ser óbice para la existencia del contrato de encargo para un organismo que lleva organizando la remisión de tarjetas censales durante décadas, no siendo ni mucho menos la primera vez en que la celebración de elecciones ha sido anticipada. (Además, las elecciones generales de julio de 2023 fueron objeto de anticipo, pero no las autonómicas y locales de mayo del mismo año). El RGPD no regula en su artículo 28, ninguna excepción a la obligación de formalizar el contrato o acto jurídico vinculante para el encargado respecto del responsable. Tampoco cabe considerar la ausencia del contrato a que se refiere el artículo 28.3 del RGPD como un mero error de forma. El artículo 28.9 de la misma norma impone la obligación de celebrar un contrato, cuando no esté en vigor ningún otro acto jurídico vinculante, por lo que su ausencia constituye una infracción del RGPD. En este sentido la LOPDGDD en su artículo 73 titulado, “Infracciones consideradas graves”, considera como tal en su letra
17. k)la siguiente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 31/35 “
18. k)Encargar el tratamiento de datos a un tercero sin la previa formalización de un contrato u otro acto jurídico escrito con el contenido exigido por el artículo 28.3 del Reglamento (UE) 2016/679”. En el presente caso, existen indicios de que el INE comunicó datos personales a ***EMPRESA.1 para la prestación de los contratos objeto de este procedimiento sin que se celebrase el preceptivo contrato de encargo de tratamiento. Y es preceptivo por dos aspectos: -El primero porque el adjudicatario del contrato tiene la consideración de encargado del tratamiento conforme a lo explicado más arriba -El segundo, porque en la ejecución del contrato se produce la comunicación de datos por parte del INE para su tratamiento por el encargado. En efecto, se trataría de datos personales como: 1. 2. 3. 4. 5. 6. 7. Provincia y municipio de residencia. Fecha de nacimiento. Nombre y apellidos. DNI/Identificador. Domicilio de residencia. Distrito, Sección, Mesa y local electoral en que corresponde votar. Nacionalidad, en caso de electores del CERE En consecuencia, se considera que los hechos acreditados son constitutivos de una infracción, imputable a la entidad investigada, por vulneración del artículo transcrito anteriormente. VI. Tipificación de la infracción del artículo 28 del RGPD y calificación a efectos de prescripción El artículo 83.4 del RGPD tipifica como infracción administrativa la vulneración de los artículos siguientes, se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 10.000.000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 2 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: "
19. a)las obligaciones del responsable y del encargado a tenor de los artículos 8, 11, 25 a 39, 42 y 43;
20. b)las obligaciones de los organismos de certificación a tenor de los artículos 42 y 43;
21. c)las obligaciones de la autoridad de control a tenor del artículo 41, apartado 4." Por su parte, la LOPDGDD en su artículo 71, Infracciones, señala que: “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A los solos efectos del plazo de prescripción, el artículo 73 de la LOPDGDD establece lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 32/35 "En función de lo que establece el artículo 83.4 del Reglamento (UE) 2016/679 se consideran graves y prescribirán a los dos años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
22. k)Encargar el tratamiento de datos a un tercero sin la previa formalización de un contrato u otro acto jurídico escrito con el contenido exigido por el artículo 28.3 del Reglamento (UE) 2016/679." VII. Declaración de infracción El artículo 83 “Condiciones generales para la imposición de multas administrativas” del RGPD, en su apartado 7, establece: “Sin perjuicio de los poderes correctivos de las autoridades de control en virtud del artículo 58, apartado 2, cada Estado miembro podrá establecer normas sobre si se puede, y en qué medida, imponer multas administrativas a autoridades y organismos públicos establecidos en dicho Estado miembro.” El artículo 77 “Régimen aplicable a determinadas categorías de responsables o encargados del tratamiento” de la LOPDGDD dispone lo siguiente: “1. El régimen establecido en este artículo será de aplicación a los tratamientos de los que sean responsables o encargados:
23. a)Los órganos constitucionales o con relevancia constitucional y las instituciones de las comunidades autónomas análogas a los mismos.
24. b)Los órganos jurisdiccionales.
25. c)La Administración General del Estado, las Administraciones de las comunidades autónomas y las entidades que integran la Administración Local.
26. d)Los organismos públicos y entidades de Derecho público vinculadas o dependientes de las Administraciones Públicas.
27. e)Las autoridades administrativas independientes.
28. f)El Banco de España.
29. g)Las corporaciones de Derecho público cuando las finalidades del tratamiento se relacionen con el ejercicio de potestades de derecho público.
30. h)Las fundaciones del sector público.
31. i)Las Universidades Públicas.
32. j)Los consorcios.
33. k)Los grupos parlamentarios de las Cortes Generales y las Asambleas Legislativas autonómicas, así como los grupos políticos de las Corporaciones Locales. 2. Cuando los responsables o encargados enumerados en el apartado 1 cometiesen alguna de las infracciones a las que se refieren los artículos 72 a 74 de esta ley orgánica, la autoridad de protección de datos que resulte competente dictará resolución declarando la infracción y estableciendo, en su caso, las medidas que proceda adoptar para que cese la conducta o se corrijan los efectos de la infracción que se hubiese cometido, con excepción de la prevista en el artículo 58.2.i del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 33/35 La resolución se notificará al responsable o encargado del tratamiento, al órgano del que dependa jerárquicamente, en su caso, y a los afectados que tuvieran la condición de interesado, en su caso. 3. Sin perjuicio de lo establecido en el apartado anterior, la autoridad de protección de datos propondrá también la iniciación de actuaciones disciplinarias cuando existan indicios suficientes para ello. En este caso, el procedimiento y las sanciones a aplicar serán las establecidas en la legislación sobre régimen disciplinario o sancionador que resulte de aplicación. Asimismo, cuando las infracciones sean imputables a autoridades y directivos, y se acredite la existencia de informes técnicos o recomendaciones para el tratamiento que no hubieran sido debidamente atendidos, en la resolución en la que se imponga la sanción se incluirá una amonestación con denominación del cargo responsable y se ordenará la publicación en el Boletín Oficial del Estado o autonómico que corresponda. 4. Se deberán comunicar a la autoridad de protección de datos las resoluciones que recaigan en relación con las medidas y actuaciones a que se refieren los apartados anteriores. 5. Se comunicarán al Defensor del Pueblo o, en su caso, a las instituciones análogas de las comunidades autónomas las actuaciones realizadas y las resoluciones dictadas al amparo de este artículo. 6. Cuando la autoridad competente sea la Agencia Española de Protección de Datos, esta publicará en su página web con la debida separación las resoluciones referidas a las entidades del apartado 1 de este artículo, con expresa indicación de la identidad del responsable o encargado del tratamiento que hubiera cometido la infracción. Cuando la competencia corresponda a una autoridad autonómica de protección de datos se estará, en cuanto a la publicidad de estas resoluciones, a lo que disponga su normativa específica.” Conforme al ya citado artículo 25 de la Ley 12/1989, de 9 de mayo, de la Función Estadística Pública 1. El Instituto Nacional de Estadística es un organismo autónomo, con personalidad jurídica y patrimonio propio, que queda adscrito al Ministerio de Asuntos Económicos y Transformación Digital. Su estructura y funciones se desarrollarán por medio de un Estatuto que será aprobado por Real Decreto. 2. En el ejercicio de sus competencias y desempeño de sus funciones el Instituto Nacional de Estadística se regirá por la presente ley, y, en lo no previsto por ella, por las normas contenidas en la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público, y la Ley 46/2003, de 26 de noviembre, General Presupuestaria, y demás disposiciones generales que le sean de aplicación. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 34/35 Por lo tanto, de acuerdo con el artículo 77 LOPDGDD, los procedimientos que tengan causa en infracciones en materia de protección de datos personales cometidas por las categorías de responsables o encargados del tratamiento enumerados en su apartado 1 se resolverán, en todo caso, declarando las infracciones. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Presidencia de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR que el INSTITUTO NACIONAL DE ESTADÍSTICA, con NIF Q2826039F, ha infringido lo dispuesto en el artículo 28 del RGPD, infracción tipificada en el artículo 83.4 del RGPD. ORDENAR el archivo al INSTITUTO NACIONAL DE ESTADÍSTICA, con NIF Q2826039F, por una infracción del artículo 25 del RGPD, tipificada en el artículo 83.4 del RGPD. SEGUNDO: NOTIFICAR la presente resolución a INSTITUTO NACIONAL DE ESTADÍSTICA. TERCERO: COMUNICAR la presente resolución al Defensor del Pueblo, de conformidad con lo establecido en el artículo 77.5 de la LOPDGDD. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública. La publicación se realizará una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
34. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeaepd.gob.es/sede-electronicaC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 35/35 web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-101025 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es