PS-00525-2021 | Europaius

1/19 • Procedimiento Nº: PS/00525/2021 RESOLUCION PROCEDIMIENTO SANCIONADOR. De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad AKER PREVENCIÓN DE RIESGOS, S.L. con CIF.: B82977836, (en adelante, “la parte reclamada”), en virtud de la reclamación presentada por el MINISTERIO DE CIENCIA E INNOVACIÓN (en adelante, “la parte reclamante”), por presunta infracción del Reglamento (UE) 2016/679, del Parlamento Europeo y del Consejo, de 27/04/16, relativo a la Protección de las Personas Físicas en lo que respecta al Tratamiento de Datos Personales y a la Libre Circulación de estos Datos (RGPD) y de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales, (LOPDGDD), y teniendo como base los siguientes: ANTECEDENTES PRIMERO: Con fecha 30/10/20, tuvo entrada en esta Agencia, escrito presentado por la parte reclamante, en el que indicaba, entre otras, lo siguiente: “La Unidad de Protección de Datos del Ministerio de Ciencia e Innovación tiene conocimiento de que la empresa adjudicataria de los servicios de vigilancia de la salud para los empleados públicos del citado Ministerio, cita normativa derogada en la cláusula informativa que aparece al descargar los resultados médicos. Igualmente, mencionan que ”junto a cada formulario de recabo de datos de carácter personal, en los servicios que el usuario puedo solicitar (Aker Prevención de Riesgos Laborales SL , hará saber al usuario de la existencia y aceptación de las condiciones particulares del tratamiento de sus datos en cada caso, informándole de la responsabilidad del fichero creado, la dirección del responsable, la posibilidad de ejercer sus derechos de acceso, rectificación, cancelación u oposición, la finalidad del tratamiento y las comunicaciones de datos a terceros en su caso". Se adjunta la cláusula íntegra incluida. Se constata de forma inequívoca, in situ y tras visitar su página web, que la empresa: - - - - No identifica a los interesados mediante la solicitud del DNI al acceder al consultorio médico donde se practican las distintas pruebas de que consta el servicio de prevención de riesgos contratado. No informa por escrito a los interesados acerca de los datos personales que recaban, sus derechos como interesados. o las características del tratamiento que realizan de los datos relativos a la salud para dar el servicio contratado. No pide el consentimiento a los interesados antes de proceder a tratar sus datos de la salud No disponen en su página web de información pública que permita conocer los aspectos anteriormente mencionados, limitándose exclusivamente a informar de los derechos del interesado. Cita en la página web como cláusula de legitimación del tratamiento de datos de la salud una “relación contractual de la que usted es parte y que ha suscrito expresamente”, lo cual es ciertamente dudoso. Se adjunta a continuación el párrafo integro copiado de su página web: - Legitimación para el tratamiento de sus datos: La base legal para el tratamiento de sus datos es la ejecución de la relación contractual, de la que usted es parte y cuyo contenido conoce y ha C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/19 - suscrito expresamente en el correspondiente contrato de prestación de servicios, que es de carácter anual renovable. No disponen de Registro de Actividades de Tratamiento accesible en su página web, siendo obligatorio al tratarse de una empresa que trata categorías especiales de datos (art30.5 RGPD) No disponen de un Delegado de Protección de Datos accesible en la página web de la empresa ni consta nombramiento alguno en el registro que a tal efecto proporciona al público la Agencia Española de Protección de Datos. En la página web sigue habiendo menciones a la LO 15199 y otra normativa que ya no se encuentra en vigor. Por su parte, la Subdirección General de Personal e Inspección de Servicios recibe un email remitido por el Museo Nacional de Ciencia en el que se informa de que la empresa adjudicataria ha enviado los certificados expedidos tras el reconocimiento médico por error al correo electrónico del Museo, si bien estos no contienen datos sanitarios de forma expresa. Sí contienen, no obstante, datos identificativos”. SEGUNDO: Con fecha 30/11/20, por parte de esta Agencia se trasladó la reclamación a la parte entidad para que diese respuesta a la misma de conformidad con lo estipulado en el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de protección de datos personales y garantía de los derechos digitales, (“LOPDGDD”). TERCERO: Con fecha 28/12/20, la parte reclamada, remite a esta Agencia escrito de contestación, en el cual, entre otras indica lo siguiente: “Al tener conocimiento de esta reclamación, se ha procedido a la revisión de todo el clausulado informativo de protección de datos de carácter personal incluido en la gestión documental del Área de Vigilancia de la Salud. Se han efectuado chequeos extraordinarios, en los servidores de datos que emiten la información dirigida a los usuarios de esta área. Además, se ha emitido una nueva edición del procedimiento interno “LOPD VS” que se adjunta como doc.

Con fecha 27/10/2020 se recibió correo electrónico del subdirector general de personal e inspección de servicios, en el que nos indicaba que, en la pantalla informativa previa a la descarga del reconocimiento médico por parte del interesado, se citaba la anterior Ley Orgánica 15/1999 de protección de datos de carácter personal. Se procedió inmediatamente a la comprobación de este extremo y se observó que una plantilla de nuestro proveedor de software había quedado desactualizada, siendo esta la razón de la aparición de esta norma ya no vigente. Se procedió a la inmediata corrección de esta plantilla y se informó mediante correo electrónico de fecha 28/10/20 que se trataba de una plantilla desactualizada, que ya había corregida, y que en ningún momento se había producido ninguna brecha de seguridad en relación con los datos tratados. Igualmente, con fecha 30/10/20, se envió otro correo al DPD del Ministerio. En el resto de la documentación, la información ha estado siempre actualizada. No obstante, una vez detectada esta desactualización, Aker Prevención se puso rápidamente en comunicación con su proveedor de software para la inmediata C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/19 corrección de esa situación, lo cual se realizó el mismo día 28/10/
La causa de esta incidencia fue que no se produjo la actualización automática del contenido de la plantilla en concreto, lo cual, fue inmediatamente corregido por el proveedor de software una vez contactado por esta parte. Además, se llevó a cabo una revisión extraordinaria de todas los demás documentos y plantillas de protección de datos de carácter personal, con el resultado de que en todos ellos las citas normativas eran las correctas. Respecto a las afirmaciones complementarias del reclamante, referidas a que no se informa a los interesados de sus derechos o de que no se consulta su DNI, debemos indicar que: - Por parte de propio ministerio se envió a Aker Prevención consentimiento informado en modelo del propio ministerio. Al no remitirse cumplimentado el consentimiento en modelo de Aker, que se envió también al ministerio, para que nos fuera remitido por medios electrónicos, fue preciso adoptar la medida de firma en formato papel por interesado al acceder a nuestro centro médico; indiquemos que este procedimiento había quedado en suspenso en nuestras instalaciones (por el de envío en formato electrónico) con objeto de evitar la manipulación de papel y bolígrafos a raíz de la pandemia de COVID-19 Ello ha obligado, en el caso de este ministerio, a que los trabajadores suscribieran la hoja de consentimiento informado en nuestras instalaciones, con las dilaciones consiguientes (entrega del documento en papel, desinfección de bolígrafos tras cada uso…). Se adjunta modelo de este consentimiento informado como documento En cuanto a la comprobación de la identidad de los interesados, no sólo se confirmaba en recepción su DNI sino también el correo electrónico (ambos datos proporcionados en un fichero Excel por el propio ministerio, junto con otros datos, como número de teléfono y fecha de nacimiento), en el cual iban a recibir el link de descarga de su reconocimiento médico laboral (previamente deben aceptarse las condiciones del servicio, incluida la cláusula de protección de datos, y grabar una contraseña de acceso, ya que es el usuario quien debe hacerlo: no se entrega ninguna contraseña de acceso ni en formato papel ni digital: es el interesado quien pone la que desea para poder acceder a su documentación). El registro de actividades de tratamiento se pondrá a disposición de la autoridad de control, de conformidad con el artículo 30.4 del RGPD. Se ha establecido un programa de revisión mensual de todos los documentos relativos a información de protección de datos personales de los interesados, con objeto de verificar de que se despliegan correctamente en todas las interactuaciones con los usuarios: descarga web de resultados médicos, generación de informe médico laboral, generación de contratos de prestación de servicio de prevención de riesgos laborales anual, generación de consentimiento informado de vigilancia de la salud. La fecha de implantación de este procedimiento ha sido 15/11/
El responsable es el Director de Administración y Recursos Humanos. La primera revisión se ha efectuado y todos los ítems han superado la revisión. Además, se C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/19 ha procedido a la emisión de una nueva edición del procedimiento interno “LOPD VS” que se ha adjuntado como documento 1 con este escrito. Como resumen del presente asunto podemos indicar que ha tenido su origen, exclusivamente, en una desactualización de una plantilla informativa de protección de datos, que se genera en la descarga de los reconocimientos médicos, y en la que se informa al interesado de sus derechos de acceso, rectificación, supresión, limitación, supresión, portabilidad. Dicha plantilla ha sido inmediatamente corregida. En ningún momento se ha producido brecha ni perdida de datos personales de los interesados. Como consecuencia de esta incidencia, se han implementado sistemas de control documental para evitar que en un futuro se pueda producir alguna desactualización en la información trasladada a los interesados. CUARTO: Con fecha 15/02/21, por parte de la Directora de la Agencia Española de Protección de Datos se dicta acuerdo de admisión de trámite de la reclamación presentada, de conformidad con el artículo 65 de la Ley LPDGDD, al haber apreciado posibles indicios racionales de una vulneración de las normas en el ámbito de las competencias de la Agencia Española de Protección de Datos. QUINTO: Con fecha 09/07/21, la Subdirección General de Inspección de Datos se dirigió requerimiento informativo a la parte reclamada, sobre el “Registro de Actividades del Tratamiento”, al amparo de los poderes de investigación otorgados a las autoridades de control en el art 57.1 del RGPD. SEXTO: Con fecha 19/07/21, la parte reclamada, remite a esta Agencia escrito de contestación, en el cual, entre otras indica lo siguiente: “REGISTRO DE ACTIVIDADES DE TRATAMIENTO 1.- Datos del responsable del tratamiento: a) AKER PREVENCION DE RIESGOS b) NIF: B82977836 c) Dirección: Calle Hermosilla 64 7º B Madrid 1.1.Delegado Protección de Datos: de A.A.A. (***NIF.1) dpd@akerprevencion.com 2.- Descripción de la actividad del tratamiento: a) Actividad del tratamiento: Uso de datos personales de trabajadores para incorporar al programa informático de Prevención Técnica (Prevengos), con objeto de elaborar evaluaciones de riesgos laborales y de más documentación complementaria, de conformidad con lo dispuesto en la Ley 31/1995 de Prevención de Riesgos Laborales. Uso de datos personales de trabajadores para incorporar al programa informático de Vigilancia de la Salud Laboral (Prevengos), con objeto de cumplir las obligaciones derivadas de la actuación como Servicio de Prevención Ajeno de Riesgos Laborales. 2 b) Finalidad: Elaboración de Evaluación de Riesgos Laborales, Planificación de la actividad preventiva, actas informativas, registros técnicos anexos. Elaboración de Informes Médicos de Salud Laboral y emitir certificaciones de aptitud laboral. c) Categoría de interesados: Empleados de empresas clientes del Servicio de Prevención de Riesgos Laborales d) Categoría de datos: Datos identificativos de la persona (nombre, DNI, fecha nacimiento, correo electrónico), patologías que puedan afectar a su desempeño. Resultados de pruebas médicas: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/19 espirometría, audiometría, control de visión, presión arterial, analítica de sangre y orina, electrocardiograma. e) Categoría de destinatarios: Los datos no han sido ni serán comunicados a terceras personas, salvo en cumplimiento de la legislación vigente. 3.- Medidas de seguridad del responsable del tratamiento: Encriptación de datos en las copias de seguridad diarias de servidores de datos. Protección frente a accesos no autorizados mediante firewall, programas antivirus de servidor, contraseñas de usuarios. Las especificaciones técnicas son (…) 4.- Los datos referentes a especialidades técnicas (Seguridad en el Trabajo, Higiene Industrial, Ergonomía y Psicosociología) se conservarán durante un periodo de 6 años. Plazo general de conservación de documentos del artículo 30 del Código de Comercio. Los datos relativos a Vigilancia de la Salud se conservarán como mínimo un plazo de 5 años computados desde la última interacción con el paciente, de conformidad con la normativa vigente. Posteriormente, a elección de los interesados que hayan transmitido a Aker Prevención de Riesgos los datos, se procederá a su devolución o destrucción, o bien se conservarán debidamente protegidos si no hay ninguna indicación al respecto. SEPTIMO: Con fecha 24/11/21, por parte de esta Agencia se accede a la “Política de Privacidad” de la página web de la entidad reclamada, https://www.akerprevencion.com/inicio/proteccion/ , donde informa de: “AKER, como responsable del fichero automatizado, garantiza el pleno cumplimiento de la normativa de Protección de Datos de Carácter Personal y así, de acuerdo con la Ley Orgánica 03/2018, de Protección de Datos Personales y garantía de los derechos digitales y el Reglamento (UE) 2016/679 la Empresa queda informada de la incorporación de sus datos para el mantenimiento y desarrollo de su relación contractual y de gestión con AKER. Así mismo, se indica que los datos proporcionados por la Empresa se utilizarán exclusivamente para prestar los servicios contratados e informar de cualquier novedad legislativa o cualquier mejora técnica en materia de prevención de riesgos laborales que pudiera afectar o ser del interés de la empresa cliente. Los datos proporcionados por los interesados para la prestación de los servicios del Área de Medicina del Trabajo se utilizarán para la prestación de dichos servicios y no serán cedidos a ningún tercero, salvo por obligación legal. La política de privacidad de AKER PREVENCION DE RIESGOS SL asegura el ejercicio de los derechos de acceso, rectificación, cancelación, información y oposición, en los términos establecidos en la legislación, pudiendo utilizar para ello la vía telefónica

(914464968), correo electrónico (datos@akerprevencion.com) o dirigirse por escrito a AKER PREVENCION DE RIESGOS SL, calle Hermosilla, 64 7º B Madrid 28001”. Además, se proporciona información sobre: - el Responsable de Tratamiento; la finalidad del Tratamiento de sus datos personales:- la legitimación para el tratamiento C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/19 de sus datos; - el plazo de conservación de los datos personales; - la comunicación o cesión de datos; - sobre los que asistente a los usuarios o pacientes; - derecho a presentar una reclamación ante el Delegado de Protección de Datos y derecho a presentar una reclamación ante una autoridad de control. OCTAVO: Con fecha 15/12/21, por la Directoria de la Agencia Española de Protección de Datos, se inicia procedimiento sancionador apercibiendo a la parte reclamada, por la presunta infracción del artículo 5.1.

f)del RGPD, al existir una posible falta de confidencialidad de los datos personales de los funcionarios del Ministerio de Ciencia e Innovación al enviar un correo electrónico por error al Museo Nacional de Ciencia. NOVENO: Notificado el acuerdo de inicio a la parte reclamada, ésta mediante escrito de fecha 26/12/21 formuló, en síntesis, las siguientes alegaciones: 1. El primer punto del escrito de denuncia, manifiesta que no se identifica a los pacientes del Ministerio de Ciencia e Innovación en el momento de acceder y que no se pide su consentimiento para el tratamiento de sus datos: ha quedado acreditado que no sólo se comprobaba el DNI sino también el nombre y apellidos de cada uno de los pacientes que acudían a la realización del reconocimiento médico (en base a los listados remitidos previamente a esta parte por su empleador: Ministerio de Ciencia e Innovación), al que voluntariamente acudían y previa solicitud a su empleador. Este organismo al que nos dirigimos ya indica en su escrito de “apertura” que no es preciso dicho consentimiento ya que la base legal del tratamiento es la prestación del propio servicio, incluido dentro de las prescripciones legales de la prevención de riesgos laborales. El conocimiento de estos extremos, que fácilmente pueden deducirse de la normativa aplicable, e incluso leyendo las guías informativas que la propia AEPD publica en su página web, entendemos que debiera ser conocido por el funcionario firmante del escrito de denuncia, el cual, según indica en el propio escrito, es el Delegado de Protección de Datos del Ministerio de Ciencia e Innovación. Respecto a este apartado no tenemos nada más que añadir, a la vista de lo ya expuesto por el organismo al que nos dirigimos. 2. En lo relativo tanto a las presuntas deficiencias en el tratamiento de datos personales, como en la política de privacidad de la empresa, esta parte ya ha acreditado en el proceso inquisitivo al que ha sido sometida durante más de 12 meses que es perfectamente correcto y conforme a la normativa vigente, y este organismo indica en el propio escrito del que traen causa las presentes alegaciones: “se considera que la información que se proporciona al interesado en el momento de obtener sus datos personales cuando accede a consulta en las instalaciones de la entidad, como la información que se suministra en la “Política de Privacidad”, de la página web reclamada, no se contradice con lo estipulado en el artículo 13 del RGPD” Por lo tanto, respecto a este extremo nada hay más que añadir ni demostrar. 3. En el punto referente a la presunta falta de información a los usuarios en materia de protección de datos, esta parte también ha demostrado ya que, no C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/19 sólo se informaba a los trabajadores en el momento de acceder al centro médico, sino que además se les refería a la propia política de privacidad de la empresa publicada en su página web (ya investigada por este organismo) y además recibían una exhaustiva información de todos sus derechos en el momento de la descarga de su reconocimiento médico a través del servidor seguro de datos, y además tenían de nuevo reiterada la información de sus derechos en el propio texto de su reconocimiento médico. Este organismo así lo reconoce al decir en este escrito que alegamos lo siguiente: “Por tanto, con arreglo a las evidencias que se disponen en este momento, se considera que la información que se proporciona al interesado en el momento de obtener sus datos personales cuando accede a consulta en las instalaciones de la entidad, cuando accede a la página web para descarga su informe médico o la información suministrada en el propio informe sobre el ejercicio de los derechos en materia de protección de datos, así como, la información que se suministra en la “Política de Privacidad”, de la página web reclamada, no se contradice con lo estipulado en el artículo 12 del RGPD”. Nada más que decir a este respecto, ya que entendemos que está suficientemente acreditado. 4. En el último punto del escrito que alegamos, se hace referencia a la presunta vulneración de confidencialidad de datos por un envío de 2 certificados, que NO contienen ningún dato médico, al Museo de Ciencia e Innovación de La Coruña. En concreto el funcionario denunciante dice que “ha enviado los certificados expedidos tras el reconocimiento médico” al correo del Museo Nacional de Ciencia (sin indicar nada más, por ejemplo, de qué sede estamos hablando). Es en este punto en el que el organismo al que nos dirigimos parece querer basar la imposición de la enorme sanción económica con que se amenaza a esta parte. Es precisamente el que más aclaración requiere, debido sobre todo a la oscuridad de la redacción del escrito de denuncia, que, a pesar de extenderse ampliamente en los otros puntos ya tratados, en este concreto es muy conciso y pasa como de puntillas sobre el mismo. Concretamente es en este punto donde creemos que es preciso aclarar bien los extremos para que este organismo al que nos dirigimos tenga una visión clara del mismo. De la redacción del escrito de denuncia, parece deducirse que esta parte ha remitido las dos comunicaciones; solo dos y no “certificados expedidos tras los reconocimientos médicos”, como si fuera un gran número, a una entidad ajena al Ministerio de Ciencia e Innovación, extraña al mismo, donde “alguien” pudiera tener acceso a datos del personal del Ministerio. La realidad NO ES ESA: el Museo de Ciencia e Innovación de La Coruña, ES UN CENTRO DE TRABAJO del Ministerio de Ciencia e Innovación y, como tal centro, fue comunicado a esta parte, junto con la sede de Paseo de la Castellana 162 en Madrid, para la correspondiente evaluación de riesgos laborales y emisión de toda la documentación al respecto. No sólo eso, esta parte realizó visita técnica el 29 de julio de 2020 a este centro de trabajo en La Coruña, donde llevó a cabo diversas entrevistas a personal del Ministerio allí ubicado, practicó mediciones técnicas en las instalaciones y asesoró en todas las cuestiones preventivas que se le formularon. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/19 Este aspecto tan relevante, el hecho de que el Museo de Ciencia en La Coruña es un centro de trabajo del Ministerio de Ciencia, se “le ha pasado por alto” al funcionario denunciante en su escrito de denuncia, lo que esta parte entiende que es una manifiesta negligencia por su parte y, subsidiariamente, a juicio de esta parte, una muestra de su evidente mala fe, todo sea dicho en estrictos términos de defensa. La evaluación de riesgos laborales que se realizó del Ministerio incluyó el centro de Paseo de la Castellana 162 y el de La Coruña en Praza Museo Nacional de Ciencia 1. Los técnicos de este servicio interactuaron con el personal de esta dependencia y se intercambiaron las comunicaciones que fueron precisas para el desarrollo de la actividad preventiva. La dirección de correo del Museo Nacional de Ciencia en La Coruña fue proporcionada a esta parte por el Ministerio de Ciencia, no se la ha inventado esta parte, como es lógico. El Museo Nacional de Ciencia ES EL MINISTERIO, ya que es un centro de trabajo de este (al menos así se nos comunicó y así se ha evaluado). Las dos aptitudes enviadas, recordemos que sólo dos, lo fueron al Ministerio, en su centro de La Coruña, nunca han salido los datos de la empresa empleadora (el Ministerio de Ciencia e Innovación), se enviaron allí porque los dos trabajadores figuraban informados en el sistema informático de esta parte como miembros de la plantilla del centro de La Coruña; no creemos que el hecho de que, en una plantilla de más de 250 personas, se haya informado dos trabajadores en un centro que no les corresponde, centro de trabajo de la misma empresa (Ministerio), sea una contingencia mayor, que además no ha ocasionado ninguna pérdida de datos ni su divulgación fuera. Es decir, que no ha habido NINGUNA comunicación de datos fuera del ámbito de la propia empresa (Ministerio), además, ha sido un envío a una cuenta de correo de la propia empresa, de carácter mínimo (dos aptitudes). Se adjunta como documento Nº 1 pantalla de la propia web del centro de trabajo del Ministerio de Ciencia en La Coruña y como documento Nº 2 la comunicación enviada en su día al centro de La Coruña. Se acompañan como documentos Nº 3 y 4 dos de los múltiples correos electrónicos intercambiados por esta parte con personal del Ministerio de Ciencia e Innovación del centro de trabajo de La Coruña. Por ello entendemos que no se ha producido ningún perjuicio ni infracción que sea merecedor de la sanción, que, por infracción grave, se pretende imponer a esta parte y que supondría un gravísimo perjuicio para esta empresa, que en todo momento cumple con sus obligaciones, lo lleva haciendo 20 años, y que no ha dado motivo alguno para la incoación de este procedimiento. Esta empresa, esta pyme, todos los días se enfrenta a un examen diario, como todas las empresas de este país, para ser más eficiente y poder ofrecer el mejor servicio, y entendemos que ha acreditado manifiestamente que en materia de protección de datos cumple con la normativa vigente, estando siempre dispuesta a mejorar sus procesos y servicios. Y no creemos que la imposición de una sanción C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/19 descomunal como con la que se amenaza a esta parte sea procedente ni justificable en modo alguno”. DÉCIMO: Con fecha 22/02/22, se inició el período de práctica de pruebas, acordándose en el mismo: a).- dar por reproducidos a efectos probatorios la denuncia interpuesta por la denunciante y su documentación, los documentos obtenidos y generados que forman parte del expediente E/09595/2020 y b).- dar por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio del PS/0525/2021, presentadas. DÉCIMO PRIMERO: Con fecha 12/07/22, se da traslado de la propuesta de resolución, en la cual, se propone que, por parte de la Directora de la Agencia Española de Protección de Datos se proceda a apercibir a la entidad, AKER PREVENCIÓN DE RIESGOS, S.L. por la infracción del artículo 5.1.
f)del RGPD, por la falta de confidencialidad de los datos personales de los funcionarios del Ministerio de Ciencia e Innovación al enviar un correo electrónico, por error al Museo Nacional de Ciencia. DÉCIMO SEGUNDO: Notificado la propuesta de resolución a la parte reclamada, ésta, con fecha 18/07/22, presenta escrito de alegaciones, indicado, entre otras, lo siguiente: “En el escrito de propuesta de resolución este organismo al que nos dirigimos deja perfectamente claro, en la relación de HECHOS PROBADOS que (citamos por orden correlativo): 1º) y 2º) En lo relativo tanto a las presuntas deficiencias en el tratamiento de datos personales, como en la política de privacidad de la empresa, esta parte ha informado exhaustivamente a todos los trabajadores de los derechos que les asisten tanto previamente a la realización del Reconocimiento Médico Laboral, como posteriormente en el momento de la descarga de su reconocimiento, además de disponer de una política de privacidad accesible en todo momento y acorde a la normativa de protección de datos. Ya en su momento este organismo manifestó en su escrito de fecha 15/12/2021 que “se 2 considera que la información que se proporciona al interesado en el momento de obtener sus datos personales cuando accede a consulta en las instalaciones de la entidad, como la información que se suministra en la “Política de Privacidad”, de la página web reclamada, no se contradice con lo estipulado en el artículo 13 del RGPD”. 3º) Envío de 2 certificados, que NO contienen ningún dato médico, al Museo de Ciencia e Innovación de La Coruña, que es un centro de trabajo del Ministerio de Ciencia e Innovación. Del escrito de denuncia formulado por el delegado de protección de datos del Ministerio de Ciencia e Innovación han quedado acreditados, tras un proceso inquisitivo que ha durado casi DOS AÑOS (desde su apertura el 30/10/2020, dos hechos muy claros a juicio de esta parte: 1.- El manifiesto desconocimiento de la normativa de protección de datos por parte del firmante del escrito de denuncia. Por una parte, desconoce no es preciso el consentimiento expreso del trabajador que va a someterse a reconocimiento médico laboral, ya que la base legal del tratamiento es la prestación del propio servicio, incluido dentro de las prescripciones legales de la prevención de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/19 riesgos laborales. Por otra parte, también desconoce que el Registro de Actividades de Tratamiento NO tiene que ser accesible vía web, sino que, en todo caso, se pondrá a disposición de la Autoridad de Control cuando lo solicite, a tenor de lo dispuesto en el artículo 30;4 del RGPD. 2.- La evidente mala fe del denunciante en su escrito, con graves omisiones en su escrito de denuncia, como desconocer que el Museo Nacional de Ciencia y Tecnología es una dependencia, un centro de trabajo, del Ministerio de Ciencia e Innovación. De este modo, en su escrito quería hacer ver como que dos certificados de aptitud de dos empleados del Ministerio de Ciencia e Innovación (sin datos médicos) habían llegado, como por arte de magia, al citado Museo de Ciencia y Tecnología. En el escrito de propuesta de sanción se concluye por este organismo que esta parte es merecedora de un “apercibimiento” por una “presunta infracción del artículo 5.1.
f)del RGPD”. Esta parte desconoce qué fundamento jurídico tiene la presunción de una infracción para imponer una sanción. Entendemos que la única presunción válida en derecho es la de inocencia, y que las infracciones merecedoras de censura jurídica deben ser plenamente acreditadas y demostradas. Del escrito de propuesta de resolución no se concluye que haya sido acreditada ninguna conducta o actuación contraria a la normativa de protección de datos, con lo que entendemos que NO procede la imposición de apercibimiento alguno. 3 En base a todo lo expuesto, SE SOLICITA: que, una vez examinado este escrito y tras la oportuna tramitación, después de casi dos años de contestar esta parte todos los requerimientos de información que se le han dirigido y formular alegaciones, se proceda a emitir resolución en la que se acuerde que no se ha producido ninguna “presunta infracción” de la normativa de protección de datos y se proceda al cierre definitivo y archivo de las presentes actuaciones. Que se aperciba al propio denunciante, que no sólo ha acreditado un desconocimiento impropio de la posición que ocupa como delegado de protección de datos del Ministerio de Ciencia e Innovación y una evidente mala fe en la redacción de su escrito de denuncia, por ocasionar una grave pérdida de tiempo y recursos tanto a este organismo al que nos dirigimos, como a esta parte, que debe orientar sus esfuerzo a la actividad diaria para generar los ingresos necesarios para su subsistencia, como cualquier otra empresa de este país De las actuaciones practicadas en el presente procedimiento, de la información y documentación presentada por las partes, han quedado acreditados lo siguiente: HECHOS PROBADOS. Primero: Sobre las presuntas infracciones cometidas en materia de protección de datos, cuando los trabajadores acceden a las instalaciones de la entidad, ésta presenta la siguiente documentación: 1.- Copia de un formulario individualizado de consentimiento informado firmado el 03/11/20 por un trabajador del Ministerio de Ciencia e Innovación, y que, según C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/19 la entidad, fueron remitidos al Ministerio, con anterioridad a la realización de los reconocimientos médicos. 2.- Se aporta copia del documento con clausulado informativo sobre protección de datos incluida cuando el trabajador acude a las instalaciones de AKER PREVENCIÓN, donde consta el siguiente texto: “(…) Le hago saber que: _ SI quiero pasar el reconocimiento médico” “(…) De conformidad con la Ley de Prevención de Riesgos Laborales (31/95 de 8 de noviembre), el empresario debe realizar una vigilancia periódica de la salud de sus empleados. Para ello, es necesario recabar su aceptación para realizar el reconocimiento médico al que debe someterse por las características de su trabajo o por exigirlo una disposición legal. Aprovecho para informarle que los resultados de los reconocimientos médicos tienen carácter confidencial, quedando únicamente constancia de su APTITUD o no para el desempeño de su trabajo. El acceso a los resultados de los reconocimientos médicos queda restringido al personal médico y, en su caso, a la Autoridad Laboral legitimada para conocer dicha información, salvo consentimiento expreso del trabajador (art. 22.3 y 4 de la Ley de Prevención de Riesgos Laborales). (…) CLAÚSULA DE PROTECCIÓN DE DATOS. AKER PREVENCION DE RIESGOS SL, como responsable del fichero automatizado Vigilancia de la Salud, garantiza el pleno cumplimiento de la normativa de Protección de Datos de Carácter Personal y así, de acuerdo con el Reglamento (UE) 2016/679, la Ley Orgánica 3/2018 de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales y demás normativa aplicable. La política de privacidad de AKER PREVENCION DE RIESGOS SL asegura el ejercicio de los derechos de acceso, rectificación, cancelación, información y oposición, en los términos establecidos en la legislación vigente, pudiendo utilizar para ello la vía telefónica

(914464968), correo electrónico a datos@akerprevencion.com o dirigirse por escrito a AKER PREVENCION DE RIESGOS SL, calle Hermosilla, 64 7º B Madrid 28001.Para cualquier duda, aclaración o queja puede dirigirse al Delegado de Protección de Datos en el correo electrónico dpd@akerprevención.com. También tiene la opción de dirigirse a la Agencia Española de Protección de Datos para cualquier duda o reclamación. Puede consultar la política de privacidad de Aker Prevención en la dirección web: https://akerprevencion.com/inicio/proteccion/. “ 3.- Aporta copia de documento: “PROCEDIMIENTO DE INFORMACIÓN DE PROTECCIÓN DE DATOS EN VIGILANCIA DE LA SALUD” donde consta logotipo de AKER PREVENCIÓN DE RIESGOS LABORALES y consta el siguiente contenido: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/19 “[…] 4.1 Información previa al trabajador : Cuando el trabajador acude a las instalaciones de Aker Prevención, dentro de los trámites previos a la actuación sanitaria, se le presenta para su conocimiento y cumplimentación el documento titulado "Autorización Vigilancia de la Salud" (registro: Consentimiento Informado VS Aker), […] 4.2 Información en proceso de descarga de RML : El trabajador recibe, cuando el RML está ya disponible, un correo electrónico, en la cuenta que previamente ha indicado al personal de Aker Prevención de Riesgos, un mensaje en el que se le traslada, entre otras informaciones, sus derechos en materia de protección de datos de carácter personal, la cual debe aceptar para seguir con el proceso de descarga. Allí se le informa de sus derechos de acceso, rectificación, cancelación, información y oposición, en los términos establecidos en la legislación vigente. 4.3 Información contenida en el RML: El trabajador es de nuevo informado de los derechos que le asisten en materia del tratamiento de sus datos de carácter personal, mediante la inclusión de una "Cláusula informativa de Protección de Datos" donde se reitera el contenido informativo de los procesos de los apartados 4.1 y 4.2 […]” 4.- Cuando el informe médico está disponible para su descarga, se envía al usuario un correo electrónico con un enlace para la descarga de su reconocimiento médico laboral. Que previamente el interesado debe grabar una contraseña de acceso. 5.- Aporta copia de clausulado informativo incluido en el banner de protección de datos, en el momento de que el usuario accede a la web para descargarse el reconocimiento médico laboral, donde consta, entre otras, la siguiente información: “AKER PREVENCION DE RIESGOS LABORALES SL, como responsable del fichero automatizado garantiza el pleno cumplimento de la normativa de Protección de Datos de Carácter Personal, Reglamento (UE) 2016/679, Ley Orgánica 3/2018 de 5 diciembre, de Protección de Datos Personales y garantía de los derechos digitales y demás normativa aplicable. Fin del tratamiento: prestación de servicios profesionales de salud laboral. Criterios de conservación de los datos: se conservarán los datos durante el tiempo indicado en la normativa aplicable. Comunicación de los datos: no se comunicarán los datos a terceros, salvo obligación legal. Derechos que asisten al interesado: la política de privacidad de AKER PREVENCION DE RIESGOS SL asegura el ejercido de los derechos de acceso, rectificación, cancelación, información y oposición, en los términos establecidos en la legislación vigente, pudendo utilizar para ello la vía telefónica

(914464968), correo electrónico a datos@akerprevencion.com o dirigirse por escrito a AKER PREVENCION DE RIESGOS SL, cale Hermosilla, 64 7º B Madrid 28001. Además, tiene derecho a presentar una reclamación ante la autoridad de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/19 control (Agencia Española de Protección de Datos) si considera que el tratamiento no se ajusta a la normativa vigente. Puede consultar la política de privacidad de Aker Prevención en: https://akerprevencion.com/inicio/proteccion/. 6.- Aporta copia de clausulado informativo sobre protección de datos incluido en el informe médico laboral que se descarga el usuario, donde consta, entre otras, la siguiente información: “AKER PREVENCION DE RIESGOS SL, como responsable del fichero automatizado Vigilancia de la Salud, garantiza el pleno cumplimiento de la normativa de Protección de Datos de Carácter Personal y así, de acuerdo con el Reglamento (UE) 2016/679, la Ley Orgánica 3/2018 de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales y demás normativa aplicable. La política de privacidad de AKER PREVENCION DE RIESGOS SL asegura el ejercicio de los derechos de acceso, rectificación, cancelación, información y oposición, en los términos establecidos en la legislación vigente, pudiendo utilizar para ello la vía telefónica

(914464968), Correo electrónico (datos@akerprevencion.com) o dirigirse por escrito a AKER PREVENCION DE RIESGOS SL, calle Hermosilla, 64 7º B Madrid

Política de privacidad: En Aker Prevención siempre nos hemos preocupado por la protección de sus datos, por eso queremos ser transparentes con el uso que hacemos de los mismos con el fin de continuar ofreciéndole el mejor servicio. Por este motivo, a continuación, te facilitamos nuestra Política de Privacidad, adaptada al RGPD y demás normativa de aplicación: Identificación del Responsable de Tratamiento: Aker Prevención de Riesgos Laborales SL. Calle Hermosilla 64 7º B MADRID. Teléfono:
Correo electrónico: datos@akerprevencion.com Finalidad del Tratamiento de sus datos personales: Aker Prevención de Riesgos trata sus datos personales, para el mantenimiento y desarrollo de su relación contractual y de gestión. Asimismo, se indica que los datos proporcionados por la EMPRESA se utilizarán exclusivamente para prestar los servicios contratados e informar de cualquier novedad legislativa o mejora técnica en materia de prevención de riesgos laborales que pueda ser del interés de la empresa cliente. También pueden ser tratados sus datos en el área de Salud Laboral, en relación con los reconocimientos médicos laborales que se realicen y exclusivamente para la prestación de este servicio. Legitimación para el tratamiento de sus datos: La base legal para el tratamiento de sus datos es la ejecución de la relación contractual, de la que usted es parte, en su condición de empresa, y cuyo contenido conoce y ha suscrito expresamente en el correspondiente contrato de prestación de servicios, que es de carácter anual renovable. También sus datos serán tratados en relación con los reconocimientos médicos laborales que puedan realizarse y que sean imprescindibles para la realización del servicio. Plazo de conservación de los datos personales: Los datos personales que nos proporcione serán conservados mientras se mantenga la relación contractual / mercantil vigente, o bien durante un plazo de cuatro años a partir de la última relación comercial siguiendo la normativa a efectos fiscales. Además, los datos relativos a cursos de formación se conservarán durante un plazo de cinco años desde su impartición y los datos relativos a reconocimientos médicos realizados se conservarán durante un plazo de 5 años desde su realización, de conformidad con la legislación aplicable. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/19 Comunicación o cesión de datos: No se comunicarán sus datos a ningún tercero, salvo obligaciones legales vigentes ante autoridades nacionales y o europeas, como por ejemplo la comunicación de ciertos datos contractuales al Ministerio de Empleo y Seguridad Social de España a través del sistema telemático SERPA. Los datos personales obtenidos para la prestación de servicios del Área de Medicina del Trabajo no se comunicarán a ningún tercero, salvo por obligación legal. Derechos: Cualquier interesado tiene derecho a obtener del responsable del tratamiento de los datos personales: 1 - Acceso. El interesado tendrá derecho a obtener por parte del responsable del tratamiento confirmación de si se están tratando o no los datos que le conciernan, así como información detallada acerca de determinados aspectos del tratamiento que se esté llevando a cabo. 2 - Rectificación. El interesado tendrá derecho a obtener sin dilación indebida del responsable del tratamiento la rectificación de los datos personales inexactos que le conciernan. Teniendo en cuenta los fines del tratamiento, el interesado tendrá derecho a que se completen los datos personales que sean incompletos, inclusive mediante una declaración adicional. 3 - Supresión (“derecho al olvido”). El interesado tendrá derecho a obtener sin dilación indebida del responsable del tratamiento la supresión de los datos personales que le conciernan, el cual estará obligado a suprimir sin dilación indebida los datos personales, con los límites establecidos en la normativa aplicable. 4 - Limitación de su tratamiento. El interesado tendrá derecho a solicitar la limitación respecto al tratamiento de sus datos de carácter personal, de conformidad con lo establecido en la normativa aplicable. 5 - Derecho a la portabilidad de sus datos. Es decir, tendrá derecho a recibir los datos personales que le incumban, que haya facilitado a un responsable del tratamiento, en un formato estructurado, de uso común y lectura mecánica y a transmitirlos a otro responsable del tratamiento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/19 6 - Oposición al tratamiento. En determinadas circunstancias y por motivos relacionados con su situación particular, los interesados podrán oponerse al tratamiento de sus datos. La entidad dejará de tratar los datos, salvo por motivos legítimos, imperiosos o el ejercicio o la defensa de posibles reclamaciones. 7 - Derecho a presentar una reclamación ante el Delegado de Protección de Datos. Puede solicitar cualquier aclaración en relación con esta política de protección de datos o presentar una reclamación ante el Delegado de Protección de Datos de Aker Prevención de Riesgos Laborales, enviando un correo electrónico a la dirección: dpd@akerprevencion.com o enviando una carta a: Delegado de Protección de Datos de Aker Prevención, calle Hermosilla 64 7º B Madrid
8 - Derecho a presentar una reclamación ante una autoridad de control En caso de que entendiera que se ha afectado a los derechos que en esta materia le corresponden, podrá presentar una reclamación ante la Agencia Española de Protección de Datos ubicada en Madrid, calle Jorge Juan,
(www.agpd.es). Tercero: Sobre el envío de un correo electrónico al Museo Nacional de Ciencia, la entidad reclamada afirma que: “(…) el Museo de Ciencia e Innovación de La Coruña, es un centro de trabajo del Ministerio de Ciencia e Innovación y, como tal centro, fue comunicado, junto con la sede de Paseo de la Castellana 162 en Madrid, para la correspondiente evaluación de riesgos laborales y emisión de toda la documentación al respecto y por tanto, la evaluación de riesgos laborales que se realizó del Ministerio incluyó el centro de Paseo de la Castellana 162 y el de La Coruña en Praza Museo Nacional de Ciencia
La dirección de correo del Museo Nacional de Ciencia en La Coruña fue proporcionada a esta parte por el Ministerio de Ciencia, y los dos correos enviados se enviaron allí porque los dos trabajadores figuraban informados en el sistema informático de esta parte como miembros de la plantilla del centro de La Coruña; por lo que no ha habido ninguna comunicación de datos fuera del ámbito de la propia empresa (Ministerio) (…)”. - Se adjunta la comunicación enviada en su día al centro de La Coruña con los dos certificados de aptitud de los trabajadores pertenecientes a dicho centro de trabajo. FUNDAMENTOS DE DERECHO I.- Competencia: Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el art. 58.2 del RGPD en el art. 47 de LOPDGDD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/19 II.- Sobre la presunta vulnerando la confidencialidad al enviar los certificados expedidos tras el reconocimiento médico por error al correo electrónico del Museo. La empresa AKER PREVENCIÓN DE RIESGOS, S.L. es la adjudicataria de los servicios de vigilancia de la salud para los empleados públicos del Ministerio de Ciencia e Innovación y dentro del Ministerio se encuentra, como centro de trabajo, el Museo de Ciencia e Innovación de La Coruña, Pues bien, según afirma la propia entidad, como tal centro, fue, junto con la sede del Ministerio en el Paseo de la Castellana 162 en Madrid, incluido en la evaluación de riesgos laborales y la vigilancia de la salud a sus trabajadores, realizándose, según consta en la documentación aportada por la entidad, dos reconocimientos médicos a los dos trabajadores adscritos al centro de trabajo del Museo. Se adjunta para su corroboración la comunicación enviada en su día al centro de La Coruña con los dos certificados de aptitud de los dos funcionarios. No obstante, la entidad no acredita que el Ministerio indicase como trabajadores del Museo de Ciencia de la Coruña a las dos personas cuyos resultados de aptitud remitió al centro de trabajo de la Coruña y no al propio Ministerio tal y como hizo con los demás trabajadores. Respecto a esto, el considerando

(39)RGPD indica que: “(…) Los datos personales deben tratarse de un modo que garantice una seguridad y confidencialidad adecuadas de los datos personales, inclusive para impedir el acceso o uso no autorizados de dichos datos y del equipo utilizado en el tratamiento. En este sentido, el artículo 5.1.

f)del RGPD establece que el tratamiento de los datos personales realizado por el responsable y/o encargado de los mismos será realizado: “de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas”. Y establece en el apartado 2 que, el responsable y/o encargado de dicho tratamiento: “será responsable del cumplimiento de lo dispuesto en el apartado 1 y capaz de demostrarlo”. Por tanto, el hecho de que la entidad reclamada enviara los certificados expedidos tras el reconocimiento médico, con datos de identificación de dos funcionarios al Museo de Ciencia de la Coruña y no al propio Ministerio como hizo con los certificados de los demás trabajadores sin que el Ministerio los clasificase como trabajadores del centro de la Coruña constituye una infracción, imputable a la parte reclamada, por vulneración del artículo 5.1.
f)del RGPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/19 El artículo 72.1.
a)de la LOPDGDD, considera “muy grave”, a efectos de prescripción, “El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679.” Esta infracción puede ser sancionada con multa de 20.000.000 € como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía, de acuerdo con el artículo 83.5.
b)del RGPD. Hay que señalar que la LOPDGDD contempla en su artículo 77 la sanción de apercibimiento en relación con los tratamientos de datos personales que no se adecúen a sus previsiones. A este respecto, el artículo 83.7 del RGPD contempla que “Sin perjuicio de los poderes correctivos de las autoridades de control en virtud del artículo 58, apartado 2, cada Estado miembro podrá establecer normas sobre si se puede, y en qué medida, imponer multas administrativas a autoridades y organismos públicos establecidos en dicho Estado miembro”. En este mismo sentido, el 58.2) del RGPD dispone que: “Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación: (…)
b)dirigir a todo responsable o encargado del tratamiento un apercibimiento cuando las operaciones de tratamiento hayan infringido lo dispuesto en el presente Reglamento; (…);
i)imponer una multa administrativa con arreglo al artículo 83, además o en lugar de las medidas mencionadas en el presente apartado, según las circunstancias de cada caso particular (…)”, Por lo tanto, a tenor de lo anteriormente expuesto, por la Directora de la Agencia Española de Protección de Datos, RESUELVE: PRIMERO: APERCIBIR a la entidad AKER PREVENCIÓN DE RIESGOS, S.L. con CIF.: B82977836, por una infracción del artículo 5.1.
f)del RGPD, tipificada en el artículo 83.5.
a)del RGPD. SEGUNDO: NOTIFICAR la presente resolución la entidad AKER PREVENCIÓN DE RIESGOS, S.L. y a al reclamante sobre el resultado de la reclamación De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa, y de conformidad con lo establecido en los artículos 112 y 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/19 dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13/07, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Finalmente, se señala que conforme a lo previsto en el art. 90.3
a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.