← España

PS-00526-2024

1/21  Expediente N.º: EXP202303726 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 30/01/2024 se interpuso reclamación ante la Agencia Española de Protección de Datos por una posible infracción imputable a DIRECCIÓN GENERAL DE TRÁFICO con NIF Q2816003D (en adelante, DGT). La reclamación pone de manifiesto que DGT ha facilitado a los examinadores de tráfico de algunas jefaturas provinciales tablets geolocalizadas para utilizar durante los exámenes. El 12/12/22 la parte reclamante, examinador de tráfico, al tener conocimiento de esta medida presentó solicitud de acceso a la información pública conforme a la Ley 19/2013, de 9 de diciembre, de transparencia, acceso a la información pública y buen gobierno por la que buscaba conocer si la parte reclamada iba a activar la geolocalización en la jefatura provincial donde presta servicios durante los exámenes de conducir. Además, planteaba si había sido consultado el Delegado de Protección de Datos del organismo y cuál era la base legal para su utilización. El 23/01/23 la Secretaría General de DGT atendió la mencionada solicitud haciendo referencia al 90 de la LOPDGDD e informando que las tablets registran la localización de las faltas como apoyo al examinador en caso de reclamación. La parte reclamante considera que pueden ser utilizadas para finalidades distintas, teniendo en cuenta que DGT menciona en su respuesta el artículo 90 de la LOPDGDD. En este sentido, la parte reclamante afirma que le consta que una examinadora tuvo que resolver un recurso y DGT no le facilitó información sobre la geolocalización para su resolución. Por otro lado, afirma que se han entregado los dispositivos sin informar de forma expresa a los trabajadores y a sus representantes, vulnerándose el artículo 90.2 de dicha norma. Junto al escrito, se aporta la solicitud de acceso a la información pública formulada por la parte reclamante y la contestación emitida por DGT, en la que se indica lo siguiente: “En lo que concierne a la protección de datos de carácter personal, se debe tener en consideración lo que dice la AEPD en su guía de protección de datos en las relaciones laborales cuando recoge que el artículo 90 de la LOPDGDD C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/21 permite el uso de sistema de geolocalización para el control de las personas trabajadoras, aunque teniendo en cuenta lo siguiente: 1. La base jurídica del tratamiento de datos no es el consentimiento, sino el contrato de trabajo y las facultades de control de las personas trabajadoras atribuidas legalmente a los empleadores. 2. Las personas trabajadoras y, en su caso, sus representantes deben ser informados de forma expresa, clara e inequívoca acerca de la existencia y características de estos dispositivos. 3. Las personas trabajadoras también deberán ser informadas acerca del posible ejercicio de los derechos de acceso, rectificación, limitación del tratamiento y supresión. 4. Los principios de minimización y limitación de la finalidad son plenamente operativos. Por tanto, si la finalidad de la geolocalización es el registro horario, los datos no podrán ser utilizados para verificar la ubicación de la persona trabajadora en cada momento, sino las horas de inicio y fin de la actividad, que es lo que permite la base jurídica del registro horario (artº 34.9 del ET). 5. El principio de proporcionalidad exige limitar esta clase de sistemas a aquellas situaciones donde existan medios menos invasivos. Los empleadores deben asegurarse de que los datos recogidos a través de esta vía se traten con un fin específico y no cuenten con un propósito más amplio que permita la observación continua de las personas trabajadoras. Las personas trabajadoras que utilicen herramientas de geolocalización deben ser plenamente informados sobre el seguimiento llevado a cabo y la finalidad de su utilización por parte del empleador, en este caso, según nos indican, mejorar la calidad del servicio. (…) Por lo que respecta a cómo funciona la geolocalización de las tablets, se informa que las tablets registran la geolocalización de las faltas, con la finalidad de servir de apoyo al examinador en caso de que el aspirante presente una reclamación.” Con fecha 12/06/2023, la parte reclamante amplió su escrito inicial aportando copia del Registro de Actividades de Tratamiento (RAT), en el que no figuraba el tratamiento objeto de su reclamación. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), el 23/03/2024 se dio traslado de dicha reclamación a DGT, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El 30/04/2024, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación. El 04/05/2023 se recibe la respuesta del Delegado de Protección de Datos (en adelante, DPD) de DGT. En ella comunica lo que le informa con fecha 12/04/2023 el ***PUESTO.1 (unidad a la que pertenece el reclamante). Éste le informa de que “se refrenda todo lo señalado en el oficio de 23/01/2023” (en referencia a la contestación C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/21 de la Secretaría General a la solicitud de información pública realizada por el reclamante, reproducida anteriormente). Añade que los examinadores de la jefatura recibieron, en diciembre de 2022, copia del manual de uso de las tablets y de la aplicación informática, en cuya página 12 se explica el registro de la posición GPS que efectúa este sistema, del que todos los examinadores tienen conocimiento, y que la examinadora citada por la parte reclamante no solicitó información sobre la localización de faltas del examen por no tener dudas sobre esa información. Asimismo, señala el DPD que, con anterioridad a la implantación de las tablets, ya se realizaba el registro manual de la localización de las faltas de los exámenes y que actualmente, cuando se utilizan tablets, se cuenta con la firma del alumno en el dispositivo, tanto al inicio como al final del examen. Por último, señala que la ***ORGANISMO.1 informa de que el sistema de examen mediante Tablet se está implantando progresivamente a nivel nacional desde 2021, no siendo la ***ORGANISMO.2 (de donde parte la reclamación) la única en tenerlo. Junto a su contestación aporta: - Copia del Manual de usuario de las tablets en documentos con nombre: ***DOC.1 - Copia del informe de ***PUESTO.1 del 14/04/2023 al que hace referencia en su respuesta. En las páginas 10 a 12 del manual, se indica lo siguiente en relación con el registro de datos de las personas que participan en el examen y la geolocalización a través de la tablet: “La aplicación mostrará el resumen de información de la autoescuela y del profesor, los datos del aspirante y los del examen:  Resumen de Datos del profesor: .1 DNI del profesor .2 Matrícula del vehículo  Resumen de Datos del aspirante: .1 Nombre Aspirante .2 DNI del Aspirante .3 Fecha de nacimiento  Resumen datos examinador: .1 ID examinador .2 JPT/OLT  Resumen datos del examen: .1 Fecha y hora citación .2 Permiso que solicita .3 Códigos/subcódigos En esta pantalla se realizarán las siguientes acciones: 1. La aplicación mostrará un campo para que el aspirante firme para poder comenzar el examen. Será obligatorio que el aspirante a la prueba firme el inicio de la misma. 2. Una vez firmado, pulsar sobre el botón de “Iniciar prueba”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/21 3. En el caso de que el aspirante no se presente, se elegirá la opción “No presentado”. Iniciar pruebas de circulación Al comenzar las pruebas de circulación, se visualizarán los datos básicos del aspirante y del examen, así como la calificación actual en base a la evaluación que va introduciendo. La aplicación registrará de forma automática la hora de comienzo cuando el usuario inicie el examen, así como la posición GPS del lugar de inicio del mismo. Nota: Una vez iniciado el examen de circulación, no se podrá cancelar, aunque sí interrumpir la prueba a causa de las faltas cometidas o anular la prueba por causas sobrevenidas.” Adjunta a su respuesta el citado manual de la aplicación MEXM-TRAMO y el escrito del ***PUESTO.1. TERCERO: Con fecha 19/06/2023, la Directora de la Agencia Española de Protección de Datos acordó proceder al archivo de la reclamación, por no haberse constatado indicios racionales de la existencia de una infracción. CUARTO: Con fecha 19/07/2023, el reclamante presentó recurso de reposición contra dicha Resolución de archivo, alegando que no estaba lo suficientemente motivada por no considerar que la respuesta de DGT al traslado diera respuesta al objeto de la reclamación, que era la falta de información previa a los examinadores de acuerdo con lo establecido en el artículo 90.2 de la LOPDGDD. Para la resolución de dicho recurso, el 14/11/2023 se dio audiencia a DGT que, con fecha 28/11/2023 alegó que todos los examinadores son informados sobre la utilización de los datos de geolocalización en el documento del Manual que se anexó en dicha fecha. Asimismo, señaló que la finalidad de la implementación de la geolocalización no se incluiría en lo previsto en el art. 90.1 (control de trabajadores) sino para registrar las faltas cometidas por los alumnos. Considera que se trata de una mejora técnica que facilita la labor de los examinadores y que se venía haciendo anteriormente de forma manuscrita. El recurso fue finalmente resuelto con fecha 04/03/2024. A la vista de las alegaciones de DGT al recurso, se concluyó que los datos de geolocalización no se recababan con funciones de control de los trabajadores, sino para registrar las faltas cometidas por los alumnos. No obstante, en la tramitación del recurso se ponían de manifiesto indicios de dos posibles incumplimientos del RGDP: por un lado, que ese tratamiento no estaba recogido en el RAT y, por otro, que no se acreditaba el cumplimiento del deber de información a los interesados en ese tratamiento. Por ello, se estimó el recurso de reposición interpuesto y se acordó proseguir la tramitación del procedimiento. QUINTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/21 artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VIII, de la LOPDGDD. Como consecuencia de las actuaciones realizadas, se ha tenido conocimiento de los siguientes hechos relevantes para este procedimiento: En el marco de las actuaciones previas de investigación se analizó el manual de la aplicación MEXM-TRAMO, que DGT presenta como documento acreditativo de la información que se facilitó a los examinadores sobre el tratamiento de datos objeto de este procedimiento. Se verifica que en el documento aportado (manual de la aplicación TRAMO) se cita sobre la geolocalización (en la citada página 12) “La aplicación registrará de forma automática la hora de comienzo cuando el usuario inicie el examen, así como la posición GPS del lugar de inicio del mismo.” No se encuentra en este manual más información sobre los tratamientos de la posición GPS, ni sobre la protección de datos o los derechos de los titulares de los datos tratados. Se verifica que en el manual consta una pantalla de la aplicación TRAMO titulada “Inicio pruebas de circulación” (página 11 del manual) que incluye un campo para la firma del aspirante. En la pantalla constan los datos del examen, datos del examinador, aspirante, datos de la autoescuela con el DNI del profesor y el campo de firma del aspirante, no constando en esta pantalla de la aplicación información al aspirante, examinador ni profesor de autoescuela sobre el tratamiento de sus datos personales. En la página 16 del manual aparece la pantalla de finalización de la prueba, con el campo de firma de nuevo para el aspirante. En relación con los datos tratados por la aplicación, existen dos aplicaciones encargadas de almacenar la información de los exámenes prácticos: - Por un lado, la aplicación MEXM, también conocida como TRAMO, que es la usada en las tablets de los examinadores para recibir y evaluar las pruebas prácticas. Es la encargada de mostrar la capa de presentación. Además, tiene una base de datos local cifrada a nivel de sistema operativo donde se almacena información sobre las pruebas realizadas. - Por otro la aplicación EVAL, con base de datos compartida con el resto de las aplicaciones de gestión de expedientes de exámenes. En ella se almacenan las solicitudes y citas de exámenes. En la aplicación TRAMO se almacena de forma conjunta el identificador de la prueba, fecha y hora de citación, fecha y hora real de inicio y fin, número de autoescuela, DNI del profesor, matrícula del vehículo con la que se realiza la prueba, y las faltas cometidas junto con la velocidad y localización en la que se ha cometido la falta. También se almacena el recorrido completo, almacenando las posiciones a intervalos de 5-10 segundos. El examinador puede anotar observaciones. En relación con la conservación de los datos, toda la información anterior se almacena en la base de datos local (en las tablets) durante 5 días naturales por si hubiera un C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/21 error de comunicación con la aplicación EVAL y fuera necesario reenviarla, encontrándose cifrada a nivel de sistema operativo, y siendo solo accesible desde la propia aplicación; de forma adicional las tablets se encuentran cifradas. Desde TRAMO en las tablets se envía la información de la prueba a la aplicación EVAL donde se actualiza la citación de examen con los datos recibidos de TRAMO (hora inicio, fin, faltas cometidas junto con la localización de las faltas, así como la evaluación: apto/no apto). En EVAL se desecha el contenido del recorrido almacenándose únicamente los datos de posición relacionados con las faltas cometidas. Indican que en EVAL los datos de las faltas se almacenan por el tiempo necesario para responder a posibles reclamaciones. El propósito es facilitar al examinador la contestación ante una posible reclamación del aspirante. En cuanto a las finalidades del tratamiento, de acuerdo con lo manifestado por DGT, “se encuentran enmarcadas dentro de la actividad de tratamiento denominada en el RAT como “Gestión de los datos de los solicitantes y titulares de permiso de conducción de vehículos a motor”, cuya base legal es el “Texto refundido de la Ley sobre Tráfico, Circulación de Vehículos a Motor y Seguridad Vial aprobado por el Real Decreto Legislativo 6/2015, de 30 de octubre, y su reglamento de desarrollo: el Reglamento General de Conductores aprobado por el Real Decreto 818/2009”.” Por último, en las actuaciones de investigación se constata que la información sobre el tratamiento no constaba actualizada en el RAT, alegando DGT dos motivos: que el sistema no estaba completamente implantado y que la publicación en RAT se realiza conjuntamente para todas las unidades dependientes del Ministerio del Interior y cambios ya solicitados estaban pendientes de actualización en el RAT. Con fecha 06/09/2024, dentro de las actuaciones previas de investigación, por parte de la SGID se accede a la página web de DGT y se comprueba que hay actualización el 03/09/2024 que incluye las actividades de tratamiento objeto del presente procedimiento, en los siguientes términos, según se recoge en el informe de actuaciones previas de investigación: “Se comprueba la existencia de la actividad de tratamiento denominada “Tratamiento: DGT - Registro de conductores y aspirantes”, con fines “Gestión de los datos de los solicitantes y titulares de permiso de conducción de vehículos a motor y de las pruebas asociadas a los permisos de conducción” y con categorías de datos personales tratados “Nombre, apellidos, identificador, talón-foto, dirección, observaciones salud, fecha nacimiento y validez, puntos, datos de cursos de formación vial , localización de las faltas del examen práctico, canjes e incidencias del permiso”. Como Base legal se cita: “RGPD.- 6. 1.

  1. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos. RGPD.- 6. 1.
  2. c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/21 RGPD.- 6. 1.
  3. e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento. - Real Decreto Legislativo 6/2015, de 30 de octubre, por el que se aprueba el texto refundido de la Ley sobre Tráfico, Circulación de Vehículos a Motor y Seguridad Vial. - Real Decreto 818/2009, por el que se aprueba el Reglamento General de Conductores. - Acuerdos bilaterales de canje.” En relación con la información ofrecida a los titulares de los datos (alumnos, profesores y examinadores) con respecto al tratamiento de su posición durante el examen y sus derechos de protección de datos, DGT aportó copia del formulario facilitado a los aspirantes (“Solicitud de pruebas de aptitud”) al final del cual figura el siguiente texto informativo: “Le informamos que los datos de carácter personal recogidos en este formulario serán tratados exclusivamente para la finalidad de prestar el servicio solicitado en la DGT, aplicando la normativa vigente de protección de datos y legitimados por la Ley 6/2015 de 30 de octubre. El responsable del tratamiento es la Dirección General de Tráfico. Podrá ejercer sus derechos dirigiendo formulario a: DGT, calle Josefa Valcárcel 44, 28071 Madrid; o bien: proteccióndedatos@dgt.es. No están previstas trasferencias internacionales y la conservación de los datos será por el tiempo necesario para cumplir con la finalidad del tratamiento. https://sede.dgt.gob.es/es/contenidos/proteccion-dedatos.shtml”. Dicho texto adopta un modelo de información por capas, por lo que en el marco de las actuaciones de investigación se verificó que en la URL citada figura la siguiente información: “Política de privacidad Información básica sobre protección de datos De acuerdo a lo establecido en el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016 y Ley Orgánica 3/2018, de 5 de diciembre de Protección de Datos Personales y Garantía de los derechos digitales, la Dirección General de Tráfico es Responsable de Tratamiento de los datos personales utilizados en el ejercicio de sus competencias y da cumplimiento a las obligaciones que se detallan en el artículo 24 del RGPD y artículo 28 de la LOPDGDD. Responsable del tratamiento: El Responsable de Tratamiento de datos de carácter personal es la Dirección General de Tráfico. El conjunto de los tratamientos que gestiona la Dirección General de Tráfico se encuentra detallado en el apartado correspondiente del Registro de Actividades de Tratamiento de la DGT dentro del RAT del Ministerio del Interior. Finalidad del tratamiento: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/21 La finalidad de las distintas actividades de tratamiento de las que es Responsable la Dirección General de Tráfico se encuentra detallada en el Registro de Actividades de Tratamiento de la DGT dentro del RAT del Ministerio del Interior. Licitud del tratamiento: El conjunto de actividades de tratamiento de las que la Dirección General de Tráfico es responsable, se realiza en cumplimiento de obligaciones legales, o de una misión realizada en interés público o está basada en el consentimiento. La base/s legal/es se encuentra/n detallada/s para cada una de las actividades del Registro de Actividades de Tratamiento de la DGT dentro del RAT del Ministerio del Interior. Plazos de conservación: Se conservarán durante el tiempo preciso para cumplir la finalidad para la que se recabaron y para determinar las posibles responsabilidades que se pudieran derivar de dicha finalidad y del tratamiento de los datos. Será de aplicación lo dispuesto en la normativa de archivos y documentación. Los plazos de las distintas actividades de tratamiento de las que es Responsable la Dirección General de Tráfico se encuentra detallada en el Registro de Actividades de Tratamiento de la DGT dentro del RAT del Ministerio del Interior. Transferencias de datos: Los destinatarios de los datos de las actividades de tratamiento de las que es Responsable la Dirección General de Tráfico, se encuentran detallados en el Registro de Actividades de Tratamiento de la DGT dentro del RAT del Ministerio del Interior.” Se ha verificado también la existencia de enlaces al RAT en cada una de las ocasiones en las que se menciona en el texto anterior y, tras la actualización del RAT, se verifica que el RAT cita como una de las categorías de datos personales “localización de las faltas del examen práctico”. En cuanto al texto para informar a los examinadores, DGT afirma que lo han remitido al área de desarrollo para su inclusión dentro de la aplicación TRAMO, en los siguientes términos: “Conforme a la normativa de protección de datos personales, se le informa que sus datos serán tratados de forma confidencial y se utilizarán exclusivamente con la finalidad de la mejora del servicio y la calidad de la realización de las pruebas prácticas para la obtención del permiso de conducción, en cumplimiento de una obligación legal. Puede ejercitar sus derechos ante el Responsable del tratamiento: Dirección General de Tráfico, Calle Josefa Valcárcel, 28, 28071 Madrid. Correo electrónico DPD: protecciondedatos@dgt.es. No están previstas transferencias de datos internacionales. Los datos se conservarán durante el tiempo necesario para cumplir con la finalidad para la que se recabaron y depurar posibles responsabilidades derivadas de dicha finalidad, siendo de aplicación lo dispuesto en la normativa de archivos. Puede consultar destinatarios y otra C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/21 información datos/.” en la página https://www.dgt.es/contenido/proteccion-de- No aportan documentación sobre información ofrecida a los profesores de autoescuela. Por último, en relación con la información contenida en el RAT, tras la modificación realizada anteriormente, en la actualidad existe información sobre el tratamiento de localización de las faltas. Esta información ha sido incluida recientemente (en fecha 30/04/2024, cuando contesto DGT al requerimiento de información de las actuaciones de investigación, indicando que se iba proceder a su remisión para su incorporación). Existen enlaces o referencias al RAT en la segunda capa de información de protección de datos ofrecida al aspirante (alumno) cuando realiza la solicitud de la prueba, siendo la primera capa la ofrecida en el formulario de solicitud. Ni en la primera ni en la segunda capa se encuentra información sobre la geolocalización de las faltas, teniendo que recurrir a los enlaces al RAT ubicados en la segunda capa, o al RAT directamente. No se menciona en el RAT el tratamiento de geolocalización del recorrido completo del examen si bien este tratamiento se realiza durante un máximo de 5 días. No han aportado información ofrecida al respecto a examinadores, alumnos, ni profesores. En cuanto a la información que, según alega DGT, se ofrece a los examinadores, incluida en el manual de la aplicación TRAMO, únicamente indica “La aplicación registrará de forma automática la hora de comienzo cuando el usuario inicie el examen, así como la posición GPS del lugar de inicio del mismo”. No se encuentra mención en este manual a la geolocalización del recorrido completo de la prueba, o de las faltas Atendiendo a lo anterior, en el marco de las actuaciones previas de investigación se concluye lo siguiente: 1. El reclamado trata datos de geolocalización del recorrido completo del examen práctico de conducción por medio de las tablets que portan los examinadores, eliminándose los datos de este recorrido en un máximo de 5 días, cuando se vuelcan desde las tablets a otra aplicación del reclamado (denominada EVAL), en la cual se mantienen únicamente los datos de geolocalización de los lugares donde se cometieron las faltas. Estos tratamientos se realizan asociados a identificadores de alumno, profesor y examinador. 1. A 29/11/2024 existe información en el RAT sobre el tratamiento de localización de las faltas. Esta información ha sido incluida con posterioridad al 30/04/2024. 2. Existen enlaces o referencias al RAT en la segunda capa de información de protección de datos ofrecida al aspirante (alumno) cuando realiza la solicitud de la prueba, siendo la primera capa la ofrecida en el formulario de solicitud. Ni en la primera ni en la segunda capa se encuentra información sobre la geolocalización de las faltas, teniendo que recurrir a los enlaces al RAT ubicados en la segunda capa, o al RAT directamente. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/21 3. No se menciona en el RAT el tratamiento de geolocalización del recorrido completo del examen, si bien este tratamiento se realiza durante un máximo de 5 días. Además, no se ha acreditado la información ofrecida al respecto a examinadores, alumnos, ni profesores. 4. La información que la parte reclamada asegura que se ofrece a los examinadores, incluida en el manual de la aplicación TRAMO, únicamente indica “La aplicación registrará de forma automática la hora de comienzo cuando el usuario inicie el examen, así como la posición GPS del lugar de inicio del mismo.” No se encuentra mención en este manual a la geolocalización del recorrido completo de la prueba, o de las faltas. 5. La evaluación de impacto de datos personales sobre el tratamiento de datos de solicitantes de permisos de conducir no hace mención a las tablets. 6. No consta acreditación documental de que el DPD haya participado en el proyecto de geolocalización, si bien aseguran que así ha sido. SEXTO: Con fecha 3 de febrero de 2025, la Presidencia de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, por la presunta infracción de los artículos 30 y 13 del RGPD, tipificados en los artículos 83.4.
  4. a)y 83.5.
  5. b)del RGPD, respectivamente. SÉPTIMO: Con fecha 19/02/2025, se recibió escrito del DPD de DGT, en el que informaba de medidas que se van a implantar, en concreto: “1.- Actualización del Registro de Actividades de Tratamiento (RAT), ampliando la información de las categorías de datos personales del tratamiento “REGISTRO DE CONDUCTORES Y ASPIRANTES” de modo que recoja el recorrido completo del examen y no únicamente el inicio del recorrido y la localización de las faltas cometidas. 2.- Garantizar el derecho de información para que la misma esté a disposición de todos los interesados ocupantes del vehículo durante el examen de circulación (funcionarios examinadores, profesores de la autoescuela y aspirantes a la obtención del permiso de conducción).” OCTAVO: Notificado el citado acuerdo de inicio conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP) y transcurrido el plazo otorgado para la formulación de alegaciones, se ha constatado que no se ha recibido alegación alguna por la parte reclamada. En relación con este punto, cabe aclarar que el escrito de 19/02/2025, mencionado en el antecedente séptimo, no se entiende como escrito de alegaciones, ya que tiene carácter informativo, está firmado por el DPD y no pone en cuestión el contenido del acuerdo de inicio. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/21 El artículo 64.2.
  6. f)de la LPACAP -disposición de la que se informó a la parte reclamada en el acuerdo de apertura del procedimiento- establece que si no se efectúan alegaciones en el plazo previsto sobre el contenido del acuerdo de iniciación, cuando éste contenga un pronunciamiento preciso acerca de la responsabilidad imputada, podrá ser considerado propuesta de resolución. En el presente caso, el acuerdo de inicio del expediente sancionador determinaba los hechos en los que se concretaba la imputación, la infracción del RGPD atribuida a la reclamada y la sanción que podría imponerse. Por ello, tomando en consideración que la parte reclamada no ha formulado alegaciones al acuerdo de inicio del expediente y en atención a lo establecido en el artículo 64.2.
  7. f)de la LPACAP, el citado acuerdo de inicio es considerado en el presente caso propuesta de resolución. A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes, HECHOS PROBADOS PRIMERO: Que, al menos desde diciembre de 2022, la DGT comenzó a realizar un tratamiento de datos consistente en la recogida y conservación de datos de identidad y geolocalización de las personas que toman parte en los exámenes para obtener el carné de conducir. Para dicho tratamiento puso a disposición de los examinadores (empleados públicos de DGT) dispositivos electrónicos (tablets) en los que se introducen los siguientes datos: nombre y apellidos de examinadores, alumnos y profesores de autoescuela; firma del alumno; DNI de alumno y profesor; identificador de la prueba; fecha y hora de citación; fecha y hora real de inicio y fin de la prueba; número de autoescuela; faltas cometidas; localización en la que se han cometido faltas; recorrido completo y calificación de la prueba (“apto/no apto”). Los datos eran recogidos en la aplicación informática MEXM-TRAMO y posteriormente volcados en la aplicación EVAL. Todo ello queda recogido en la documentación sobre la aplicación aportada por la DGT. SEGUNDO: Que, a fecha de la reclamación, el tratamiento indicado anteriormente no constaba en la información del RAT publicada en el inventario del Ministerio del Interior, del que depende DGT. Con fechas 03/09/2024 y 30/04/2024 se modificó y amplió dicha información en la página web, incluyendo referencias al tratamiento y a la geolocalización de las faltas cometidas, si bien no a la geolocalización del recorrido completo. Ambos hechos constan acreditados en el informe de actuaciones previas de investigación. TERCERO: Que en diciembre de 2022 se facilitó a los examinadores el manual de uso de la aplicación MEXM-TRAMO, en cuya página 12 se indica, en relación con la geolocalización: “la aplicación registrará de forma automática la hora de comienzo cuando el usuario inicie el examen, así como la posición GPS del lugar de inicio del mismo”. El manual no incluye más referencia a los tratamientos de la posición ni sobre la protección de datos o los derechos de los titulares de los datos tratados. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/21 CUARTO: Que el formulario facilitado a los aspirantes con el título “Solicitud de pruebas de aptitud” (facilitado por la DGT) y la información de la página web a la que remite dicho formulario (recogida en el marco de las actuaciones previas de investigación), no incluyen referencia a la recogida y tratamiento de datos de geolocalización. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Cuestiones previas En el presente caso, de acuerdo con lo establecido en el artículo 4.1 y 4.2 del RGPD, consta la realización de un tratamiento de datos personales, toda vez que DGT realiza, entre otros tratamientos, la recogida y conservación de datos personales de examinadores, alumnos y profesores de autoescuela: nombre y apellidos, firma del alumno, DNI de alumno y profesor, identificador de la prueba, fecha y hora de citación, fecha y hora real de inicio y fin, número de autoescuela, faltas cometidas y localización en la que se han cometido la falta, recorrido completo y calificación de la prueba (“apto/no apto”). DGT realiza esta actividad en su condición de responsable del tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del RGPD. De acuerdo con el artículo 1.5 del Real Decreto 207/2024, de 27 de febrero, por el que se desarrolla la estructura orgánica básica del Ministerio del Interior, la Dirección General de Tráfico es un órgano directivo dependiente de la Subsecretaría de dicho Ministerio. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/21 III Obligación incumplida. Registro de las actividades de tratamiento El artículo 30 del RGPD establece lo siguiente: "1. Cada responsable y, en su caso, su representante llevarán un registro de las actividades de tratamiento efectuadas bajo su responsabilidad. Dicho registro deberá contener toda la información indicada a continuación:
  8. a)el nombre y los datos de contacto del responsable y, en su caso, del corresponsable, del representante del responsable, y del delegado de protección de datos;
  9. b)los fines del tratamiento;
  10. c)una descripción de las categorías de interesados y de las categorías de datos personales;
  11. d)las categorías de destinatarios a quienes se comunicaron o comunicarán los datos personales, incluidos los destinatarios en terceros países u organizaciones internacionales;
  12. e)en su caso, las transferencias de datos personales a un tercer país o una organización internacional, incluida la identificación de dicho tercer país u organización internacional y, en el caso de las transferencias indicadas en el artículo 49, apartado 1, párrafo segundo, la documentación de garantías adecuadas;
  13. f)cuando sea posible, los plazos previstos para la supresión de las diferentes categorías de datos;
  14. g)cuando sea posible, una descripción general de las medidas técnicas y organizativas de seguridad a que se refiere el artículo 32, apartado 1. 2. Cada encargado y, en su caso, el representante del encargado, llevará un registro de todas las categorías de actividades de tratamiento efectuadas por cuenta de un responsable que contenga:
  15. a)el nombre y los datos de contacto del encargado o encargados y de cada responsable por cuenta del cual actúe el encargado, y, en su caso, del representante del responsable o del encargado, y del delegado de protección de datos;
  16. b)las categorías de tratamientos efectuados por cuenta de cada responsable;
  17. c)en su caso, las transferencias de datos personales a un tercer país u organización internacional, incluida la identificación de dicho tercer país u organización internacional y, en el caso de las transferencias indicadas en el artículo 49, apartado 1, párrafo segundo, la documentación de garantías adecuadas;
  18. d)cuando sea posible, una descripción general de las medidas técnicas y organizativas de seguridad a que se refiere el artículo 30, apartado 1. 3. Los registros a que se refieren los apartados 1 y 2 constarán por escrito, inclusive en formato electrónico. 4.El responsable o el encargado del tratamiento y, en su caso, el representante del responsable o del encargado pondrán el registro a disposición de la autoridad de control que lo solicite. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/21 5. Las obligaciones indicadas en los apartados 1 y 2 no se aplicarán a ninguna empresa ni organización que emplee a menos de 250 personas, a menos que el tratamiento que realice pueda entrañar un riesgo para los derechos y libertades de los interesados, no sea ocasional, o incluya categorías especiales de datos personales indicadas en el artículo 9, apartado 1, o datos personales relativos a condenas e infracciones penales a que se refiere el artículo 10." En relación con la obligación de mantener dicho registro de actividades de tratamiento, el artículo 31.2 de la LOPDGDD, concreta la forma y publicidad que deben darle determinadas entidades en los siguientes términos: “Los sujetos enumerados en el artículo 77.1 de esta ley orgánica harán público un inventario de sus actividades de tratamiento accesible por medios electrónicos en el que constará la información establecida en el artículo 30 del Reglamento (UE) 2016/679 y su base legal.” Entre las entidades a las que se refiere el citado artículo se encontraría la Administración General del Estado, de acuerdo con la letra
  19. c)del artículo 77.1 de la LOPDGDD. En el presente caso, ha quedado constatado por la propia documentación remitida por DGT como entidad reclamada que existe un tratamiento de datos consistente en la recogida y conservación de datos de geolocalización de las personas que toman parte en los exámenes para obtener el carné de conducir. Para dicho realizar dicho tratamiento se han puesto a disposición de los examinadores (empleados públicos de DGT) dispositivos electrónicos (tablets) en los que se introducen los datos citados en el fundamento III. Dichos dispositivos recogen información sobre la localización de las personas que participan en la prueba (examinador, alumno y profesor de la autoescuela), tanto del recorrido completo como de las localizaciones donde el alumno comete una falta, así como la hora de inicio y fin de la prueba. Dichos datos son recogidos en la aplicación informática MEXM-TRAMO y volcados en la aplicación EVAL. La finalidad del tratamiento sería documentar el proceso de evaluación, en el marco de la normativa de tráfico citada por DGT. Este tratamiento tendría que estar incluido en el Registro de Actividades de Tratamiento y la información correspondiente al mismo, publicada en el inventario del Ministerio del Interior, del que depende DGT. De acuerdo con lo que se ha constatado en el marco de las actuaciones de investigación, con fecha 03/09/2024 se ha actualizado en el RAT una parte de dicho tratamiento: la relativa a la geolocalización de las faltas cometidas. Sin embargo, el tratamiento incluye también otros datos: los relativos a la geolocalización del recorrido completo, por lo que también deberían constar como información en el RAT sin que lo estén a fecha de hoy. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/21 Por tanto, los hechos probados serían constitutivos de una infracción, imputable a DGT, por vulneración del artículo 30 del RGPD, transcrito anteriormente. IV Tipificación de la infracción del artículo 30 del RGPD y calificación a efectos de prescripción El artículo 83.4 del RGPD tipifica como infracción administrativa la vulneración del artículo siguiente, se sancionará, de acuerdo con el apartado 2, con multas administrativas de 10.000.000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 2 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: "
  20. a)las obligaciones del responsable y del encargado a tenor de los artículos 8, 11, 25 a 39, 42 y 43;" Por su parte, la LOPDGDD en su artículo 71, Infracciones, señala que: “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A los solos efectos del plazo de prescripción, el artículo 74 de la LOPDGDD establece lo siguiente: "Se consideran leves y prescribirán al año las restantes infracciones de carácter meramente formal de los artículos mencionados en los apartados 4 y 5 del artículo 83 del Reglamento (UE) 2016/679 y, en particular, las siguientes:
  21. l)Disponer de un Registro de actividades de tratamiento que no incorpore toda la información exigida por el artículo 30 del Reglamento (UE) 2016/679." V Obligación incumplida. Información que deberá facilitarse cuando los datos personales se obtengan del interesado El artículo 13 del RGPD establece la información que deberá facilitarse cuando los datos personales se obtengan del interesado, en virtud del cual: "1. Cuando se obtengan de un interesado datos personales relativos a él, el responsable del tratamiento, en el momento en que estos se obtengan, le facilitará toda la información indicada a continuación:
  22. a)la identidad y los datos de contacto del responsable y, en su caso, de su representante;
  23. b)los datos de contacto del delegado de protección de datos, en su caso;
  24. c)los fines del tratamiento a que se destinan los datos personales y la base jurídica del tratamiento;
  25. d)cuando el tratamiento se base en el artículo 6, apartado 1, letra f), los intereses legítimos del responsable o de un tercero;
  26. e)los destinatarios o las categorías de destinatarios de los datos personales, en su caso; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/21
  27. f)en su caso, la intención del responsable de transferir datos personales a un tercer país u organización internacional y la existencia o ausencia de una decisión de adecuación de la Comisión, o, en el caso de las transferencias indicadas en los artículos 46 o 47 o el artículo 49, apartado 1, párrafo segundo, referencia a las garantías adecuadas o apropiadas y a los medios para obtener una copia de estas o al lugar en que se hayan puesto a disposición. 2. Además de la información mencionada en el apartado 1, el responsable del tratamiento facilitará al interesado, en el momento en que se obtengan los datos personales, la siguiente información necesaria para garantizar un tratamiento de datos leal y transparente:
  28. a)el plazo durante el cual se conservarán los datos personales o, cuando no sea posible, los criterios utilizados para determinar este plazo;
  29. b)la existencia del derecho a solicitar al responsable del tratamiento el acceso a los datos personales relativos al interesado, y su rectificación o supresión, o la limitación de su tratamiento, o a oponerse al tratamiento, así como el derecho a la portabilidad de los datos;
  30. c)cuando el tratamiento esté basado en el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), la existencia del derecho a retirar el consentimiento en cualquier momento, sin que ello afecte a la licitud del tratamiento basado en el consentimiento previo a su retirada;
  31. d)el derecho a presentar una reclamación ante una autoridad de control;
  32. e)si la comunicación de datos personales es un requisito legal o contractual, o un requisito necesario para suscribir un contrato, y si el interesado está obligado a facilitar los datos personales y está informado de las posibles consecuencias de no facilitar tales datos;
  33. f)la existencia de decisiones automatizadas, incluida la elaboración de perfiles, a que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado. 3. Cuando el responsable del tratamiento proyecte el tratamiento ulterior de datos personales para un fin que no sea aquel para el que se recogieron, proporcionará al interesado, con anterioridad a dicho tratamiento ulterior, información sobre ese otro fin y cualquier información adicional pertinente a tenor del apartado 2. Las disposiciones de los apartados 1, 2 y 3 no serán aplicables cuando y en la medida en que el interesado ya disponga de la información." En el presente caso, como se ha dicho, se recogen datos de identidad y geolocalización de las personas que toman parte en el examen: examinador, alumno y profesor de la autoescuela. En este sentido, de acuerdo con el artículo 13 es obligación de DGT, como responsable del tratamiento, facilitarles la información recogida en los apartados 1 y 2 de dicho artículo. De acuerdo con la información aportada por DGT en respuesta al traslado de la reclamación, en diciembre de 2022 se facilitó a los examinadores el manual de uso de la aplicación MEXM-TRAMO, en la que se recogen los datos objeto de este procedimiento, introducidos por el examinador utilizando la tablet. Sin embargo, en el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/21 manual aportado se cita sobre la geolocalización (página 12) “La aplicación registrará de forma automática la hora de comienzo cuando el usuario inicie el examen, así como la posición GPS del lugar de inicio del mismo”, sin más información los tratamientos de la posición ni sobre la protección de datos o los derechos de los titulares de los datos tratados. Tampoco en las pantallas que se incluyen en ese manual en las que aparece la información relativa a los datos recogidos se hace mención. Por otro lado, en respuesta al requerimiento realizado en el marco de las actuaciones previas de investigación, DGT aportó copia del formulario facilitado a los aspirantes (con el título “Solicitud de pruebas de aptitud”) al final del cual figura un texto informativo que adopta un modelo de información por capas, remitiendo a la página web del organismo. Verificada la información de la URL citada, efectivamente figura una referencia a la información establecida en el artículo 13 del RGPD. Dicha información, sin embargo, se facilita en relación con los datos recogidos en el formulario y en el formulario no se hace mención a datos de geolocalización. Por tanto, no puede entenderse que se esté facilitando a los interesados la información prevista en el artículo 13 en relación con todos los datos que se recogen de ellos, ya que no se les informa de que esos datos incluyen los de localización. Tampoco en el momento de firmar el alumno en la tablet al realizar la prueba consta que se le facilite la información prevista en el artículo 13 del RGPD. Tras la modificación del RAT, existen enlaces o referencias al RAT en la segunda capa de información de protección de datos ofrecida al aspirante (alumno) cuando realiza la solicitud de la prueba, siendo la primera capa la ofrecida en el formulario de solicitud. Ni en la primera ni en la segunda capa se encuentra información sobre la geolocalización del recorrido completo, teniendo que recurrir a los enlaces al RAT ubicados en la segunda capa, o al RAT directamente. No se ha aportado, por último, documentación sobre información ofrecida a los profesores de autoescuela. Por tanto, los hechos probados serían constitutivos de una infracción, imputable a DGT, por vulneración del artículo 13 del RGPD, transcrito anteriormente. VI Tipificación de la infracción del artículo 13 del RGPD y calificación a efectos de prescripción El artículo 83.5 del RGPD tipifica como infracción administrativa la vulneración del artículo siguiente, que se sancionará, de acuerdo con el apartado 2, con multas administrativas de 20.000.000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: "
  34. b)los derechos de los interesados a tenor de los artículos 12 a 22;" Por su parte, la LOPDGDD en su artículo 71, Infracciones, señala que: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/21 “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A los solos efectos del plazo de prescripción, el artículo 72.1 de la LOPDGDD establece lo siguiente: "En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
  35. h)La omisión del deber de informar al afectado acerca del tratamiento de sus datos personales conforme a lo dispuesto en los artículos 13 y 14 del Reglamento (UE) 2016/679 y 12 de esta ley orgánica." VII Sanción El artículo 83 “Condiciones generales para la imposición de multas administrativas” del RGPD, en su apartado 7, establece: “Sin perjuicio de los poderes correctivos de las autoridades de control en virtud del artículo 58, apartado 2, cada Estado miembro podrá establecer normas sobre si se puede, y en qué medida, imponer multas administrativas a autoridades y organismos públicos establecidos en dicho Estado miembro.” El artículo 77 “Régimen aplicable a determinadas categorías de responsables o encargados del tratamiento” de la LOPDGDD dispone lo siguiente: “1. El régimen establecido en este artículo será de aplicación a los tratamientos de los que sean responsables o encargados: (…)
  36. c)La Administración General del Estado, las Administraciones de las comunidades autónomas y las entidades que integran la Administración Local. (…) 2. Cuando los responsables o encargados enumerados en el apartado 1 cometiesen alguna de las infracciones a las que se refieren los artículos 72 a 74 de esta ley orgánica, la autoridad de protección de datos que resulte competente dictará resolución declarando la infracción y estableciendo, en su caso, las medidas que proceda adoptar para que cese la conducta o se corrijan los efectos de la infracción que se hubiese cometido, con excepción de la prevista en el artículo 58.2.i del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/21 La resolución se notificará al responsable o encargado del tratamiento, al órgano del que dependa jerárquicamente, en su caso, y a los afectados que tuvieran la condición de interesado, en su caso. 3. Sin perjuicio de lo establecido en el apartado anterior, la autoridad de protección de datos propondrá también la iniciación de actuaciones disciplinarias cuando existan indicios suficientes para ello. En este caso, el procedimiento y las sanciones a aplicar serán las establecidas en la legislación sobre régimen disciplinario o sancionador que resulte de aplicación. Asimismo, cuando las infracciones sean imputables a autoridades y directivos, y se acredite la existencia de informes técnicos o recomendaciones para el tratamiento que no hubieran sido debidamente atendidos, en la resolución en la que se imponga la sanción se incluirá una amonestación con denominación del cargo responsable y se ordenará la publicación en el Boletín Oficial del Estado o autonómico que corresponda. 4. Se deberán comunicar a la autoridad de protección de datos las resoluciones que recaigan en relación con las medidas y actuaciones a que se refieren los apartados anteriores. 5. Se comunicarán al Defensor del Pueblo o, en su caso, a las instituciones análogas de las comunidades autónomas las actuaciones realizadas y las resoluciones dictadas al amparo de este artículo. 6. Cuando la autoridad competente sea la Agencia Española de Protección de Datos, esta publicará en su página web con la debida separación las resoluciones referidas a las entidades del apartado 1 de este artículo, con expresa indicación de la identidad del responsable o encargado del tratamiento que hubiera cometido la infracción. Cuando la competencia corresponda a una autoridad autonómica de protección de datos se estará, en cuanto a la publicidad de estas resoluciones, a lo que disponga su normativa específica.” Este precepto establece que los procedimientos que tengan causa en infracciones en materia de protección de datos personales cometidas por las categorías de responsables o encargados del tratamiento enumerados en su apartado 1 se resolverán, en todo caso, declarando la infracción. A tenor de los hechos expuestos, se considera que corresponde imputar una sanción a la parte reclamada por la vulneración de los artículos 30 y 13 del RGPD, infracciones tipificadas en los artículos 83.4.
  37. a)y 83.5.
  38. b)del RGPD, respectivamente. En el presente caso, la reclamada, DGT forma parte de la Administración General del Estado como órgano directivo del Ministerio del Interior, de acuerdo con el artículo 1.5 del Real Decreto 207/2024, de 27 de febrero, por el que se desarrolla la estructura orgánica básica del Ministerio del Interior. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 20/21 De acuerdo con lo anterior, la sanción que corresponde imponer es la declaración de infracción. VIII Adopción de medidas correctivas El citado artículo 77 de la LOPDGDD contempla que la resolución puede establecer las medidas que la entidad infractora deberá adoptar para que cese la conducta infractora, se corrijan los efectos de la infracción que se hubiese cometido y se lleve a cabo la necesaria adecuación, en este caso, a las exigencias contempladas en artículos 30 y 13 del RGPD, debiendo además aportar a la AEPD los medios acreditativos del cumplimiento de lo requerido. En el presente acto, de acuerdo con las infracciones cometidas y los hechos puestos de manifiesto, dichas medidas consisten en que, en el plazo de 3 meses desde que la presente resolución sea firme y ejecutiva, DGT: - Acredite la puesta a disposición a los afectados de la información a la que se refiere el artículo 13 del RGPD con el alcance expresado en la presente resolución. - Acredite la incorporación en el RAT de la información referida a los tratamientos realizados, incluyendo los datos del recorrido completo. Se advierte que no atender la orden de adopción de medidas impuestas por este organismo en la resolución del presente procedimiento podrá ser considerado como una infracción administrativa conforme a lo dispuesto en el RGPD, tipificada como infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la apertura de un ulterior procedimiento administrativo sancionador. Por lo tanto, de acuerdo con la legislación aplicable, la Presidencia de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR que DIRECCIÓN GENERAL DE TRÁFICO, con NIF Q2816003D, ha infringido lo dispuesto en los artículos 30 y 13 del RGPD, infracciones tipificadas en los artículos 83.4.
  39. a)y 83.5.
  40. b)del RGPD, respectivamente. SEGUNDO: ORDENAR a DIRECCIÓN GENERAL DE TRÁFICO, con NIF Q2816003D, que en virtud del artículo 58.2.
  41. d)del RGPD, en el plazo de 3 meses desde que la presente resolución sea firme y ejecutiva, - Acredite la puesta a disposición a los afectados de la información a la que se refiere el artículo 13 del RGPD con el alcance expresado en la presente resolución. - Acredite la incorporación en el RAT de la información referida a los tratamientos realizados, incluyendo los datos del recorrido completo. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 21/21 TERCERO: NOTIFICAR la presente resolución a DIRECCIÓN GENERAL DE TRÁFICO. CUARTO: COMUNICAR la presente resolución al Defensor del Pueblo, de conformidad con lo establecido en el artículo 77.5 de la LOPDGDD. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
  42. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-101224 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.