← España

PS-00529-2023

1/23  Expediente N.º: EXP202213389 RESOLUCIÓN DE TERMINACIÓN DEL PROCEDIMIENTO POR PAGO VOLUNTARIO Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 26 de diciembre de 2023, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a FUNDACIÓN GOODJOB (en adelante, la parte reclamada), mediante el Acuerdo que se transcribe: << Expediente N.º: EXP202213389 (PS/00529/2023) ACUERDO DE INICIO DE PROCEDIMIENTO SANCIONADOR De las actuaciones practicadas por la Agencia Española de Protección de Datos y en base a los siguientes HECHOS PRIMERO: A.A.A. (en adelante, la parte reclamante) con fecha 27 de octubre de 2022 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra FUNDACIÓN GOODJOB con NIF G87193330 (en adelante, GOODJOB). Los motivos en que basa la reclamación son los siguientes: En octubre de 2021 la parte reclamante se incorporó en un programa de empleabilidad para personas con discapacidad de la Fundación GOODJOB. Antes de incorporarse al programa le solicitaron diversa documentación relativa a su grado de discapacidad (resolución sobre el grado de discapacidad emitida por su Centro Base de la Comunidad de Madrid, y la tarjeta acreditativa de grado de discapacidad). Según afirma, la solicitud de dicha documentación, para acreditar su condición de persona con discapacidad o para valorar sus capacidades, no es necesaria ni ajustada a derecho. En este sentido, significa que en dichos documentos obra información de diagnósticos clínicos. Al no haber sido seleccionado para el programa de empleabilidad solicitó la supresión de sus datos. A los citados efectos remitió el 25/09/22 un correo electrónico a la dirección que consta en la política de privacidad de la parte reclamada. Dicha solicitud no ha sido atendida por la parte reclamada. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/23 Junto a la reclamación aporta el correo remitido por la parte reclamada el 08/10/21 en el que se enumeran los documentos que debía aportar para inscribirse en el programa, la contestación remitida por el reclamante para atender dicha petición y el email remitido el 25/09/22 para ejercitar el derecho de supresión. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la GOODJOB, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP) mediante notificación electrónica, no fue recogido por el responsable, dentro del plazo de puesta a disposición, entendiéndose rechazada conforme a lo previsto en el art. 43.2 de la LPACAP en fecha 27/12/2022, como consta en el certificado que obra en el expediente. Aunque la notificación se practicó válidamente por medios electrónicos, dándose por efectuado el trámite conforme a lo dispuesto en el artículo 41.5 de la LPACAP, a título informativo se envió una copia por correo postal que fue notificada fehacientemente en fecha 09/01/

  1. En dicha notificación, se le recordaba su obligación de relacionarse electrónicamente con la Administración, y se le informaban de los medios de acceso a dichas notificaciones, reiterando que, en lo sucesivo, se le notificaría exclusivamente por medios electrónicos. Con fecha 25 de enero de 2023 se recibe en esta Agencia escrito de respuesta, cuyo contenido se recoge de forma resumida en las actuaciones previas de investigación, reproducidas más adelante en este documento. TERCERO: Con fecha 27 de enero de 2023, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: De la reclamación presentada por la parte reclamante y de la documentación que la acompaña, así como de la contestación al traslado y de la documentación que la acompaña se observa los siguientes extremos: - En octubre de 2021 la parte reclamante se incorporó en un programa de empleabilidad para personas con discapacidad de la parte reclamada. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/23 - - Para su incorporación a dicho programa la parte reclamada requirió a la parte reclamante la presentación de cierta documentación en la que obra información de diagnósticos clínicos. Lo que la parte reclamante considera excesivo. En fecha 25/09/22 la parte reclamante remitió un correo electrónico a la dirección que consta en la política de privacidad de la parte reclamada solicitando la supresión de sus datos, al no haber sido seleccionado para el programa de empleabilidad, manifestando aquella que dicha solicitud no ha sido atendida por la parte reclamada. En su contestación al traslado la parte reclamada reconoce la recepción del correo solicitando la supresión de sus datos por la parte reclamante, alegando que para la tramitación de la solicitud de supresión solicitó a ésta la remisión de una copia de su DNI para acreditar su personalidad sin que ésta hubiera contestado a la petición de la copia del DNI que se le había efectuado (Aporta copia del correo que supuestamente le envío a la parte reclamante requiriéndole la aportación de su DNI para acreditar su personalidad). Indicando que fue la parte reclamante la que se dio de baja voluntariamente del programa de empleabilidad el 12/11/
  2. Y que, tras haber recibido la solicitud de ejercicio del derecho de supresión del Reclamante, constó internamente que éste había participado en su Programa de empleabilidad IMPACT #include
  3. Y que los datos estaban en situación de bloqueo de conformidad con el artículo 32 de la LOPDGDD. Al respecto hay que señalar que la parte reclamante envió su petición de supresión de datos desde el correo electrónico A.A.A. [***EMAIL.1] al correo electrónico info@fundaciongoodjob.org, mientras que en el documento aportado por la parte reclamada figura como correo electrónico desde el que se le solicitó la aportación del DNI para acreditar su personalidad “Recursos Humanos <rrhh@goodjob.es>” figurando en el campo “para” del correo ***EMAIL.
  4. Y como Asunto: Fwd: SUPRESIÓN DATOS PERSONALES. Y cuyo contenido es el siguiente: “Buenos días, A.A.A.. Acusamos recibo de tu correo. Para poder avanzar con su solicitud, necesitamos nos hagas llegar esta petición Un saludo, y muchas gracias. Departamento de Recursos Humanos rrhh@goodjob.es | (...) - Manifestando la parte reclamada que procedió a aplicar la supresión definitiva de todos aquellos datos del Reclamante que cumplían los requisitos para ello. - Sin que en el escrito de contestación al traslado se haga referencia alguna a si la diversa documentación requerida a los solicitantes antes de incorporarse en un programa de empleabilidad para personas con discapacidad que conlleva el tratamiento de categorías especiales de datos, es necesaria o resulta excesiva para la finalidad a la que se destinan. Por ello las actuaciones de investigación han ido encaminadas a evidenciar si la petición de diversa documentación relativa al grado de discapacidad de los solicitantes antes de incorporarse en un programa de empleabilidad para personas con discapacidad de la Fundación Goodjob, que conlleva el tratamiento de categorías especiales de datos, es necesaria o no para la finalidad a la que se destinan: “Gestión de los programas de empleabilidad ofrecidos por la Organización”. Con fecha 04/04/2023 se realizó requerimientos de información a la parte reclamada. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/23 El 18/04/2023 la parte reclamada presentó escrito de contestación al requerimiento de información realizado, en el que manifiesta entre otros los siguientes extremos: - “En virtud de lo establecido por el artículo 30 del RGPD, la FUNDACIÓN GOODJOB dispone de un registro, por escrito y en formato electrónico (en documento Excel), de las actividades de tratamiento que efectúa bajo su responsabilidad. En este sentido, se aporta como Anexo I a este escrito y, en archivo independiente, el citado registro de actividades del tratamiento. - Para el caso que nos ocupa, la actividad en la cual se llevó a cabo el tratamiento de los datos personales del Reclamante es la denominada “PROGRAMAS DE EMPLEABILIDAD”. - Resulta necesario en este punto recordar que la actividad principal de la FUNDACIÓN GOODJOB tiene carácter social, concretamente lo que se pretende desde esta organización sin ánimo de lucro es fomentar la formación profesional para el empleo y el aprendizaje permanente para lograr la inserción laboral y social de colectivos que se encuentran en riesgo de pobreza y/o exclusión social, entre los que se incluyen, entre otros, personas con diversidad funcional y/o cualquier tipo de discapacidad. - En el caso que nos ocupa, el “Programa de empleabilidad IMPACT #include4”, en el que participaba el Reclamante, consistía en formar en seguridad informática a personas con discapacidad para desarrollar competencias en el sector de la ciberseguridad. - El objetivo final de estos programas de empleabilidad, es que los participantes, una vez superado el proceso de formación, puedan ser introducidos en el mundo laboral. - Pasando a describir el itinerario para lograr el citado objetivo: Los participantes siempre deciden de manera voluntaria formar parte de los programas de empleabilidad, ostentando dentro de la FUNDACIÓN GOODJOB un rol de alumno/estudiante sin que ello suponga ningún coste económico para éste. A su vez, la FUNDACIÓN GOODJOB suscribe convenios de colaboración con empresas ordinarias, que se adhieren a un programa en concreto y se comprometen a acabar contratando como empleado a al menos un participante del programa. Una vez finalizada la fase de capacitación del programa de empleabilidad, si a una empresa colaboradora le interesa contratar a participantes, ésta suscribe con uno de los Centros Especiales de Empleo de iniciativa social de GOODJOB un enclave laboral, de esta forma, el participante pasa a ser contratado con rol de empleado por alguno de los Centros Especiales de Empleo de iniciativa social de GOODJOB durante un año, para posteriormente, pasar a ser empleado con carácter indefinido en la empresa ordinaria firmante del enclave laboral. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/23 - Tras manifestar que en el “Programa de empleabilidad IMPACT #include4” sí se tratan datos de categoría especial, concretamente datos relativos a la discapacidad de los participantes, que son considerados datos de salud; pasa a justificar la base de legitimación para el tratamiento de estos datos en los siguientes términos: Al llevarse a cabo el tratamiento de esta tipología de datos por parte de la FUNDACIÓN GOODJOB, resulta necesario salvar la prohibición del tratamiento de datos de categorías especiales con la concurrencia de alguna de las circunstancias del artículo 9.2 del RGPD. En este supuesto, el tratamiento de datos sobre discapacidad efectuado por la FUNDACIÓN GOODJOB encuentra su legitimación en el apartado a) del citado precepto. Tras haber levantado la anterior prohibición, resulta de aplicación alguna de las bases jurídicas previstas en el artículo 6.1 del RGPD, para este caso en concreto, resulta aplicable la prevista en el apartado e) “el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento. El fundamento que nos lleva a legitimar el tratamiento de datos en la citada base jurídica es el siguiente: El considerando

(45)del RGPD establece que cuando un tratamiento se realice en cumplimiento de una obligación legal aplicable al responsable del tratamiento, o si es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos, el tratamiento debe tener una base en el Derecho de la Unión o de los Estados miembros. Misma afirmación encontramos en el Preámbulo V de la LOPDGDD cuando se dice que solo podrá considerarse fundado en el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable, en los términos previstos en el reglamento europeo, cuando derive de una competencia atribuida por la ley; así como en el artículo 8.2 del mismo cuerpo legal que establece que el tratamiento de datos personales sólo podrá considerarse fundado en el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable, en los términos previstos en el artículo 6.1
  1. e)del Reglamento (UE) 2016/679, cuando derive de una competencia atribuida por una norma con rango de ley. Pues bien, visto lo anterior, y siendo indispensable acudir a una norma con rango de ley, resulta necesario hacer referencia a la Ley 50/2002, de 26 de diciembre, de Fundaciones, que en su artículo 3.1 establece que: “Las fundaciones deberán perseguir fines de interés general, como pueden ser, entre otros, los de defensa de los derechos humanos, de las víctimas del terrorismo y actos violentos, asistencia social e inclusión social, cívicos, educativos, culturales, científicos, deportivos, sanitarios, laborales, de fortalecimiento institucional, de cooperación para el desarrollo, de promoción del voluntariado, de promoción de la acción social, de defensa del medio ambiente, y de fomento de la economía social, de promoción y atención a las personas en riesgo de exclusión por razones físicas, sociales o culturales, de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/23 promoción de los valores constitucionales y defensa de los principios democráticos, de fomento de la tolerancia, de desarrollo de la sociedad de la información, o de investigación científica y desarrollo tecnológico.” En definitiva, siendo que el objetivo principal de la FUNDACIÓN GOODJOB, tal y como ya se ha indicado, es el fomento de la formación profesional para el empleo y el aprendizaje permanente para lograr la inserción laboral y social de colectivos que se encuentran en riesgo de pobreza y/o exclusión social, entre los que se incluyen, entre otros, personas con diversidad funcional y/o cualquier tipo de discapacidad, se está dando cumplimiento a la obligación y competencia atribuida a las fundaciones en virtud de lo establecido por su normativa específica, hecho que permite basar el tratamiento de datos personales en el interés público. - Considera esta parte que resulta necesario en este punto traer a colación el tratamiento de datos personales que se lleva a cabo tras la finalización del programa de empleabilidad. Pues bien, como ya se ha expuesto anteriormente, la FUNDACIÓN GOODJOB lleva a cabo programas de empleabilidad para que, posteriormente, sus participantes puedan ser contratados por empresas ordinarias, siendo que previamente son contratados con rol de empleados por alguno de los Centros Especiales de Empleo de iniciativa social de GOODJOB. Cuando el participante en un programa de empleabilidad pasa a ser contratado por un Centro Especial de Empleo de iniciativa social de GOODJOB (en adelante, “CEEis”), también resulta necesario que por parte de este CEEis se traten datos de categorías especiales referentes a la discapacidad del interesado. En este caso, la base jurídica que legitima el tratamiento de estos datos personales ya no es la misma, tal y como se argumenta a continuación. En primer lugar, resulta necesario nuevamente salvar la prohibición del tratamiento de datos de categorías especiales con la concurrencia de alguna de las circunstancias del artículo 9.2 del RGPD. En este supuesto, el tratamiento de datos sobre discapacidad efectuado por el CEEis encuentra su legitimación en los apartados
  2. b)y
  3. h)del citado precepto: “
  4. b)el tratamiento es necesario para el cumplimiento de obligaciones y el ejercicio de derechos específicos del responsable del tratamiento o del interesado en el ámbito del Derecho laboral y de la seguridad y protección social, en la medida en que así lo autorice el Derecho de la Unión de los Estados miembros o un convenio colectivo con arreglo al Derecho de los Estados miembros que establezca garantías adecuadas del respeto de los derechos fundamentales y de los intereses del interesado”. Determinados tratamientos de datos de categorías especiales resultan obligatorios para los CEEis por su propia condición. Además, resulta necesario para el efectivo cumplimiento de los derechos reconocidos a los trabajadores con discapacidad en el Real Decreto Legislativo 1/2013, de 29 de noviembre, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/23 por el que se aprueba el Texto Refundido de la Ley General de derechos de las personas con discapacidad y de su inclusión social. “
  5. h)el tratamiento es necesario para fines de medicina preventiva o laboral, evaluación de la capacidad laboral del trabajador, diagnóstico médico, prestación de asistencia o tratamiento de tipo sanitario o social, o gestión de los sistemas y servicios de asistencia sanitaria y social, sobre la base del Derecho de la Unión o de los Estados miembros o en virtud de un contrato con un profesional sanitario y sin perjuicio de las condiciones y garantías contempladas en el apartado 3.” Ello con ocasión de las funciones atribuidas a los CEEis y los servicios prestados por estos y que forman parte de los servicios de asistencia social en virtud del ordenamiento jurídico. En segundo lugar, y tras haber levantado la anterior prohibición, resulta de aplicación alguna de las bases jurídicas previstas en el artículo 6.1 del RGPD, para este caso en concreto, resultan aplicables las previstas en los apartados b),
  6. c)y e): “
  7. b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales”. Los datos personales del interesado son necesarios para poder ejecutar el contrato que une a las partes en su relación laboral de carácter especial. “
  8. c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento.” La relación laboral que une al CEEis con el empleado con discapacidad se encuentra regulada por el Real Decreto 1368/1985, de 17 de julio, por el que se regula la relación laboral de carácter especial de los minusválidos que trabajen en los Centros Especiales de Empleo. “
  9. e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento.” Por la misión de interés público que realizan los CEEIS, concretamente llevar a cabo la integración de personas con discapacidad en el ámbito laboral. En este sentido, la norma que determina las funciones y competencias de los CEE es el Real Decreto Legislativo 1/2013, de 29 de noviembre, por el que se aprueba el Texto Refundido de la Ley General de derechos de las personas con discapacidad y de su inclusión social. - Los datos especialmente protegidos que se solicitan para la participación en el “Programa de empleabilidad IMPACT #include4” son los datos relativos a la discapacidad, ya que es requisito imprescindible que el participante tenga tal condición para poder ser incluido en el programa. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/23 - Por datos relativos a la discapacidad se pueden entender, por ejemplo, los siguientes: o o o Notificación de resolución sobre el grado de discapacidad. Dictamen Técnico Facultativo. Tarjeta/resolución de discapacidad que contiene el discapacidad. grado de - Cabe decir que la FUNDACIÓN GOODJOB, para la inscripción en un programa de empleabilidad solicita a los participantes que acrediten su discapacidad, pero en ningún caso se les exige expresamente que remitan de forma obligatoria el Dictamen Técnico Facultativo. - Los datos facilitados por el participante a la FUNDACIÓN GOODJOB son datos que este remite voluntariamente, como es el caso del Reclamante, que, para acreditar su condición de persona con discapacidad, hizo llegar a la FUNDACIÓN GOODJOB, a parte de la tarjeta de discapacidad, el Dictamen Técnico Facultativo. La persona de la FUNDACIÓN GOODJOB que fue designada como la profesional para llevar a cabo el seguimiento de este participante, es decir, del Reclamante, se trata de una preparadora laboral perteneciente a la Unidad de Apoyo, cualificada profesionalmente para tal función. Esta, mediante llamada telefónica le transmitió la necesidad de obtener sus datos relativos a su discapacidad y éste, además de hacer llegar la tarjeta de discapacidad, adjuntó de manera voluntaria, sin ser expresamente exigido, el Dictamen Técnico Facultativo. - Cabe reseñar a continuación lo siguiente respecto del Dictamen Técnico Facultativo: El hecho de que la FUNDACIÓN GOODJOB disponga del citado Dictamen Técnico Facultativo no va a suponer un tratamiento de datos excesivos por dos motivos concretos. El primer motivo, porque las administraciones públicas de las diferentes comunidades autónomas van a poder requerir tal documentación para la concesión de subvenciones o ayudas, documentación que resulta necesaria para certificar la labor social de la FUNDACIÓN GOODJOB; pero a mayor abundamiento, cabe recordar que una vez que un participante finaliza el proceso de formación pasa a ser empleado en uno de los Centros Especiales de Empleo de GOODJOB. Los Centros Especiales de Empleo de GOODJOB también se presentan a subvenciones o ayudas ofrecidas por administraciones públicas, en este sentido, las administraciones públicas también requieren en muchas ocasiones la presentación del citado Dictamen Técnico Facultativo. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/23 A modo ejemplificativo, en la Comunidad de Madrid el Centro Especial de Empleo opta a dos subvenciones, por un lado, a la de costes salariales y, por otro lado, a la de ayuda a las unidades de apoyo. En este sentido, existen requerimientos expresos de la Comunidad de Madrid para la aportación del Dictamen Técnico Facultativo de determinados empleados, tal y como puede observarse en los requerimientos aportados a este escrito como Anexo II y III. El segundo motivo, para garantizar que el interesado se encuentra efectivamente en condiciones para seguir el concreto programa de empleabilidad, es decir, que sus características particulares no le impiden o supongan alguna limitación que requiera apoyos específicos, no sólo para ser formado sino para desempeñar en un futuro tareas en un puesto de trabajo, permitiendo detectar las necesidades de adaptación del interesado al programa de empleabilidad y al futuro puesto de trabajo, es decir, garantizar que el interesado cuenta con los apoyos suficientes para poder desempeñar su trabajo”. Del escrito de contestación al requerimiento y de la documentación que la acompaña se observa los siguientes extremos: Conforme se recoge en el artículo 3 de los Estatutos de la Fundación GOODJOB (Se aporta diligencia de los estatutos de la Fundación obtenidos de la página web de la misma en el siguiente enlace a la dirección URL https://www.fundaciongoodjob.org/lafundacion/estatutos/) “Son fines de la Fundación: Fomentar la Formación Profesional para el Empleo y el aprendizaje permanente para lograr la inserción laboral y social de colectivos que se encuentran en riesgo de pobreza y/o exclusión social entre los que se incluyen: Población en activo en situación de desempleo de larga duración, colectivo con diversidad funcional, jóvenes, mujeres víctimas de violencia de género, personas refugiadas, drogodependientes, víctimas del terrorismo, personas afectadas por el VIH/SIDA, y cualquier otro colectivo que requiera formación y apoyo para su integración social, laboral y/o profesional. Será también fin de la Fundación, la construcción de ambientes de trabajo favorables para la recepción e integración de personas trabajadoras en riesgo de exclusión social, propiciando igualdad de oportunidades entre hombres y mujeres, ayudando a la gestión de la diversidad cultural y generacional”. - La parte reclamada aporta como anexo I al escrito copia de su registro de actividades de tratamiento (en adelante RAT). En dicho RAT entre otras actividades de tratamiento que realiza la parte reclamada se encuentra la actividad de tratamiento denominada “PROGRAMAS DE EMPLEABILIDAD”. En dicho RAT solo figura una finalidad del tratamiento de esos datos es la “Gestión de los programas de empleabilidad ofrecidos por la Organización” (parte reclamada), tratando para ello categorías especiales de datos referidos a Datos relativos a la salud (discapacidad). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/23 Para realizar dicha actividad la parte reclamada trata las siguientes categorías de datos: o o o o Datos de carácter identificativo (NIF/DNI; N. SS/Mutualidad; Nombre y apellidos; Tarjeta Sanitaria; Dirección; E-mail; Teléfono; Firma; Imagen/Voz; etc). Datos académicos y profesionales (formación; titulaciones; historial de estudiante; experiencia profesional; pertenencia a colegios o asociaciones profesionales). Datos de detalle del empleo (profesión; puestos de trabajo; datos no económicos de nómina; historial del trabajador). Datos relativos a la salud (Datos relativos a la discapacidad en base al consentimiento prestado por e interesado, quien conoce que el programa va dirigido a personas con discapacidad). Según manifiesta la parte reclamada en su escrito de contestación al requerimiento de información “Por datos relativos a la discapacidad se pueden entender, por ejemplo, los siguientes: - Notificación de resolución sobre el grado de discapacidad. - Dictamen Técnico Facultativo. - Tarjeta/resolución de discapacidad que contiene el grado de discapacidad”. En concreto en el correo de “BIENVENIDO A INCLUDE” de fecha 08/10/2021, se solicitó a la parte reclamante “(…) En caso de no haberla enviado ya, documentación completa relativa a la discapacidad y tarjeta acreditativa de persona con discapacidad” y “En caso de tener reconocida Incapacidad Laboral, documentación relativa a ello (no la parte donde se indica la cuantía de la pensión)”. - Señalándose como “Plazo para la supresión” que “Los datos serán tratados durante toda la duración del programa de empleabilidad o hasta que el interesado manifieste su voluntad de no continuar participando en el mismo, tras lo cual, los datos serán debidamente suprimidos. No obstante, deberá aplicarse a los datos la obligación de bloqueo prevista en el artículo 32 de la LOPDGDD durante el plazo máximo de prescripción de las infracciones en materia de protección de datos, es decir, 3 años (art. 72 LOPDGDD)”. - La parte reclamada reconoce que “para la inscripción en un programa de empleabilidad solicita a los participantes que acrediten su discapacidad”, manifestando que “en ningún caso se les exige expresamente que remitan de forma obligatoria el Dictamen Técnico Facultativo”. - La parte reclamada manifiesta que fue la parte reclamante la que, para acreditar su condición de persona con discapacidad, hizo llegar, voluntariamente, a la parte reclamada, además de la tarjeta de discapacidad, el Dictamen Técnico Facultativo, sin que existiera una petición previa de ésta para que presentara el Dictamen Técnico Facultativo. - La parte reclamada pasa a continuación a tratar de justificar que, a pesar de disponer del Dictamen Técnico Facultativo de discapacidad de la parte reclamante, esto no constituye un tratamiento de datos excesivo por dos motivos concretos: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/23 o o - El primer motivo, porque las administraciones públicas de las diferentes comunidades autónomas van a poder requerir tal documentación para la concesión de subvenciones o ayudas, documentación que resulta necesaria para certificar la labor social de la FUNDACIÓN GOODJOB; pero a mayor abundamiento, cabe recordar que una vez que un participante finaliza el proceso de formación pasa a ser empleado en uno de los Centros Especiales de Empleo de GOODJOB. Los Centros Especiales de Empleo de GOODJOB también se presentan a subvenciones o ayudas ofrecidas por administraciones públicas, en este sentido, las administraciones públicas también requieren en muchas ocasiones la presentación del citado Dictamen Técnico Facultativo. El segundo motivo, para garantizar que el interesado se encuentra efectivamente en condiciones para seguir el concreto programa de empleabilidad, es decir, que sus características particulares no le impiden o supongan alguna limitación que requiera apoyos específicos, no sólo para ser formado sino para desempeñar en un futuro tareas en un puesto de trabajo, permitiendo detectar las necesidades de adaptación del interesado al programa de empleabilidad y al futuro puesto de trabajo, es decir, garantizar que el interesado cuenta con los apoyos suficientes para poder desempeñar su trabajo. Los Anexo II y III, que se acompañan al escrito de contestación al requerimiento de información, se corresponden con requerimientos expresos de la Comunidad de Madrid del Dictamen Técnico Facultativo de determinados empleados como trabajadores de los CEEis, no como alumnos que participan en los Programas de empleabilidad de la parte reclamada (Fundación GOODJOB), tal y como puede observarse en los requerimientos aportados. Los programas de empleabilidad tienen por finalidad principal que las personas que participan en ellos adquieran la capacitación técnico-formativa que les permita su incorporación al mundo laboral, a través de CEEis y de su posterior incorporación a las empresas que colaboran con los CEEis. CONCLUSIONES 1.- Ha quedado acreditado que la parte reclamada trata categorías especiales de datos (datos relativos a la salud: discapacidad) en sus programas de empleabilidad. 2. También, ha quedado acreditado que la parte reclamada trató los datos de salud de la parte reclamante contenidos en el Dictamen Técnico Facultativo aportado por ésta. 3 La parte reclamada manifiesta que no exige Dictámenes Técnicos facultativos, que contengan datos relaticos a diagnósticos médicos, como medio de acreditación de la discapacidad, para participar en sus programas de empleabilidad; si bien, manifiesta que algunos participantes los aportan, de forma voluntaria, para acreditar su discapacidad; y, entiende que, a pesar de no exigirlos, estaría legitimado para utilizar los datos contenidos en esos Dictámenes para la obtención de ayudas de diferentes administraciones públicas y para cederlos a los CEEis para que contraten a los participantes en los programas de empleabilidad de la parte reclamada. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/23 EVIDENCIAS SIGNIFICATIVAS PARA LA GRADUACIÓN Volumen de negocio o actividad Se trata de una fundación sin ánimo de lucro (conforme se recoge en el artículo 1 de sus estatutos) cuya actividad principal tiene carácter social, concretamente lo que se pretende es fomentar la formación profesional para el empleo y el aprendizaje permanente para lograr la inserción laboral y social de colectivos que se encuentran en riesgo de pobreza y/o exclusión social, entre los que se incluyen, entre otros, personas con diversidad funcional y/o cualquier tipo de discapacidad (conforme se recoge en el artículo 3 de sus estatutos). FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Cuestiones previas En el presente caso, de acuerdo con lo establecido en el artículo 4.1 del RGPD, consta la realización de un tratamiento de datos personales, toda vez que GOODJOB realiza la recogida de, entre otros, los siguientes datos personales de personas físicas: nombre, apellidos, dirección y matrícula del vehículo, entendiendo por dato de carácter personal: “toda información sobre una persona física identificada o identificable”. Se considera persona física identificable aquella cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/23 uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona. GOODJOB realiza esta actividad en su condición de responsable del tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del RGPD, que define al «responsable del tratamiento» o «responsable» como: “la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros”. Asimismo, debe entenderse por tratamiento “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción La circunstancia de que antes de incorporarse a un programa de empleabilidad se solicite diversa documentación relativa al grado de discapacidad es considerado recabar datos de salud de la persona afectada, y su obtención supone que se llevan a cabo operaciones de tratamiento de datos de salud, en este caso los datos que GOODJOB le pedía a la parte reclamante, de diagnóstico o tratamiento médico. Sobre datos de salud, señala el considerando 35 del RGPD: “Entre los datos personales relativos a la salud se deben incluir todos los datos relativos al estado de salud del interesado que dan información sobre su estado de salud física o mental pasado, presente o futuro. Se incluye la información sobre la persona física recogida con ocasión de su inscripción a efectos de asistencia sanitaria, o con ocasión de la prestación de tal asistencia, de conformidad con la Directiva 2011/24/UE del Parlamento Europeo y del Consejo; todo número, símbolo o dato asignado a una persona física que la identifique de manera unívoca a efectos sanitarios; la información obtenida de pruebas o exámenes de una parte del cuerpo o de una sustancia corporal, incluida la procedente de datos genéticos y muestras biológicas, y cualquier información relativa, a título de ejemplo, a una enfermedad, una discapacidad, el riesgo de padecer enfermedades, el historial médico, el tratamiento clínico o el estado fisiológico o biomédico del interesado, independientemente de su fuente, por ejemplo un médico u otro profesional sanitario, un hospital, un dispositivo médico, o una prueba diagnóstica in vitro.” Los “datos relativos a la salud” se definen como: “los datos personales relativos a la salud física o mental de una persona física, incluida la prestación de servicios de atención sanitaria, que revelen información sobre su estado de salud” (art 4.15 RGPD). Los datos personales relativos a la salud son considerados como datos de categoría especial en el RGPD, pues son particularmente sensibles en relación con los derechos y las libertades fundamentales ya que el contexto de su tratamiento podría entrañar importantes riesgos para los derechos y libertades fundamentales. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/23 En cuanto a los datos de salud, el régimen general del mismo se señala el artículo 9 del RGPD: “1. Quedan prohibidos el tratamiento de datos personales que revelen el origen étnico o racial, las opiniones políticas, las convicciones religiosas o filosóficas, o la afiliación sindical, y el tratamiento de datos genéticos, datos biométricos dirigidos a identificar de manera unívoca a una persona física, datos relativos a la salud o datos relativos a la vida sexual o la orientación sexual de una persona física. 2. El apartado 1 no será de aplicación cuando concurra una de las circunstancias siguientes: (…)” El uso de los datos de salud está prohibido, salvo que se cuente con el consentimiento expreso del afectado o concurra alguna de las circunstancias del articulo 9.2
  10. b)y ss del RGPD. En este sentido, para el caso que nos ocupa, con la finalidad de gestión de un programa de empleabilidad, al objeto de ser contratado por un Centro Especial de Empleo de iniciativa social, no puede solicitarse la “documentación completa relativa a la discapacidad” con carácter añadido a la tarjeta acreditativa de persona con discapacidad de los participantes en tales programas de empleabilidad. Dentro de los principios del tratamiento previstos en el artículo 5 del RGPD, en su apartado 1.
  11. c)se garantiza el principio de minimización de datos. III Principio de minimización de datos El artículo 5.1.
  12. c)“Principios relativos al tratamiento” del RGPD establece: “1. Los datos personales serán: (…)
  13. c)adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados («minimización de datos»)”. Para nuestra jurisprudencia constitucional, si el derecho a la intimidad actúa como barrera frente a injerencias o intromisiones de otros (STC 142/1993, de 22/04), el derecho a la protección de datos «consiste en un poder de disposición y de control sobre los datos personales» (SSTC 290 y 292/2000, de 30/11); si el derecho a la intimidad veda el conocimiento por parte de terceros de ciertos aspectos de la persona (aspectos íntimos o relativos a su vida privada y familiar), el derecho a la protección de datos proporciona garantías de disposición y control respecto de datos personales que pueden pertenecer o no al ámbito de la intimidad y que pueden ser objeto de conocimiento y manejo por parte de otros; si el derecho a la intimidad es derecho de abstención de otros respecto de nuestra esfera personal, el derecho a la protección de datos implica sobre todo autodeterminación sobre nuestros datos. En este caso, el Dictamen Técnico Facultativo (en adelante, DTF), tiene como finalidad que el interesado conozca los datos que se han tenido en cuenta para calificar su C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/23 grado de discapacidad, pero, a diferencia de la Resolución y del Certificado de discapacidad, el DTF no es un documento que le pueda ser requerido para justificar su situación de discapacidad. De este modo, el artículo 2 del Decreto 1414/2006, de 1 de diciembre, por el que se determina la consideración de persona con discapacidad a los efectos de la Ley 51/2003, de 2 de diciembre, de Igualdad de oportunidades, no discriminación y accesibilidad universal de las personas con discapacidad, cuyo artículo 2 dispone: “Artículo 2. Acreditación del grado de minusvalía. 1. A los efectos de lo dispuesto en la Ley 51/2003, de 2 de diciembre, el grado de minusvalía igual al 33 por ciento se acreditará mediante los siguientes documentos:
  14. a)Resolución o certificado expedidos por el Instituto de Mayores y Servicios Sociales (IMSERSO) u órgano competente de la Comunidad Autónoma correspondiente.
  15. b)Resolución del Instituto Nacional de la Seguridad Social (INSS) reconociendo la condición de pensionista por incapacidad permanente total, absoluta o gran invalidez.
  16. c)Resolución del Ministerio de Economía y Hacienda o del Ministerio de Defensa reconociendo una pensión de jubilación o retiro por incapacidad permanente para el servicio o inutilidad.” En el correo remitido desde GOODJOB con fecha 8 de octubre de 2021 se le solicita a la parte reclamante: “documentación completa relativa a la discapacidad y tarjeta acreditativa de persona con discapacidad”. Esto motivó que la parte reclamante remitiera a GOODJOB, no sólo la tarjeta acreditativa del Grado de Discapacidad, sino el DTF completo. Según la respuesta de GOODJOB al requerimiento de información realizado por esta Agencia, el hecho de que disponga del DTF no va a suponer un tratamiento de datos excesivos por dos motivos concretos. El primer motivo, porque las administraciones públicas de las diferentes comunidades autónomas van a poder requerir tal documentación para la concesión de subvenciones o ayudas, documentación que resulta necesaria para certificar la labor social de la GOODJOB; pero a mayor abundamiento, cabe recordar que una vez que un participante finaliza el proceso de formación pasa a ser empleado en uno de los Centros Especiales de Empleo de GOODJOB. Sin embargo, el hecho de que una Administración Pública “vaya a poder requerir” una documentación acerca de datos personales, cuyo tratamiento, en principio, está prohibido, no habilita a GOODJOB para recoger el DTF en cualquier momento. Cabe traer a colación las consideraciones acerca del principio de minimización de datos realizadas por el Comité Europeo de Protección de Datos (CEPD), el cual, en cumplimiento del objetivo de garantizar la aplicación coherente del Reglamento General de Protección de Datos (según le atribuye el artículo 70 del RGPD), con fecha 20 de octubre de 2020 adoptó las Directrices 4/2019 relativas al artículo 25 Protección de datos desde el diseño y por defecto (https://edpb.europa.eu/system/files/2021C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/23 04/edpb_guidelines_201904_dataprotection_by_design_and_by_default_v2.0_es.pdf). En el apartado 76 de dichas directrices se establece que “Elementos esenciales desde el diseño y por defecto con respecto a la minimización de datos pueden ser los siguientes: • Evitación de datos: Se evitará todo tratamiento de datos personales cuando ello sea posible para cumplir la finalidad pertinente. • Limitación: Se limitará la cantidad de datos personales recogidos a lo estrictamente necesario para el fin previsto. (…) • Pertinencia: Los datos personales deben ser pertinentes para el tratamiento en cuestión, y el responsable del tratamiento deberá poder acreditar dicha pertinencia. • Necesidad: Cada categoría de datos personales será necesaria para los fines especificados y solo deberá ser objeto de tratamiento si no es posible cumplir la finalidad por otros medios.” De la aplicación de estas características del principio de minimización de datos, se deduce que no puede justificarse la recogida de datos para el caso de que pudieran ser necesario en un momento indeterminado en el futuro, es decir, no puede solicitarse a los participantes en los programas de empleabilidad de GOODJOB, datos personales que no son necesarios en el momento de su recogida, ni son pertinentes con el tratamiento cuestión, debiendo ser limitados a lo necesario para la formación y la posterior contratación. En consecuencia, no pueden recogerse datos personales sin que exista la causa que habilite al responsable del tratamiento en el momento en que éste se produzca. El segundo motivo alegado por GOODJOB es garantizar que el interesado se encuentra efectivamente en condiciones para seguir el concreto programa de empleabilidad, es decir, que sus características particulares no le impiden o supongan alguna limitación que requiera apoyos específicos, no sólo para ser formado sino para desempeñar en un futuro tareas en un puesto de trabajo, permitiendo detectar las necesidades de adaptación del interesado al programa de empleabilidad y al futuro puesto de trabajo, es decir, garantizar que el interesado cuenta con los apoyos suficientes para poder desempeñar su trabajo”. Para el cumplimiento de estos fines, el DTF no es el documento establecido por el ordenamiento jurídico para acreditar el grado de discapacidad. Los documentos válidos para acreditar el grado de discapacidad se recogen en el artículo 2 del Real Decreto 1414/2006, de 1 de diciembre, anteriormente transcrito. A mayor abundamiento, el DTF recoge una serie de datos de salud del paciente que han sido tenidos en cuenta para calificar su grado de discapacidad, sin utilidad alguna para determinar la compatibilidad de las capacidades de la persona trabajadora con el desempeño de las tareas del puesto de trabajo para el que ha sido o va a ser contratado, ya que, a modo de ejemplo, las personas con un mismo problema de salud no constituyen un grupo homogéneo y pueden tener distintas capacidades, existiendo otro tipo de informes más adecuados para conocer esa compatibilidad. El artículo 38 del Real Decreto Legislativo 1/2013, de 29 de noviembre, por el que se aprueba el Texto Refundido de la Ley General de derechos de las personas con C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/23 discapacidad y de su inclusión social, bajo el título “Orientación, colocación y registro de trabajadores con discapacidad para su inclusión laboral”, en su apartado 3 establece que: “Para garantizar la eficaz aplicación de lo dispuesto en los dos apartados anteriores y lograr la adecuación entre las condiciones personales de la persona con discapacidad y las características del puesto de trabajo, se establecerá, reglamentariamente, la coordinación entre los servicios públicos de empleo y las agencias de colocación debidamente autorizadas y los equipos multiprofesionales de calificación y reconocimiento del grado de discapacidad previstos en esta ley. Actualmente, algunas comunidades autónomas expiden Certificados de Capacidades o Informes de Aptitudes como alternativa para la valoración de la compatibilidad de las capacidades del trabajador con el desempeño de las tareas del trabajo para el que va a ser contratado. Por todo ello, la petición de “documentación completa relativa a la discapacidad y tarjeta acreditativa de persona con discapacidad” que GOODJOB formuló a la parte reclamante, no puede considerarse adecuada, pertinente y limitada a lo necesario con relación a los fines para los cuales los datos contenidos en dicha documentación son tratados. IV Tipificación y calificación de la infracción De conformidad con las evidencias de las que se dispone en el presente momento de acuerdo de inicio del procedimiento sancionador, y sin perjuicio de lo que resulte de la instrucción, se considera que GOODJOB realiza la recogida de datos de salud de las personas físicas, concretamente, “documentación completa relativa a la discapacidad”, sin que los datos contenidos en dicha documentación sean adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados. Los hechos conocidos podrían ser constitutivos de una infracción, imputable a la parte GOODJOB, tipificada en el Artículo 5.1.
  17. c)del RGPD, que estipula lo siguiente: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
  18. a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9;” A efectos del plazo de prescripción de las infracciones, la infracción imputada prescribe a los tres años, conforme al artículo 72 de la LOPDGDD, que califica de muy grave la siguiente conducta: “1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/23 una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
  19. a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679.” V Propuesta de sanción A efectos de decidir sobre la imposición de una multa administrativa y su cuantía, procede graduar la sanción a imponer de acuerdo con los criterios que establece el artículo 83.2 del RGPD: 2.Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras
  20. a)a
  21. h)y j). Al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta: “
  22. a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;
  23. b)la intencionalidad o negligencia en la infracción;
  24. c)cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados;
  25. d)el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32;
  26. e)toda infracción anterior cometida por el responsable o el encargado del tratamiento;
  27. f)el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
  28. g)las categorías de los datos de carácter personal afectados por la infracción;
  29. h)la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida;
  30. i)cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas previamente contra el responsable o el encargado de que se trate en relación con el mismo asunto, el cumplimiento de dichas medidas;
  31. j)la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación aprobados con arreglo al artículo 42, y
  32. k)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción.” De conformidad con las evidencias de que se dispone en el presente momento de acuerdo de inicio de procedimiento sancionador, y sin perjuicio de lo que resulte de la instrucción, el balance de las circunstancias contempladas en el artículo 83.2 del RGPD y en el artículo 76.2 de la LOPDGDD, con respecto a la infracción cometida al vulnerar lo establecido en el artículo 5.1.
  33. c)del RGPD, permite fijar inicialmente una sanción de 2.000€ (dos mil euros). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/23 VI Adopción de medidas De confirmarse la infracción, de acuerdo con lo establecido en el citado artículo 58.2
  34. d)del RGPD, según el cual cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…”., en la resolución que se adopte, se podrá requerir a GOODJOB para que en el plazo de 90 días acredite a esta Agencia la adopción de las siguientes medidas, sin perjuicio de otras que pudieran derivarse de la instrucción del procedimiento: - Ajustar la recogida de datos personales relativos a la salud de las personas físicas que utilicen sus servicios a aquellos que sean estrictamente necesarios para el cumplimiento de sus fines, modificando el formulario que exige “documentación completa” con relación a la discapacidad de los participantes en los programas de empleabilidad. La imposición de estas medidas es compatible con la sanción consistente en multa administrativa, según lo dispuesto en el artículo 83.2 del RGPD. Se advierte que no atender la posible orden de adopción de medidas impuestas por este organismo en la resolución sancionadora podrá ser considerado como una infracción administrativa conforme a lo dispuesto en el RGPD, tipificada como infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la apertura de un ulterior procedimiento administrativo sancionador. Por lo tanto, a tenor de lo anteriormente expuesto, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: INICIAR PROCEDIMIENTO SANCIONADOR a FUNDACIÓN GOODJOB, con NIF G87193330, por la presunta infracción del Artículo 5.1.
  35. c)del RGPD, tipificada en el Artículo 83.5 del RGPD. SEGUNDO: NOMBRAR como instructor a R.R.R. y, como secretario, a S.S.S., indicando que podrán ser recusados, en su caso, conforme a lo establecido en los artículos 23 y 24 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público (LRJSP). TERCERO: INCORPORAR al expediente sancionador, a efectos probatorios, la reclamación interpuesta por la parte reclamante y su documentación, así como los documentos obtenidos y generados por la Subdirección General de Inspección de Datos en las actuaciones previas al inicio del presente procedimiento sancionador. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 20/23 CUARTO: QUE a los efectos previstos en el art. 64.2
  36. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, la sanción que pudiera corresponder sería, por la supuesta infracción del artículo 5.1.
  37. c)del RGPD, tipificada en el artículo 83.5 de dicha norma, multa administrativa de cuantía 2.000,00 euros, sin perjuicio de lo que resulte de la instrucción. QUINTO: NOTIFICAR el presente acuerdo a FUNDACIÓN GOODJOB, con NIF G87193330, otorgándole un plazo de audiencia de diez días hábiles para que formule las alegaciones y presente las pruebas que considere convenientes. En su escrito de alegaciones deberá facilitar su NIF y el número de expediente que figura en el encabezamiento de este documento. Si en el plazo estipulado no efectuara alegaciones a este acuerdo de inicio, el mismo podrá ser considerado propuesta de resolución, según lo establecido en el artículo 64.2.
  38. f)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP). De conformidad con lo dispuesto en el artículo 85 de la LPACAP, podrá reconocer su responsabilidad dentro del plazo otorgado para la formulación de alegaciones al presente acuerdo de inicio; lo que llevará aparejada una reducción de un 20% de la sanción que proceda imponer en el presente procedimiento. Con la aplicación de esta reducción, la sanción quedaría establecida en 1.600,00 euros, resolviéndose el procedimiento con la imposición de esta sanción. Del mismo modo podrá, en cualquier momento anterior a la resolución del presente procedimiento, llevar a cabo el pago voluntario de la sanción propuesta, lo que supondrá la reducción de un 20% de su importe. Con la aplicación de esta reducción, la sanción quedaría establecida en 1.600,00 euros y su pago implicará la terminación del procedimiento, sin perjuicio de la imposición de las medidas correspondientes. La reducción por el pago voluntario de la sanción es acumulable a la que corresponde aplicar por el reconocimiento de la responsabilidad, siempre que este reconocimiento de la responsabilidad se ponga de manifiesto dentro del plazo concedido para formular alegaciones a la apertura del procedimiento. El pago voluntario de la cantidad referida en el párrafo anterior podrá hacerse en cualquier momento anterior a la resolución. En este caso, si procediera aplicar ambas reducciones, el importe de la sanción quedaría establecido en 1.200,00 euros. En todo caso, la efectividad de cualquiera de las dos reducciones mencionadas estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. En caso de que optara por proceder al pago voluntario de cualquiera de las cantidades señaladas anteriormente (1.600,00 euros o 1.200,00 euros), deberá hacerlo efectivo mediante su ingreso en la cuenta nº IBAN: ES00-0000-0000-0000-0000-0000 abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A., indicando en el concepto el número de referencia del procedimiento que figura en el encabezamiento de este documento y la causa de reducción del importe a la que se acoge. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 21/23 Asimismo, deberá enviar el justificante del ingreso a la Subdirección General de Inspección para continuar con el procedimiento en concordancia con la cantidad ingresada. El procedimiento tendrá una duración máxima de doce meses a contar desde la fecha del acuerdo de inicio. Transcurrido ese plazo sin que se haya dictado y notificado resolución se producirá su caducidad y, en consecuencia, el archivo de actuaciones; de conformidad con lo establecido en el artículo 64 de la LOPDGDD. Por último, se señala que conforme a lo establecido en el artículo 112.1 de la LPACAP, contra el presente acto no cabe recurso administrativo alguno. 935-30102023 Mar España Martí Directora de la Agencia Española de Protección de Datos >> SEGUNDO: En fecha 11 de enero de 2024, la parte reclamada ha procedido al pago de la sanción en la cuantía de 1200 euros haciendo uso de las dos reducciones previstas en el Acuerdo de inicio transcrito anteriormente, lo que implica el reconocimiento de la responsabilidad. TERCERO: El pago realizado, dentro del plazo concedido para formular alegaciones a la apertura del procedimiento, conlleva la renuncia a cualquier acción o recurso en vía administrativa contra la sanción y el reconocimiento de responsabilidad en relación con los hechos a los que se refiere el Acuerdo de Inicio. CUARTO: En el Acuerdo de inicio transcrito anteriormente se señalaba que, de confirmarse la infracción, podría acordarse imponer al responsable la adopción de medidas adecuadas para ajustar su actuación a la normativa mencionada en este acto, de acuerdo con lo establecido en el citado artículo 58.2
  39. d)del RGPD, según el cual cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…”. Habiéndose reconocido la responsabilidad de la infracción, procede la imposición de las medidas incluidas en el Acuerdo de inicio. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 22/23 iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Terminación del procedimiento El artículo 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP), bajo la rúbrica “Terminación en los procedimientos sancionadores” dispone lo siguiente: “1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento con la imposición de la sanción que proceda. 2. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa imponer una sanción pecuniaria y otra de carácter no pecuniario pero se ha justificado la improcedencia de la segunda, el pago voluntario por el presunto responsable, en cualquier momento anterior a la resolución, implicará la terminación del procedimiento, salvo en lo relativo a la reposición de la situación alterada o a la determinación de la indemnización por los daños y perjuicios causados por la comisión de la infracción. 3. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el órgano competente para resolver el procedimiento aplicará reducciones de, al menos, el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables entre sí. Las citadas reducciones, deberán estar determinadas en la notificación de iniciación del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. El porcentaje de reducción previsto en este apartado podrá ser incrementado reglamentariamente.” De acuerdo con lo señalado, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR la terminación del procedimiento EXP202213389, de conformidad con lo establecido en el artículo 85 de la LPACAP. SEGUNDO: ORDENAR a FUNDACIÓN GOODJOB para que en el plazo de 90 días desde que la presente resolución sea firme y ejecutiva, notifique a la Agencia la adopción de las medidas que se describen en los fundamentos de derecho del Acuerdo de inicio transcrito en la presente resolución. TERCERO: NOTIFICAR la presente resolución a FUNDACIÓN GOODJOB. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 23/23 De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
  40. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 1259-16012024 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.