1/11 Expediente N.º: EXP202312544 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 31 de julio de 2023 B.B.B. (en adelante, la parte reclamante) interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra la CONSEJERÍA DE CULTURA, TURISMO Y DEPORTE DEL GOBIERNO DE CANTABRIA con NIF S3933002B (en adelante, la parte reclamada). Los motivos en que basa la reclamación son los siguientes: La parte reclamante fue el beneficiario de la adjudicación de un contrato licitado por la parte reclamada. El 4 de abril de 2023 la parte reclamada publicó en la Plataforma de Contratación del Sector Público el anuncio de la adjudicación del contrato. En el citado acto consta el nombre, los apellidos y el DNI completo de la parte reclamante. Según afirma, la parte reclamada habría vulnerado la normativa de protección de datos al publicar los citados datos. Junto a la reclamación aporta una impresión del anuncio de adjudicación. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), el 21 de septiembre de 2023 se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 22 de septiembre de 2023 como consta en el acuse de recibo que obra en el expediente. No se ha recibido respuesta a este escrito de traslado. TERCERO: La reclamación fue igualmente trasladada al MINISTERIO DE HACIENDA Y FUNCIÓN PÚBLICA, responsable de la Plataforma de Contratación del Sector C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/11 Público en la que se publicó el anuncio objeto de la reclamación. En respuesta a este trámite, dicho Ministerio informó lo siguiente: "Los órganos de contratación son los responsables del tratamiento de datos personales de la información y documentos que publican en sus perfiles del contratante, según dispone el artículo 63,1 de la Ley 9/2017, de 8 de noviembre, de Contratos del Sector Público, por la que se transponen al ordenamiento jurídico español las Directivas del Parlamento Europeo y del Consejo 2014/23/UE y 2014/24/UE, de 26 de febrero de 2014 (LCSP). (...) Se ha contactado con el órgano de contratación para indicarle que anule el anuncio de adjudicación, modifique el NIF del adjudicatario, ofuscando las posiciones de la cuarta a la séptima y vuelva a publicar el anuncio. A continuación, que solicite formalmente a la SGCCE la eliminación del anuncio original anulado del área de publicaciones etiquetada como histórico. Finalmente, y en relación con el derecho al olvido, que cumplimente el formulario que Google tiene habilitado al efecto para requerir que se desindexe el documento. (...) El referido órgano de contratación: - No cumplió las instrucciones emitidas por la PLACSP para el cumplimiento de las normas de protección de datos personales. - No solicitó a la PLACSP la ofuscación de los datos personales del referido licitador antes de publicar el anuncio de adjudicación. En efecto, antes de publicar los anuncios en la PLACSP los órganos de contratación disponen de un botón de "Pre visualizar". (...) A fin de no depender de la diligencia de los órganos de contratación a la hora de seguir las instrucciones o de solicitar a la PLACSP la ofuscación de los datos personales, en la PLACSP se está desarrollado una funcionalidad para ofuscar automáticamente los datos personales en los anuncios de adjudicación que se publican." CUARTO: Con fecha 31 de octubre de 2023, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. QUINTO: Con fecha 23 de febrero de 2024, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por la presunta infracción del Artículo 5.1.
- c)del RGPD, tipificada en el Artículo 83.5 del RGPD. SEXTO: Notificado el citado acuerdo de inicio conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), la parte reclamada presentó escrito de alegaciones en el que, en síntesis, manifestaba lo siguiente: “Con fecha el 21 de septiembre de 2023 se dio traslado al Gobierno de Cantabria de la reclamación a efectos de informar a la Agencia por plazo de un mes. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/11 Dicha notificación de la Agencia se recogió en la sede electrónica del Gobierno de Cantabria como punto de acceso general y debido a la nueva organización de la estructura del Gobierno de Cantabria se remitió por error a la Consejería de Educación y Formación Profesional, que la recibió con fecha 24 de septiembre de 2023. Por error, la Consejería de Educación no derivó a la Consejería de Cultura, Turismo y Deporte la reclamación a través de la aplicación informática habilitada al efecto en el Gobierno de Cantabria. Por tanto, la Consejería de Cultura, Turismo y Deporte, competente para subsanar el error en la publicación del anuncio de adjudicación reclamado, no tuvo conocimiento de la reclamación y no pudo proceder a solucionarlo. Según el acuerdo de inicio de expediente sancionador, la reclamación fue también trasladada al Ministerio de Hacienda y Función Pública, siendo el responsable de la Plataforma de Contratación del Sector Público, que informó lo siguiente: “Los órganos de contratación son los responsables del tratamiento de datos personales de la información y documentos que publiquen en sus perfiles del contratante “ Si bien se indica, que se ha contactado con el órgano de contratación para indicarle que anule el anuncio de adjudicación, modifique el NIF del adjudicatario…” Respecto de este punto, en la Consejería de Cultura, Turismo y Deporte, administración reclamada, no consta que se haya recibido comunicación a fin de seguir las instrucciones emitidas por la Plataforma de Contratación del Sector Público (PLACSP) para ofuscar los datos personales del reclamante. Ha de tenerse en cuenta a este respecto que mediante el Decreto 6/2023, de 7 de julio, de reorganización de las Consejerías de la Administración de la Comunidad Autónoma de Cantabria, se ha modificado la estructura del Gobierno, lo que ha dificultado en los primeros meses la circulación correcta de la información. La Ley 5/2018, de 22 de noviembre, de Régimen Jurídico del Gobierno, de la Administración y del Sector Público Institucional de la Comunidad Autónoma de Cantabria, en su artículo 171.3, establecía que los contratos menores serían publicados en el Boletín Oficial de Cantabria con una periodicidad trimestral. En virtud de la Ley 5/2019, de 23 de diciembre, de Medidas Fiscales y Administrativas este artículo fue modificado con fecha de entrada en vigor 1 de enero de 2020 en el siguiente sentido: “los contratos menores serán publicados conforme establece la normativa de contratos del sector público y sobre transparencia”. Las obligaciones de publicación de contratos menores establecidas en la Ley 9/2017, de 8 de noviembre, de Contratos del Sector Público y en la Ley 1/2018, de 21 de marzo, de Transparencia de la Actividad Pública, son las siguientes: Art 63.4 de la Ley 9/2017, de 8 de noviembre, de Contratos del Sector Público establece “que la publicación de la información relativa a los contratos menores deberá realizarse al menos trimestralmente. La información a publicar para este tipo de contratos será, al menos, su objeto, duración, el importe de adjudicación, incluido el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/11 Impuesto sobre el Valor Añadido, y la identidad del adjudicatario, ordenándose los contratos por la identificad del adjudicatario” Art. 27.1 de la Ley 1/2018, de 21 de marzo, de Transparencia de la Actividad Pública, incluye expresamente a los contratos menores en la obligación de publicación en el Portal de Transparencia: “la publicación de la información relativa a los contratos menores podrá realizarse trimestralmente, debiendo cumplir al menos con lo establecido en los apartados anteriores, incluidas las diferentes ofertas que se realizaron.” El cumplimiento de ambas obligaciones de información en el Gobierno de Cantabria se realiza a través de la aplicación informática de la Oficina de Supervisión e Información del Gasto (OSIG). El Decreto 2/2017, de 9 de febrero, por el que se modifica el Decreto 80/2012, de 27 de diciembre, por el que se crea la Oficina de Supervisión Integral del Gasto del Sector Público Autonómico de Cantabria establece en su artículo 6.1
- f)que es función de la Oficina de Seguimiento e Información del gasto el “suministro de información en soporte electrónico, sobre actos de gestión administrativa con repercusión económica, a partir de los datos de su sistema informático de gestión integral del gasto, al órgano directivo responsable de la dirección de las actuaciones precisas en materia de transparencia institucional e información pública de la Administración de la Comunidad Autónoma de Cantabria, para que proceda a su publicación en el Portal de Transparencia, si lo considera adecuado. Como mínimo, se suministrará la siguiente información: Los contratos, con indicación como mínimo de la información requerida por la legislación y normativa reguladora de la transparencia que le sea de aplicación (…) Para el adecuado ejercicio de esta función, la OSIG podrá requerir a los gestores responsables de los expedientes de gasto, la grabación de la información necesaria en su sistema informático de gestión integral del gasto”. Por tanto, para la gestión del expediente de gasto los gestores del expediente cumplimentan en la OSIG los datos requeridos, siendo el DNI del adjudicatario completo campo obligatorio. Una vez finalizada la solicitud, el gestor debe completar la SOGI y con ello el expediente se publica en el Portal de Transparencia de Cantabria, sin más intervención del gestor. Desde el año 2020, la aplicación de OSIG está integrada con la Plataforma de Contratación del Sector Público. Una vez finalizadas las solicitudes de OSIG al personal de la Secretaría General dado de alta en OSIG con el rol “gestor de contratación” a petición de sus superiores jerárquicos le llegan notificaciones de los contratos menores que están pendientes de publicar en la Plataforma. El personal de la Secretaría General sólo puede seleccionar y publicar o no hacer nada, no siendo posible modificar ningún campo de la información que se envía a la Plataforma. Con respecto a este punto, el 18 de enero de este año se ha comunicado a la Oficina de Supervisión e Información del Gasto de la Consejería de Economía, Hacienda y Fondos Europeos, Intervención General del Gobierno de Cantabria, a través del Buzón de Integración Sistémica de la Plataforma de Contratación del Sector Público, la puesta en marcha de una nueva funcionalidad para poder ofuscar los NIF de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/11 personas físicas. En el Gobierno de Cantabria se está haciendo la implementación, pero no es posible aplicarla a los anuncios anteriores. Visto todo lo anterior, el personal de la Secretaría General de Cultura, Turismo y Deporte ha modificado manualmente en la Plataforma de Contratación del Sector Público el anuncio de licitación del contrato del reclamante, ofuscando los dígitos del DNI, en cumplimiento de la normativa de protección de datos. Se adjunta el anuncio rectificado. Asimismo, con esta misma fecha desde la Secretaría General de Cultura, Turismo y Deporte se ha remitido oficio a la Subdirección General de Coordinación de la Contratación Electrónica del Ministerio de Hacienda solicitando la eliminación del anuncio general del área de publicaciones etiquetada como histórico. En cuanto a la cumplimentación del derecho al olvido mediante el formulario de Google, esta Secretaría General entiende que debe ser el propio reclamante. Consultado el formulario, está establecido que el derecho al olvido debe ser solicitado directamente por la persona afectada, y en el caso de solicitarlo una persona diferente es necesario confirmar que existe autorización legal para hacerlo, circunstancia que no concurre en el presente caso. “ SEPTIMO: El 7 de mayo de 2024 se dictó y ese mismo día se recibió la notificación por medios electrónicos cursada por la AEPD a la parte reclamada, la propuesta de resolución donde se propone que por la Directora de la Agencia Española de Protección de Datos se declare que CONSEJERÍA DE CULTURA, TURISMO Y DEPORTE DEL GOBIERNO DE CANTABRIA con NIF S3933002B, ha infringido lo dispuesto en el Artículo 5.1.
- c)del RGPD, tipificada en el Artículo 83.5 del RGPD. De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS PRIMERO: El 4 de abril de 2023 la parte reclamada publicó en la Plataforma de Contratación del Sector Público el anuncio de la adjudicación de un contrato donde consta el nombre, los apellidos y el DNI completo de la parte reclamante, constatado con el informe emitido por la Subdirección General de Coordinación de la Contratación electrónica, el 19 de octubre de 2023. SEGUNDO: La parte reclamada se ha comunicado con la Oficina de Supervisión e Información del Gasto de la Consejería de Economía, Hacienda y Fondos Europeos, Intervención General del Gobierno de Cantabria, a través del Buzón de Integración Sistémica de la Plataforma de Contratación del Sector Público, proponiendo la puesta en marcha de una nueva funcionalidad para poder ofuscar los NIF de personas físicas. FUNDAMENTOS DE DERECHO I Competencia C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/11 De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Cuestiones previas En el presente caso la parte reclamante manifiesta que el 04/04/23 la parte reclamada publicó en la Plataforma de Contratación del Sector Público el anuncio de la adjudicación del contrato. En el citado acto consta el nombre, los apellidos y el DNI completo de la parte reclamante. La parte reclamada realiza esta actividad en su condición de responsable del tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del RGPD: «responsable del tratamiento» o «responsable»: la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros. En relación con tales hechos ha de tenerse en cuenta además, que la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales, en adelante la LOPDGDD, en su disposición adicional séptima, en su apartado primero, en relación a la identificación de los interesados en las notificaciones por medio de anuncios y publicaciones de actos administrativos, señala lo siguiente “1. Cuando sea necesaria la publicación de un acto administrativo que contuviese datos personales del afectado, se identificará al mismo mediante su nombre y apellidos, añadiendo cuatro cifras numéricas aleatorias del documento nacional de identidad, número de identidad de extranjero, pasaporte o documento equivalente. Cuando la publicación se refiera a una pluralidad de afectados estas cifras aleatorias deberán alternarse. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/11 Cuando se trate de la notificación por medio de anuncios, particularmente en los supuestos a los que se refiere el artículo 44 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, se identificará al afectado exclusivamente mediante el número completo de su documento nacional de identidad, número de identidad de extranjero, pasaporte o documento equivalente. Cuando el afectado careciera de cualquiera de los documentos mencionados en los dos párrafos anteriores, se identificará al afectado únicamente mediante su nombre y apellidos. En ningún caso debe publicarse el nombre y apellidos de manera conjunta con el número completo del documento nacional de identidad, número de identidad de extranjero, pasaporte o documento equivalente.” III Infracción del artículo 5.1
- c)del RGPD El artículo 5 del RGPD establece que “los datos personales serán: “
- a)tratados de manera lícita, leal y transparente en relación con el interesado («licitud, lealtad y transparencia»);
- b)recogidos con fines determinados, explícitos y legítimos, y no serán tratados ulteriormente de manera incompatible con dichos fines; de acuerdo con el artículo 89, apartado 1, el tratamiento ulterior de los datos personales con fines de archivo en interés público, fines de investigación científica e histórica o fines estadísticos no se considerará incompatible con los fines iniciales («limitación de la finalidad»);
- c)adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados («minimización de datos»);
- d)exactos y, si fuera necesario, actualizados; se adoptarán todas las medidas razonables para que se supriman o rectifiquen sin dilación los datos personales que sean inexactos con respecto a los fines para los que se tratan («exactitud»);
- e)mantenidos de forma que se permita la identificación de los interesados durante no más tiempo del necesario para los fines del tratamiento de los datos personales; los datos personales podrán conservarse durante períodos más largos siempre que se traten exclusivamente con fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos, de conformidad con el artículo 89, apartado 1, sin perjuicio de la aplicación de las medidas técnicas y organizativas apropiadas que impone el presente Reglamento a fin de proteger los derechos y libertades del interesado («limitación del plazo de conservación»);
- f)tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»). El responsable del tratamiento será responsable del cumplimiento de lo dispuesto en el apartado 1 y capaz de demostrarlo («responsabilidad proactiva»).” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/11 La parte reclamada se ha puesto en contacto con la Oficina de Supervisión e Información del Gasto de la Consejería de Economía, Hacienda y Fondos Europeos, Intervención General del Gobierno de Cantabria, a través del Buzón de Integración Sistémica de la Plataforma de Contratación del Sector Público, para que se incorpore una nueva funcionalidad que permita anonimizar los NIF de personas físicas. Sin embargo, tal y como la parte reclamada indica, pese a las implementaciones realizadas no es posible aplicarla a los anuncios anteriores. De manera que, al publicarse en la Plataforma de Contratación del Sector Público el anuncio de la adjudicación de un contrato donde consta el nombre, los apellidos y el DNI completo de la parte reclamante, se está vulnerando el principio de minimización de datos personales que exige que su tratamiento sea adecuado, pertinente y limitado a lo necesario en relación con los fines para los que son tratados, se considera que la parte reclamada al publicar en la Plataforma de Contratación del Sector Público el anuncio de la adjudicación de un contrato, donde consta el nombre, los apellidos y el DNI completo de la parte reclamante, ha vulnerado el artículo 5.1
- c)del RGPD, ya que no resulta necesario indicar en el anuncio de adjudicación el nombre, los apellidos y el DNI completo de la parte reclamante. IV Sanción A fin de determinar la multa administrativa a imponer se han de observar las previsiones del artículo 77 de la LOPDGDD en relación con el Régimen aplicable a determinadas categorías de responsables o encargados del tratamiento, indicando lo siguiente: “1. El régimen establecido en este artículo será de aplicación a los tratamientos de los que sean responsables o encargados:
- a)Los órganos constitucionales o con relevancia constitucional y las instituciones de las comunidades autónomas análogas a los mismos.
- b)Los órganos jurisdiccionales.
- c)La Administración General del Estado, las Administraciones de las comunidades autónomas y las entidades que integran la Administración Local.
- d)Los organismos públicos y entidades de Derecho público vinculadas o dependientes de las Administraciones Públicas.
- e)Las autoridades administrativas independientes.
- f)El Banco de España.
- g)Las corporaciones de Derecho público cuando las finalidades del tratamiento se relacionen con el ejercicio de potestades de derecho público.
- h)Las fundaciones del sector público. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/11
- i)Las Universidades Públicas.
- j)Los consorcios.
- k)Los grupos parlamentarios de las Cortes Generales y las Asambleas Legislativas autonómicas, así como los grupos políticos de las Corporaciones Locales. 2. Cuando los responsables o encargados enumerados en el apartado 1 cometiesen alguna de las infracciones a las que se refieren los artículos 72 a 74 de esta ley orgánica, la autoridad de protección de datos que resulte competente dictará resolución declarando la infracción y estableciendo, en su caso, las medidas que proceda adoptar para que cese la conducta o se corrijan los efectos de la infracción que se hubiese cometido, con excepción de la prevista en el artículo 58.2.i del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016. La resolución se notificará al responsable o encargado del tratamiento, al órgano del que dependa jerárquicamente, en su caso, y a los afectados que tuvieran la condición de interesado, en su caso. 3. Sin perjuicio de lo establecido en el apartado anterior, la autoridad de protección de datos propondrá también la iniciación de actuaciones disciplinarias cuando existan indicios suficientes para ello. En este caso, el procedimiento y las sanciones a aplicar serán las establecidas en la legislación sobre régimen disciplinario o sancionador que resulte de aplicación. Asimismo, cuando las infracciones sean imputables a autoridades y directivos, y se acredite la existencia de informes técnicos o recomendaciones para el tratamiento que no hubieran sido debidamente atendidos, en la resolución en la que se imponga la sanción se incluirá una amonestación con denominación del cargo responsable y se ordenará la publicación en el Boletín Oficial del Estado o autonómico que corresponda. 4. Se deberán comunicar a la autoridad de protección de datos las resoluciones que recaigan en relación con las medidas y actuaciones a que se refieren los apartados anteriores. 5. Se comunicarán al Defensor del Pueblo o, en su caso, a las instituciones análogas de las comunidades autónomas las actuaciones realizadas y las resoluciones dictadas al amparo de este artículo. 6. Cuando la autoridad competente sea la Agencia Española de Protección de Datos, esta publicará en su página web con la debida separación las resoluciones referidas a las entidades del apartado 1 de este artículo, con expresa indicación de la identidad del responsable o encargado del tratamiento que hubiera cometido la infracción. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/11 Cuando la competencia corresponda a una autoridad autonómica de protección de datos se estará, en cuanto a la publicidad de estas resoluciones, a lo que disponga su normativa específica. V Responsabilidad Establece la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público, en el Capítulo III relativo a los “Principios de la Potestad sancionadora”, en el artículo 28 la bajo la rúbrica “Responsabilidad”, lo siguiente: “1. Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas, así como, cuando una Ley les reconozca capacidad de obrar, los grupos de afectados, las uniones y entidades sin personalidad jurídica y los patrimonios independientes o autónomos, que resulten responsables de los mismos a título de dolo o culpa.” Considerando los factores expuestos, a los efectos previstos en el artículo 64.2
- b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, la sanción que corresponde por los hechos que motivan la incoación del procedimiento y su posible calificación sería de multa administrativa. No obstante, de acuerdo con el artículo 83.7 del RGPD, y lo dispuesto por el artículo 77.2 de la LOPDGDD, por la categoría del sujeto presuntamente responsable de la infracción, dicha sanción se sustituiría por la declaración de la infracción. A la vista de lo expuesto se procede a PRIMERO: DECLARAR que A.A.A., con NIF S3933002B, ha infringido lo dispuesto en el Artículo 5.1.
- c)del RGPD, infracción tipificada en el Artículo 83.5 del RGPD. SEGUNDO: NOTIFICAR la presente resolución a A.A.A.. TERCERO: COMUNICAR la presente resolución al Defensor del Pueblo, de conformidad con lo establecido en el artículo 77.5 de la LOPDGDD. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/11 día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
- a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-16012024 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es