1/11 Expediente N.º: EXP202310894 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 30 de junio de 2023 se interpuso reclamación ante la Agencia Española de Protección de Datos por una posible infracción imputable a la GERENCIA MUNICIPAL DE URBANISMO DE MÓSTOLES con NIF Q2801650I (en adelante, GERENCIA o parte reclamada). Los hechos que se pone en conocimiento de esta autoridad son los siguientes: El 05/04/21 la parte reclamante presentó ante la parte reclamada un escrito en el que solicitaba que se modificara el perfil profesional de su puesto de trabajo, aduciendo que realizaba unas funciones que no venían reflejadas entre las funciones asignadas al puesto de trabajo desempeñado. En el citado escrito describía que realizaba dichas funciones como consecuencia de la jubilación de un compañero. El escrito se encontraba dirigido a la parte reclamada. El 25/04/23 la parte reclamante recibió una citación para declarar como testigo en un procedimiento laboral, adjuntándose a la misma la demanda interpuesta por un tercero. Al leer la demanda, el reclamante apreció que la parte demandante aportó como prueba el escrito que presentó ante la parte reclamada el 05/04/21. El 28/04/23 la parte reclamante presentó un escrito ante la GERENCIA en el que exponía los hechos acaecidos y solicitaba que le informasen del procedimiento y norma que habilitaba la entrega a un tercero del escrito presentado por él a la parte reclamada y antes mencionado. A su vez, solicitaba que se identificase a la persona responsable del expediente en el que figura su escrito. El 31/05/23 presentó ante el delegado de protección de datos de la parte reclamada un escrito en el que exponía los hechos descritos en el escrito remitido a la GERENCIA. Según afirma el reclamante, los escritos presentados ante la GERENCIA y ante el delegado de protección de datos no han sido contestados. Junto a la reclamación aporta el escrito presentado para solicitar la reclasificación de su puesto de trabajo, la citación judicial, la demanda formulada por un tercero y los escritos remitidos a la Gerencia y al delegado de protección de datos referidos anteriormente. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la GERENCIA C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/11 MUNICIPAL DE URBANISMO DE MÓSTOLES, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. La actuación de traslado y solicitud de información se notificó a la parte reclamada en fecha 5 de octubre de 2023, a través de medios electrónicos, conforme a lo dispuesto en el artículo 43 de la LPACAP. Transcurrido el plazo concedido al efecto, la parte reclamada no ha dado repuesta a la actuación de traslado y solicitud de información notificada. TERCERO: Con fecha 30 de septiembre de 2023, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación. CUARTO: Con fecha 25 de marzo de 2025, la Presidencia de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, por la presunta infracción del artículo 6 del RGPD, tipificada en el artículo 83.5.
- a)del RGPD. QUINTO: Con fecha 8 de abril de 2025 la GERENCIA presentó escrito ante la AEPD por el que solicitaba prueba testifical dirigida al tercero que presuntamente utilizo el escrito que había presentado el reclamante ante la Gerencia Municipal de Urbanismo y del cual trae causa este procedimiento sancionador, para que indique quien es la persona o personas que le facilitaron la documentación que posteriormente él presentó en juicio Dicho escrito fue objeto de respuesta por la instructora del procedimiento mediante escrito de con fecha 23 de abril de 2025 por el que se le requería a la GERENCIA a que: En el plazo máximo de DIEZ DÍAS HÁBILES, contados a partir del día siguiente a la recepción de la presente notificación, informe sobre el objeto o las circunstancias de hecho a las que se referiría el testimonio propuesto, de modo que pueda determinarse si el mismo resulta procedente o necesario para la decisión del procedimiento, conforme a lo establecido en el citado artículo 77 de la LPACAP. A tal efecto, se solicita se aporte el detalle de las preguntas que pretende plantear al testigo y justifique cómo puede influir la práctica de esta prueba para la resolución del procedimiento sancionador. Asimismo, se solicita que aporte la dirección postal actual de dicho testigo a la que poder remitir, en su caso, el pliego de preguntas que se estime procedente. De no aportarse la información requerida en el plazo señalado y de conformidad con lo previsto en el artículo 73 de la LPACAP, se le podrá declarar decaído en su derecho al trámite correspondiente. En respuesta al mencionado requerimiento la GERENCIA señaló que, con la prueba solicitada “trata de acreditar que la denuncia formulada tiene su origen no en una actuación administrativa (…) sino que tienen su origen en un tercero ajeno a la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/11 Gerencia, ya sea dando copia por el propio interesado a alguien, por sustracción o por actuación indebida de un trabajador de la entidad”. El documento contenía una serie de preguntas cuya formulación se proponía, pero no incluía dirección del testigo al que, según la reclamada, requería practicar prueba testifical. En respuesta al escrito anterior, la instructora del procedimiento remitió escrito a la GERENCIA en el que, además de reflejar el contenido de la respuesta al requerimiento realizado a la reclamada y analizar los hechos objeto del presente expediente sancionador, recordando que la GERENCIA es la responsable de garantizar el tratamiento legítimo de los datos de carácter personal de los que es responsable, concluía que Recordemos que las pruebas que sean practicadas han de ser esenciales para la resolución que deba adoptarse. En este sentido se pronuncia el Tribunal Constitucional en su STC 169/2015 en la que se indica lo siguiente: Según reiterada doctrina constitucional, para apreciar lesión del derecho a utilizar los medios de prueba pertinentes para la defensa (art. 24.2 CE) es necesario que la prueba interesada y no practicada resulte decisiva en términos de defensa Por lo tanto, de acuerdo con lo dispuesto en el artículo 77.3 de la LPACAP y tras la respuesta al requerimiento de la presente autoridad, la propuesta de prueba testifical realizada se deniega atendiendo a su falta de pertinencia para la valoración jurídica de los hechos objeto de este expediente. SEXTO: Notificado el citado acuerdo de inicio conforme a las normas establecidas en la LPACAP y transcurrido el plazo otorgado para la formulación de alegaciones, se ha constatado que no se ha recibido alegación alguna por la parte reclamada. El artículo 64.2.
- f)de la LPACAP -disposición de la que se informó a la parte reclamada en el acuerdo de apertura del procedimiento- establece que si no se efectúan alegaciones en el plazo previsto sobre el contenido del acuerdo de iniciación, cuando éste contenga un pronunciamiento preciso acerca de la responsabilidad imputada, podrá ser considerado propuesta de resolución. En el presente caso, el acuerdo de inicio del expediente sancionador determinaba los hechos en los que se concretaba la imputación, la infracción del RGPD atribuida a la reclamada y la sanción que podría imponerse. Por ello, tomando en consideración que la parte reclamada no ha formulado alegaciones al acuerdo de inicio del expediente y en atención a lo establecido en el artículo 64.2.
- f)de la LPACAP, el citado acuerdo de inicio es considerado en el presente caso propuesta de resolución. A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/11 HECHOS PROBADOS PRIMERO: El 5 de abril de 2021, la parte reclamante presentó ante la parte reclamada un escrito en el que solicitaba que se modificara el perfil profesional de su puesto de trabajo, aduciendo que realizaba unas funciones que no venían reflejadas entre las funciones asignadas al puesto de trabajo desempeñado. En el citado escrito describía que realizaba dichas funciones como consecuencia de la jubilación de un compañero. El escrito se encontraba dirigido a la GERENCIA MUNICIPAL DE URBANISMO DE MÓSTOLES. SEGUNDO: El 25 de abril de 2023, la parte reclamante recibió una citación para declarar como testigo en un procedimiento laboral, a la que se adjuntaba la demanda interpuesta por un tercero. En dicho escrito de demanda se identificaba al reclamante, el puesto desempeñado por el mismo en la GERENCIA, la fecha del documento y su nº de registro de entrada. y se aportaba como prueba el escrito que el reclamante presentó ante la GERENCIA el 5 de abril de 2021. TERCERO: El 28 de abril de 2023, la parte reclamante presentó un escrito ante la GERENCIA en el que exponía los hechos acaecidos y solicitaba que le informasen del procedimiento y norma que habilitaba la entrega a un tercero del escrito presentado por él a la parte reclamada y antes mencionado. Asimismo, el 31 de mayo de 2023 presentó ante el delegado de protección de datos de la parte reclamada un escrito en el que exponía los hechos descritos en el escrito remitido a la GERENCIA. No consta respuesta de ninguno de dichos escritos. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." III Cuestiones previas El artículo 4.1) del RGPD, define «dato personal» como: “toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/11 física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona”. El artículo 4.2) del RGPD, define «tratamiento» como: “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción.” El artículo 4.7) del RGPD, define al «responsable del tratamiento» o «responsable» como: “la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros”. En el presente caso, de acuerdo con lo establecido en los artículos 4.1 y 4.2 del RGPD, consta la realización de un tratamiento de datos personales, por parte de la GERENCIA MUNICIPAL DE URBANISMO DE MÓSTOLES toda vez que realiza, entre otros tratamientos, la recogida, conservación y, en el caso que nos ocupa, la cesión a un tercero, de datos personales de personas físicas como el nombre, apellidos y puesto de trabajo desempeñado. La GERENCIA MUNICIPAL DE URBANISMO DE MÓSTOLES realiza esta actividad en su condición de responsable del tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del RGPD. IV Obligación incumplida. Licitud del tratamiento El artículo 6 del RGPD, que regula la licitud del tratamiento, establece lo siguiente: "1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
- a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
- b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
- c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
- d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
- e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/11
- f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
- f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones. 2. Los Estados miembros podrán mantener o introducir disposiciones más específicas a fin de adaptar la aplicación de las normas del presente Reglamento con respecto al tratamiento en cumplimiento del apartado 1, letras
- c)y e), fijando de manera más precisa requisitos específicos de tratamiento y otras medidas que garanticen un tratamiento lícito y equitativo, con inclusión de otras situaciones específicas de tratamiento a tenor del capítulo IX. 3. La base del tratamiento indicado en el apartado 1, letras
- c)y e), deberá ser establecida por:
- a)el Derecho de la Unión, o
- b)el Derecho de los Estados miembros que se aplique al responsable del tratamiento. La finalidad del tratamiento deberá quedar determinada en dicha base jurídica o, en lo relativo al tratamiento a que se refiere el apartado 1, letra e), será necesaria para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento. Dicha base jurídica podrá contener disposiciones específicas para adaptar la aplicación de normas del presente Reglamento, entre otras: las condiciones generales que rigen la licitud del tratamiento por parte del responsable; los tipos de datos objeto de tratamiento; los interesados afectados; las entidades a las que se pueden comunicar datos personales y los fines de tal comunicación; la limitación de la finalidad; los plazos de conservación de los datos, así como las operaciones y los procedimientos del tratamiento, incluidas las medidas para garantizar un tratamiento lícito y equitativo, como las relativas a otras situaciones específicas de tratamiento a tenor del capítulo IX. El Derecho de la Unión o de los Estados miembros cumplirá un objetivo de interés público y será proporcional al fin legítimo perseguido. 4. Cuando el tratamiento para otro fin distinto de aquel para el que se recogieron los datos personales no esté basado en el consentimiento del interesado o en el Derecho de la Unión o de los Estados miembros que constituya una medida necesaria y proporcional en una sociedad democrática para salvaguardar los objetivos indicados en el artículo 23, apartado 1, el responsable del tratamiento, con objeto de determinar si el tratamiento con otro fin es compatible con el fin para el cual se recogieron inicialmente los datos personales, tendrá en cuenta, entre otras cosas:
- a)cualquier relación entre los fines para los cuales se hayan recogido los datos personales y los fines del tratamiento ulterior previsto;
- b)el contexto en que se hayan recogido los datos personales, en particular por lo que respecta a la relación entre los interesados y el responsable del tratamiento;
- c)la naturaleza de los datos personales, en concreto cuando se traten categorías especiales de datos personales, de conformidad con el artículo 9, o datos personales relativos a condenas e infracciones penales, de conformidad con el artículo 10;
- d)las posibles consecuencias para los interesados del tratamiento ulterior previsto; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/11
- e)la existencia de garantías adecuadas, que podrán incluir el cifrado o la seudonimización." En el presente caso, consta en el expediente que el reclamante dirigió un escrito en abril de 2021 a la parte reclamada en el que exponía la situación en la que se encontraba en el desempeño de su puesto de trabajo y, más en concreto, detallaba la asunción de funciones que no se correspondía con exactitud con la categoría y competencias asociadas al puesto formalmente desempeñado. Tal y como se expone en el escrito, dicha situación provenía de la jubilación del trabajador que hasta ahora había realizado las funciones que él había pasado a desempeñar y solicitaba la adecuación- incluyendo la de las retribuciones- del puesto desempeñado a las funciones efectivamente realizadas. Cabe destacar que, en dicho escrito, además de los datos del reclamante, figuran datos del trabajador cuyas funciones empezó a asumir el reclamante, así como de la supervisora responsable de visar el trabajo de éste. Según se indica en la reclamación y figura en la documentación obrante en el expediente, el reclamante fue citado como testigo en un procedimiento judicial de índole laboral entre cuya documentación constaba- por haber sido aportada por la parte denunciante de dicho procedimiento- el escrito remitido por el reclamante a la GERENCIA. Cabe destacar que, según consta en el expediente, el escrito de demanda remitido al reclamante indicaba no sólo la existencia del mencionado escrito de abril de 2021, sino también quién lo había presentado- el reclamante- la fecha de entrada en el registro- 5 de abril de 2021-y el número de registro de entrada- el nº 12.670-. Asimismo, se adjuntaba copia del mismo. Ha de recordarse en este punto que información como el registro de entrada es un dato que queda reflejado de manera habitual en los documentos que tienen entrada en organismos públicos y que son conservados por éstos, como es el caso de la reclamada. Sentado lo anterior, no consta que el tratamiento de datos personales objeto de reclamación- la cesión de la información indicada, esto es, el escrito remitido por el reclamante a la parte reclamada en abril de 2021- contase con ninguna de las bases de legitimación previstas en el artículo 6.1 RGPD antes señalado siendo, como es efectivamente, un tratamiento de datos de carácter personal que afecta, entre otros, al reclamante. Por tanto, de conformidad con las evidencias de que se dispone, se considera que los hechos conocidos son constitutivos de una infracción, imputable a la GERENCIA MUNICIPAL DE URBANISMO DE MÓSTOLES, por vulneración del artículo transcrito anteriormente. V Tipificación de la infracción del artículo 6.1 del RGPD y calificación a efectos de prescripción El artículo 83.5 del RGPD tipifica como infracción administrativa la vulneración del artículo siguiente, que se sancionará, de acuerdo con el apartado 2, con multas administrativas de 20.000.000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/11 "
- a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9;" Por su parte, la LOPDGDD en su artículo 71, Infracciones, señala que: “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A los solos efectos del plazo de prescripción, el artículo 72.1 de la LOPDGDD establece lo siguiente: "En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
- b)El tratamiento de datos personales sin que concurra alguna de las condiciones de licitud del tratamiento establecidas en el artículo 6 del Reglamento (UE) 2016/679." VI Declaración de infracción El artículo 83 “Condiciones generales para la imposición de multas administrativas” del RGPD, en su apartado 7, establece: “Sin perjuicio de los poderes correctivos de las autoridades de control en virtud del artículo 58, apartado 2, cada Estado miembro podrá establecer normas sobre si se puede, y en qué medida, imponer multas administrativas a autoridades y organismos públicos establecidos en dicho Estado miembro.” El artículo 77 “Régimen aplicable a determinadas categorías de responsables o encargados del tratamiento” de la LOPDGDD dispone lo siguiente: “1. El régimen establecido en este artículo será de aplicación a los tratamientos de los que sean responsables o encargados:
- a)Los órganos constitucionales o con relevancia constitucional y las instituciones de las comunidades autónomas análogas a los mismos.
- b)Los órganos jurisdiccionales.
- c)La Administración General del Estado, las Administraciones de las comunidades autónomas y las entidades que integran la Administración Local.
- d)Los organismos públicos y entidades de Derecho público vinculadas o dependientes de las Administraciones Públicas.
- e)Las autoridades administrativas independientes. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/11
- f)El Banco de España.
- g)Las corporaciones de Derecho público cuando las finalidades del tratamiento se relacionen con el ejercicio de potestades de derecho público.
- h)Las fundaciones del sector público.
- i)Las Universidades Públicas.
- j)Los consorcios.
- k)Los grupos parlamentarios de las Cortes Generales y las Asambleas Legislativas autonómicas, así como los grupos políticos de las Corporaciones Locales. 2. Cuando los responsables o encargados enumerados en el apartado 1 cometiesen alguna de las infracciones a las que se refieren los artículos 72 a 74 de esta ley orgánica, la autoridad de protección de datos que resulte competente dictará resolución declarando la infracción y estableciendo, en su caso, las medidas que proceda adoptar para que cese la conducta o se corrijan los efectos de la infracción que se hubiese cometido, con excepción de la prevista en el artículo 58.2.i del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016. La resolución se notificará al responsable o encargado del tratamiento, al órgano del que dependa jerárquicamente, en su caso, y a los afectados que tuvieran la condición de interesado, en su caso. 3. Sin perjuicio de lo establecido en el apartado anterior, la autoridad de protección de datos propondrá también la iniciación de actuaciones disciplinarias cuando existan indicios suficientes para ello. En este caso, el procedimiento y las sanciones a aplicar serán las establecidas en la legislación sobre régimen disciplinario o sancionador que resulte de aplicación. Asimismo, cuando las infracciones sean imputables a autoridades y directivos, y se acredite la existencia de informes técnicos o recomendaciones para el tratamiento que no hubieran sido debidamente atendidos, en la resolución en la que se imponga la sanción se incluirá una amonestación con denominación del cargo responsable y se ordenará la publicación en el Boletín Oficial del Estado o autonómico que corresponda. 4. Se deberán comunicar a la autoridad de protección de datos las resoluciones que recaigan en relación con las medidas y actuaciones a que se refieren los apartados anteriores. 5. Se comunicarán al Defensor del Pueblo o, en su caso, a las instituciones análogas de las comunidades autónomas las actuaciones realizadas y las resoluciones dictadas al amparo de este artículo. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 10/11 6. Cuando la autoridad competente sea la Agencia Española de Protección de Datos, esta publicará en su página web con la debida separación las resoluciones referidas a las entidades del apartado 1 de este artículo, con expresa indicación de la identidad del responsable o encargado del tratamiento que hubiera cometido la infracción. Cuando la competencia corresponda a una autoridad autonómica de protección de datos se estará, en cuanto a la publicidad de estas resoluciones, a lo que disponga su normativa específica.” Este precepto establece que los procedimientos que tengan causa en infracciones en materia de protección de datos personales cometidas por las categorías de responsables o encargados del tratamiento enumerados en su apartado 1 se resolverán, en todo caso, declarando la infracción. A tenor de los hechos expuestos, se considera que corresponde imputar una sanción a la parte reclamada por la vulneración del artículo 6.1 del RGPD tipificada en el artículo 83.5.
- a)del RGPD. La sanción que corresponde imponer es la declaración de infracción. VII Medidas Se advierte que no atender la orden de adopción de medidas impuestas por este organismo en la resolución sancionadora podrá ser considerado como una infracción administrativa conforme a lo dispuesto en el RGPD, tipificada como infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la apertura de un ulterior procedimiento administrativo sancionador. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Presidencia de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR que la GERENCIA MUNICIPAL DE URBANISMO DE MÓSTOLES, con NIF Q2801650I, ha infringido lo dispuesto en el artículo 6.1 del RGPD, infracción tipificada en el artículo 83.5.
- a)del RGPD. SEGUNDO: ORDENAR a la GERENCIA MUNICIPAL DE URBANISMO DE MÓSTOLES, con NIF Q2801650I, que en virtud del artículo 58.2.
- d)del RGPD, en el plazo máximo de UN MES desde que la presente resolución sea firme y ejecutiva, acredite haber adoptado - las medidas adecuadas para garantizar que todo tratamiento de datos personales que realiza y, en particular, la cesión de datos personales objeto de tratamiento, cuenta con una base de legitimación tal y como prescribe el RGPD. SEGUNDO: NOTIFICAR la presente resolución a la GERENCIA MUNICIPAL DE URBANISMO DE MÓSTOLES. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 11/11 TERCERO: COMUNICAR la presente resolución al Defensor del Pueblo, de conformidad con lo establecido en el artículo 77.5 de la LOPDGDD. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública. La publicación se realizará una vez la resolución sea firme en vía administrativa. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
- a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeaepd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-080725 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es