← España

PS-00606-2021

1/11  Expediente N.º: PS/00606/2021 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: En fecha 20 de mayo de 2021, la Subdirección General de Inspección de Datos (SGID) recibió para su valoración, un escrito de notificación de brecha de seguridad de los datos personales remitido por ABAY ANALISTAS ECONOMICOS, S.L. con NIF B84166362, recibido en fecha 16 de marzo de 2021, en el que informaba a la Agencia Española de Protección de Datos de lo siguiente: Como consecuencia de un incendio sufrido en las instalaciones del proveedor de servicios OVH, ubicada en Francia, en los que se alojaban las copias de seguridad de la entidad, la información contenida en los mismos resultó comprometida en cuanto a su disponibilidad. Actualmente se está trabajando en la recuperación de una copia de seguridad para la continuidad de la actividad. SEGUNDO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: ENTIDADES INVESTIGADAS Durante las presentes actuaciones se han investigado las siguientes entidades: ABAY ANALISTAS ECONOMICOS, SL con NIF B84166362 con domicilio en C/ NANCLARES DE OCA, 1, PORTAL F, PISO 1, PTA. E - 28022 MADRID AICOR CONSULTORES INFORMÁTICOS S.L.U., con CIF B14607725 y domicilio social en C/ Turquesa 9E — Polígono Industrial El Granadal, 14014 CÓRDOBA RESULTADO DE LAS ACTUACIONES DE INVESTIGACIÓN Respecto a la entidad en la que se ha producido la brecha de seguridad (OVH): OVH es una entidad francesa, con establecimiento principal en Francia (también tiene sede en España a través de su filial OVH Hispano S.L.), lo que supone que la incidencia tiene carácter transfronterizo, motivo por el cual se ha verificado que en el “Sistema de Información del Mercado Interior” (en lo sucesivo IMI), regulado por el Reglamento (UE) nº 1024/2012, del Parlamento Europeo y del Consejo, de 25 de octubre de 2012 (Reglamento IMI) y que tiene como objeto favorecer la cooperación administrativa transfronteriza, la asistencia mutua entre los Estados miembros y el intercambio de información, consta que existe un caso registrado por la autoridad francesa (Número: 185921 Artículo 56: Identificación de la ACP y las AC) en el que C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/11 esta se declara autoridad de control principal, siendo por tanto dicha autoridad la competente para la investigación relativa a OVH. Con fechas 25 de mayo y 23 de junio de 2021 se solicitó información a ABAY. De las respuestas recibidas y de la documentación aportada junto a la notificación de la brecha se desprende lo siguiente: Respecto de las empresas: Junto a la notificación de la brecha de seguridad de datos personales ABAY aporta un informe elaborado por AICOR CONSULTORES INFORMÁTICOS S.L.U., en adelante AICOR, en el que ponen de manifiesto lo siguiente: Mediante contrato de fecha 26 de octubre de 2017, AICOR presta servicio de alojamiento, gestión y mantenimiento de programa informático para clientes finales de ABAY, entre los que se encuentra Fundación ONCE. Con fecha 4 de julio de 2018 y en el marco de la anterior relación, AICOR suscribe contrato de Encargo de Tratamiento con ABAY, en el que se detallan las condiciones de prestación del servicio, estando expresamente admitido el almacenamiento de soportes o copias de seguridad en sede distinta a la del encargado, siempre que no implique acceso a los datos por terceros no autorizados. AICOR para prestar servicio de alojamiento y mantenimiento a sus clientes tiene contratado con OVH espacio de alojamiento en sus diferentes Data Center ubicados en la Unión Europea, a través de los que cumple sus compromisos empresariales. ABAY es una consultora especializada en el desarrollo de metodologías y análisis sobre temas económicos y sociales y ocupa la figura de encargado del tratamiento de la entidad Responsable del tratamiento, Fundación ONCE. Aportan copia del contrato de prestación de servicios suscrito entre ABAY y Fundación ONCE de fecha 29 de enero de 2021, que incluye, entre otras, las siguientes cláusulas: “SÉPTIMA. - PROTECCIÓN DE DATOS DE CARÁCTER PERSONAL. (…) 2. Identificación de la información afectada. Para la ejecución de las prestaciones derivadas del cumplimiento del objeto de este encargo, el responsable del tratamiento pone a disposición del CONSULTOR, encargado del tratamiento, la información que se describe a continuación: • Nombre y Apellidos / Documento Nacional de Identidad • Dirección postal. • Discapacidad: grado y tipo. • Género / Edad • Estar en activo o no laboralmente. • Situación familiar. • Renta mensual. • Obtención o no de una prestación económica. (…) 4. Obligaciones del encargado del tratamiento (…) E. Subcontratación. No subcontratar ninguna de las prestaciones que formen parte del objeto de este contrato que comporten el tratamiento de datos personales, salvo los C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/11 servicios auxiliares necesarios para el normal funcionamiento de los servicios del encargado. Si fuera necesario subcontratar algún tratamiento, este hecho se deberá comunicar previamente y por escrito al responsable, con una antelación de cinco días hábiles, indicando los tratamientos que se pretende subcontratar e identificando de forma clara e inequívoca la empresa subcontratista y sus datos de contacto.” Así mismo, ABAY tiene suscrito un contrato de prestación de servicios con la entidad AICOR. Aportan copia del contrato de encargado del tratamiento suscrito el día 4 de julio de 2018, en el que se detallan las condiciones de prestación del servicio. El contrato incluye, entre otras, las siguientes cláusulas: “PRIMERA- OBJETO DEL CONTRATO. El RT (responsable del Tratamiento), en cuanto tal y de conformidad con la normativa vigente, autoriza al ET (Encargado del Tratamiento), que acepta, para que, por medio de cualquiera de sus socios o empleados, tenga acceso a los datos de carácter personal ut supra indicados y para el cumplimiento de lo estipulado, el RT proporcionará, por cualquier medio seguro, al ET, dicho acceso. SEGUNDA- ENCARGADO DEL TRATAMIENTO DE DATOS. Como consecuencia de la autorización de acceso dispuesta en la estipulación anterior, todos los socios y empleados de la entidad ET, que tengan acceso a los datos objeto de este contrato, quedarán vinculados por los deberes y obligaciones inherentes a todo ET conforme a lo dispuesto en la normativa nacional sobre la materia y en concreto el art 28.3

  1. b)del Reglamento Europeo de Protección de Datos 2016/679, de 27 de abril. CUARTA- PROHIBICIÓN DE COMUNICACIÓN DE DATOS El ET asume expresamente la obligación de no comunicar a otras personas, físicas o jurídicas, los datos incluidos en los Tratamientos antes mencionados j ni siquiera a efectos de conservación de los datos o para la realización y mantenimiento de copias de seguridad de estos (backup). Se exceptúan aquellos supuestos de depósito o almacenamiento de soportes o copias de seguridad en sede distinta a la del ETI siempre que no impliquen un acceso a los datos por parte de terceros no autorizados. Sin embargo, RT autoriza expresamente al ET a subcontratar con un tercero la prestación de servicios que se contemplan en este contrato y que puedan requerir el acceso del tercero a datos titularidad de RT, siempre que ET suscriba con el subcontratista el Contrato de Confidencialidad que contemple las obligaciones de la normativa nacional vigente y el art.28.4 del Reglamento Europeo de Protección de Datos 2016/679 de 27 de abril” En relación con el contrato de encargado de tratamiento suscrito con OVH HISPANO S.L.U., en adelante OVH, se trata de contratación electrónica. El proveedor tiene publicada en su página web un repositorio de contratación relativa a los productos ofrecidos en los que se describen los derechos y obligaciones de las partes. Aportan los siguientes documentos: - Correos electrónicos remitidos por OVH confirmando la contratación de los servidores y los datos de acceso. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/11 - Condiciones generales de servicio de alojamiento. - Contrato de encargo de tratamiento acorde con el art. 28 del Reglamento General de Protección de Datos 2016/679 de 27 de abril. AICOR comunicó a ABAY esta subcontratación con OVH del servicio de alojamiento de sus servidores según se desprende de los siguientes documentos aportados por el primero: - Correo electrónico remitido por R.R.R. del departamento de producto y comunicación de AICOR a S.S.S. de ABAY de fecha 11 de junio de 2019 en que se informaba sobre el alojamiento de la plataforma en servidores de OVH y resto de características técnicas y medidas de seguridad aplicables. - Correo electrónico remitido por R.R.R. a S.S.S. en que se adjunta a su petición documentos informativos del alojamiento y medidas de seguridad de fecha 17 de junio de 2019. - Dos documentos específicos de información de las características de Hosting y Seguridad de los alojamientos con sello corporativo de AICOR que fueron remitidos a ABAY el 17 de junio de 2019. (…) Por último, manifiestan que el incidente de seguridad sufrido conllevó un análisis de la necesidad de notificación. En fecha 13 de marzo de 2021, por parte de OVH se comunica a AICOR la total afectación de los servidores contratados por el incendio producido, calificando los mismos como no recuperables, por lo que la notificación se efectuó en el plazo exigido. TERCERO: En fecha 4 de mayo de 2022, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la entidad investigada, con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por la presunta infracción del artículo 28 del RGPD, tipificada en el artículo 83.4 del RGPD. El acuerdo de inicio fue enviado, conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), mediante notificación electrónica, siendo recibido en fecha 5 de mayo de 2022, como consta en el certificado que obra en el expediente. CUARTO: Notificado el citado acuerdo de inicio, la entidad investigada presentó escrito de alegaciones en el que, en síntesis, manifestaba que la entidad Fundación ONCE era conocedora de la contratación de esta tercera entidad, así como de las gestiones efectuadas con motivo de la prestación del servicio. En prueba de ello, aporta capturas de los diferentes correos intercambiados entre las entidades, así como el reconocimiento de esta gestión con la tercera empresa, por parte de la entidad Fundación ONCE. QUINTO: En fecha 14 de junio de 2022, se formuló propuesta de resolución, proponiendo: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/11 << Que por la Directora de la Agencia Española de Protección de Datos se dirija un apercibimiento a ABAY ANALISTAS ECONOMICOS, SL, con NIF B84166362, por una infracción del artículo 28.2 del RGPD, tipificada en el artículo 83.4 del RGPD y ordene la implantación de las medidas correctoras que impidan que en el futuro se repitan hechos similares, tales como recabar del responsable la pertinente autorización en caso de proceder a contratar a un subencargado.>> La citada propuesta de resolución fue enviada, conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), mediante notificación electrónica, siendo recibida en fecha 14 de junio de 2022, como consta en el certificado que obra en el expediente. SEXTO: La entidad investigada no ha presentado alegaciones a la Propuesta de Resolución. A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes, HECHOS PROBADOS PRIMERO: Consta que en fecha 20 de mayo de 2021, la Subdirección General de Inspección de Datos (SGID) recibió para su valoración, un escrito de notificación de brecha de seguridad de los datos personales remitido por ABAY ANALISTAS ECONOMICOS, S.L., en el que informaba a la Agencia Española de Protección de Datos de un incendio sufrido en las instalaciones del proveedor de servicios, en los que se alojaban las copias de seguridad de la entidad, por lo que la información contenida en los mismos resultó comprometida en cuanto a su disponibilidad. SEGUNDO: ABAY es una consultora especializada en el desarrollo de metodologías y análisis sobre temas económicos y sociales y ocupa la figura de encargado del tratamiento de la entidad Responsable del tratamiento, Fundación ONCE. TERCERO: A su vez, AICOR prestaba servicio de alojamiento, gestión y mantenimiento de programa informático para clientes finales de ABAY, entre los que se encuentra Fundación ONCE. Con ello ejercía funciones de subencargado del tratamiento. CUARTO: De las actuaciones de información previa se desprende que la entidad ABAY ANALISTAS ECONOMICOS, S.L., en calidad de encargada del tratamiento, no ha solicitado autorización a la entidad responsable del tratamiento, Fundación ONCE, para realizar la contratación con AICOR CONSULTORES INFORMÁTICOS S.L.U., en calidad de subencargado. QUINTO: La entidad investigada afirma que al no efectuar esta comunicación formal de forma fehaciente que requiere la normativa y, siendo conscientes de esta exigencia, en la nueva contratación efectuada han procedido a la comunicación de esta circunstancia. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/11 FUNDAMENTOS DE DERECHO I De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento, la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos.” II En respuesta a las alegaciones presentadas por la entidad investigada al acuerdo de inicio se debe señalar lo siguiente: El artículo 28.2 del RGPD señala que: “2. El encargado del tratamiento no recurrirá a otro encargado sin la autorización previa por escrito, específica o general, del responsable. En este último caso, el encargado informará al responsable de cualquier cambio previsto en la incorporación o sustitución de otros encargados, dando así al responsable la oportunidad de oponerse a dichos cambios.” Esto implica que se requerirá autorización previa y por escrito para que el encargado del tratamiento pueda recurrir a otro encargado, y que dicha autorización puede ser específica (con indicación de la entidad subcontratada) o general. Sólo en este último supuesto, ya existiendo autorización general por parte del responsable del tratamiento, es cuando se ha de informar de cambios en la incorporación o sustitución de otros encargados, respecto de la cual, además, puede oponerse el responsable del tratamiento (por ejemplo, si no reúne las medidas técnicas u organizativas que se fijaron en la autorización general). De lo anterior, se concluye que la autorización previa siempre es obligatoria. La autorización previa a la subcontratación de encargados debe evaluar, en todo caso y entre otras cuestiones, las condiciones técnicas y organizativas con las que cuenta el encargado del tratamiento para llevar a cabo el contrato. Tal y como está configurada en el artículo 28.2 del RGPD, no es una simple comunicación de índole formal, sino que constituye un verdadero requisito material de cumplimiento del RGPD. Requisito este que Abay afirma no haber efectuado y, siendo conscientes de esta exigencia, expone que, en la nueva contratación efectuada, han procedido a la comunicación de esta circunstancia. Asimismo, desde F. ONCE se afirma que eran conocedores de que AICOR era subencargado a fecha marzo 2021, pero el art. 28.2 RGPD exige C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/11 autorización previa y por escrito para la subcontratación, con lo que este correo no sería suficiente para exculpar al responsable. De la documentación que obra en el expediente, no existe ninguna autorización ni mucho menos con carácter previo. Solo una declaración del responsable (F. ONCE), hecha a posteriori, de que conocía la situación. Pero eso no basta para cumplir el artículo 28.2 del RGPD. Por último, en relación con el otro correo electrónico que adjuntan de fecha de febrero de 2022, que se refiere a otro subencargado posterior, tampoco se acredita que se haya cumplido el requisito del artículo 28.2, ya que es una mera comunicación al responsable y no una solicitud de autorización. En consecuencia, las alegaciones deben ser desestimadas, significándose que las argumentaciones presentadas no desvirtúan el contenido esencial de la infracción que se declara cometida ni suponen causa de justificación o exculpación suficiente. III Artículo 28.2 del RGPD Se imputa a la entidad investigada ABAY ANALISTAS ECONOMICOS, S.L. con NIF B84166362, la comisión de una infracción por vulneración del artículo 28.2 del RGPD, que señala que: “2. El encargado del tratamiento no recurrirá a otro encargado sin la autorización previa por escrito, específica o general, del responsable. En este último caso, el encargado informará al responsable de cualquier cambio previsto en la incorporación o sustitución de otros encargados, dando así al responsable la oportunidad de oponerse a dichos cambios. “ Para permitir al encargado de un tratamiento recurrir a otro encargado, el RGPD recoge la necesidad de una autorización previa, por escrito, del responsable, pudiendo ser esta específica o general. Si bien con la existencia de una autorización específica es suficiente para proceder a la subcontratación, no ocurre lo mismo con una autorización general, pues con el fin de que el responsable pueda oponerse, es necesario informar a éste de cualquier cambio previsto en la incorporación o sustitución de otros encargados. En el supuesto de la autorización general, la información es esencial, pues permite oponerse el responsable del tratamiento a la subcontratación pretendida (por ejemplo, si no reúne las medidas técnicas u organizativas que se fijaron en la autorización general). En el presente caso, la entidad ABAY ANALISTAS ECONOMICOS, S.L. en calidad de encargada del tratamiento, no ha solicitado autorización a la entidad responsable del tratamiento, Fundación ONCE, para realizar la contratación con AICOR CONSULTORES INFORMÁTICOS S.L.U., en calidad de subencargado, lo que supone la vulneración del art. 28.2 del RGPD, infracción tipificada en el art. 83.4.
  2. a)de dicha norma. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/11 IV Tipificación de la infracción del artículo 28 del RGPD La infracción se tipifica en el artículo 83.4.
  3. a)del RGPD según el cual: “4. Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 10.000.000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 2 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
  4. a)las obligaciones del responsable y del encargado a tenor de los artículos 8, 11, 25 a 39, 42 y 43; …>.” A efectos del plazo de prescripción de las infracciones, el artículo 73 de la LOPDGDD, bajo la rúbrica “Infracciones consideradas graves”, establece lo siguiente: “En función de lo que establece el artículo 83.4 del Reglamento (UE) 2016/679 se consideran graves y prescribirán a los dos años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes: (…)
  5. l)La contratación por un encargado del tratamiento de otros encargados sin contar con la autorización previa del responsable, o sin haberle informado sobre los cambios producidos en la subcontratación cuando fueran legalmente exigibles.” En el presente caso, concurren las circunstancias infractoras previstas en el artículo 83.4 del RGPD, arriba transcrito. V Responsabilidad Establece la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público, en el Capítulo III relativo a los “Principios de la sancionadora”, en el artículo 28 la bajo la rúbrica “Responsabilidad”, lo siguiente: “1. Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas, así como, cuando una Ley les reconozca capacidad de obrar, los grupos de afectados, las uniones y entidades sin personalidad jurídica y los patrimonios independientes o autónomos, que resulten responsables de los mismos a título de dolo o culpa.” El artículo 70 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales, señala lo siguiente: Artículo 70. Sujetos responsables. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/11 “1. Están sujetos al régimen sancionador establecido en el Reglamento (UE) 2016/679 y en la presente ley orgánica:
  6. a)Los responsables de los tratamientos.
  7. b)Los encargados de los tratamientos.
  8. c)Los representantes de los responsables o encargados de los tratamientos no establecidos en el territorio de la Unión Europea.
  9. d)Las entidades de certificación.
  10. e)Las entidades acreditadas de supervisión de los códigos de conducta. 2. No será de aplicación al delegado de protección de datos el régimen sancionador establecido en este Título.” VI Sanción El artículo 58.2 del RGPD dispone: “Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación:
  11. b)dirigir a todo responsable o encargado del tratamiento un apercibimiento cuando las operaciones de tratamiento hayan infringido lo dispuesto en el presente Reglamento;
  12. d)ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado;” Sin perjuicio de lo establecido en el artículo 83.5, apartados
  13. a)y b), del RGPD, en su art. 58.2
  14. b)dispone la posibilidad de sancionar con apercibimiento, en relación con lo señalado en el Considerando 148: "En caso de infracción leve, o si la multa que probablemente se impusiera constituyese una carga desproporcionada para una persona física, en lugar de sanción mediante multa puede imponerse un apercibimiento. Debe no obstante prestarse especial atención a la naturaleza, gravedad y duración de la infracción, a su carácter intencional, a las medidas tomadas para paliar los daños y perjuicios sufridos, al grado de responsabilidad o a cualquier infracción anterior pertinente, a la forma en que la autoridad de control haya tenido conocimiento de la infracción, al cumplimiento de medidas ordenadas contra el responsable o encargado, a la adhesión a códigos de conducta y a cualquier otra circunstancia agravante o atenuante." En el presente caso, atendiendo a la diligencia llevada a cabo por la entidad investigada en lo referente a la notificación sin dilación indebida de la brecha de seguridad a esta Agencia Española de Protección de Datos y las acciones tomadas tendentes a minimizar las consecuencias negativas de la citada brecha de seguridad, permite considerar una disminución de la culpa en los hechos, por lo que se considera conforme a Derecho, no imponer sanción consistente en multa administrativa y C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/11 sustituirla por la sanción de apercibimiento, de conformidad con el artículo 76.3 de la LOPDGDD en relación con el articulo 58.2
  15. b)del RGPD. VII Medidas Asimismo, procede imponer la medida correctiva descrita en el artículo 58.2.
  16. d)del RGPD y ordenar a la entidad investigada que establezca las medidas de seguridad adecuadas para que se adecúen los tratamientos a la exigencia contemplada en el artículo 28 del RGPD, impidiendo que se produzcan situaciones similares en el futuro. En el texto de la resolución se establecen cuáles han sido las infracciones cometidas y los hechos que han dado lugar a la vulneración de la normativa de protección de datos, de lo que se infiere con claridad cuáles son las medidas a adoptar, sin perjuicio de que el tipo de procedimientos, mecanismos o instrumentos concretos para implementarlas corresponda a la parte sancionada, pues es el responsable del tratamiento quien conoce plenamente su organización y ha de decidir, en base a la responsabilidad proactiva y en enfoque de riesgos, cómo cumplir con el RGPD y la LOPDGDD. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DIRIGIR a ABAY ANALISTAS ECONOMICOS, SL, con NIF B84166362, por una infracción del artículo 28 del RGPD, tipificada en el artículo 83.4 del RGPD, un apercibimiento. SEGUNDO: REQUERIR a ABAY ANALISTAS ECONOMICOS, SL, que implante las medidas correctoras necesarias para adecuar su actuación a la normativa de protección de datos personales, que impidan que en el futuro se repitan hechos similares, tales como recabar del responsable la pertinente autorización en caso de proceder a contratar un subencargado. TERCERO: NOTIFICAR la presente resolución a ABAY ANALISTAS ECONOMICOS, SL. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/11 día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
  17. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-120722 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.