1/4 Expediente nº.: EXP202210702 RESOLUCIÓN DE RECURSO DE REPOSICIÓN Examinado el recurso de reposición interpuesto por Don A.A.A. (en lo sucesivo, la parte recurrente) contra la resolución dictada por la Directora de la Agencia Española de Protección de Datos de fecha 20 de septiembre de 2023, y en base a los siguientes: HECHOS PRIMERO: Con fecha 20 de septiembre de 2023, se dictó resolución por la Directora de la Agencia Española de Protección de Datos en el expediente EXP202210702, procediéndose al archivo de las actuaciones previas de investigación. Dicha resolución fue notificada a la parte recurrente en fecha 21 de septiembre de 2023 según consta en el acuse de recibo que figura en el expediente. SEGUNDO: La parte recurrente ha presentado en fecha 20 de octubre de 2023, en esta Agencia Española de Protección de Datos, recurso de reposición, fundamentándolo básicamente en que el consentimiento facilitado al Club Balonmano Gijón lo firmó el 2 de enero de 2021, y las imágenes publicadas de su hija menor corresponden a la temporada 2019-2020. Además, aparecen premarcadas las casillas de consentimiento para envío de publicidad y de publicación de datos personales en redes sociales. Insiste en que el Ayuntamiento de Gijón tiene un error en el RAT de las actividades deportivas al considerar como causa de legitimación el consentimiento ya que no se obtiene lícitamente. No se habría analizado bien la necesidad de Evaluación de Impacto. Tampoco serían adecuadas las medidas de seguridad y la falta de notificación de la quiebra de seguridad sufrida al reclamante. No se habría producido ningún problema si se hubiese seguido el procedimiento dándole trámite de audiencia. FUNDAMENTOS DE DERECHO I Competencia Es competente para resolver el presente recurso la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo LPACAP) y el artículo 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD). II Contestación a las alegaciones presentadas C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/4 En relación con las manifestaciones efectuadas por la parte recurrente, cabe señalar lo siguiente: las actuaciones ahora recurridas archivan la reclamación acerca de las actuaciones del Ayuntamiento de Gijón. En la misma se señalaba lo siguiente: “En relación con información del Registro de Actividades de tratamiento. En fecha 23 de febrero de 2023, desde la Inspección de Datos se accede a la dirección web ***URL.1 del Ayuntamiento procediendo a la descarga del documento INVENTARIO DEL REGISTRO DE ACTIVIDADES DE TRATAMIENTO DE DATOS PERSONALES del Ayuntamiento de Gijón; también disponible en la dirección “Inventario del Registro de Actividades de Tratamiento de Datos Personales en la Administración Municipal de Gijón/Xixón. (Ayuntamiento de Gijón/Xixón, sus Organismos Autónomos y las Empresas Municipales de Desarrollo y Promoción Económica (Centro Municipal de Empresas de Gijón/Xixón, Divertia Gijón/Xixón y Empresa Municipal de la Vivienda de Gijón/Xixón), en fecha 16 de junio de 2021” aportada por el reclamante. En el documento descargado se encuentra el tratamiento SERVICIOS DEPORTIVOS con la finalidad de “Gestión de información, programas y prestación de servicios deportivos”. En el apartado de Base Jurídica o licitud de la actividad de tratamiento figuran los artículos 6.1.a), 6.1.c), 6.1.
- d)y 6.1.
- e)y 9.2.
- a)RGPD; artículo 8 LOPD junto con otra Normativa específica. Entre las categorías de datos figura: “Otra información necesaria para las actividades (como autorizaciones para menores de edad)”. Respecto de la brecha de seguridad: Con fecha 22 de abril de 2022 se realizó una notificación inicial a la AEPD de (…) detectada el 19 de abril de 2022. El 3 de junio de 2022, se realiza una notificación completa en la que se aporta un informe sobre la brecha. En dicho informe figura: Con fecha 20 de abril de 2022, se reúne de urgencia el Comité de la Seguridad de la Información y Privacidad, acordando constituirse formalmente como “Comité de Crisis de respuesta al incidente de seguridad del 19 de abril de 2022. (…) Resumen general de las principales medidas de contención: (…) Evaluación de impacto. El Ayuntamiento manifiesta que según “el art. 35 RGPD, Considerando 84 RGPD; art. 28 RGPD y las listas orientativas publicadas por la AEPD en relación con los tratamientos de datos que requieren una EIPD el tratamiento no cumple con las condiciones para la realización de evaluaciones de impacto, no suponiendo un alto riesgo para los derechos y libertades de las personas afectadas”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/4 III Conclusión En consecuencia, en el presente recurso de reposición, la parte recurrente no ha aportado nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada que archiva las actuaciones objeto de reclamación frente al Ayuntamiento de Gijón. No obstante, las actuaciones previas de investigación si han detectado una presunta actuación contraria a la normativa de protección de datos por parte del Club Balonmano Gijón; por lo que esta Agencia analizará la procedencia de iniciar procedimiento sancionador sancionador al Club. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por Don A.A.A. contra la resolución de esta Agencia Española de Protección de Datos dictada con fecha 20 de septiembre de 2023, en el expediente EXP202210702. SEGUNDO: NOTIFICAR la presente resolución a Don A.A.A.. De conformidad con lo establecido en el artículo 50 de la LOPDPGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDPGDD, y de acuerdo con lo establecido en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), los interesados podrán interponer recurso contencioso-administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
- a)LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada LPACAP. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 181-111122 Mar España Martí C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/4 Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es