← España

REPOSICION-AI-00330-2024

1/6 Expediente nº.: EXP202309137 RESOLUCIÓN DE RECURSO DE REPOSICIÓN Examinado el recurso de reposición interpuesto por A.A.A. (en lo sucesivo, la parte recurrente) contra la resolución dictada por la Directora de la Agencia Española de Protección de Datos de fecha 11 de septiembre de 2024, y en base a los siguientes HECHOS PRIMERO: Con fecha 11 de septiembre de 2024, se dictó resolución de archivo de actuaciones por la Directora de la Agencia Española de Protección de Datos en el expediente EXP202309137. Dicha resolución fue notificada a la parte recurrente en el mismo día según consta en el acuse de recibo que figura en el expediente. SEGUNDO: La parte recurrente ha presentado en fecha 11 de septiembre de 2024, en esta Agencia Española de Protección de Datos, recurso de reposición, fundamentándolo básicamente en que SEUR GEOPOST, S.L. (en adelante, SEUR GEOPOST o SEUR) no ha adoptado ninguna medida adicional con posterioridad a la presentación de la reclamación y, asegura que no se le ha hecho entrega del envío, contrariamente a lo indicado por SEUR, por lo que entiende que no procede la aplicación del artículo 65.6 LOPDGDD. TERCERO: Con fecha 3 de febrero de 2025 se dio trámite de audiencia a SEUR GEOPOST, que el 14 de febrero de 2025 manifestó a esta Agencia, en síntesis, que a raíz del recurso de reposición ha vuelto a comprobar la situación del paquete de la parte reclamante, verificando que se encuentra extraviado y acreditando que ha contactado con la ahora parte recurrente a los efectos de encontrar una solución alternativa. FUNDAMENTOS DE DERECHO I Competencia Es competente para resolver el presente recurso la Presidencia de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP) y el artículo 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo, LOPDGDD). II C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/6 Contestación a las alegaciones presentadas En relación con las manifestaciones efectuadas por la parte recurrente, cabe señalar lo siguiente: En primer lugar, se subraya que la resolución recurrida sostenía, que de acuerdo con la documentación aportada por SEUR en el traslado de la reclamación, SEUR contaba con procedimientos y manuales internos, donde se determinan las pautas a seguir tanto para el correcto etiquetado de los bultos, así como para la correcta entrega o recogida de la mercancía y en el momento en el que tiene conocimiento de la incidencia ocurrida, pero que, además, tras tener conocimiento de la reclamación ante la AEPD (

  1. i)investigó lo ocurrido y (
  2. ii)procedió a realizar una nueva entrega en el domicilio de la parte recurrente. Por ello, concluía la resolución, al haberse adoptado medidas tras la presentación de la reclamación, se entendía que concurrían circunstancias que aconsejaban la adopción de otras soluciones alternativas a la acción correctiva, conforme al artículo 65.6 de la LOPDGDD. Por tanto, no cabe admitir, como señala ahora la parte recurrente que no se adoptaron “medidas adicionales”. Por otra parte, señala ahora la parte recurrente que, contrariamente a lo señalado por SEUR, no recibió la entrega del paquete en su domicilio. Al respecto, SEUR asegura haber realizado nuevas investigaciones al respecto y al no poder contactar con el repartidor que tendría que haber realizado la nueva entrega, puesto que este ha dejado de prestar servicios para la empresa, ha procedido a declarar el paquete como extraviado y ha acreditado haber contactado con la parte recurrente para encontrar una solución alternativa, como la indemnización de su contenido. En consecuencia, se aprecia que, en la medida en que SEUR acredita haber adoptado otras medidas tendentes a reparar el daño causado, no se ve alterado el sentido de la resolución recurrida ni su motivación, pues estriba precisamente en la adopción de medidas y en el margen de apreciación del que dispone la AEPD en tanto que autoridad de control para decidir sobre el despliegue de sus poderes correctivos. En línea con lo anterior, debe señalarse que la Sentencia del Tribunal de Justicia de la Unión Europea (STJUE) de 26/09/2024, en el asunto C-768/2021, señala (el subrayado es de la AEPD): “37. A este respecto, ha de señalarse que el RGPD deja a la autoridad de control un margen de apreciación en cuanto a la manera en que debe subsanar la deficiencia constatada, puesto que el artículo 58, apartado 2, del mismo confiere a dicha autoridad la facultad de adoptar diversas medidas correctoras. Así, el Tribunal de Justicia ya ha declarado que la elección del medio adecuado y necesario corresponde a la autoridad de control, que debe realizar tal elección tomando en consideración todas las circunstancias del caso concreto y cumpliendo con toda la diligencia requerida su misión consistente en velar por el pleno respeto del RGPD (véase, en este sentido, la Sentencia de 16 de julio de 2020, Facebook Ireland y Schrems,C311/18, EU:C:2020:559, apartado 112). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/6 38. Sin embargo, este margen de apreciación está limitado por la necesidad de garantizar un nivel coherente y elevado de protección de los datos personales mediante una aplicación rigurosa de las normas, como se desprende de los Considerandos 7 y 10 del RGPD. 39. Por lo que se refiere, más concretamente, a las multas administrativas contempladas en el artículo 58, apartado 2, letra i), del RGPD, del artículo 83, apartado 2, de este Reglamento resulta que aquellas se imponen, según las características propias de cada caso, con carácter adicional o en sustitución de las demás medidas previstas en el citado artículo 58, apartado 2. Además, ese mismo artículo 83, apartado 2, precisa que, al decidir la imposición de una multa administrativa y su cuantía en cada caso individual, la autoridad de control debe tener debidamente en cuenta los elementos que figuran en las letras
  3. a)a
  4. k)de esta disposición, como la naturaleza, la gravedad y la duración de la infracción” (…) 41. En consecuencia, no puede deducirse ni del artículo 58, apartado 2, del RGPD ni del artículo 83 de este la existencia de una obligación a cargo de la autoridad de control de adoptar, en todos los casos, cuando constate una violación de la seguridad de datos personales, una medida correctora, en particular una multa administrativa, siendo su obligación, en tales circunstancias, reaccionar adecuadamente para subsanar la deficiencia constatada. (…) En estas circunstancias, como señaló el Abogado General en el punto 81 de sus conclusiones, el autor de una reclamación cuyos derechos han sido vulnerados no dispone de un derecho subjetivo a que la autoridad de control imponga una multa administrativa al responsable del tratamiento. (…) 43. A este respecto, no se excluye que, con carácter excepcional y habida cuenta de las circunstancias particulares del caso concreto, la autoridad de control pueda abstenerse de adoptar una medida correctora aunque se haya constatado una violación de la seguridad de datos personales. Tal puede ser el caso, en particular, cuando la violación constatada no haya persistido, por ejemplo cuando el responsable del tratamiento, que, en principio, había aplicado medidas técnicas y organizativas apropiadas en el sentido del artículo 24 del RGPD, haya adoptado, tan pronto como haya tenido conocimiento de dicha violación, las medidas adecuadas y necesarias para que la violación finalice y no vuelva a producirse, habida cuenta de las obligaciones que le incumben, en particular, en virtud de los artículos 5, apartado 2, y24 del mencionado Reglamento. 44. La interpretación según la cual la autoridad de control, cuando constata una violación de la seguridad de datos personales, no está obligada a adoptar en todos los casos una medida correctora con arreglo al artículo 58, apartado 2, del RGPD se ve corroborada por los objetivos perseguidos por este artículo 58, apartado 2, y por el artículo 83 de dicho Reglamento, respectivamente. 45. Por lo que respecta al objetivo perseguido por el artículo 58, apartado 2, del RGPD, del Considerando 129 de este se desprende que esta disposición tiene por objeto garantizar la conformidad del tratamiento de datos personales con dicho Reglamento y la regularización de las situaciones de incumplimiento de este para que se ajusten al C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/6 Derecho de la Unión, mediante la intervención de las autoridades de control nacionales (Sentencia de 14 de marzo de 2024, Újpesti Polgármesteri Hivatal,C-46/23, EU:C:2024:239, apartado 40). 46. De lo anterior se infiere que la adopción de una medida correctora puede, con carácter excepcional y habida cuenta de las circunstancias particulares del caso concreto, no imponerse, siempre que la situación de infracción del RGPD ya haya sido subsanada y que se garantice la conformidad de los tratamientos de datos personales con dicho Reglamento por su responsable y que tal abstención de la autoridad de control no menoscabe la exigencia de una aplicación rigurosa de las normas, tal como se ha recordado en el apartado 38 de la presente sentencia.” El TJUE incide, por tanto, en el margen de apreciación que tienen las autoridades de control para, en el ejercicio de sus funciones, desarrollar y optar entre los poderes atribuidos por el artículo 58 del RGPD, teniendo en cuenta las circunstancias del caso concreto, así como velando por el pleno respeto del RGPD. La consigna que debe regir siempre la actuación de una autoridad de control es asegurar un nivel alto de protección de los datos personales. Así, cabe que, aun cuando se hubiera constatado o se tuvieran indicios de que se ha producido una vulneración en materia de protección de datos, las autoridades de control se abstengan de ejercitar sus poderes correctivos cuando esta presunta infracción hubiera sido subsanada y se garantice la conformidad de los tratamientos de datos personales con el RGPD. Lo señalado por el TJUE en la sentencia antes citada, refuerza la idea de proporcionalidad de actuación de las autoridades de control que se recoge, con anterioridad a que fuera dictada la mencionada sentencia, en los artículos 65.4 y 65.6 de la LOPDGDD, por los que se permite a la AEPD, en atención a las circunstancias del caso concreto, la inadmisión a trámite o el archivo de reclamaciones, cuando, tras el traslado de las mismas al responsable del tratamiento, éste demostrara haber adoptado medidas para el cumplimiento de la normativa aplicable. Por tanto, no procede estimar las alegaciones planteadas. III Conclusión En consecuencia, en el presente recurso de reposición, la parte recurrente no ha aportado hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada. IV Obligación de dictar resolución expresa De acuerdo con lo establecido en el artículo 24 de la LPACAP, el sentido del silencio administrativo en los procedimientos de impugnación de actos y disposiciones es desestimatorio. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/6 No obstante, a pesar de que haya transcurrido el plazo legalmente establecido para resolver, la Administración mantiene la obligación de dictar resolución expresa y de notificarla en todos los procedimientos cualquiera que sea su forma de iniciación, incluidos los recursos administrativos que se hayan podido interponer, según dispone el artículo 21.1 de la citada LPACAP. En los casos de desestimación por silencio administrativo, la resolución expresa posterior al vencimiento del plazo se adoptará por la Administración sin vinculación alguna al sentido del silencio, según dispone el artículo 24.3 de la misma ley. Por tanto, aunque no se resuelva el recurso en plazo, procede emitir la resolución expresa que lo finalice. Vistos los preceptos citados y demás de general aplicación, la Presidencia de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por A.A.A. contra la resolución de esta Agencia Española de Protección de Datos dictada con fecha 11 de septiembre de 2024, en el expediente EXP202309137. SEGUNDO: NOTIFICAR la presente resolución a A.A.A.. De conformidad con lo establecido en el artículo 50 de la LOPDPGDD, la presente resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDPGDD, y de acuerdo con lo establecido en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), los interesados podrán interponer recurso contenciosoadministrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
  5. a)LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeaepd.gob.es/sede-electronica-web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada LPACAP. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/6 181-071125 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.