REPOSICION-PA-00047-2023

1/18  Expediente nº.: EXP202309272 RESOLUCIÓN DE RECURSO DE REPOSICIÓN Examinado el recurso de reposición interpuesto por ASOCIACIÓN INSERTA EMPLEO (en lo sucesivo, la parte recurrente o Inserta) contra la resolución dictada por la Directora de la Agencia Española de Protección de Datos de fecha 8 de mayo de 2024, y en base a los siguientes: HECHOS PRIMERO: Con fecha 8 de mayo de 2024, se dictó resolución por la Directora de la Agencia Española de Protección de Datos en el expediente EXP202309272, en virtud de la cual se dirigía un apercibimiento a INSERTA, por la infracción del artículo 5.1.

1. c)del RGPD, tipificada en el artículo 83.5.
2. a)del RGPD y se ordenaba a la misma en virtud del artículo 58.2.
3. d)del RGPD, en el plazo de seis meses desde que la presente resolución sea firme y ejecutiva, acredite haber procedido al cumplimiento de las medidas que respeten el principio de minimización establecido en el artículo 5.1
4. c)del RGPD. Dicha resolución, que fue notificada a la parte recurrente en fecha 9 de mayo de 2024, fue dictada previa la tramitación del correspondiente procedimiento sancionador, de conformidad con lo dispuesto en la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), y supletoriamente en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP), en materia de tramitación de procedimientos sancionadores. SEGUNDO: Como hechos probados del citado PA/00047/2023, quedó constancia de los siguientes: procedimiento sancionador, PRIMERO: Consta en el expediente correo electrónico enviado, el día 11 de mayo de 2023, por el reclamante a la parte reclamada, en el que se informa a Inserta, que debe abandonar el programa ***PROGRAMA.1 celebrado con ellos dado que empieza a trabajar en la administración local, y adjunta una serie de documentación, copia de su vida laboral, certificado del contrato de trabajo realizado por el SEPE y correos intercambiados con la parte reclamada. SEGUNDO: Obra en el expediente correo electrónico enviado por la parte reclamada a la parte reclamante de fecha 12 de mayo de 2023, en donde se le manifiesta que para justificar la baja del reclamante por colocación, necesitarán el contrato de trabajo, que con la comunicación del contrato, no pueden justificar su colocación. TERCERO: Consta en el expediente que con fecha 20 de febrero de 2024 A.A.A. (***PUESTO.1) envía correo electrónico a B.B.B. y a C.C.C. en el que solicita que se envíe a los trabajadores del Programa ***PROGRAMA.1 un correo modelo para que no soliciten más datos necesarios, con el siguiente contenido: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/18 “(…) Recordemos siempre: - Recopilar solo la información necesaria y relevante para el propósito específico. Por ejemplo: En el momento en que se recaba el CV de un candidato, no se deberá solicitar información relativa a la afiliación sindical o creencias religiosas. Limitar el acceso a datos personales solo a aquellas personas que lo requieran para cumplir con sus funciones. Por ejemplo: Solo el equipo de reclutamiento y selección debe tener acceso a la información completa de los candidatos, y dicho acceso debe limitarse a los detalles necesarios para llevar a cabo procesos de selección. Asegurar la eliminación segura o bloqueo de los datos cuando ya no sean necesarios para el propósito para el que fueron recopilados. Por ejemplo: En caso de que un candidato finalmente no sea seleccionado y su perfil no sea de interés para la entidad, se deberán suprimir todos aquellos datos que estaban siendo tratados en el marco del proceso de selección. Por último, cabe recordar que el acceso a datos personales debe manejarse con la mayor confidencialidad posible, y cualquier consulta o divulgación adicional de esta información debe hacerse solo con la autorización adecuada (…)”. En síntesis, la responsable del programa le solicitó copia del contrato de trabajo suscrito por la parte reclamante con el ***ORGANISMO.1, si bien esta, considera que la solicitud de dicho contrato es excesiva, al contener datos salariales y otros conceptos que no considera necesarios. La misma había ya remitido copia de vida laboral, certificado de contrato de trabajo descargado de la web del SEPE y comunicación, del contrato en el SEPE con contrat@2, pese a lo cual le han continuado exigiendo, copia del contrato para cursar su baja. TERCERO: La parte recurrente ha presentado en fecha 10 de junio de 2024, en esta Agencia Española de Protección de Datos, recurso de reposición, dentro del cual se indicaban las siguientes alegaciones: Primero.- Infracción del principio de legalidad: La parte recurrente afirma que la actuación llevada a cabo por INSERTA no se encuentra tipificada de manera específica y clara como sancionable conforme a la normativa de protección de datos. De acuerdo con el principio de legalidad, solo pueden imponerse sanciones que estén claramente definidas por una norma con rango de ley. En este sentido, señala que la actuación de INSERTA no ha supuesto el incumplimiento del principio de minimización de datos, al no tratar datos innecesarios o excesivos, y por tanto, dicha actuación no puede ser objeto de sanción. Sostiene que la conducta de INSERTA carece de la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/18 predeterminación normativa requerida, y sancionarla contravendría el principio de legalidad. Afirma que el Tribunal Constitucional ha establecido en múltiples resoluciones la relación íntima entre los principios de legalidad sancionadora y de seguridad jurídica, subrayando la necesidad de una correlación clara entre los actos ilícitos administrativos y sus correspondientes sanciones (Sentencia 113/2002, de 9 de mayo). Indica que INSERTA solicitó el contrato de trabajo al reclamante, quien remitió el documento seudonimizado, sin tratar datos adicionales o innecesarios, por lo que no se vulneró el principio de minimización, y la sanción impuesta contraviene el principio de legalidad. Segundo.- Ausencia de culpabilidad en la actuación de INSERTA: La parte recurrente señala que, según los hechos probados, no se acredita voluntad alguna por parte de INSERTA de incumplir una obligación legal, lo que impide la imposición de una sanción. La Audiencia Nacional ha destacado que la ausencia de voluntariedad, la falta de un resultado especialmente lesivo y la diligencia en la actuación de INSERTA hacen que imponer una sanción sea contrario a los principios de intervención mínima y proporcionalidad en el ámbito sancionador administrativo. Para ello cita la Sentencia de la Audiencia Nacional de 14 de diciembre de 2006, que subraya que la culpabilidad es un elemento indispensable para la imposición de sanciones, según el artículo 130.1 de la Ley 30/1992. El derecho administrativo sancionador requiere dolo o culpa, como lo confirman múltiples sentencias del Tribunal Constitucional y del Tribunal Supremo. En este caso, la parte recurrente indica que INSERTA actuó sin dolo ni culpa, habiendo solicitado el contrato de trabajo únicamente para verificar su veracidad y no habiendo solicitado datos adicionales al reclamante. Tercero.- Inutilización de mecanismos alternativos de resolución de conflictos conforme a la buena fe: La parte recurrente afirma que la imposición de un apercibimiento resulta excesiva dado que el reclamante no ha utilizado mecanismos alternativos de resolución de conflictos antes de interponer la reclamación. INSERTA siempre ha estado abierta al diálogo y cuenta con un protocolo interno para la gestión de solicitudes de ejercicio de derechos en materia de protección de datos. Sin embargo, señala que el reclamante no se puso en contacto con INSERTA ni ejerció sus derechos conforme al artículo 15 y siguientes del RGPD, optando en cambio por presentar una reclamación directamente ante la AEPD, lo cual se considera una acción desproporcionada. Cuarto.- Ausencia de daños: La parte recurrente indica que no se ha producido daño o perjuicio alguno para el reclamante, ya que la información remitida estaba seudonimizada e INSERTA no accedió a más datos personales de los ya conocidos previamente. Afirma que INSERTA ha seguido todos los procedimientos de seguridad establecidos para el manejo de datos personales, garantizando así la privacidad del reclamante. En ausencia de infracción de la normativa aplicable y sin evidencia de daño tangible, no se justifica la imposición de sanciones contra la empresa. Quinto.- Suspensión de la ejecutividad de la resolución objeto del presente recurso: Por último, la parte recurrente señala que la ejecución inmediata de la resolución causaría un perjuicio irreparable a los intereses de INSERTA, considerando C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/18 su estructura organizativa y el elevado número de empleados. INSERTA ha planificado la impartición de formación en protección de datos, pero la implementación precipitada comprometería su efectividad y podría dañar la reputación de la entidad. La suspensión solicitada es una medida temporal que no afecta negativamente a terceros ni al interés público, y garantiza una ejecución más efectiva y adecuada de las medidas requeridas. Y, solicita además que se evite la publicación de la resolución por dos motivos fundamentales: a. En primer lugar, porque vinculando los hechos que van a quedar irremediablemente relatados en la resolución con INSERTA es bastante fácil identificar a la persona física afectada, en la medida en la que se informa sobre su nuevo lugar de trabajo (***ORGANISMO.1) ***PROGRAMA.1, induciendo así que se trata de una persona con discapacidad. b. Además, la publicación de la resolución perjudicará gravemente la reputación de INSERTA, entidad con un alto compromiso con la protección de datos, habida cuenta que se trata de un caso aislado y que la misma ha tomado medidas correctivas efectivas para evitar futuras infracciones. Este daño reputacional puede tener un impacto negativo en la acción social llevada a cabo por INSERTA, la intermediación laboral y desarrollo de talento con discapacidad. En este sentido, una resolución de apercibimiento sobre INSERTA reducirá la confianza de las empresas colaboradoras o aquellas que pretendieran contratar los servicios, impactando así en el objetivo final, la inserción laboral de las personas con discapacidad. De esta manera no solo se vería gravemente afectada la imagen y reputación de INSERTA como entidad sino que podría implicar un perjuicio para el bien común que persigue esta entidad. Que, si la AEPD tiene la obligación de publicar la resolución de la sanción, se omita cualquier referencia expresa a la entidad INSERTA y a aquellas personas físicas identificadas en el presente escrito, por los mismos motivos esgrimidos en el punto II anterior. FUNDAMENTOS DE DERECHO I Competencia Es competente para resolver el presente recurso la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 123 de la LPACAP y el artículo 48.1 de la LOPDGDD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/18 II Contestación a las alegaciones presentadas Se procede a dar respuesta a las mismas según el orden expuesto por INSERTA. Primero.- Infracción del principio de legalidad En el supuesto ahora examinado, la AEPD, en relación con una serie de hechos concretos que considera probados, incardina los mismos en el tipo infractor que considera adecuado, conforme a la aplicación e interpretación de la normativa, motivando de manera prolija y suficiente tal actuación. Y es que, la AEPD se encuentra vinculada por el principio de legalidad que implica la aplicación e interpretación de las normas atendiendo al supuesto de hecho específico que concurra en cada caso. El tratamiento de datos personales está sometido al resto de los principios del tratamiento contenidos en el artículo 5 del RGPD. Destacaremos el principio de minimización de datos contenido en el artículo 5.1.
5. c)del RGPD que dispone que los datos personales serán “adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados". Esto significa que en un tratamiento concreto sólo pueden tratarse los datos personales oportunos, que vengan al caso y que sean los estrictamente necesarios para cumplir la finalidad para la que son tratados. El tratamiento debe ser ajustado y proporcional a la finalidad a la que se dirige. La pertinencia en el tratamiento de los datos debe producirse tanto en el momento de la recogida de los datos como en el posterior tratamiento que se realice de los mismos. Conforme a lo antedicho, debe restringirse el tratamiento de los datos excesivos o bien procederse a la supresión de los mismos. Este artículo pone de manifiesto que los datos personales serán “adecuados, pertinentes y limitados a la necesidad” para la que fueron recabados, de tal manera que, si el objetivo perseguido puede alcanzarse sin realizar un tratamiento excesivo de datos, así es como debe realizarse. A su vez, el considerando 39 del RGPD indica que: “Los datos personales solo deben tratarse si la finalidad del tratamiento no pudiera lograrse razonablemente por otros medios.” Por tanto, únicamente se tratarán los datos que sean, “adecuados, pertinentes y no excesivos en relación con el fin para el que se obtienen o tratan”. Las categorías de datos seleccionados para su tratamiento deben ser los estrictamente necesarios para lograr el objetivo declarado y el responsable del tratamiento debe limitar estrictamente la recogida de datos a aquella información que esté directamente relacionada con el fin específico que se intenta alcanzar. El programa, ***PROGRAMA.1, en el que participaba la parte reclamante, está dirigido, entre otros requisitos, a demandantes de empleo. Cuando uno de sus participantes consigue un puesto de trabajo, ha de comunicar y acreditar tal circunstancia a la Asociación Inserta Empleo, entidad a través de la cual se realiza el mencionado programa. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/18 En el presente caso, la parte reclamante, al ser contratada por ***ORGANISMO.1, solicitó a la parte reclamada su baja en el programa ***PROGRAMA.1. A tal efecto, remitió a la parte reclamada copia de la vida laboral, certificado del contrato de trabajo descargado de la web del SEPE y comunicación del contrato en el SEPE con contrat@2. A pesar de lo anterior, la parte reclamada ha solicitado a la parte reclamante copia del contrato de empleo para cursar tal baja. En los contratos de trabajo constan datos de carácter personal (datos económicos) que no son necesarios para que el responsable del tratamiento cumpla con la finalidad de dar por acreditada la nueva ocupación laboral del participante en el programa a efectos de darle baja. Y toda vez que en el presente caso ya había remitido la parte reclamante documentos acreditativos de su nueva situación laboral, se considera que la parte reclamada ha incumplido con el artículo 5.1
6. c)del RGPD, al exigir copia del contrato de trabajo, el cual contiene datos excesivos para cumplir con la finalidad de acreditar la colocación laboral y, por tanto, darle de baja en el programa, ***PROGRAMA.1. Por otra parte, hay que señalar que bajo el concepto amplio de tratamiento de datos personales definido por la jurisprudencia del TJUE, la mera solicitud de unos datos personales para incorporarlos a un tratamiento sería en sí misma una operación de tratamiento, y por tanto sujeta al RGPD. No se ha de entender, por tanto, lo manifestado por INSERTA de que no se habría producido la vulneración del principio de minimización, dado que se ha cometido una infracción por solicitar datos excesivos. Tal y como establece la jurisprudencia del TJUE la definición de tratamiento de datos personales del art. 4.2 del RGPD comprende una enumeración de operaciones no exhaustiva, entendiendo en un sentido muy amplio la expresión “cualquier operación” comprendida en la definición del tratamiento, resultando, además, que las excepciones a su ámbito de aplicación deben ser interpretadas de forma estricta. Citaremos, por todas, la STJUE de 24 de febrero de 2022, C175/20, la STJUE 4.05.2023 C.487/21, la STJUE 30.03.2023 C.34/21 y la STJUE nº 659/2022 de 5 oct de 2023. El principio de legalidad sancionadora y el principio de seguridad jurídica, en los que se apoya la parte recurrente, no exigen que cada acción sancionable esté descrita exhaustivamente en el precepto. Por el contrario, exige que el comportamiento sancionable esté claramente previsto y tipificado, lo cual ocurre en este caso. La conducta de la parte recurrente se enmarca dentro de las disposiciones del artículo 5.1.
7. c)del RGPD. La Sentencia 113/2002 del Tribunal Constitucional invocada también afirma que los principios de legalidad y seguridad jurídica no exigen una descripción detallada y específica de cada acto concreto en la normativa, sino que se exige una predeterminación de la conducta sancionable y sus sanciones. El RGPD y la LOPDGDD cumplen con este estándar al establecer el principio de minimización y sancionar explícitamente el incumplimiento de dicho principio. Por lo tanto, la sanción impuesta no vulnera el principio de legalidad, ya que la normativa aplicable delimita adecuadamente la conducta y las consecuencias de su incumplimiento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/18 Segundo.- Ausencia de culpabilidad en la actuación de INSERTA. La reclamada manifiesta que en ningún caso hubo voluntad por parte de INSERTA de cometer el incumplimiento de una obligación legal, lo que determina la imposibilidad de imponer una sanción por tales hechos. Por otro lado, y estrictamente en cuanto a la negligencia en la actuación de INSERTA, cabe señalar que la SAN -Sala Contencioso-Administrativo- 392/2015, de 17 de noviembre que en su Fundamento Jurídico Tercero recoge la doctrina del Tribunal Constitucional sobre la aplicación al derecho administrativo sancionador de los principios del orden penal, en los siguientes términos: El Tribunal Constitucional ha declarado reiteradamente que los principios del orden penal, entre los que se encuentra el de culpabilidad, son de aplicación, con ciertos matices, al derecho administrativo sancionador, al ser ambos manifestaciones del ordenamiento punitivo del Estado ( STC 18/1987 , 150/1991 ), y que no cabe en el ámbito sancionador administrativo la responsabilidad objetiva o sin culpa, en cuya virtud se excluye la posibilidad de imponer sanciones por el mero resultado, sin acreditar un mínimo de culpabilidad aun a título de mera negligencia ( SSTC 76/1990 y 164/2005). El principio de culpabilidad, garantizado por el artículo 25 de la Constitución, limita el ejercicio del "ius puniendi" del Estado y exige, según refiere el Tribunal Constitucional en la sentencia 129/2003, de 20 de junio, que la imposición de la sanción se sustente en la exigencia del elemento subjetivo de culpa, para garantizar el principio de responsabilidad y el derecho a un procedimiento sancionador con todas las garantías (STS de 1 de marzo de 2012, Rec 1298/2009). Ciertamente, el principio de culpabilidad, previsto en el artículo 130.1 de la Ley 30/1992, de 26 noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, dispone que solo pueden ser sancionados por hechos constitutivos de infracción administrativa los responsables de los mismos, aún a título de simple inobservancia. Obviamente, ello supone que dicha responsabilidad sólo puede ser exigida a título de dolo o culpa, quedando desterrada del ámbito del derecho administrativo sancionador la llamada "responsabilidad objetiva", y comprendiendo el titulo culposo la imprudencia, negligencia o ignorancia inexcusable. Esta "simple inobservancia" no puede ser entendida, por tanto, como la admisión en el derecho administrativo sancionador de la responsabilidad objetiva, pues la jurisprudencia mayoritaria de nuestro Tribunal Supremo (a partir de sus sentencias de 24 y 25 de enero y 9 de mayo de 1983) y la doctrina del Tribunal Constitucional (después de su STC 76/1990 ), destacan que el principio de culpabilidad, aún sin reconocimiento explícito en la Constitución, se infiere de los principios de legalidad y prohibición de exceso ( artículo 25.1 CE ), o de las propias exigencias inherentes a un Estado de Derecho, por lo que se requiere la existencia de dolo o culpa (en este sentido STS de 21 de enero de 2011, Rec 598/2008 ). No obstante, el modo de atribución de responsabilidad a las personas jurídicas no se corresponde con las formas de culpabilidad dolosas o imprudentes que son imputables C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/18 a la conducta humana. De modo que en el caso de infracciones cometidas por personas jurídicas, aunque haya de concurrir el elemento de la culpabilidad, éste se aplica necesariamente de forma distinta a como se hace respecto de las personas físicas. Según la STC 246/1991 " (...) esta construcción distinta de la imputabilidad de la autoría de la infracción a la persona jurídica nace de la propia naturaleza de ficción jurídica a la que responden estos sujetos. Falta en ellos el elemento volitivo en sentido estricto, pero no la capacidad de infringir las normas a las que están sometidos. Capacidad de infracción y, por ende, reprochabilidad directa que deriva del bien jurídico protegido por la norma que se infringe y la necesidad de que dicha protección sea realmente eficaz y por el riesgo que, en consecuencia, debe asumir la persona jurídica que está sujeta al cumplimiento de dicha norma " (en este sentido STS de 24 de noviembre de 2011, Rec 258/2009). A lo expuesto debe añadirse, siguiendo la sentencia de 23 de enero de 1998 , parcialmente trascrita en las SSTS de 9 de octubre de 2009, Rec 5285/2005 , y de 23 de octubre de 2010, Rec 1067/2006 , que "aunque la culpabilidad de la conducta debe también ser objeto de prueba, debe considerarse en orden a la asunción de la correspondiente carga, que ordinariamente los elementos volitivos y cognoscitivos necesarios para apreciar aquélla forman parte de la conducta típica probada, y que su exclusión requiere que se acredite la ausencia de tales elementos, o en su vertiente normativa, que se ha empleado la diligencia que era exigible por quien aduce su inexistencia; no basta, en suma, para la exculpación frente a un comportamiento típicamente antijurídico la invocación de la ausencia de culpa". En el supuesto que nos atañe resulta notoria la existencia de antijuridicidad y culpabilidad en la conducta infractora de la entidad responsable del tratamiento de los datos personales, INSERTA, quien como responsable del tratamiento de datos, que decide sobre la finalidad, contenido y uso de los datos personales incluidos en el tratamiento, tiene la obligación de obrar con mayor diligencia a la hora de solicitar solo los datos necesarios. Dicha condición impone un deber especial de diligencia a la hora de llevar a cabo de solicitar datos personales, en lo que atañe al cumplimiento de los deberes que la legislación sobre protección de datos establece para garantizar los derechos fundamentales y las libertades públicas de las personas físicas, y especialmente su honor e intimidad personal y familiar, cuya intensidad se encuentra potenciada por la relevancia de los bienes jurídicos protegidos por aquellas normas y la profesionalidad de los responsables o encargados, máxime cuando operan con ánimo de lucro en el mercado de datos; en este sentido se ha pronunciado también la SAN 392/2015, de 17 de noviembre (Ver su Fundamento de Derecho Tercero). En cuanto a la conducta de INSERTA se considera que responde al título de culpa. Es el considerando 74 del RGPD el que dice: Debe quedar establecida la responsabilidad del responsable del tratamiento por cualquier tratamiento de datos personales realizado por él mismo o por su cuenta. En particular, el responsable debe estar obligado a aplicar medidas oportunas y eficaces y ha de poder demostrar la conformidad de las actividades de tratamiento con el presente Reglamento, incluida la eficacia de las medidas. Dichas medidas deben tener en cuenta la naturaleza, el ámbito, el contexto y los fines del tratamiento, así como el riesgo para los derechos y libertades de las personas físicas. Asimismo, el considerando 79 dice: La protección de los derechos y libertades de los interesados, así como la responsabilidad de los C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/18 responsables y encargados del tratamiento, también en lo que respecta a la supervisión por parte de las autoridades de control y a las medidas adoptadas por ellas, requieren una atribución clara de las responsabilidades en virtud del presente Reglamento, incluidos los casos en los que un responsable determine los fines y medios del tratamiento de forma conjunta con otros responsables, o en los que el tratamiento se lleve a cabo por cuenta de un responsable. La responsabilidad objetiva está proscrita en nuestro ordenamiento jurídico. En el ámbito del Derecho Administrativo sancionador rige el principio de culpabilidad, de forma que el elemento subjetivo o culpabilístico es una condición indispensable para que nazca la responsabilidad sancionadora. El artículo 28 de la Ley 40/2015, de Régimen Jurídico del Sector Público (LRJSP) regula el principio de culpabilidad y dispone: “1. Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas, así como, cuando una Ley les reconozca capacidad de obrar, los grupos de afectados, las uniones y entidades sin personalidad jurídica y los patrimonios independientes o autónomos, que resulten responsables de los mismos a título de dolo o culpa.” De conformidad con este precepto, la responsabilidad sancionadora puede exigirse a título de dolo o de culpa, siendo suficiente en el último caso la mera inobservancia del deber de cuidado. El Tribunal Constitucional, entre otras, en su STC 76/1999, ha declarado que las sanciones administrativas participan de la misma naturaleza que las penales, al ser una de las manifestaciones del ius puniendi del Estado, y que, como exigencia derivada de los principios de seguridad jurídica y legalidad penal consagrados en los artículos 9.3 y 25.1 de la CE, es imprescindible su existencia para imponerlas. A propósito de la culpabilidad de la persona jurídica cabe citar la STC 246/1991, 19 de diciembre de 1991 (F.J. 2), conforme a la cual, respecto a las personas jurídicas, el elemento subjetivo de la culpa se ha de aplicar necesariamente de forma distinta a como se hace respecto de las personas físicas y añade que “Esta construcción distinta de la imputabilidad de la autoría de la infracción a la persona jurídica nace de la propia naturaleza de ficción jurídica a la que responden estos sujetos. Falta en ellos el elemento volitivo en sentido estricto, pero no la capacidad de infringir las normas a las que están sometidos. Capacidad de infracción y, por ende, reprochabilidad directa que deriva del bien jurídico protegido por la norma que se infringe y la necesidad de que dicha protección sea realmente eficaz [...]” La decisión de archivar un expediente sancionador podrá fundarse en la ausencia del elemento de la culpabilidad cuando el responsable de la conducta antijurídica hubiera obrado con toda la diligencia que le resulta exigible. Conviene recordar lo que la STC 246/1991 ha dicho a propósito de la culpabilidad de la persona jurídica: que no falta en ella la “capacidad de infringir las normas a las que están sometidos”. “Capacidad de infracción [...] que deriva del bien jurídico protegido por la norma que se infringe y la necesidad de que dicha protección sea realmente eficaz [...]”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/18 En conexión con lo expuesto hay que referirse al artículo 5.2 del RGPD (principio de responsabilidad proactiva), según el cual el responsable del tratamiento será responsable del cumplimiento de lo dispuesto en el apartado 1 y capaz de demostrar su cumplimiento. El principio de proactividad transfiere al responsable del tratamiento la obligación no solo de cumplir con la normativa en materia de protección de datos, sino también la de poder demostrar dicho cumplimiento. El Dictamen 3/2010, del Grupo de Trabajo del artículo 29 (GT29) -WP 173- emitido durante la vigencia de la derogada Directiva 95/46/CEE, pero cuyas reflexiones son aplicables en la actualidad, afirma que la “esencia” de la responsabilidad proactiva es la obligación del responsable del tratamiento de aplicar medidas que, en circunstancias normales, garanticen que en el contexto de las operaciones de tratamiento se cumplen las normas en materia de protección de datos y en tener disponibles documentos que demuestren a los interesados y a las Autoridades de control qué medidas se han adoptado para alcanzar el cumplimiento de las normas en materia de protección de datos. Y sobre esta cuestión no hay que olvidar el artículo 24.1 del RGPD que sobre la responsabilidad del responsable del tratamiento dispone: “Teniendo en cuenta la naturaleza, el ámbito, el contexto y los fines del tratamiento así como los riesgos de diversa probabilidad y gravedad para los derechos y libertades de las personas físicas, el responsable del tratamiento aplicará medidas técnicas y organizativas apropiadas a fin de garantizar y poder demostrar que el tratamiento es conforme con el presente Reglamento. Dichas medidas se revisarán y actualizarán cuando sea necesario." Cabría señalar cual fue la diligencia observada por la parte reclamada en relación con la conducta que debía haber observado en relación con la conducta examinada. La respuesta es que la diligencia que debió observar era la precisa para cumplir las obligaciones que le imponía el artículo 5.1.
8. c)del RGPD y que motivo la apertura del procedimiento. Por tanto, de conformidad con el principio de proactividad la parte reclamada no adopto una actitud consciente y diligente, evitando incidencias como las que dio lugar a la reclamación y la apertura del procedimiento, infracción del artículo 5.1.
9. c)del RGPD, actitud y comportamiento que no ha existido en el presente caso, evidenciando ausencia de diligencia. Tercero.- Inutilización de mecanismos alternativos de resolución de conflictos conforme a la buena fe. De conformidad con lo establecido en el artículo 77 del RGPD. Derecho a presentar una reclamación ante una autoridad de control. 1. Sin perjuicio de cualquier otro recurso administrativo o acción judicial, todo interesado tendrá derecho a presentar una reclamación ante una autoridad de control, en particular en el Estado miembro en el que tenga su residencia habitual, lugar de trabajo o lugar de la supuesta infracción, si considera que el tratamiento de datos personales que le conciernen infringe el presente Reglamento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/18 2. La autoridad de control ante la que se haya presentado la reclamación informará al reclamante sobre el curso y el resultado de la reclamación, inclusive sobre la posibilidad de acceder a la tutela judicial en virtud del artículo 78. De conformidad con lo establecido en el artículo 55 del RGPD, la Agencia Española de Protección de Datos es competente para desempeñar las funciones que se le asignan en su artículo 57, entre ellas, la de hacer aplicar el Reglamento y promover la sensibilización de los responsables y los encargados del tratamiento acerca de las obligaciones que les incumben, así como tratar las reclamaciones presentadas por un interesado e investigar el motivo de las mismas. De conformidad con esta normativa, es un derecho reconocido por el artículo 77 del RGPD, de presentar una reclamación ante la autoridad de control por parte del reclamante. Dicho derecho es autónomo y su ejercicio no está condicionado a que el reclamante deba necesariamente agotar mecanismos internos de la entidad antes de acudir a la AEPD. Por tanto, el reclamante está en su derecho de presentar una reclamación sin estar obligado a recurrir primero a los mecanismos de resolución internos de INSERTA. El hecho de contar con un protocolo interno para gestionar solicitudes de derechos en materia de protección de datos no exime de la responsabilidad de cumplir todas las normas del RGPD y en caso incumplimiento, de la posibilidad de que cualquier afectado presente reclamación ante la presente autoridad. En la resolución impugnada el apercibimiento de la AEPD se dirige precisamente a corregir una conducta que, a pesar de los mecanismos internos, resultó en una vulneración del RGPD y en objeto de reclamación. De conformidad con esta normativa, es un derecho reconocido por el artículo 77 del RGPD, de presentar una reclamación ante la autoridad de control por parte del reclamante. Cuarto.- Ausencia de daños. Tal alegato no puede ser aceptado, no debemos olvidar que nos encontramos ante el derecho fundamental a la protección de datos de carácter personal que persigue garantizar a la persona un poder de control sobre sus datos personales, sobre su uso y destino, con el propósito de impedir su tratamiento ilícito y lesivo para su dignidad. En el ámbito de protección de datos, la sanción o medida correctiva no depende necesariamente de que exista un daño o perjuicio tangible para el reclamante. El RGPD establece obligaciones de cumplimiento normativo y las infracciones pueden sancionarse independientemente del daño causado. En el caso que nos ocupa, el principio de minimización de datos previsto en el artículo 5.1.
10. c)del RGPD implica que solo se recopile y procese la información estrictamente necesaria para el fin establecido. La vulneración de este principio constituye una infracción sancionable, sin importar si el reclamante experimentó un perjuicio tangible, como ocurrió en el presente caso. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/18 Quinto.- Suspensión de la ejecutividad de la resolución objeto del presente recurso. Por último, la parte recurrente señala que la ejecución inmediata de la resolución causaría un perjuicio irreparable a los intereses de INSERTA, considerando su estructura organizativa y el elevado número de empleados. INSERTA ha planificado la impartición de formación en protección de datos, pero la implementación precipitada comprometería su efectividad y podría dañar la reputación de la entidad. La suspensión solicitada es una medida temporal que no afecta negativamente a terceros ni al interés público, y garantiza una ejecución más efectiva y adecuada de las medidas requeridas. Además, solicita que se evite la publicación de la resolución porque considera que a partir del relato de hechos es fácilmente identificable la persona física afectada y por el daño que produciría a la imagen y reputación de la entidad. Por ello, invoca la recurrente que, si la AEPD tiene la obligación de publicar la resolución de la sanción, se omita cualquier referencia expresa a la entidad INSERTA y a aquellas personas físicas identificadas en el presente escrito. En cuanto a la suspensión de la ejecutividad de la resolución, hasta que se resuelva el presente recurso potestativo de reposición interpuesto contra la misma, de conformidad con lo dispuesto en el artículo 117 de la LPACAP, dado que manifiesta que la ejecución inmediata de la Resolución objeto de recurso causaría un perjuicio irreparable a sus intereses, conviene recordar que las resoluciones de los procedimientos sancionadores únicamente son ejecutivos cuando no quepa recurso en vía administrativa, incluido el potestativo de reposición como indican de forma expresa el artículo 90.3 y el artículo 98.1 apartado
11. b)de la LPACAP. En consecuencia, en el presente caso, la resolución únicamente será ejecutiva cuando se dicte y notifique la misma todo ello sin perjuicio de lo establecido en el citado artículo 90.3 En cualquier caso, la ejecutividad de una resolución sancionadora afecta única y exclusivamente a aquello que conforma el contenido resolutorio sancionador, esto es, la sanción administrativa y, en su caso, la obligación de adoptar medidas para la adecuación de la actuación de la entidad de que se trate a la normativa de protección de datos personales. En cuanto a la publicación de las resoluciones, el artículo 50 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales establece que “La Agencia Española de Protección de Datos publicará las resoluciones de su Presidencia que declaren haber lugar o no a la atención de los derechos reconocidos en los artículos 15 a 22 del Reglamento (UE) 2016/679, las que pongan fin a los procedimientos de reclamación, las que archiven las actuaciones previas de investigación, las que sancionen con apercibimiento a las entidades a que se refiere el artículo 77.1 de esta ley orgánica, las que impongan medidas cautelares y las demás que disponga su Estatuto.” El artículo 11 del Estatuto de la Agencia Española de Protección de Datos, aprobado por Real Decreto 389/2021, de 1 de junio, dispone lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/18 El artículo 11 del Estatuto de la Agencia Española de Protección de Datos, aprobado por Real Decreto 389/2021, de 1 de junio, dispone lo siguiente: “Artículo 11. Transparencia y publicidad. 1. La Agencia Española de Protección de Datos publicará en su página web las resoluciones de su Presidencia que declaren haber lugar o no a la atención de los derechos reconocidos en los artículos 15 a 22 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, las que pongan fin a los procedimientos de reclamación, las que archiven las actuaciones previas de investigación, las que sancionen con apercibimiento a las entidades a que se refiere el artículo 77.1 de la Ley Orgánica 3/2018, de 5 de diciembre, y las que impongan medidas cautelares. 2. Sin perjuicio de lo previsto en la Ley 19/2013, de 9 de diciembre, de transparencia, acceso a la información pública y buen gobierno, será igualmente objeto de publicación en la página web toda aquella información que la Presidencia considere relevante y que contribuya al mejor cumplimiento de sus funciones.” Por consiguiente, se establece con carácter general la obligación de publicar las resoluciones que dicte esta Agencia, que se realiza en la página web de la AEPD. Pues bien, INSERTA en el presente recurso ha identificado los datos que considera confidenciales, y solicita que se omita cualquier referencia expresa a la entidad INSERTA y a aquellas personas físicas identificadas en la resolución del procedimiento sancionador y en la resolución del recurso potestativo de reposición. A este respecto, sin perjuicio de la correspondiente anonimización de los datos personales de las personas físicas que aparezcan en la resolución, no es posible proceder a omitir cualquier remisión de la parte reclamada en la misma, por cuanto, por un lado, la misma no tiene la consideración de persona física y, por otro lado, en aras del interés público que posee la publicación de dichas publicaciones, que permite conocer los criterios utilizados por esta autoridad, además del objetivo de preservar la transparencia de la misma en su actuación. En materia de protección de datos, la publicación de la resolución administrativa no constituye una sanción en sí misma considerada. La publicación de determinadas resoluciones de la AEPD viene impuesta por lo establecido en el citado artículo 50 de la LOPDGDD. Frente a lo que sucede en otros ámbitos normativos donde se prevé expresamente la publicación de la resolución sancionadora como una sanción -por poner un ejemplo citaremos los artículos 304 y 308 del Real Decreto Legislativo 4/2015, de 23 de octubre, por el que se aprueba el texto refundido de la Ley del Mercado de Valores-, en materia de protección de datos la norma que impone la publicación de ciertas resoluciones no configura la publicidad como una sanción. La finalidad de la publicidad no es sancionar públicamente al infractor por su conducta, sino dar transparencia y conocimiento a los ciudadanos con carácter general de la actividad desarrollada por la AEPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/18 Además, se comprueba con facilidad cuál es la finalidad de la publicación de las resoluciones si se tiene en cuenta que las que se publican no son únicamente aquellas en la que se puede llegar a sancionar, que son las que ponen fin a los procedimientos sancionadores, sino que se incluyen las resoluciones procedimientos de derechos, las resoluciones de los procedimientos de apercibimiento o las resoluciones que archiven actuaciones previas de investigación, además de las que fije el Estatuto. Así, es una garantía de los administrados en los términos del art. 45 de la LPACAP. Donde la Ley no configura la publicidad de forma expresa como una sanción, ni se infiere además de su naturaleza jurídica, tampoco podemos entenderlo nosotros. Es debida, por tanto, la publicación de la resolución administrativa, tal y como impone la Ley al señalar literalmente que “publicará”. Publicando la resolución en los términos del art. 50 de la LOPDGDD se consuma el interés general encomendado a la AEPD. Eso sí, siempre debidamente anonimizada y detrayendo de la resolución las cuestiones confidenciales o de secreto intelectual e industrial. Sobre esta cuestión se pronuncia el Auto de la Audiencia Nacional de 13 enero de 2022 en los siguientes términos: “Así las cosas, en el caso de autos, se publica la resolución sancionadora recurrida, al amparo del art. 50 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales, que dispone: “La Agencia Española de Protección de Datos publicará las resoluciones de su Presidencia que declaren haber lugar o no a la atención de los derechos reconocidos en los artículos 15 a 22 del Reglamento (UE) 2016/679, las que pongan fin a los procedimientos de reclamación, las que archiven las actuaciones previas de investigación, las que sancionen con apercibimiento a las entidades a que se refiere el artículo 77.1 de esta ley orgánica, las que impongan medidas cautelares y las demás que disponga su Estatuto. Es decir, el citado precepto obliga a la Agencia Española de Protección de Datos (en adelante AEPD), a hacer públicas sus resoluciones una vez hayan sido notificadas a los interesados. Así las cosas, debe rechazarse la suspensión de la publicación de la resolución sancionadora en la página de la AEPD, al apreciarse un interés público en publicitar las resoluciones de la AEPD en su página web, con el objeto de preservar la transparencia de la actividad de la AEPD y, en definitiva, la tutela del derecho de protección de datos mediante el conocimiento de los criterios de aplicación de la normativa de protección de datos. Cabe recordar, como ha señalado el Auto del Tribunal Supremo, Sala 3ª, de 31 de marzo de 2015 que “la Administración Pública actúa en un régimen de publicidad de sus actos con carácter general y, de modo específico, tanto más cuanto así lo establezcan las normas reguladoras de cada sector del ordenamiento (…)”. III Obligación incumplida El artículo 5.1.
12. c)del RGPD establece que los datos personales serán: “
13. c)adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados («minimización de datos»).” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/18 El programa, ***PROGRAMA.1, en el que participaba la parte reclamante, está dirigido, entre otros requisitos, a demandantes de empleo. Cuando uno de sus participantes consigue un puesto de trabajo, ha de comunicar y acreditar tal circunstancia a la Asociación Inserta Empleo, entidad a través de la cual se realiza el mencionado programa. En el presente caso, la parte reclamante, al ser contratada por ***ORGANISMO.1, solicitó a la parte reclamada su baja en el programa ***PROGRAMA.1. A tal efecto, remitió a la parte reclamada copia de la vida laboral, certificado del contrato de trabajo descargado de la web del SEPE y comunicación del contrato en el SEPE con contrat@2. A pesar de lo anterior, la parte reclamada ha solicitado a la parte reclamante copia del contrato de empleo para cursar tal baja. En los contratos de trabajo constan datos de carácter personal (datos económicos) que no son necesarios para que el responsable del tratamiento cumpla con la finalidad de dar por acreditada la nueva ocupación laboral del participante en el programa a efectos de darle baja. Y toda vez que en el presente caso ya había remitido la parte reclamante documentos acreditativos de su nueva situación laboral, se considera que la parte reclamada ha incumplido con el artículo 5.1
14. c)del RGPD, al exigir copia del contrato de trabajo, el cual contiene datos excesivos para cumplir con la finalidad de acreditar la colocación laboral y, por tanto, darle de baja en el programa, ***PROGRAMA.1. IV Tipificación y calificación de la infracción De conformidad con las evidencias de las que se dispone en el presente momento del acuerdo de inicio del procedimiento de apercibimiento, y sin perjuicio de lo que resulte de la instrucción, se considera que la parte reclamada ha cometido una infracción del principio de minimización de datos regulado en el artículo 5.1.
15. c)del RGPD. La infracción se tipifica en el artículo 83.5 del RGPD, que considera como tal: “5. Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20.000.000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4% como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: 1. Los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5,6,7 y 9.” A efectos del plazo de prescripción de las infracciones, la infracción imputada prescribe a los tres años, conforme al artículo 72.
16. a)de la LOPDGDD, que califica de muy grave la siguiente conducta: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/18 “
17. a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679”. V Apercibimiento Sin perjuicio de lo dispuesto en el apartado artículo 83 del RGPD, el citado Reglamento dispone en el apartado 2.
18. b)del artículo 58 “Poderes” lo siguiente: “Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación: (…)
19. b)dirigir a todo responsable o encargado del tratamiento un apercibimiento cuando las operaciones de tratamiento hayan infringido lo dispuesto en el presente Reglamento; (…)” Asimismo, el artículo 64 de la LOPDGDD que regula la “Forma de iniciación del procedimiento y duración”, en su apartado tercero dispone que: “3. Cuando así proceda en atención a la naturaleza de los hechos y teniendo debidamente en cuenta los criterios establecidos en el artículo 83.2 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, la Agencia Española de Protección de Datos, previa audiencia al responsable o encargado del tratamiento, podrá dirigir un apercibimiento, así como ordenar al responsable o encargado del tratamiento que adopten las medidas correctivas encaminadas a poner fin al posible incumplimiento de la legislación de protección de datos de una determinada manera y dentro del plazo especificado. El procedimiento tendrá una duración máxima de seis meses a contar desde la fecha del acuerdo de inicio. Transcurrido ese plazo se producirá su caducidad y, en consecuencia, el archivo de actuaciones. Será de aplicación en este caso lo dispuesto en los párrafos segundo y tercero del apartado 2 de este artículo.” VI Adopción de medidas Se impone al responsable la adopción de medidas adecuadas para ajustar su actuación a la normativa mencionada en este acto, de acuerdo con lo establecido en el citado artículo 58.2
20. d)del RGPD, según el cual cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…”. La AEPD tiene constancia de que la parte reclamada está implantado una serie de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/18 medidas: formación en materia de protección de datos personales y seguridad de la información que será obligatoria para todos los empleados de Inserta, comunicación general a todos empleados en aras de sensibilizar y concienciar a su personal de la importancia del cumplimiento de la normativa de protección de datos de carácter personal en relación con el desempeño de sus funciones laborales, poniendo el foco en el principio de minimización y su implicación en la realización de cualquier tratamiento de datos de carácter personal (adjuntando dicho documento), confección de una infografía y elaboración de un procedimiento de actuación. No obstante, la AEPD ha de advertir nuevamente sobre la necesidad de implantar dichas medidas, dado que la parte reclamada se refiere únicamente a las medidas que va a tomar, que está planificando y que está trabajando en ello. Por ello, la AEPD considera necesario requerir a la parte reclamada para que en el plazo de seis meses acredite a esta Agencia la adopción de medidas que respeten el principio de minimización de datos establecido en el artículo 5.1
21. c)del RGPD. Se advierte que no atender la posible orden de adopción de medidas impuestas por este organismo en la resolución del presente procedimiento podrá ser considerado como una infracción administrativa conforme a lo dispuesto en el RGPD, tipificada como infracción en su artículo 83.5, pudiendo motivar tal conducta la apertura de un ulterior procedimiento administrativo sancionador. VII Resolución extemporánea Debido a razones de funcionamiento del órgano administrativo, por ende no atribuibles a la parte recurrente, hasta el día de la fecha no se ha emitido el preceptivo pronunciamiento de esta Agencia respecto al presente recurso. De acuerdo con lo establecido en el art. 24 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP) el sentido del silencio administrativo en los procedimientos de impugnación de actos y disposiciones es desestimatorio. Con todo, y a pesar del tiempo transcurrido, la Administración está obligada a dictar resolución expresa y a notificarla en todos los procedimientos cualquiera que sea su forma de iniciación, según dispone el art. 21.1 de la citada LPACAP. Por tanto, procede emitir la resolución que finalice el procedimiento del recurso de reposición interpuesto. VII Conclusión Por tanto, dado que, en el presente recurso de reposición, no se han aportado nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada, y que la finalidad del recurso es revisar la legalidad de la actuación administrativa, procede acordar su desestimación. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/18 Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por ASOCIACIÓN INSERTA EMPLEO contra la resolución de esta Agencia Española de Protección de Datos dictada con fecha 8 de mayo de 2024, en el expediente EXP202309272. SEGUNDO: NOTIFICAR la presente resolución a ASOCIACIÓN INSERTA EMPLEO. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), los interesados podrán interponer recurso contencioso-administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
22. a)LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada LPACAP. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es