REPOSICION-PD-00142-2022

1/18  Expediente nº. EXP202203648 (PD/00142/2022) Examinado el recurso de reposición interpuesto por A.A.A. (en adelante la parte reclamante o parte recurrente), contra la resolución dictada por la Directora de la Agencia Española de Protección de Datos en el expediente PD/00142/2022, y en base a los siguientes HECHOS PRIMERO: A.A.A. (en adelante la parte reclamante o parte recurrente), con fecha 17/02/2022, interpuso reclamación ante la Agencia Española de Protección de datos, dirigida contra la entidad FISCALÍA GENERAL DEL ESTADO (en adelante FGE o parte reclamada), con NIF S2800661G, por la denegación “total o parcialmente sin justificación” del derecho de oposición ejercitado ante dicha entidad en fecha 24/01/2022. En dicha reclamación, la parte reclamante puso de manifiesto los siguientes hechos: “El 24/1/2022 ejercité derecho de oposición frente al delegado de protección de datos de la Fiscalía General del Estado por el uso de cookies en el portal www.fiscal.es. En fecha 28/1/2022 el DPD de la FGE indicó que recibiría contestación de la Unidad de Apoyo, la cual he recibido en el día de hoy 17/2/2022. Si bien la citada comunicación reconoce que "Gracias a su comunicación hemos detectado las discordancias y errores existentes en las cláusulas de aviso legal del portal y hemos puesto en marcha el proceso para que a la mayor brevedad posible se solucionen dichos problemas en los contenidos del portal y por tanto se preste la información correcta y se soliciten los preceptivos consentimientos expresos que resulten de aplicación" no atiende de modo motivado mi solicitud de oposición limitándose a expresar que "ningún dato personal suyo ha sido recabado ni almacenado por el hecho del acceso al portal fiscal.es, dando respuesta así a su ejercicio del derecho de oposición al tratamiento". La citada web sigue haciendo uso de cookies que pueden estar haciendo un uso no consentido de mis datos personales por el mero hecho de seguir navegando en la web. Tampoco ha justificado que los datos personales recabados por las cookies usadas en el portal web www.fiscal.es no supongan la transferencia internacional a terceros países, o que en su caso se hayan adoptados medidas de garanticen la protección adecuada de mis datos personales en caso de producirse dicha transferencia internacional”. Con su reclamación aporta la documentación siguiente: 1. Correo electrónico de fecha 24/01/2022, dirigido por la parte reclamante a la dirección “fge.delegadoproteccióndatos@fiscal.es”, con el asunto “Ejercicio del derecho de oposición” y el texto siguiente: “Vengo a ejercitar el derecho de oposición frente al tratamiento de mis datos personales por la página web del ministerio fiscal https://www.fiscal.es al incluir en su aviso legal la información relativa al uso de (política de accesible en https://www.fiscal.es/web/fiscal/aviso-legal. "Aceptación de la Política de Cookies Si continúa navegando por la web del Ministerio Fiscal se asume que acepta el uso de cookies. No obstante, se muestra la información sobre la Política de Cookies al final de cualquier página del portal que usted visite con el objeto de que usted sea consciente”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/18 Dicho tratamiento infringe la correcta interpretación del consentimiento del interesado realizada por el Comité Europeo de Protección de Datos al asumir dicho consentimiento por la mera navegación en la página web, sin que exija ninguna acción del interesado. Además, su política de cookies informa del uso de cookies de terceros con fines publicitarios (concretamente de Facebook) que implican la transferencia internacional de datos personales a terceros países sin que cumplan un nivel de protección adecuado, motivo por el cual también me opongo al citado tratamiento”. Al final del texto, la parte reclamante indica su nombre y dos apellidos, así como el número de su DNI. Acompaña, además, copia de este documento. 2. Respuesta del Delegado de Protección de Datos del Ministerio Fiscal (en lo sucesivo DPD), de fecha 28/01/2022, por la que se acusa recibo de la solicitud de ejercicio del derecho de oposición y se informa a la parte reclamante que la misma será respondida por la Unidad de Apoyo de la FGE. Asimismo, se añade lo siguiente: “De igual modo se le informa que por el Delegado de Protección de Datos se ha procedido a iniciar actuaciones con el objeto de examinar la adecuación a la normativa de protección de datos de la información que se suministra en el portal fiscal.es en el apartado “Política de 3. Comunicación remitida a la parte reclamante por la Unidad de Apoyo de la FGE, de fecha 11/02/2022, en la que se indica expresamente que mediante dicha comunicación se da respuesta al ejercicio del derecho de oposición al tratamiento. El texto de esta comunicación es el siguiente: “Habiendo recibido su solicitud de ejercicio del derecho de oposición al tratamiento de sus datos personales al acceder al portal del Ministerio Fiscal (fiscal.es), que envió Vd. directamente a través del Delegado de Protección de Datos del Ministerio Fiscal, le exponemos los siguientes puntos: . La utilización de cookies en dicho portal está motivada exclusivamente por la realización de tareas analíticas de cómputo del número de accesos y del mantenimiento técnico de la sesión, siendo esto último necesario para el correcto funcionamiento del portal. . Gracias a su comunicación hemos detectado las discordancias y errores existentes en las cláusulas de aviso legal del portal y hemos puesto en marcha el proceso para que a la mayor brevedad posible se solucionen dichos problemas en los contenidos del portal y por tanto se preste la información correcta y se soliciten los preceptivos consentimientos expresos que resulten de aplicación. . Por tanto, le informamos de que ningún dato personal suyo ha sido recabado ni almacenado por el hecho del acceso al portal fiscal.es, dando respuesta así a su ejercicio del derecho de oposición al tratamiento”. . “Aviso legal” disponible en la web “fiscal.es”. El apartado “Aceptación de la Política de “Si continúa navegando por la web del Ministerio Fiscal se asume que acepta el uso de SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), que ha previsto un mecanismo previo a la admisión a trámite de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/18 las reclamaciones que se formulen ante la AEPD, consistente en trasladarlas a los Delegados de Protección de Datos designados por los responsables o encargados del tratamiento, a los efectos previstos en el artículo 37 de la citada norma, o a éstos cuando no los hubieren designado, se dio traslado de la reclamación a la entidad reclamada para que procediese a su análisis y diera respuesta a la parte recurrente y a esta Agencia en el plazo de un mes. En el escrito de traslado se detallan los hechos que motivan la reclamación como sigue: “El reclamante manifiesta que no se ha atendido satisfactoriamente el ejercicio del derecho de oposición a la tramitación de sus datos personales puesto que en la respuesta recibida no se indica nada respecto de si la página web de la entidad sigue haciendo uso de cookies que hagan un uso no consentido de sus datos personales por el mero hecho de seguir navegando en la web; y considera que tampoco se ha justificado que los datos personales recabados por las cookies usadas no supongan una transferencia internacional a terceros países, o que en su caso se hayan adoptado medidas de garanticen la protección adecuada de sus datos personales”. TERCERO: Con fecha 29/04/2022, se recibe en esta Agencia escrito de respuesta del DPD de la entidad FGE, en el que informa lo siguiente: 1. Con carácter previo, confirma la recepción de la solicitud de ejercicio del derecho de oposición que le fue remitida por la parte reclamante y su contenido; las respuestas remitidas por el DPD y la Unidad de Apoyo de la FGE; la información ofrecida mediante la política de cookies insertada en la web, que coincide con la señalada por la parte reclamante en su reclamación; y el hecho de que al acceder a la página web “fiscal.es” no se activaba ninguna ventana emergente relativa a la política de cookies ni sobre la naturaleza de las utilizadas por dicho portal, para el caso de que el usuario continuara navegando. 2. En virtud de todo ello, con fecha 28/01/2022, instó a la Unidad de Apoyo de la FGE que requiriese a la administración prestacional (Ministerio de Justicia) para que actualizara la información ofrecida en la web y concretara la naturaleza de las cookies, a fin de conocer si exigen el consentimiento del usuario y, en caso afirmativo, se habilitasen los medios para corregir dicha carencia, de modo que el consentimiento pueda prestarse debidamente antes del acceso a la web. 3. Según se informa en el “Aviso legal” insertado en la web “fiscal.es”, la titularidad de este dominio corresponde al Ministerio de Justicia, como prestador de servicios del Ministerio Fiscal en lo que respecta a dicho portal web. El Ministerio Fiscal únicamente es generador de su contenido, pero ajeno a su soporte tecnológico. La condición de responsable del tratamiento del Ministerio de Justicia resulta de lo dispuesto en la Ley Orgánica del Poder Judicial cuando dice que la Administración competente deberá suministrar a la Administración de Justicia los medios tecnológicos adecuados para que se proceda al tratamiento de los datos personales conforme a las disposiciones legales y reglamentarias, debiendo la Administración competente cumplir con las responsabilidades que en materia de tratamiento y protección de datos personales le son atribuidas como administración prestacional (art. 236 sexies). El Ministerio de Justicia es el responsable del tratamiento de los datos personales obtenidos mediante las cookies instaladas en el dominio “fiscal.es” y es a dicho C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/18 Ministerio al que corresponde dar cumplimiento a las obligaciones que impone el RGPD, incluidas las de facilitar información (art. 13) y dar respuesta al ejercicio de los derechos (artículos 15 a 22 del RGPD). 4. Visto lo anterior, la Unidad de Apoyo de la Fiscalía General se dirigió al Centro de Productos Administrativos de la Subdirección General de Implantación y Desarrollo de Servicios Digitales del Ministerio de Justicia, consecuencia de lo cual la Oficina de Seguridad de dicho Centro procedió a elaborar una propuesta sobre la actualización de los textos informativos que debían aparecer en los apartados relativos al “aviso legal”, “política de privacidad” y “política de cookies” del portal “fiscal.es”. Tras el correspondiente informe del Jefe de Área de Coordinación de la Unidad de Apoyo de la FGE se procedió a la actualización del referido contenido, que es el que figura en la actualidad en el referido portal. Asimismo, con fecha 20/04/2022, la Subdirección General de Calidad de los Servicios Digitales, Ciberseguridad y Operaciones informó a la Unidad de Apoyo de la FGE que, a raíz de la previa comunicación remitida por esta, se había procedido a deshabilitar del portal “fiscal.es” las cookies de terceros, en concreto de Google Analytics, y que, a partir del 03/03/2022, únicamente se utilizaban cookies técnicas necesarias para el correcto funcionamiento del portal, las cuales son internas y no se transfieren a terceros. A raíz de la recepción de dicha información, el 21/04/2022, la citada Unidad de Apoyo ofició de nuevo a la referida Subdirección instando la adopción de las medidas oportunas para poner fin al tratamiento de datos personales que hubieran podido transmitirse a terceros desde la fecha de entrada en vigor de la normativa vigente hasta la efectiva deshabilitación de las mencionadas cookies. 5. En relación con la respuesta al derecho de oposición ejercitado por la parte reclamante, remitida por la Unidad de Apoyo de la FGE en fecha 11/02/2022, se indica que dicha respuesta se efectuó en la errónea creencia de que el Ministerio de Justicia, como titular del dominio “fiscal.es” y por tanto como responsable del tratamiento, había adaptado su política de cookies a la normativa vigente, estando pendiente únicamente la actualización del contenido informativo. No obstante, dicha unidad procedió, una vez conocida la existencia de cookies que recopilaban datos personales, a requerir a la Subdirección General de Calidad de los Servicios Digitales, Ciberseguridad y Operaciones el cese en el tratamiento de los mismos. Señala al respecto que el derecho ejercitado debió ser atendido por el Ministerio de Justicia, como titular del dominio “fiscal.es”, y que en este sentido debió responder la Unidad de Apoyo al interesado. 6. Finalmente, señala el DPD que ha instado de nuevo a la Unidad de Apoyo de la FGE que solicite del Ministerio de Justicia lo siguiente: Si en el dominio “fiscal.es” se encuentran insertadas en la actualidad cookies que generen tratamiento de datos personales de los usuarios, que procedan a adoptar las medidas oportunas para que el consentimiento se pueda manifestar previamente al acceso al portal, de manera libre, específica, informada e inequívoca, mediante una C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/18 declaración o una clara acción afirmativa. En el caso de que no exista tratamiento de datos personales y, por tanto, no sea preciso el consentimiento de los usuarios, por razones de transparencia, se recomienda informar, ya sea en la política de cookies o en la propia política de privacidad, de aquellas cookies excluidas del ámbito de aplicación del artículo 22.2 de la LSSI, con una cláusula en los siguientes términos: “Este sitio web utiliza cookies exclusivamente de carácter técnico que permiten el funcionamiento y la prestación de los servicios ofrecidos en el mismo no requiriéndose el consentimiento de los usuarios ya que no se recogen datos personales de los mismos”. De existir en el dominio “fiscal.es” cookies que supongan tratamiento de datos personales, se incluya un apartado que facilite la información que exige el art. 13 del RGPD y en el que se identifique con claridad al Ministerio de Justicia (o al departamento que corresponda) como responsable del tratamiento de los datos recabados mediante las referidas cookies. CUARTO: Con fecha 17/05/2022, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante por el transcurso del plazo de tres meses sin que se hubiese notificado a la misma la decisión sobre la admisión o inadmisión de la reclamación. QUINTO: Mediante escrito de fecha 20/06/2022, se informó a la entidad FGE sobre el acuerdo de admisión a trámite, advirtiéndole que el mismo determinó la apertura de un procedimiento de derechos por una posible vulneración del derecho de oposición al tratamiento de los datos personales de la parte reclamante. En el mismo escrito se concedió a FGE plazo para formular las alegaciones y aportar los documentos que tuviese por oportunos. Por error, en dicho escrito se indicó que la entidad FGE no había respondido al trámite de traslado. SEXTO: Con fecha 05/07/2022, se recibió escrito del DPD de la FGE en el que se remite a su escrito anterior, de fecha 29/04/2022. Únicamente añade que el Ministerio de Justicia, como administración prestacional con competencia para ello, en fecha 10/06/2022 activó en la web “fiscal.es” la ventana emergente relativa a la aceptación de cookies. SÉPTIMO: Con fecha 06/07/2022, las alegaciones presentadas por la parte reclamada fueron trasladadas a la parte reclamante, para que formulase alegaciones. En la misma fecha se recibió escrito de alegaciones de la parte recurrente en el que manifiesta lo siguiente: . Sobre la responsabilidad del Ministerio de Justicia alegada, señala la parte reclamante “que en el aviso legal de la web www.fiscal.es obrante como documento anexo a la reclamación de este interesado ante la AEPD se indicaba en el apartado “Privacidad” que “El Ministerio Fiscal es el responsable del tratamiento de los datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/18 personales recogidos y/o suministrados por los interesados a través del portal www. Fiscal.es”. Tras la reclamación presentada por este interesado se han producido cambios en el citado aviso legal que ahora incluye un enlace a una nueva página de política de privacidad en la que se identifica al Ministerio de Justicia como encargado del tratamiento”. . En la respuesta al escrito de traslado se indica que se había procedido a deshabilitar las cookies de terceros, en concreto de Google Analytics, y que a partir del 03/03/2022 únicamente se utilizaban cookies técnicas que no se transfieren a terceros. A este respecto, la parte reclamante señala que, sin perjuicio que las cookies de terceros informadas en el aviso legal anexo a su reclamación sólo mencionaban las de Facebook y las de Twitter, la anterior manifestación supone un reconocimiento explícito del uso de cookies de terceros. . El DPD informante no ha realizado ninguna alegación sobre la eventual ilicitud de las transferencias internacionales de datos resultantes del uso de las citadas cookies. OCTAVO: Con fecha 08/08/2022, se dictó resolución por la Directora de la Agencia Española de Protección de Datos en el expediente PD/00142/2022, en la que se acordó desestimar la reclamación formulada por la parte reclamante contra la entidad FGE. En dicha resolución se tuvo en cuenta que el derecho de oposición fue respondido mediante comunicación de fecha 11/02/2022 y se concluyó que la parte reclamada actuó conforme establece la normativa. NOVENO: La resolución ahora recurrida fue notificada fehacientemente a la parte reclamante el 05/09/2022, según consta en el justificante de la notificación. DÉCIMO: Con fecha 16/09/2022, dentro del plazo establecido, la parte reclamante presentó recurso de reposición contra la resolución de fecha 08/08/2022, en el que solicita su revocación y la estimación de la reclamación presentada, conforme a las consideraciones siguientes: . Nulidad de la resolución impugnada por la falsedad (que no error) manifiesta y documentada de los hechos en los que se fundamenta: Resulta completamente falsa la afirmación recogida en la resolución impugnada, según la cual la reclamación deriva de la ausencia de respuesta, ya que de modo explícito se hacía referencia en la misma tanto a la respuesta del DPD de la parte reclamada de fecha 28/1/2022 como a la contestación de la Unidad de Apoyo de 17/02/2022, que incluso se adjuntó a la propia reclamación formulada ante la AEPD. Del citado contenido de la reclamación resulta manifiesto y expreso que ésta no deriva de una falta de respuesta de la reclamada, sino de una respuesta que resulta insatisfactoria o insuficiente, ya que no atiende el derecho de oposición ejercitado por el interesado. La propia reclamación se clasificó en la subcategoría “Se ha denegado la oposición total o parcialmente sin justificación”. . La resolución recurrida indica en su Fundamento de Derecho Quinto que un retraso en la entrada y registro de documentación pudo ser la causa de la admisión a trámite de la reclamación, cuando resulta manifiesto y documentado que dicha admisión se produjo, con total certeza, como consecuencia del transcurso del plazo imperativo C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/18 prevenido en el artículo 65 LOPDGDD, sin que conste que haya sido objeto de recurso ni de revisión por la AEPD. . La arbitrariedad de la resolución objeto del recurso deriva también de la ausencia de cualquier motivación relativa a los razonamientos fácticos y jurídicos por los que considera que la carta remitida por la parte reclamada en fecha 11/02/2022 o la comunicación de 29/04/2022 atienden el derecho solicitado; y por no realizar ninguna consideración o respuesta sobre los motivos alegados en la reclamación y en el trámite de audiencia posterior. Reitera que las respuestas recibidas no son adecuadas ni satisfacen el ejercicio del derecho de oposición; que la reclamada reconoce el empleo por el portal “fiscal.es” hasta el 03/03/2022 de cookies de terceros (y no sólo las reconocidas en su aviso legal, sino también las de Google Analytics, que no se mencionaban); y que en ningún momento ha acreditado la legalidad del uso de las citadas cookies de terceros ni que se haya comunicado por la reclamada a dichos terceros que cesen en el uso de los datos personales cedidos por el portal hasta el citado día 03/03/2022. DÉCIMO PRIMERO: El escrito de recurso presentado por la parte reclamante fue trasladado a la entidad FGE para que formulase alegaciones al respecto. Con este motivo, con fecha 03/11/2022, la entidad presentó escrito manifestando lo siguiente: . El ejercicio del derecho fue respondido en fecha 11/02/2022, lo que debería haber determinado la inadmisión de la reclamación. . La reclamación fue admitida a trámite por no haberse dado respuesta al trámite traslado, a pesar de que dicho trámite fue respondido por la entidad FGE en fecha 29/04/2022. . Reitera que el dominio “fiscal.es” es titularidad del Ministerio de Justicia, según se informa en el “Aviso legal” de la propia página. FGE únicamente se ocupa de generar el contenido de la web, pero es ajeno a su soporte tecnológico. Es el Ministerio de Justicia quien suministra los medios materiales necesarios para la actividad de la entidad FGE. . FGE, conocida las circunstancias que motivaron el ejercicio del derecho por la parte recurrente, aplicó las medidas técnicas y organizativas a su alcance, reclamando a la administración competente el cumplimiento de sus obligaciones. FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo LPACAP) y el artículo 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/18 II Cuestiones previas El presente procedimiento tiene por objeto el examen de la reclamación formulada ante esta AEPD por la parte reclamante, relacionada con el derecho de oposición ejercitado ante la entidad FGE, el cual, a juicio de la parte reclamante, no fue debidamente atendido. El ejercicio del derecho de oposición está relacionado con los tratamientos de datos personales que conlleva el uso de cookies por la web “fiscal.es”, resultando conveniente, en primer término, determinar la condición bajo la que interviene la entidad reclamada. Las figuras de “responsable del tratamiento” y “encargado del tratamiento” se definen en el artículo 4 del RGPD como sigue: . “Responsable del tratamiento o responsable: la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros”. . “Encargado del tratamiento o encargado: la persona física o jurídica, autoridad pública, servicio u otro organismo que trate datos personales por cuenta del responsable del tratamiento”. Los conceptos de responsable y encargado de tratamiento no son formales, sino funcionales y deben atender al caso concreto. El responsable del tratamiento lo es desde el momento que decide los fines y los medios del tratamiento, no perdiendo tal condición por el hecho de dejar cierto margen de actuación al encargado del tratamiento o por no tener acceso a las bases de datos del encargado. Así se expresa indubitadamente en las Directrices 07/2020 del Comité Europeo de Protección de Datos (CEPD) sobre los conceptos de responsable del tratamiento y encargado en el RGPD: “Un responsable del tratamiento es quien determina los propósitos y los medios del tratamiento, es decir, el porqué y el cómo del tratamiento. El responsable del tratamiento debe decidir sobre ambos propósitos y medios. Sin embargo, algunos aspectos más prácticos de la implementación ("medios no esenciales") se pueden dejar en manos del encargado del tratamiento. No es necesario que el responsable tenga realmente acceso a los datos que se están tratando para calificarse como responsable” (traducción no oficial). Determinar quién decide los medios y los fines del tratamiento de datos es crucial para establecer quién es responsable del cumplimiento de las normas de protección de datos personales, y en particular quién debe facilitar información a las personas C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/18 interesadas o atender los derechos del interesado, etc. En el presente caso, consta que la entidad FGE es responsable de los tratamientos de datos personales que tienen causa en el uso de la web “fiscal.es”, en contra de lo manifestado por dicha entidad en su escrito de alegaciones, según las cuales la titularidad del dominio corresponde al Ministerio de Justicia, como “administración prestacional en lo que respecta al citado portal web, ocupándose la entidad FGE únicamente de generar su contenido. En relación con el suministro por la Administración competente a la Administración de Justicia de los medios tecnológicos adecuados para el tratamiento de datos personales, la entidad FGE cita en sus alegaciones la Ley Orgánica del Poder Judicial y la Instrucción 2/2019, de 20 de diciembre, de la Fiscalía General del Estado, sobre la protección de datos en el ámbito del Ministerio Fiscal. Esta alegación contrasta con la información ofrecida en el “Aviso legal” insertado en la propia web “fiscal.es”, en su versión actualmente vigente, modificada en fecha 22/02/2022. Anterior, por tanto, a la presentación de alegaciones por parte de la entidad FGE. Como bien señala la parte recurrente en sus alegaciones, el indicado “Aviso Legal” incluye un apartado “Privacidad” con un enlace a la “Política de privacidad” de la web, en la que se identifica al “Ministerio Fiscal, representado por la Unidad de Apoyo de la Fiscalía General del Estado” como responsable de los tratamientos de datos personales; y al “Ministerio de Justicia, Dirección General de Transformación Digital de la Administración de Justicia” como encargado del tratamiento, respecto de la “prestación de servicios de gestión y mantenimiento del portal”. La condición del Ministerio de Justicia como encargado del tratamiento se establece, asimismo, en la disposición adicional séptima del Real Decreto 453/2020, de 10 de marzo, por el que se desarrolla la estructura orgánica básica del Ministerio de Justicia, y se modifica el Reglamento del Servicio Jurídico del Estado, aprobado por el Real Decreto 997/2003, de 25 de julio, según la modificación aprobada por Real Decreto 1040/2022, de 27 de diciembre: “1. En el tratamiento de datos de carácter personal en las aplicaciones y servicios digitales diseñados, desarrollados o en mantenimiento por parte de la Dirección General de Transformación Digital y que hayan sido creados o implantados en el ámbito de competencias del Ministerio de Justicia, y puestos a disposición de Juzgados, Tribunales, Fiscalías, Oficinas judicial y fiscal, órganos técnicos auxiliares de la Administración de Justicia, unidades administrativas, órganos y organismos del departamento, así como de otras Administraciones, entidades e instituciones públicas en virtud de procedimientos de adhesión u otros instrumentos de la misma naturaleza previstos en la legislación vigente, el Ministerio de Justicia, a través de la Dirección General de Transformación Digital de la Administración de Justicia, tendrá la consideración de «Encargado del Tratamiento», correspondiendo a aquéllos la consideración de «Responsable del Tratamiento», en aplicación del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, la Ley Orgánica 6/1985, de 1 de julio, del Poder Judicial, y la Ley Orgánica 7/2021, de 26 de mayo, de protección de datos personales tratados para fines de prevención, detección, investigación y enjuiciamiento de infracciones penales y de ejecución de sanciones penales. 2. En su condición de encargado del tratamiento y conforme dispone el artículo 28.3 del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/18 Reglamento (UE) 2016/679, la Dirección General de Transformación Digital de la Administración de Justicia:

1. a)Tratará los datos personales según las instrucciones de los órganos y organismos a cuya disposición se pusieran las aplicaciones y servicios digitales.
2. b)Garantizará que las personas autorizadas a tratar los datos personales tienen contraído compromiso de confidencialidad, guarden secreto profesional sobre los mismos y no los comuniquen a terceros, salvo en aquellos casos en que deba hacerse en estricto cumplimiento de la ley.
3. c)Asistirá al órgano u organismo, a través de medidas técnicas y organizativas apropiadas y siempre que sea posible, para que pueda cumplir con su obligación de responder a las solicitudes que tengan por objeto el ejercicio de los derechos de los interesados establecidos en el capítulo III del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos.
4. d)A la finalización de la puesta a disposición de las aplicaciones y servicios digitales, facilitará la devolución de los datos al órgano u organismo, de acuerdo con las especificaciones técnicas que establezca el Ministerio de Justicia.
5. e)Pondrá a disposición del órgano u organismo beneficiario toda la información necesaria para demostrar el cumplimiento de las obligaciones establecidas en el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, así como para permitir y contribuir a la realización de auditorías, incluidas inspecciones, por parte del órgano u organismo o de otro auditor autorizado por aquél”. Anterior a las alegaciones de la parte reclamada es también la Instrucción 2/2019, la cual expresa igualmente la condición de responsable del tratamiento de dicha entidad y la obligación de la misma de atender los derechos de los interesados: “6. La identificación del responsable del tratamiento de datos en el ámbito del Ministerio Fiscal. (…) En el ámbito del MF, resulta preciso identificar al responsable del tratamiento de forma clara y unívoca, con el fin de que el cumplimiento de las normas de protección de datos y el ejercicio de dicho derecho se vea suficientemente garantizado; debiendo la aplicación de dichas normas, por otro lado, tener en cuenta la naturaleza y estructura del MF. En nuestra legislación, no hay una asignación explícita de la responsabilidad del tratamiento al MF; sin embargo, esta puede deducirse siguiendo varios criterios. Como hemos indicado, el RGPD indica que el responsable del tratamiento es el que determina los fines y medios del tratamiento. En el caso del MF, los fines del tratamiento, es decir, por qué se realiza el mismo, vienen determinados por las misiones constitucional y legalmente asignadas (definidas en el art. 124 CE y en el EOMF) o por las obligaciones que debe cumplimentar por el ejercicio de su actuación (por ejemplo, mantener un registro de los miembros del MF). Precisamente, de esta realidad se deriva que el fundamento del tratamiento que realiza el MF es «el cumplimiento de una función realizada en interés público o en el ejercicio de potestades públicas conferidas a las instituciones y organismos de la Unión» o el «cumplimiento de una obligación legal aplicable al responsable del tratamiento» (arts. 6 RGPD y 8.1 LOPDGDD). La determinación de los medios supone, siguiendo las consideraciones del GT 29, decidir cómo se realizan las actividades de tratamiento. Los medios «no sólo se refieren a los medios técnicos para tratar los datos personales, sino también al «cómo» del tratamiento, que incluye preguntas como ¿qué datos deben tratarse?, ¿qué terceros deben tener acceso a estos datos? ¿cuándo deben borrarse los datos?, etc.». En la determinación de los medios se incluyen, por tanto, preguntas técnicas y organizativas. Sin embargo, la determinación de los medios no exige que el responsable asuma la definición de todos los aspectos relativos a los mismos. Es posible que varios agentes participen en ciertos aspectos, manteniendo el responsable su capacidad de organizar e influir en la forma C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/18 en la que se tratan los datos personales. Ciertas cuestiones pueden delegarse por ejemplo en los encargados del tratamiento, reservándose a la determinación del responsable los aspectos esenciales. Estas circunstancias están presentes en la actividad del MF, pues la determinación de sus medios está condicionada al corresponder al Ministerio de Justicia o comunidades autónomas (en adelante, CCAA) el suministro de los medios materiales necesarios para su actividad. Además, aunque en la definición de las aplicaciones informáticas y en el diseño y configuración de las mismas (y, por tanto, en la determinación de ciertos aspectos sobre el tratamiento que a través de ellas se realiza) participa la Fiscalía General del Estado, a través de la Unidad de Apoyo, también interviene en la actualidad el Comité Técnico Estatal de la Administración Electrónica (CTEAJE) y está supeditado al mencionado desarrollo y suministro de medios que deben efectuar el Ministerio de Justicia o las CCAA con competencias asumidas en materia de la administración de Justicia. Actualmente, doce CCAA han asumido las competencias en este ámbito. Como criterio adicional para la identificación del responsable, ya se ha mencionado que el RGPD dispone que «si el Derecho de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros». Conviene por ello examinar la normativa actual y los antecedentes en materia de determinación de los responsables de protección de datos en el ámbito del MF para identificar quién tiene capacidad de organizar el tratamiento que se efectúa en el ámbito del MF, examinando si la actual normativa indica las personas y/u organismos que deben asumir las responsabilidades, enfocando la cuestión desde el concepto funcional del responsable elaborado por el GT 29. Y en este punto es imprescindible partir de la CE y el EOMF. Como ya se ha indicado, el derecho a la protección de datos constituye, sobre la base del art. 18.4 CE, un derecho fundamental autónomo y específico, que vincula al MF, al igual que a otros poderes públicos (art 53 CE), al tratarse de un órgano de relevancia constitucional con personalidad jurídica propia y que es único para todo el Estado, correspondiendo a la/el Fiscal General del Estado la jefatura superior, «impartiendo las órdenes e instrucciones convenientes al servicio y al orden interno de la institución y, en general, la dirección e inspección del Ministerio Fiscal» (art. 22.2 EOMF). Esta capacidad organizativa incide tanto en las operaciones de tratamiento que se efectúan en las fiscalías mediante la confección de carpetillas o expedientes en papel, como en aquellas que se llevan a cabo utilizando determinadas aplicaciones informáticas y el soporte de las nuevas tecnologías. En sus funciones de dirección y organización, la Fiscalía General imparte instrucciones y circulares indicando pautas de obligado cumplimiento sobre el tratamiento de datos personales necesario para el ejercicio de determinadas funciones del MF. (…) Por otro lado, y en el ámbito del tratamiento que se realiza a través de las nuevas tecnologías, el art. 230.1 LOPJ, después de disponer la obligación de las fiscalías de utilizar cualesquiera medios técnicos, electrónicos, informáticos y telemáticos, puestos a su disposición para el desarrollo de su actividad y ejercicio de sus funciones (…), añade que las instrucciones generales o singulares de uso de las nuevas tecnologías que (…) la Fiscalía General del Estado dirijan a (…) los fiscales, respectivamente, determinando su utilización, serán de obligado cumplimiento. (…) Se desprende así de los preceptos citados y estos antecedentes, que corresponde al MF, como órgano con relevancia constitucional, la organización del tratamiento que se efectúa, siempre dentro de su ámbito de actuación y competencias, y sin perjuicio de que otros agentes intervengan en algunos aspectos. (…) 7. Las obligaciones del Ministerio Fiscal en materia de protección de datos (…) 7.2 Obligaciones de la Fiscalía General del Estado. Para el cumplimiento de las obligaciones que dichos principios imponen al MF, la/el Fiscal General del Estado, al ostentar su jefatura superior y la máxima representación del MF (art. 13.1 y 22.2 EOMF), a través de los órganos y unidades competentes de la Fiscalía C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/18 General del Estado, esencialmente deberá:
6. a)Adoptar las medidas técnicas y organizativas apropiadas a fin de garantizar y poder demostrar que el tratamiento es conforme con el RGPD; dichas medidas deberán ser revisadas y actualizadas cuando sea necesario (art 24.1 RGPD).
7. b)Adoptar las medidas técnicas y organizativas apropiadas a fin de proteger los derechos de los interesados (art. 25.1 RGPD).
8. c)Establecer los mecanismos y procedimientos necesarios para facilitar a los interesados el ejercicio de sus derechos proporcionando a los mismos información concisa, transparente, inteligible y de fácil acceso, para lo cual se elaborarán los correspondientes modelos o guías que se pondrán a disposición de las fiscalías y del resto de órganos y unidades del MF (art. 12 RGPD). (…)”. Por otra parte, las actuaciones que integran el expediente administrativo acreditan que la utilización de cookies por la web “fiscal.es” conlleva la recogida de datos personales de los usuarios de la misma. Varias son las declaraciones realizadas por la parte reclamada en sus diferentes escritos de alegaciones que admiten esta conclusión. Así resulta (
9. i)cuando la misma FGE se plantea actualizar la “política de cookies” y concretar la naturaleza de las mismas a fin de determinar si exigen el consentimiento del usuario; o (
10. ii)cuando se alega que el Ministerio de Justicia es responsable del tratamiento de los datos personales obtenidos mediante las cookies y el obligado a dar cumplimiento a las previsiones que impone el RGPD; (iii) también al señalar que, una vez conocida la existencia de cookies que recopilaban datos personales se requirió el cese en el tratamiento de los mismos y se procedió a deshabilitar las cookies de terceros, en concreto de Google Analytics, de modo que a partir del 03/03/2022 únicamente se utilizan cookies técnicas. Es sabido, además, y así consta en numerosas resoluciones dictadas por esta Agencia, disponibles a través de la web “aepd.es”, que las cookies de Google Analytics recopilan datos personales de los usuarios, los cuales son objeto de transferencia internacional. Entre esos datos figuran identificadores únicos de usuarios (_ga y _gid), la dirección IP, así como otros datos asociados al navegador y a la propia navegación o información del sistema, entre otros. El artículo 4.1 del RGPD define los datos personales como «toda información relativa a una persona física identificada o identificable («el interesado»); una persona física identificable es aquella que puede ser identificada, directa o indirectamente, en particular por referencia a un identificador, como un nombre, un número de identificación, datos de ubicación, un identificador en línea o uno o varios factores específicos de la identidad física, fisiológica, genética, mental, económica, cultural o social de dicha persona física.». Cabe señalar que los identificadores en línea, como las direcciones IP o la información almacenada en las cookies, pueden utilizarse comúnmente para identificar a un usuario, especialmente cuando se combinan con otros tipos de información similares. Esto se ilustra en el considerando 30 del RGPD, según el cual la asignación de identificadores en línea como direcciones IP, identificadores de cookies a personas C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/18 físicas o sus dispositivos pueden “dejar rastros que, en particular cuando se combinan con identificadores únicos y otra información recibida por los servidores, pueden utilizarse para crear perfiles de las personas físicas e identificarlos”. Cabe señalar que el TJUE ya ha declarado que las direcciones IP son datos personales (véase el asunto C-597-19, punto 102 y C-582/14, punto 49). La dirección IP no pierde su naturaleza de datos personales simplemente porque los medios de identificación residen en terceras entidades. Además, el caso en cuestión es muy diferente, ya que la dirección IP puede combinarse con otros elementos. En lo que respecta a los identificadores únicos, están destinados a diferenciar individuos y hacen que éstos sean identificables. Estos identificadores también pueden combinarse con otra información, como la dirección del sitio web visitado, los metadatos relativos al navegador y el sistema operativo, la hora y los datos relativos a la visita al sitio web y la dirección IP. Esta combinación de información diferencia aún más a los individuos. Es decir, la combinación de varios elementos puede permitir identificar individualmente a los visitantes de la página web “fiscal.es”, en la que se implementa Google Analytics, sin perjuicio de que estos visitantes puedan ser identificados mediante identificadores únicos, sin necesidad de dicha combinación de datos. Aparte de esto, en el caso de que algún visitante de la web “fiscal.es” hubiese iniciado sesión en una cuenta de Google en el momento de su visita, la implementación de Google Analytics en el sitio web permite a Google recibir la información de que un usuario específico conectado a una cuenta de Google ha visitado ese sitio web. Por lo tanto, se recopilan datos personales relacionados con esta cuenta. Por todo ello, debe considerarse que los datos en cuestión son datos personales en el sentido del artículo 4.1 del RGPD. Todos esos datos personales recopilados a través de una web que integra la función Google Analytics se transfieren a los servidores de Google en Estados Unidos. Incluso, en los términos que acepta el titular de una web que incorpora esta función se contempla que Google pueda almacenar y tratar datos personales en cualquier país en el que Google o cualquiera de sus subencargados de tratamiento de datos mantengan instalaciones. III Derecho de oposición Los derechos de las personas en materia de protección de datos personales están regulados en los artículos 15 a 22 del RGPD y 13 a 18 de la LOPDGDD. Se contemplan los derechos de acceso, rectificación, supresión, oposición, derecho a la limitación del tratamiento y derecho a la portabilidad. Los aspectos formales relativos al ejercicio de esos derechos se establecen en los artículos 12 del RGPD y 12 de la LOPDGDD. El artículo 12 “Transparencia de la información, comunicación y modalidades de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/18 ejercicio de derechos” del RGPD establece lo siguiente: “1. El responsable del tratamiento tomará las medidas oportunas para facilitar al interesado toda información indicada en los artículos 13 y 14, así como cualquier comunicación con arreglo a los artículos 15 a 22 y 34 relativa al tratamiento, en forma concisa, transparente, inteligible y de fácil acceso, con un lenguaje claro y sencillo, en particular cualquier información dirigida específicamente a un niño. La información será facilitada por escrito o por otros medios, inclusive, si procede, por medios electrónicos. Cuando lo solicite el interesado, la información podrá facilitarse verbalmente siempre que se demuestre la identidad del interesado por otros medios. 2. El responsable del tratamiento facilitará al interesado el ejercicio de sus derechos en virtud de los artículos 15 a 22. En los casos a que se refiere el artículo 11, apartado 2, el responsable no se negará a actuar a petición del interesado con el fin de ejercer sus derechos en virtud de los artículos 15 a 22, salvo que pueda demostrar que no está en condiciones de identificar al interesado. 3. El responsable del tratamiento facilitará al interesado información relativa a sus actuaciones sobre la base de una solicitud con arreglo a los artículos 15 a 22, y, en cualquier caso, en el plazo de un mes a partir de la recepción de la solicitud. Dicho plazo podrá prorrogarse otros dos meses en caso necesario, teniendo en cuenta la complejidad y el número de solicitudes. El responsable informará al interesado de cualquiera de dichas prórrogas en el plazo de un mes a partir de la recepción de la solicitud, indicando los motivos de la dilación. Cuando el interesado presente la solicitud por medios electrónicos, la información se facilitará por medios electrónicos cuando sea posible, a menos que el interesado solicite que se facilite de otro modo.” 4.Si el responsable del tratamiento no da curso a la solicitud del interesado, le informará sin dilación, y a más tardar transcurrido un mes de la recepción de la solicitud, de las razones de su no actuación y de la posibilidad de presentar una reclamación ante una autoridad de control y de ejercitar acciones judiciales. 5.La información facilitada en virtud de los artículos 13 y 14 así como toda comunicación y cualquier actuación realizada en virtud de los artículos 15 a 22 y 34 serán a título gratuito. Cuando las solicitudes sean manifiestamente infundadas o excesivas, especialmente debido a su carácter repetitivo, el responsable del tratamiento podrá:
11. a)cobrar un canon razonable en función de los costes administrativos afrontados para facilitar la información o la comunicación o realizar la actuación solicitada, o
12. b)negarse a actuar respecto de la solicitud. El responsable del tratamiento soportará la carga de demostrar el carácter manifiestamente infundado o excesivo de la solicitud. 6.Sin perjuicio de lo dispuesto en el artículo 11, cuando el responsable del tratamiento tenga dudas razonables en relación con la identidad de la persona física que cursa la solicitud a que se refieren los artículos 15 a 21, podrá solicitar que se facilite la información adicional necesaria para confirmar la identidad del interesado. 7.La información que deberá facilitarse a los interesados en virtud de los artículos 13 y 14 podrá transmitirse en combinación con iconos normalizados que permitan proporcionar de forma fácilmente visible, inteligible y claramente legible una adecuada visión de conjunto del tratamiento previsto. Los iconos que se presenten en formato electrónico serán legibles mecánicamente. 8.La Comisión estará facultada para adoptar actos delegados de conformidad con el artículo 92 a fin de especificar la información que se ha de presentar a través de iconos y los procedimientos para proporcionar iconos normalizados”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/18 De conformidad con lo dispuesto en estas normas, el responsable del tratamiento debe arbitrar fórmulas y mecanismos para facilitar al interesado el ejercicio de sus derechos, que serán gratuitas (sin perjuicio de lo dispuesto en los artículos 12.5 y 15.3 del RGPD). Asimismo, el responsable del tratamiento viene obligado a responder las solicitudes formuladas a más tardar en un mes, salvo que pueda demostrar que no está en condiciones de identificar al interesado; así como a expresar los motivos en caso de que no atendiera la solicitud. De lo anterior se desprende que la solicitud de ejercicio de derechos formulada por el interesado debe ser respondida en todo caso, recayendo sobre el responsable la prueba del cumplimiento de este deber. Esta obligación de actuar no resulta exigible cuando el responsable del tratamiento pueda demostrar que no está en condiciones de identificar al interesado (en los casos a que se refiere el artículo 11.2 del RGPD). En supuestos distintos al previsto en este artículo, en los que el responsable del tratamiento tenga dudas razonables en relación con la identidad del solicitante, podrá requerir información adicional necesaria para confirmar esa identidad. A este respecto, el Considerando 64 del RGPD se expresa en los términos siguientes: “