REPOSICION-PS-00033-2025

1/24  Expediente nº.: EXP202407852 RESOLUCIÓN DE RECURSO DE REPOSICIÓN Examinado el recurso de reposición interpuesto por EVELB TÉCNICAS Y SISTEMAS, S.L (en lo sucesivo, la parte recurrente) contra la resolución dictada por la Presidencia de la Agencia Española de Protección de Datos de fecha 25 de enero de 2026, y en base a los siguientes HECHOS PRIMERO: Con fecha 25 de enero de 2026, se dictó resolución por la Presidencia de la Agencia Española de Protección de Datos en el expediente EXP202407852, en virtud de la cual se imponía a EVELB TÉCNICAS Y SISTEMAS, S.L por una infracción del artículo 5.1.

1. f)del RGPD, tipificada en el artículo 83.5 del RGPD, una multa de 5.000 euros (CINCO MIL euros). Dicha resolución, que fue notificada a la parte recurrente en fecha 5 de febrero de 2026, fue dictada previa la tramitación del correspondiente procedimiento sancionador, de conformidad con lo dispuesto en la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), y supletoriamente en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP), en materia de tramitación de procedimientos sancionadores. SEGUNDO: Como hechos probados del citado PS/00033/2025, quedó constancia de los siguientes: procedimiento sancionador, “HECHOS PROBADOS PRIMERO: A fecha de 8 de septiembre de 2023, el Ayuntamiento de Redondela y la empresa EVELB contaban con un contrato de “Servicio de asistencia técnica e informática” con el objeto siguiente: “El objeto del presente contrato consiste en la realización de trabajos de asistencia preventiva y correctiva, de los equipos y sistemas físicos y lógicos para el tratamiento de la información, propiedad del Ayuntamiento de Redondela, así como la prestación de los servicios resultantes de las tareas propias de implantación y/o explotación que se deriven de los trabajos diarios en los diferentes edificios pertenecientes al Ayuntamiento de Redondela, incluyendo tareas de apoyo y asistencia a las/a los usuarias/os SEGUNDO: En la cláusula 27 del pliego de cláusulas administrativas particulares del mencionado contrato se incluía un apartado relativo a la protección de datos de carácter personal en el que se confería al Ayuntamiento de Redondela la condición de responsable del tratamiento y a EVELB de encargado del tratamiento. Además, se establecía en relación con EVELB: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/24 “(…) El encargado del tratamiento únicamente tratará los datos para realizar por cuenta del responsable a prestación de los tratamientos encargados. En ningún caso el encargado utilizará los datos para finalidades distintas. (…) En todo caso, deberá implantar mecanismos para garantizar la confidencialidad, integridad y responsabilidad y resiliencia permanente de los sistemas y servicios de tratamiento; restaurar la disponibilidad y el acceso a los datos personales de forma rápida, en caso de incidente físico y técnico; verificar, evaluar y valorar, de forma regular, la eficacia de las medidas técnicas y organizativas implantadas para garantizar la seguridad del tratamiento; seudonimizar y cifrar los datos personales (…)”. TERCERO: Asimismo, en el punto 2.4 del mencionado pliego de cláusulas administrativas particulares se indica como obligación del adjudicatario EVELB: “2.4. Realización de copias de seguridad: Las copias de seguridad deben ser diarias y se realizarán de forma diferencial e incremental, además de la copia espejo que tenemos de los cuatro servidores virtuales con los que trabajamos en el Ayuntamiento. Se debe realizar una copia completa al final de cada año para archivarla en el archivo municipal, además de las copias de trabajo diarias. El sistema se optimizará realizando estas copias por la noche y se comprobará su correcto funcionamiento antes de iniciar la primera copia de seguridad. El técnico de servicio indicará los servidores que se copiarán, pero estos incluirán carpetas de red con datos y aplicaciones. El sistema debe garantizar que las copias sean correctas y, en caso de error, se enviará una notificación automática al administrador del sistema. Las copias de seguridad deben tener una duración mínima de una semana, para poder recuperar los datos al menos en ese periodo, sin tener que restaurar la copia completa. El funcionamiento del programa de copias de seguridad se realizará preferiblemente en segundo plano y consumirá pocos recursos. Podrá clonar discos (físicos y virtuales) o particiones completas, y permitirá restaurar el sistema en caso de fallo. Se proporcionará un NAS configurado para dichas copias, que al finalizar el contrato se transferirá al Ayuntamiento de Redondela”. CUARTO: El 08/09/2023 se produjo una avería de un servidor del Ayuntamiento de Redondela que contenía, entre otros, la aplicación contable del mencionado ayuntamiento (***APLICACIÓN.1). QUINTO: La aplicación ***APLICACIÓN.1 contenía toda la información contable del Ayuntamiento de Redondela y era la herramienta a través de la que se gestionaban los pagos de las personas físicas -funcionarias o noempleadas o contratadas por el ayuntamiento. Además de otros datos básicos para hacer efectivos los pagos, ***APLICACIÓN.1 contaba con una relación personal de las horas de dedicación habitual de la jornada laboral y horas extras de los funcionarios municipales y de personal externo contratado (datos personales de índole económica). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/24 SEXTO: Consta acreditado en el Informe de cierre del incidente del Ayuntamiento de 22 de noviembre de 2023 de ***EMPRESA.1, así como en los informes de la Coordinadora de Nuevas Tecnologías del ayuntamiento de fechas 13 y 29 de septiembre de 2023, que al intentar recuperar la información de ***APLICACIÓN.1 contenida en el servidor averiado (incluidos los datos personales) no resultó posible, en tanto que no existían copias de seguridad válidas. En concreto, el mencionado informe de 22 de noviembre de 2023 señala: “se pone de manifiesto en el momento de intentar arrancar los sistemas con esas copias e incluso montar un nuevo servidor virtual por el propietario de la aplicación, la entidad T-System y comprobar que no son válidas”. SÉPTIMO: La ausencia de copias de seguridad válidas, generó la pérdida de disponibilidad de los datos personales contenidos en ***APLICACIÓN.1, desde el 8 de septiembre de 2023 hasta el 22 de noviembre de 2023, fecha en la que se obtuvo pleno acceso a los datos, de acuerdo con el mencionado informe de 22 de noviembre de 2023. El 9 de octubre de 2023 fue recuperada una copia de seguridad de 28 de julio de 2023, correspondiendo a los servicios del ayuntamiento la recuperación manual del resto de datos personales y operaciones contables acaecidas entre el 28 de julio de 2023 y el 8 de septiembre de 2023. OCTAVO: Consta acreditado en el Informe de Cierre del Incidente del Ayuntamiento de 22 de noviembre de 2023, así como en los informes de la Coordinadora de Nuevas Tecnologías de fechas 13 y 29 de septiembre de 2023, que el motivo por el que las copias de seguridad que debían realizarse diariamente en el servidor virtual gestionado por EVELB no resultaran válidas era que no estaban correctamente configuradas y no se estaban realizando de forma efectiva, generándose archivos que se reescribían entre sí sin almacenarse adecuadamente. En el mencionado informe se señala: “en el periodo de tiempo entre julio y septiembre de 2023, se realizaron en horas en las que las aplicaciones estaban funcionando, impidiendo copiar de esta forma los datos que se iban introduciendo (ya que existían copias de seguridad contenidas en los discos, pero estas no eran válidas para iniciar los sistemas, porque solo copiaba procesos y no datos) (…) Este error fue afectando a los sistemas a medida que pasaban los días, ya que las copias de seguridad, se almacenan en un sistema de sobre escritura borrando las anteriores y provocado la falta de disponibilidad final de los datos” NOVENO: De acuerdo con el informe recogido de la herramienta AXESOR, la entidad EVELB es una empresa constituida en el año 2010, dedicada al sector de la Programación, consultoría y otras actividades relacionadas con la informática, y con un volumen de negocios de 799.984 € en el año 2024”. TERCERO: La parte recurrente ha presentado en fecha 5 de marzo de 2026, en esta Agencia Española de Protección de Datos, recurso de reposición, fundamentándolo, básicamente, en los siguientes aspectos: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/24 1. Condición de EVELB como encargado del tratamiento: - Insiste en que EVELB resultó adjudicataria de un contrato ostentando única y exclusivamente la condición de encargado del tratamiento y que sus funciones se limitaban a la asistencia técnica informática del Ayuntamiento. Por tanto, insiste en que el responsable del tratamiento y contra quien cabe, en su caso, exigir responsabilidades es el Ayuntamiento de Redondela, puesto que el encargado actúa por cuenta de este. - Concluye, por tanto, en que no es de aplicación el artículo 28.10 del RGPD en tanto que no se daría ninguna de las condiciones siguientes: que el encargado hubiera realizado el tratamiento
2. i)para fines que le sean propios o (
3. ii)en las que haya tratado dichos datos de manera incompatible con el marco o las modalidades del tratamiento tal como hayan sido determinados por el responsable del tratamiento, es decir de manera incompatible o contraria o extralimitándose respecto las instrucciones del responsable del tratamiento sobre los fines y los medios del tratamiento o (iii) que realice actuaciones que el responsable no hubiera autorizado 2. Nulidad de pleno derecho conforme a los artículos 47.1
4. a)y
5. e)de la LPACAP: - Señala que la resolución recoge una versión inexacta del pliego de prescripciones técnicas particulares que se obtiene al descargar de la web de la plataforma de contratación pública, lo que sería causa de nulidad del procedimiento. PLIEGOS PUBLICADOS “2.4. Realización de copias de seguridad: Las copias de seguridad deben ser diarias y se realizarán de forma diferencial e incremental, además de la copia en espejo que tenemos de los servidores virtuales con los que trabajamos en el Ayuntamiento. Se debe realizar una copia completa al final de cada año para archivarla en el archivo municipal, además de las copias de trabajo diario, para el que se facilitará un disco desde el Departamento de Nuevas Tecnologías. El sistema se optimizará realizando estas copias en horario nocturno y se probará antes del inicio del primer backup, con una prueba de funcionamiento, que las copias con correctas y no dan errores. El técnico de servicio indicará los servidores que se copiarán, pero estos incluirán carpetas de red con datos y aplicaciones. El sistema debe garantizar C/ Jorge Juan, 6 28001 – Madrid RESOLUCIÓN AEPD “2.4. Realización de copias de seguridad: Las copias de seguridad deben ser diarias y se realizarán de forma diferencial e incremental, además de la copia espejo que tenemos de los cuatro servidores virtuales con los que trabajamos en el Ayuntamiento. Se debe realizar una copia completa al final de cada año para archivarla en el archivo municipal, además de las copias de trabajo diarias. El sistema se optimizará realizando estas copias por la noche y se comprobará su correcto funcionamiento antes de iniciar la primera copia de seguridad. El técnico de servicio indicará los servidores que se copiarán, pero estos incluirán carpetas de red con datos y aplicaciones. El sistema debe garantizar que las copias sean correctas y, en caso de error, se enviará una notificación automática al administrador del sistema. www.aepd.es sedeaepd.gob.es 5/24 que las copias sean correctas y, en caso de error, se enviará una notificación automática al administrador del sistema. Las copias de seguridad deberán incluir por lo menos el periodo de una semana, para poder rescatar datos como mínimo en ese periodo de tiempo, sin restaurar la copia completa. El funcionamiento del programa de backup será en segundo plano y consumiendo pocos recursos, podrá clonar discos (físicos y virtuales) o particiones completas, y permitirá restaurar el sistema en caso de bloqueo. Se proporcionarán los medios para llevar a cabo estas tareas desde el Ayuntamiento de Redondela: el software y los equipos de almacenamiento para dichas copias.” Las copias de seguridad deben tener una duración mínima de una semana, para poder recuperar los datos al menos en ese periodo, sin tener que restaurar la copia completa. El funcionamiento del programa de copias de seguridad se realizará preferiblemente en segundo plano y consumirá pocos recursos. Podrá clonar discos (físicos y virtuales) o particiones completas, y permitirá restaurar el sistema en caso de fallo. Se proporcionará un NAS configurado para dichas copias, que al finalizar el contrato se transferirá al Ayuntamiento de Redondela”. Y que la AEPD oculta con su transcripción, los siguientes aspectos: • Que el Ayuntamiento debe facilitar un disco para copias. • Que el sistema de probará antes del inicio del primer backup que las copias son correctas y no dan errores. • Que se proporcionarán los medios para llevar a cabo estas tareas “desde” el Ayuntamiento: software y equipos de almacenamiento. Concluye, en definitiva, que se le ha causado indefensión. 3. Falta de actividad probatoria mínima y vulneración del principio de presunción de inocencia: - Sostiene que la resolución se ampara únicamente en la versión de la parte interesada, así como en documentos elaborados por esta o para esta; pero que no existen elementos probatorios independientes. - Asegura que durante el procedimiento sancionador se le ha “exigido una prueba de inocencia” y que, por tanto, se ha invertido la carga probatoria de la prueba. - Ausencia del principio de culpabilidad. Sostiene que el Ayuntamiento le revocó los permisos impidiendo que pudiera realizar las comprobaciones oportunas, lo que ha repercutido negativamente en su defensa y conlleva, de nuevo un vicio de nulidad de la resolución sancionadora por contravenir lo previsto en el artículo 47.1
6. a)de la LPACAP. Además, señala que la resolución no tiene en cuenta la arquitectura del sistema y el sistema operativo que había dejado de recibir soporte. - Insiste, además, en que no existió ningún incumplimiento de las instrucciones del responsable, asegura que no es cierto que no se realizaran copias en horario nocturno, que no ha quedado ello acreditado de ninguna forma, tampoco es cierto que no se comprobara funcionamiento al inicio del primer backup, se hizo y resultó correcto. Asegura ahora que “donde reside el problema es en cuanto a que “El sistema debe garantizar que las copias sean correctas y, en caso de error, se enviará algún aviso automático al administrador del sistema”, pues bien, tal sistema no remitió ese aviso automático, no por culpa o negligencia de EVELB sino porque el sistema C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/24 contratado y gestionado por el Ayuntamiento (sin ningún tipo de intervención de EVELB), falló”. FUNDAMENTOS DE DERECHO I Competencia Es competente para resolver el presente recurso la Presidencia de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP) y el artículo 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo, LOPDGDD). II Contestación a las alegaciones presentadas En relación con las manifestaciones efectuadas por la parte recurrente, estas reiteran básicamente las alegaciones ya presentadas a lo largo del procedimiento sancionador. Debe señalarse que la mayoría de ellas ya fueron analizadas y desestimadas en los Fundamentos de Derecho III, IV y V de la resolución recurrida, como se mostrará a continuación. 1. Respecto a la alegación relativa a que EVELB tiene la condición de encargado del tratamiento: Tal y como se recogía en el Fundamento de Derecho III de la resolución recurrida el hecho de que EVELB, aun siendo el encargado del tratamiento, tenga la consideración de responsable deviene del siguiente razonamiento: “2. Responsabilidad del encargado del tratamiento. De acuerdo con lo previsto en el artículo 4.7 y 8 del RGPD, se considera: “7) «responsable del tratamiento» o «responsable»: la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros; 8) «encargado del tratamiento» o «encargado»: la persona física o jurídica, autoridad pública, servicio u otro organismo que trate datos personales por cuenta del responsable del tratamiento”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/24 Estos conceptos son autónomos, propios y específicos de protección de datos, en el sentido y en el contexto del RGPD, sin que puedan desfigurarse por mezclarse con otros de otros ámbitos del Derecho, tal y como disponen las Directrices 07/2020 del Comité Europeo de Protección de Datos (CEPD) sobre los conceptos de «responsable del tratamiento» y «encargado del tratamiento» en el RGPD, versión 2.0, adoptadas el 7 de julio de 2021, en adelante, Directrices CEPD: “13. Los conceptos de «responsable del tratamiento» y «encargado del tratamiento» también son conceptos autónomos, en el sentido de que, aunque fuentes legales externas puedan ayudar a identificar quién es el responsable, este concepto debe interpretarse fundamentalmente con arreglo al Derecho de la Unión en materia de protección de datos. El concepto de «responsable del tratamiento» no debería verse afectado por otros conceptos —con los que a veces colisiona o se solapa— de otros ámbitos del Derecho, como los conceptos de «autor» o «titular de derechos» de la normativa sobre la propiedad intelectual o la competencia”. Las Directrices CEPD destacan que los conceptos de responsable del tratamiento y encargado del tratamiento son conceptos funcionales, siendo necesario establecerlos en virtud de sus actividades concretas en el caso analizado y no en función de la designación formal que pueda figurar en el contrato: “12. Los conceptos de «responsable del tratamiento» y «encargado del tratamiento» son conceptos funcionales: su objetivo es asignar responsabilidades en función del papel real de cada parte. Esto implica que la condición jurídica de «responsable del tratamiento» o «encargado del tratamiento» de los participantes debe establecerse en principio en virtud de sus actividades concretas en una situación determinada y no en función de la designación formal de un participante como «responsable del tratamiento» o «encargado del tratamiento» (p. ej., en un contrato).Esto implica que la asignación de la función de responsable o encargado debe derivar normalmente de un análisis de los hechos o circunstancias del caso y, en consecuencia, no es negociable.” Asimismo, las referidas Directrices 07/2020 abogan por una interpretación amplia del concepto de responsable del tratamiento con el fin de promover una protección eficaz y completa de los interesados. En este sentido, prevén: “14. Puesto que el objetivo último de la atribución de la función de responsable del tratamiento es garantizar la responsabilidad proactiva y una protección eficaz e integral de los datos personales, el concepto de «responsable» debería interpretarse de un modo suficientemente amplio, de manera que promueva, en la medida de lo posible, una protección eficaz y completa de los interesados , con el fin de garantizar la plena eficacia del Derecho de la Unión en materia de protección de datos, evitar lagunas y prevenir las posibles elusiones de la normativa, sin que todo ello suponga una merma de las atribuciones del encargado del tratamiento.” (subrayado de la AEPD). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/24 A lo ya expuesto hasta el momento, cabe añadir que dichas Directrices 07/2020 destacan los elementos básicos para determinar quién es el responsable del tratamiento en un caso concreto: “20. (…) El responsable del tratamiento es quien decide determinados aspectos esenciales del tratamiento de los datos. La responsabilidad del tratamiento puede establecerse en la normativa o deducirse de un análisis de los hechos o las circunstancias del caso. Es necesario dirigir la atención a las actividades de tratamiento concretas de que se trate y comprender quién las determina. Para ello, primero deben examinarse las siguientes cuestiones: «¿por qué tiene lugar el tratamiento?» y «¿quién ha decidido que debe llevarse a cabo el tratamiento para un fin concreto?».” En cuanto al concepto de encargado, las Directrices 07/2020 indican dos condiciones fundamentales para ser considerado encargado del tratamiento: “76. Para ser considerado encargado del tratamiento, es necesario reunir dos condiciones fundamentales:
7. a)ser un ente independiente del responsable del tratamiento; y
8. b)tratar datos personales por cuenta del responsable.” (subrayado de la AEPD) Tal y como ha indicado el Comité Europeo de Protección de Datos (CEPD) en sus Directrices 07/2020, actuar por cuenta de alguien significa servir a sus intereses: “80. En segundo lugar, el tratamiento debe llevarse a cabo por cuenta de un responsable del tratamiento, pero no bajo su autoridad ni control directos. Actuar «por cuenta de» alguien significa servir los intereses de otro y remite al concepto jurídico de «delegación».” Precisamente porque uno de los requisitos para tener la condición de encargado del tratamiento es actuar por cuenta del responsable del tratamiento, el RGPD prevé el responsable del tratamiento responde tanto de los tratamientos realizados por sí mismo, como de los realizados por su cuenta o “bajo su autoridad”. De ahí que el RGPD, entre otros, en los artículos 28 y 29 del RGPD incida en que el encargado del tratamiento y cualquier persona que actúe bajo la autoridad del responsable o del encargado y tenga acceso a datos personales solo podrán tratar dichos datos siguiendo instrucciones del responsable. No obstante, en casos de incumplimiento de las instrucciones del responsable, salvo obligación legal, el RGPD prevé su consideración como responsable del tratamiento, en la medida en que ha pasado a definir por sí mismo los fines y medios del tratamiento. En concreto, debe hacerse referencia al artículo 28.10 que señala: “10. Sin perjuicio de lo dispuesto en los artículos 82, 83 y 84, si un encargado del tratamiento infringe el presente Reglamento al determinar los C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/24 fines y medios del tratamiento, será considerado responsable del tratamiento con respecto a dicho tratamiento”. En la misma línea las Directrices del CEPD mencionadas determinan: “74. El RGPD establece obligaciones concretas que vinculan directamente a los encargados del tratamiento, tal como se especifica en la sección 1 del apartado II de las presentes directrices. Es posible exigir responsabilidad o sancionar a un encargado cuando no cumpla con dichas obligaciones o actúe al margen o en contra de las instrucciones legales del responsable. (… ) 80 En segundo lugar, el tratamiento debe llevarse a cabo por cuenta de un responsable del tratamiento, pero no bajo su autoridad ni control directos. Actuar «por cuenta de» alguien significa servir los intereses de otro y remite al concepto jurídico de «delegación». En el caso de la normativa de protección de datos, el cometido del encargado del tratamiento es aplicar las instrucciones dadas por el responsable del tratamiento, cuando menos en lo relativo a los fines del tratamiento y a los elementos esenciales de los medios. La legitimidad del tratamiento en virtud del artículo 6 y, si procede, del artículo 9 del Reglamento deriva de la actividad del responsable, y el encargado únicamente debe tratar los datos siguiendo las instrucciones dadas por este. Aun así, tal como se ha indicado previamente, las instrucciones del responsable del tratamiento pueden dejar cierto margen de discrecionalidad sobre el modo de servir mejor a los intereses de este, de modo que permitan al encargado elegir los medios técnicos y organizativos más adecuados. 81. Actuar «por cuenta de» alguien también significa que el encargado no puede llevar a cabo el tratamiento para sus propios fines. Tal como se estipula en el artículo 28, apartado 10, el encargado del tratamiento infringirá el RGPD cuando no se ciña a las instrucciones del responsable y comience a determinar sus propios fines y medios del tratamiento”. (…) 150. Si un encargado del tratamiento infringe el Reglamento al determinar los fines y medios del tratamiento, será considerado responsable del tratamiento con respecto a dicho tratamiento (artículo 28, apartado 10, del RGPD)”. Lo anterior significa que, si bien la regla general es que el responsable del tratamiento es responsable de los tratamientos realizados por sí mismo, y de los realizados por su cuenta, existen excepciones en las que el encargado o subencargado del tratamiento responderá como responsable del tratamiento en las situaciones en las que el encargado haya tratado datos personales (
9. i)para fines que le sean propios o (
10. ii)en las que haya tratado dichos datos de manera incompatible con el marco o las modalidades del tratamiento tal como hayan sido determinados por el responsable del tratamiento, es decir de manera incompatible o contraria o extralimitándose respecto las instrucciones del responsable del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 10/24 tratamiento sobre los fines y los medios del tratamiento o (iii) que realice actuaciones que el responsable no hubiera autorizado. En línea con lo anterior, según la STJUE de 5 de diciembre de 2023 dictada en el asunto C-683/21: “ 84. Dado que, como se ha indicado en el apartado 36 de la presente sentencia, un responsable del tratamiento es responsable no solo por todo tratamiento de datos personales que efectúe él mismo, sino también por los tratamientos realizados por su cuenta, puede imponerse a ese responsable una multa administrativa con arreglo al artículo 83 del RGPD en una situación en la que los datos personales son objeto de un tratamiento ilícito y en la que no es él, sino un encargado al que ha recurrido, quien ha efectuado el tratamiento por cuenta suya. 85. No obstante, la responsabilidad del responsable del tratamiento por el comportamiento de un encargado no puede extenderse a las situaciones en las que el encargado haya tratado datos personales para fines que le sean propios o en las que haya tratado dichos datos de manera incompatible con el marco o las modalidades del tratamiento tal como hayan sido determinados por el responsable del tratamiento o de manera que no pueda considerarse razonablemente que dicho responsable hubiera dado su consentimiento. En efecto, de conformidad con el artículo 28, apartado 10, del RGPD, el encargado del tratamiento debe, en ese supuesto, ser considerado responsable del tratamiento con respecto a dicho tratamiento”. Así pues, en caso en el que el encargado infrinja las instrucciones del responsable sobre los fines y medios del tratamiento el encargado del tratamiento se considerará responsable en relación con dicho tratamiento y podrá ser sancionado por no haberse adherido a las instrucciones del responsable, de conformidad con lo previsto en el artículo 28.10 del RGPD. En el presente supuesto, ambas partes afirman que el Ayuntamiento era el responsable del tratamiento, y que la reclamada, EVELB era la encargada del tratamiento de los datos personales que fueran necesarios para poder prestar sus servicios de asistencia técnica, que habían sido objeto de un contrato suscrito con anterioridad a la avería del servidor a la que se refiere este expediente (8-9-23). Sin perjuicio de lo anterior, aunque ninguna de las partes ha aportado copia, ambas partes reconocen que existió un contrato de asistencia técnica vigente en el momento en que se produjo el incidente, y que, en el mismo se definía a la parte reclamada como encargada del tratamiento respecto de datos personales que fueran necesarios poder cumplir con las obligaciones contratadas. En concreto, la reclamada alega que según la cláusula 27 del Pliego: “La adjudicataria de este contrato tendrá la condición de encargada/o del tratamiento con el objeto de tratar por cuenta de este Ayuntamiento los datos de carácter personal necesarios para prestar el referido servicio. El encargado del tratamiento únicamente tratará los datos para realizar por cuenta del responsable la prestación de los tratamientos encargados. En ningún caso el encargado utilizará los datos para finalidades distintas” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 11/24 Entre las instrucciones facilitadas por el Ayuntamiento a EVELB para la realización del tratamiento de datos personales en su nombre destaca lo contenido en las Prescripciones técnicas particulares para la contratación servicio de asistencia técnica informática por el Ayuntamiento de Redondela firmado electrónicamente el 14-07-2020, en cuyo punto 2.4, reproducido anteriormente, se establece la obligación de llevar a cabo copias de seguridad diarias, en horario nocturno, así como una prueba de funcionamiento de que las copias fueran correctas. Sin embargo, de acuerdo con el informe de cierre del incidente de ***EMPRESA.1 de noviembre de 2023, la brecha de disponibilidad de datos personales se produjo por “la falta de copias de seguridad válidas”, lo que, según el mencionado informe “se pone de manifiesto en el momento de intentar arrancar los sistemas con esas copias e incluso montar un nuevo servidor virtual por el propietario de la aplicación, la entidad T-System y comprobar que no son válidas”. En concreto, se señala que “en el periodo de tiempo entre julio y septiembre de 2023, se realizaron en horas en las que las aplicaciones estaban funcionando, impidiendo copiar de esta forma los datos que se iban introduciendo ( ya que existían copias de seguridad contenidas en los discos, pero estas no eran válidas para iniciar los sistemas, porque solo copiaba procesos y no datos) (…) Este error fue afectando a los sistemas a medida que pasaban los días, ya que las copias de seguridad, se almacenan en un sistema de sobre escritura borrando las anteriores y provocado la falta de disponibilidad final de los datos”. Lo anterior supone que EVELB habría incumplido las instrucciones facilitadas por el Ayuntamiento, siendo de aplicación, en consecuencia, el artículo 28.10 del RGPD. Por ello, se entiende que EVELB debe ser considerado como responsable administrativo de la infracción imputada en el presente procedimiento y, en consecuencia, nos encontramos en un supuesto en el que el encargado del tratamiento debe, ser considerado responsable del tratamiento con respecto a la no realización de las copias de seguridad válidas, así como verificación de las mismas que le habían sido encargadas en el Pliego de Prescripciones Técnicas”. Asimismo, en el Fundamento de Derecho IV se indicaba respecto a esta misma cuestión: “1. PRIMERA. Responsable del tratamiento Partiendo de la base de que el Ayuntamiento de Redondela tiene la consideración, en este supuesto, de responsable del tratamiento, alega EVELB que conforme artículo 5.2 de RGPD (“Responsabilidad proactiva”) sería esa entidad la que tendría que acreditar cuáles son las medidas que tiene establecidas para el cumplimiento de dicho Reglamento. A este respecto, afirma que “en cuanto del cuadro de características del pliego resulta que EVELB en ningún momento adquirió ninguna obligación en materia de protección de datos, y mucho menos para la implementación de medidas de protección de datos.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 12/24 Recuerda que conforme a su cláusula 27ª, el pliego de prescripciones técnicas que regula la prestación del servicio indica expresamente que es el Ayuntamiento quien tiene la condición de responsable del tratamiento. A este respecto, se señala que, tal y como se señala en el fundamento jurídico III, apartado 2 “Responsabilidad del encargado del tratamiento” de esta propuesta de resolución, en el tratamiento de datos objeto del presente procedimiento efectivamente el Ayuntamiento de Redondela tiene la consideración de responsable del tratamiento de los datos personales y EVELB la de encargado. Dicho esto, en el fundamento jurídico citado se motiva extensamente por qué la responsabilidad por la infracción cometida debe ser imputada al encargado del tratamiento EVELB. En efecto, se ha constatado, que esta última tenía la condición de contratista del ayuntamiento y en el Pliego de prescripciones técnicas que regía la prestación de Administración y gestión informática de los servicios municipales, se establece la obligación de llevar a cabo copias de seguridad diarias, en horario nocturno, así como una prueba de funcionamiento de que las copias fueran correctas. Sin embargo, tal y como se recoge en los hechos probados, EVELB incumplió las instrucciones del responsable del tratamiento, y realizaba las copias de seguridad (
11. i)mientras el sistema funcionaba (
12. ii)permitiendo la sobrescritura entre copias (iii) sin realizar una copia de datos, únicamente de procesos y (
13. iv)sin comprobar a posteriori su adecuada realización. Conforme se motiva en el fundamento jurídico mencionado, el incumplimiento de las obligaciones sustanciales en materia de protección de datos impuestas al encargado del tratamiento, (lo que dio lugar a la brecha de disponibilidad) hace que la responsabilidad por la infracción corresponda en este supuesto a dicho encargado, EVELB 2. SEGUNDA. Determinación de medios y fines del tratamiento Reitera en este punto EVELB la condición de responsable del tratamiento del Ayuntamiento. La prestación encomendada a la parte reclamada consistiría en la asistencia y apoyo técnico en las tareas de administración y gestión informática para el Ayuntamiento. Afirma a este respecto que “EVELB, en virtud del contrato celebrado entre las partes, no es la encargada de la protección de los datos personales del Ayuntamiento, ni actúa como delegada de protección de datos externos”. Se refiere la parte reclamada al artículo 28.10 del RGPD y a las Directrices 7/2020 del CEPD, sobre responsable y encargado del tratamiento. Alega que, conforme a la mencionada regulación, no todo incumplimiento de las instrucciones del responsable determina que el encargado del tratamiento pase a ser responsable del mismo, sino solo en los casos en los que dicho incumplimiento equivalga a una decisión por la que se determinen los fines y los medios del tratamiento. En el presente supuesto, afirma EVELB, ésta en C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 13/24 ningún caso determinó los fines y los medios del tratamiento, siendo dicha labor competencia del responsable, esto es, el Ayuntamiento. Procede, de nuevo, remitirse a lo extensamente motivado en el fundamento jurídico tercero, sin que esta alegación aporte ningún argumento nuevo al respecto. No obstante, se insiste en dos aspectos fundamentales: En primer lugar, en relación con el contenido del contrato al que hace referencia EVELB, se subraya que el pliego de cláusulas administrativas particulares del contrato del servicio de asistencia informática contenía en su clausula 27 una apartado relativo a la “protección de datos personales”, en el que se señalaba expresamente “la adjudicataria de este contrato tendrá la condición de encargada/o del tratamiento, con el objeto de tratar por cuenta de este Ayuntamiento los datos de carácter personal necesarios para prestar dicho servicio. El encargado del tratamiento únicamente tratará los datos para realizar por cuenta del responsable a prestación de los tratamientos encargados”. Por otra parte, se insiste en la interpretación realizada por el TJUE, que ya se incluía en el acuerdo de inicio, en su sentencia de 5 de diciembre de 2023 dictada en el asunto C-683/21, de la responsabilidad de un responsable respecto a la actuación de su encargado y, por ende, respecto al artículo 28.10 del RGPD, que abarca, en definitiva, casos como el presente en que el encargado hubiese incumplido las instrucciones facilitadas por su responsable”. Por último, en el Fundamento de Derecho V se señalaba: “Reitera EVELB que, tal y como se deriva del contrato entre las partes, el Ayuntamiento tenía la condición de responsable del tratamiento, mientras que EVELB era el encargado del tratamiento, sin que pueda imponerse una “interpretación expansiva del artículo 28.10 del RGPD”. (…) En contestación a estas afirmaciones, conviene señalar que, tal y como se incluye en las cuestiones previas del presente documento, la interpretación del artículo 28.10 del RGOP ha sido efectuado por el TJUE en la STJUE de 5 de diciembre de 2023 dictada en el asunto C-683/21 que dice: “85. No obstante, la responsabilidad del responsable del tratamiento por el comportamiento de un encargado no puede extenderse a las situaciones en las que el encargado haya tratado datos personales para fines que le sean propios o en las que haya tratado dichos datos de manera incompatible con el marco o las modalidades del tratamiento tal como hayan sido determinados por el responsable del tratamiento o de manera que no pueda considerarse razonablemente que dicho responsable hubiera dado su consentimiento. En efecto, de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 14/24 conformidad con el artículo 28, apartado 10, del RGPD, el encargado del tratamiento debe, en ese supuesto, ser considerado responsable del tratamiento con respecto a dicho tratamiento”. De acuerdo con lo anterior, el 28.10 se aplica, cuando el encargado (
14. i)trate los datos para fines que le sean propios o (
15. ii)en las que haya tratado dichos datos de manera incompatible con el marco o las modalidades del tratamiento tal como hayan sido determinados por el responsable del tratamiento, es decir de manera incompatible o contraria o extralimitándose respecto las instrucciones del responsable del tratamiento sobre los fines y los medios del tratamiento o (iii) que realice actuaciones que el responsable no hubiera autorizado. En el presente caso, el contrato suscrito entre las partes exigía a EVELB la realización de copias de seguridad y también la comprobación de que estas funcionaran. Estas medidas de seguridad formaban parte de las instrucciones facilitadas al encargado de tratamiento en materia de seguridad, de acuerdo con lo previsto en el artículo 28.3
16. c)del RGPD. Por tanto, tal y como se indicaba ya en contestación a las alegaciones al acuerdo de inicio, y se recoge en los hechos probados “EVELB incumplió las instrucciones del responsable del tratamiento, y realizaba las copias de seguridad (
17. i)mientras el sistema funcionaba (
18. ii)permitiendo la sobrescritura entre copias (iii) sin realizar una copia de datos, únicamente de procesos y (
19. iv)sin comprobar a posteriori su adecuada realización”. En consecuencia, y en el respeto al concepto funcional de responsable y encargado del tratamiento, tal y como se explica en las cuestiones previas del presente documento, al que se remite, EVELB devino responsable del tratamiento y de ahí que se dirige contra esta el presente procedimiento sancionador”. Se reiteran, por tanto, los argumentos anteriores. 2. Respecto a la alegación relativa a la nulidad de pleno derecho de la resolución: Señala EVELB que “no se tiene constancia de dónde se ha extraído” el párrafo correspondiente al punto 2.4 del Pliego de prescripciones técnicas particulares al que se hace referencia a lo largo de la resolución, pero que “lo que realmente se recoge en tal cláusula difiere del contenido real” lo que, a su juicio, mostraría que la AEPD ha omitido partes relevantes de la mencionada clausula y, por otra parte, le habría generado indefensión. Concluye, por tanto, que lo anterior sería causa de nulidad de pleno derecho conforme al artículo 47.1
20. a)y
21. e)de la LPACAP. Señala, asimismo, que el “contenido real” sería el correspondiente a la versión que adjunta ahora, en castellano publicada en la página web: (https://contrataciondelestado.es/wps/poc? uri=deeplink:detalle_licitacion&idEvl=1JgSEmPTt5NQFSeKCRun4Q%3D%3D): Al respecto deben realizarse varias precisiones: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 15/24 - En primer lugar, tal y como se recoge en los antecedentes de hecho de la resolución recurrida, el mencionado pliego de prescripciones técnicas particulares fue aportado por la parte reclamante cuando presentó recurso de reposición de 13 de agosto de 2024 contra la resolución de 15 de julio de 2024 de la Directora de la AEPD por la que inicialmente se determinó la inadmisión a trámite de la reclamación que finalmente dio lugar a la tramitación del presente procedimiento sancionador. De esta manera, el antecedente de hecho quinto de la resolución recurrida señala que: “QUINTO: Recurso de reposición frente a la inadmisión (…) A dicho informe de cierre del incidente emitido por la empresa auditora externa, se adjuntan los siguientes Anexos: (…) Prescripciones técnicas particulares para la contratación servicio de asistencia técnica informática por el Ayuntamiento de Redondela firmado electrónicamente el 14/07/2020 (Pág.185Exp).En el punto 2.4 de las mismas se indica (en gallego en el original, traducción no oficial): “(…) Las copias de seguridad deberán ser diarias y se harán de forma diferencial e incremental, además de la copia espejo que tenemos de los cuatro servidores virtuales con los que trabajamos en el Ayuntamiento. Se deberá realizar una copia íntegra al final de cada año para su archivo en el archivo municipal, además de las de trabajo diario. Se optimizará el sistema realizando estas copias por la noche, y se probará antes del inicio de la primera copia de seguridad, con una prueba de funcionamiento, que las copias sean correctas y no den errores. Los servidores a copiar estarán indicados por la técnica del servicio, pero incluirán carpetas de red con datos y también aplicaciones. El sistema debe asegurarse de que las copias sean correctas y en caso de error se enviará algún aviso automático al administrador del sistema. Las copias de seguridad deben incluir al menos un período de tiempo de una semana, para poder rescatar datos en al menos ese período de tiempo, sin restaurar la copia completa. El funcionamiento del programa back up será preferiblemente en segundo plano y consumiendo poco recursos, podrá clonar fiscos (físicos y virtuales) o particiones completas y permitirá restaurar el sistema en caso de bloqueo (…)”” - Se subraya que el mencionado documento, tal y como señala la resolución recurrida cuenta con la firma electrónica del órgano administrativo correspondiente y que su contenido se encuentra en gallego en el original. Por parte de esta Agencia se realizó, como indica la resolución recurrida, una traducción no oficial de su contenido. Así, las mínimas diferencias entre las dos versiones que resalta la parte recurrente pueden responder a esa traducción no oficial, sin que en ningún caso se aprecie que estas supongan una modificación C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 16/24 del contenido esencial, ni hubieran podido llegar a alterar el sentido del procedimiento sancionador. Además, se destaca que el texto transcrito al que se hace referencia se encontraba tanto en el acuerdo de inicio como en la propuesta de resolución, sin que se hubiera alegado nunca por la ahora recurrente la existencia de imprecisiones o errores en este. En este sentido, conviene traer a colación lo previsto en el artículo 118 de la LPACAP que señala: “No se tendrán en cuenta en la resolución de los recursos, hechos, documentos o alegaciones del recurrente, cuando habiendo podido aportarlos en el trámite de alegaciones no lo haya hecho”. - Por último, en cualquier caso, no se aprecia que lo anterior suponga un vicio de nulidad de pleno derecho conforme a lo previsto en el artículo 47.1
22. a)y
23. e)de la LPACAP como invoca la parte recurrente. Así, en lo que se refiere al apartado a), no se aprecia que la resolución vulnere derechos y libertades susceptibles de amparo constitucional, ni tampoco que se haya prescindido totalmente del procedimiento legalmente establecido como requiere la letra e). Y es que no puede argumentarse la existencia de indefensión por cuanto esta no se ha producido, habiéndose conferido a la parte recurrente los plazos estipulados para la presentación de cuanta documentación y alegaciones considerara necesarios. No cabe sino subrayar que la apertura del presente procedimiento sancionador se realizó mediante un acuerdo de inicio de 9 de septiembre de 2025 que fue debidamente notificado a la parte reclamada el 30 de septiembre de 2025, en el que se imputaba la presunta infracción del artículo 5.1
24. f)del RGPD, tipificado en el artículo 83.5 del RGPD, se fijaba una sanción inicial de 5.000 euros y se daba a la reclamada plazo para alegaciones. Asimismo, el 2 de diciembre de 2025 se dictaba propuesta de procedimiento sancionador en la que se confirmaban los elementos anteriores y se otorgaba un nuevo plazo para la presentación de alegaciones, además de contestar las alegaciones efectuadas al acuerdo de inicio. La propuesta de resolución fue notificada el 3 de diciembre de 2025. Se recibieron alegaciones a la misma el 17 de diciembre de 2025, dictándose resolución con contestación a las mismas el 25 de enero de 2026. La resolución fue, como consta en los antecedentes de esta resolución de recurso de reposición, debidamente notificada. - En cualquier caso, en relación con las manifestaciones realizadas respecto a la situación del servidor, ha de insistirse en lo contenido en la resolución recurrida: “En relación con las manifestaciones efectuadas sobre la plataforma ***APLICACIÓN.1, se subraya que lo anterior no obsta para que, de haber cumplido la parte reclamada con sus obligaciones, esto es, la realización de copias de seguridad y, especialmente, la comprobación de su adecuado funcionamiento hubiera podido alertar, en el cumplimiento de sus obligaciones conforme al artículo 28 del RGPD y, en caso de así haberse producido, al responsable de la existencia de problemas con el sistema”. 3. Respecto a las alegaciones relativas a la falta de actividad probatoria mínima y vulneración del principio de presunción de inocencia C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 17/24 No cabe sino reiterar lo ya señalado en la resolución recurrida en contestación a los aspectos anteriores. En primer lugar, respecto a la vulneración del principio de culpabilidad y el de presunción de inocencia se indicaba en el Fundamento de Derecho IV: “4. CUARTA. Culpabilidad Alega EVELB la inexistencia de culpabilidad en la infracción al no existir ni dolo ni culpa. No se trataría, en su opinión, de un incidente de ciberseguridad, sino que, tal y como se afirma en el acuerdo de inicio del procedimiento sancionador “el origen de la brecha se encuentra, inicialmente, en la avería de un servidor”, avería que, alega la parte reclamada, no podía haber sido predicha ni presagiada por EVELB. Respecto a esta alegación, debe señalarse que no se está imputando la infracción por el mero hecho de que se produjera una avería en el servidor, sino porque EVELB no había generado correctamente las copias de seguridad necesaria para el caso de que ocurrieran eventualidades como esta, la avería del servidor. De haber estado generada la copia de seguridad, no se habría producido la pérdida temporal de disponibilidad de datos personales que concurrió en este supuesto que es el objeto del presente procedimiento sancionador. Así, EVELB omite en sus alegaciones el contenido de la frase íntegra del acuerdo de inicio, descontextualizándolo, cuando este se pronuncia en este sentido: “El origen de la brecha se encuentra, inicialmente, en la avería de un servidor, no obstante, su materialización y extensión en el tiempo se debió a la carencia de copias de seguridad válidas, así como de las comprobaciones sobre la validez de las mismas por parte de la reclamada”.” Asimismo, en el Fundamento de Derecho V, se respondía lo siguiente: “3. “TERCERA: AUSENCIA DE ACREDITACIÓN SUFICIENTE DE QUE LA CONFIGURACIÓN DE COPIAS DE SEGURIDAD FUERA RESPONSABILIDAD DE EVELB”. Manifiesta EVELB que la propuesta de resolución descansa exclusivamente en informes elaborados internamente por el ayuntamiento y por consultoras contratadas por este, lo que genera, en suma, indefensión. Asimismo, sostiene que el sistema ***APLICACIÓN.1 dependía de proveedores externos y se encontraba obsoleta. Al respecto, se subraya que el presente procedimiento sancionador se ha fundamentado en la documentación obrante en el expediente, aportada a raíz de la reclamación recibida, o bien por el ayuntamiento o bien por la propia parte reclamada. Así constan en el expediente informes de terceras entidades (Informe de cierre de incidente de ***EMPRESA.1 SL, así como el Informe de Consultoría de TSystem, proveedor del sistema, ambos de noviembre de 2023, entre otros), pudiéndose haber aportado a lo largo del procedimiento los informes o documentación que EVELB hubiera considerado oportunas. Estos informes, junto con el resto de la documentación que obra en el expediente han C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 18/24 sido valorados y analizados por parte de esta Agencia a efectos de determinar los hechos, la responsabilidad y el alcance de la infracción. Así, no cabe sino subrayar que la apertura del presente procedimiento sancionador se realizó mediante un acuerdo de inicio de 9 de septiembre de 2025 que fue debidamente notificado a la parte reclamada el 30 de septiembre de 2025, en el que se imputaba la presunta infracción del artículo 5.1
25. f)del RGPD, tipificado en el artículo 83.5 del RGPD, se fijaba una sanción inicial de 5.000 euros y se daba a la reclamada plazo para alegaciones. Asimismo, el 2 de diciembre de 2025 se dictaba propuesta de procedimiento sancionador en la que se confirmaban los elementos anteriores y se otorgaba un nuevo plazo para la presentación de alegaciones, además de contestar las alegaciones efectuadas al acuerdo de inicio. La propuesta de resolución fue notificada el 3 de diciembre de 2025. Por tanto, como consecuencia de la apertura del procedimiento sancionador, la reclamada ha podido solicitar las pruebas que ha considerado oportunas conforme al artículo 77 de la LPACAP, formular alegaciones y presentar cuanta documentación hubiese considerado relevante, sin que, por tanto, se aprecie la existencia de indefensión. En relación con las manifestaciones efectuadas sobre la plataforma ***APLICACIÓN.1, se subraya que lo anterior no obsta para que, de haber cumplido la parte reclamada con sus obligaciones, esto es, la realización de copias de seguridad y, especialmente, la comprobación de su adecuado funcionamiento hubiera podido alertar, en el cumplimiento de sus obligaciones conforme al artículo 28 del RGPD y, en caso de así haberse producido, al responsable de la existencia de problemas con el sistema. 4. “CUARTA: SOBRE LA INEXISTENCIA DE DOLO O NEGLIGENCIA GRAVE Y LA VULNERACIÓN DEL PRINCIPIO DE CULPABILIDAD” Señala EVELB que se ha incumplido el principio de culpabilidad, puesto que no se ha probado que incurriera en una conducta negligente o agravante que justificara una sanción. Además, apunta supuestos incumplimientos del ayuntamiento relativos a la ausencia de medidas de seguridad adecuadas, obsolescencia de los sistemas, así como la ausencia de notificación de una brecha. Insiste en que el principio de integridad y confidencialidad del artículo 5.1
26. f)del RGPD no exige una garantía absoluta, sino medidas razonables y adecuadas al riesgo y en que los “sistemas no quedaron obstruidos ni irrecuperables”. Hace referencia, en este sentido a un recurso de reposición del PS/00343/2024 en el que se señala que “los artículos 24 y 32 del RGPD no pueden entenderse en el sentido de que una comunicación no autorizada de datos personales o un acceso no autorizado a dichos datos por parte de un tercero basten para concluir que las medidas adoptadas por el responsable del tratamiento no eran apropiadas”. En contestación a lo anterior, conviene hacer una serie de matizaciones: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 19/24 - En cuanto a la ausencia de principio de culpabilidad: El principio de responsabilidad previsto en el artículo 28.1 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público, dispone que: "Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas, así como, cuando una Ley les reconozca capacidad de obrar, los grupos de afectados, las uniones y entidades sin personalidad jurídica y los patrimonios independientes o autónomos, que resulten responsables de los mismos a título de dolo o culpa." A tal efecto, la Sentencia del Tribunal de Justicia de la Unión Europea, de 5 de diciembre de 2023, recaída en el asunto C-807/21 (Deutsche Wohnen), indica: “76. A este respecto, debe precisarse además, por lo que atañe a la cuestión de si una infracción se ha cometido de forma intencionada o negligente y, por ello, puede sancionarse con una multa administrativa con arreglo al artículo 83 del RGPD, que un responsable del tratamiento puede ser sancionado por un comportamiento comprendido en el ámbito de aplicación del RGPD cuando no podía ignorar el carácter infractor de su conducta, tuviera o no conciencia de infringir las disposiciones del RGPD (véanse, por analogía, las sentencias de 18 de junio de 2013, Schenker & Co. y otros, C 681/11, EU:C:2013:404, apartado 37 y jurisprudencia citada; de 25 de marzo de 2021, Lundbeck/Comisión, C 591/16 P, EU:C:2021:243, apartado 156, y de 25 de marzo de 2021, Arrow Group y Arrow Generics/Comisión, C 601/16 P, EU:C:2021:244, apartado 97).” De este modo, el Tribunal Supremo (Sala de lo Contencioso-Administrativo, Sección 5ª) en Sentencia num. 179/2023, de 15 de febrero 2023 establece: Sentencia (STS 354/2023) (…) debemos comenzar por recordar que la culpabilidad constituye, en efecto, una exigencia de las infracciones administrativas, ínsito en el artículo 25 de la Constitución, que ha tenido una elaborada construcción doctrinal en el ámbito del Derecho Penal del que el Administrativo Sancionador es tributario. Dicha exigencia comporta, en apretada síntesis a los efectos del debate suscitado, que el hecho que se tipifica en el tipo de la infracción pueda y debe serle imputable al sujeto que se sanciona, al que se considera culpable del mismo, es decir, responsable, conforme a la terminología de la Ley de Procedimiento Administrativo Común de las Administraciones Públicas. Esa imputación comporta un elemento intelectual conforme al cual la acción típica no solo se ejecuta por el propio sujeto, sino que se hace a conciencia y voluntad, es decir, de manera intencional, o bien por una negligencia más o menos intensa, en cuanto se ha omitido la diligencia que sería exigible en la ejecución del acto para evitar el efecto pernicioso. A su vez, la Sentencia de la Audiencia Nacional, de 21 de enero de 2010, expone: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 20/24 “La recurrente también mantiene que no concurre culpabilidad alguna en su actuación. Es cierto que el principio de culpabilidad impide la admisión en el derecho administrativo sancionador de la responsabilidad objetiva, también es cierto, que la ausencia de intencionalidad resulta secundaria ya que este tipo de infracciones normalmente se cometen por una actuación culposa o negligente, lo que es suficiente para integrar el elemento subjetivo de la culpa. La actuación de XXX es claramente negligente pues… debe conocer… las obligaciones que impone la LOPD a todos aquellos que manejan datos personales de terceros. XXX viene obligada a garantizar el derecho fundamental a la protección de datos personales de sus clientes e hipotéticos clientes con la intensidad que requiere el contenido del propio derecho”. Asimismo, hay que tener en cuenta que el Tribunal Supremo (Sentencias de 16 y 22 de abril de 1991) considera que del elemento culpabilista se desprende “...que la acción u omisión, calificada de infracción sancionable administrativamente, ha de ser, en todo caso, imputable a su autor, por dolo o imprudencia, negligencia o ignorancia inexcusable”. El mismo Tribunal razona que “no basta... para la exculpación frente a un comportamiento típicamente antijurídico la invocación de la ausencia de culpa” sino que es preciso “que se ha empleado la diligencia que era exigible por quien aduce su inexistencia” (STS 23 de enero de 1998). Además, conviene destacar que el modo de atribución de responsabilidad a las personas jurídicas no se corresponde con las formas de culpabilidad dolosas o imprudentes que son imputables a la conducta humana. De modo que, en el caso de infracciones cometidas por personas jurídicas, aunque haya de concurrir el elemento de la culpabilidad, éste se aplica necesariamente de forma distinta a como se hace respecto de las personas físicas. Según la STC 246/1991 " (...) esta construcción distinta de la imputabilidad de la autoría de la infracción a la persona jurídica nace de la propia naturaleza de ficción jurídica a la que responden estos sujetos. Falta en ellos el elemento volitivo en sentido estricto, pero no la capacidad de infringir las normas a las que están sometidos. Capacidad de infracción y, por ende, reprochabilidad directa que deriva del bien jurídico protegido por la norma que se infringe y la necesidad de que dicha protección sea realmente eficaz y por el riesgo que, en consecuencia, debe asumir la persona jurídica que está sujeta al cumplimiento de dicha norma" (en este sentido STS de 24 de noviembre de 2011, Rec 258/2009). A lo expuesto debe añadirse, siguiendo la sentencia de 23 de enero de 1998, parcialmente trascrita en las SSTS de 9 de octubre de 2009, Rec 5285/2005, y de 23 de octubre de 2010, Rec 1067/2006, que "aunque la culpabilidad de la conducta debe también ser objeto de prueba, debe considerarse en orden a la asunción de la correspondiente carga, que ordinariamente los elementos volitivos y cognoscitivos necesarios para apreciar aquélla forman parte de la conducta típica probada, y que su exclusión requiere que se acredite la ausencia de tales elementos, o en su vertiente normativa, que se ha empleado la diligencia que era exigible por quien aduce su inexistencia; no basta, en C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 21/24 suma, para la exculpación frente a un comportamiento típicamente antijurídico la invocación de la ausencia de culpa". Tal y como figura en los hechos probados el Informe de cierre del incidente de 22 de noviembre de 2023 de ***EMPRESA.1, “se pone de manifiesto en el momento de intentar arrancar los sistemas con esas copias e incluso montar un nuevo servidor virtual por el propietario de la aplicación, la entidad T-System y comprobar que no son válidas”. Asimismo, en el mismo informe, se recoge “en el periodo de tiempo entre julio y septiembre de 2023, se realizaron en horas en las que las aplicaciones estaban funcionando, impidiendo copiar de esta forma los datos que se iban introduciendo (ya que existían copias de seguridad contenidas en los discos, pero estas no eran válidas para iniciar los sistemas, porque solo copiaba procesos y no datos) (…) Este error fue afectando a los sistemas a medida que pasaban los días, ya que las copias de seguridad, se almacenan en un sistema de sobre escritura borrando las anteriores y provocado la falta de disponibilidad final de los datos”. Asimismo, en los pliegos de cláusulas administrativas particulares relativas al contrato suscrito entre el ayuntamiento y EVELB se preveía en el apartado 2.4 en concreto la obligación de copias de seguridad diarias, en horario nocturno, entre otros aspectos, además de la comprobación de su adecuado funcionamiento - En relación las supuestas vulneraciones que, según EVELB, fueron llevadas a cabo por el ayuntamiento, se señala que estas no son objeto del presente procedimiento sancionador. Además, se subraya que corresponde al responsable del tratamiento la determinación de las medidas de seguridad que habrá de aplicar el encargado, debiendo este cumplir con sus instrucciones. - Por último, en relación con las medidas exigibles en virtud del RGPD, omite la parte reclamada que en este supuesto nos entramos con que la ausencia de cumplimiento de instrucciones precisas facilitadas por el Ayuntamiento a EVELB relativas a la manera en que habían de realizarse copias de seguridad, así como la comprobación de su correcto funcionamiento. Como consecuencia de este incumplimiento de las instrucciones del Ayuntamiento, se materializó una brecha de disponibilidad de datos personales durante 2 meses y medio que, finalmente, fue subsanada por el ayuntamiento sin la participación de EVELB que, hasta la fecha continúa negando su existencia. Por tanto, no nos encontramos ante un supuesto generalizado de falta de medidas adecuadas al riesgo, como pretende hacer entender EVELB haciendo referencia a un párrafo descontextualizado de otro procedimiento en el que ni las circunstancias ni la imputación resultan aplicables a este supuesto. En cualquier caso, conviene subrayar que tal y como recuerda la SAN de 29 de octubre de 2024, rec. 1824/2021: “…se ha de subrayar, en relación con las medidas técnicas y organizativas, que no estamos ante un requisito meramente formal, sino material. En este C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 22/24 sentido, y en línea con lo expuesto más arriba, como señala la STS de 15 de febrero 2022 (Rec. 7359/2020) “No basta con diseñar los medios técnicos y organizativos necesarios también es necesaria su correcta implantación y su utilización de forma apropiada, de modo que también responderá por la falta de la diligencia en su utilización, entendida como una diligencia razonable atendiendo a las circunstancias del caso", lo que no implica que se exija una obligación de resultado”. Es decir, no basta con el diseño de medidas adecuadas al riesgo, sino que ha de asegurarse su adecuada implementación. En este sentido, el enfoque de riesgos y el modelo flexible al riesgo impuesto por el RGPD -partiendo de la doble configuración de la seguridad como un principio relativo al tratamiento y una obligación para el responsable o el encargado del tratamiento- no impone en ningún caso la infalibilidad de las medidas, sino su adecuación constante al riesgo”. No cabe sino reiterar las contestaciones anteriores ante la reproducción de las alegaciones ya efectuadas durante el procedimiento sancionador. III Conclusión En consecuencia, en el presente recurso de reposición, la parte recurrente no ha aportado hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada. IV Obligación de dictar resolución expresa De acuerdo con lo establecido en el artículo 24 de la LPACAP, el sentido del silencio administrativo en los procedimientos de impugnación de actos y disposiciones es desestimatorio. No obstante, a pesar de que haya transcurrido el plazo legalmente establecido para resolver, la Administración mantiene la obligación de dictar resolución expresa y de notificarla en todos los procedimientos cualquiera que sea su forma de iniciación, incluidos los recursos administrativos que se hayan podido interponer, según dispone el artículo 21.1 de la citada LPACAP. En los casos de desestimación por silencio administrativo, la resolución expresa posterior al vencimiento del plazo se adoptará por la Administración sin vinculación alguna al sentido del silencio, según dispone el artículo 24.3 de la misma ley. Por tanto, aunque no se resuelva el recurso en plazo, procede emitir la resolución expresa que lo finalice. Vistos los preceptos citados y demás de general aplicación, la Presidencia de la Agencia Española de Protección de Datos RESUELVE: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 23/24 PRIMERO: DESESTIMAR el recurso de reposición interpuesto por EVELB TÉCNICAS Y SISTEMAS, S.L contra la resolución de esta Agencia Española de Protección de Datos dictada con fecha 25 de enero de 2026, en el expediente EXP202407852. SEGUNDO: NOTIFICAR la presente resolución a EVELB TÉCNICAS Y SISTEMAS, S.L. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva una vez sea notificada la presente resolución, de conformidad con lo dispuesto en el artículo 98.1.
27. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si la fecha de la notificación se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), los interesados podrán interponer recurso contencioso-administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
28. a)LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeaepd.gob.es/sede-electronica-web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada LPACAP. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 24/24 180-071125 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es