REPOSICION-PS-00241-2023

(1); que las esperanzas generadas en el administrado han de ser legítimas

(2); y que la conducta final de la Administración resulte contradictoria con los actos anteriores, sea sorprendente e incoherente

(3). Exactamente lo que acontece en el caso examinado, a tenor de los hechos antes relatados, que no hace al caso insistir. Recordemos que, respecto de la confianza legítima, venimos declarando de modo reiterado, por todas, Sentencia de 22 de diciembre de 2010 (recurso contencioso administrativo nº 257 / 2009), que el principio de la buena fe protege la confianza legítima que fundadamente se puede haber depositado en el comportamiento ajeno e impone el deber de coherencia en el comportamiento propio. Lo que es tanto como decir que el principio implica la exigencia de un deber de comportamiento que consiste en la necesidad de observar de cara al futuro la conducta que los actos anteriores hacían prever y aceptar las consecuencias vinculantes que se desprenden de los propios actos constituyendo un supuesto de lesión a la confianza legítima de las partes "venire contra factum propium"." La parte recurrente indica, además, que la Sala de lo Contencioso Administrativo de la Audiencia Nacional en su Sentencia de 23 de abril de 2019 (recurso núm. 88/2017), se muestra en desacuerdo precisamente, dice, en que esta Agencia vaya en contra de lo establecido previamente por ella misma, mencionando en su Fundamento de Derecho noveno lo siguiente: “(…) En definitiva, considera la Sala que la AEPD, en este caso, no ha procedido a incoar un procedimiento sancionador, a partir de la denuncia de unos hechos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/9 concretos, y en el que, respetando los principios que rigen tal procedimiento, haya llegado a una resolución sancionadora después de hacer una valoración razonable de las pruebas, sino que, como ella misma viene a reconocer, ha hecho uso de un procedimiento sancionador, para establecer un criterio interpretativo respecto a las cuestiones planteadas por los denunciantes -el desacuerdo con los criterios ya establecidos por la propia AEPD en un comunicado de prensa- conforme a las directrices del Grupo de Autoridades de protección de datos de la Unión Europea. ( F. V, pág 41 de la resolución), criterio que en absoluto puede ser compartido por la Sala, de acuerdo con lo anteriormente expuesto”. La parte recurrente argumenta, en cuanto a la suspensión de la resolución recurrida, que dicha resolución no es ejecutiva, dice, al poder interponerse frente la misma el recurso de reposición (artículo 98.1.b) de la LPACAP), e incluso, continúa, posteriormente cabe, frente a la resolución del mencionado recurso, interponer el correspondiente recurso contencioso-administrativo ante la Audiencia Nacional, y en caso de solicitarse la suspensión en el mismo, dice, no podría ejecutarse la resolución recaída. Argumenta la parte recurrente que en este sentido se viene pronunciando la jurisprudencia, tal y como recoge, dice, la Audiencia Nacional en una de sus sentencias, Sentencia de 06-04-2016, nº 177/2016, rec. 247/2014, cuando en su Fundamento de Derecho tercero dice: “(….) No obstante, si bien la interposición de un recurso contencioso-administrativo no suspende la ejecutividad del acto, si al tiempo de la interposición del recurso se solicita su suspensión, la Administración no podrá ejecutar el acto hasta que los Tribunales se hayan pronunciado sobre este extremo. La suspensión se entiende preventivamente concedida desde que se solicita, lo que viene exigido por el art. 24 de la Constitución (EDL 1978/3879) y resulta perfectamente coherente con el hecho mismo de que la interposición del recurso deja en suspenso la presunción de validez del acto impugnado en que se fundamenta el carácter inmediato de la ejecución. […………………….] En fin, sólo con la finalidad de abundar en el razonamiento transcrito, no resultará ocioso recordar que sobre la imposibilidad de la Administración de proceder al cobro de las deudas tributarias en tanto la decisión sobre la suspensión penda de los órganos económico-administrativos o de los judiciales, el TS se ha pronunciado en numerosas resoluciones entre las que pueden citarse las Sentencias de 29 de abril de 2005 (rec. cas. núm. 4534/2000), FD Cuarto); de 16 de marzo de 2006 (rec. cas. núm. 7705/2000), FD Cuarto; de 11 de junio de 2008 (rec. cas. núm. 4302/2002), FD Tercero; de 27 de enero de 2007 (rec. cas. núm. 7297/2001), FD 4; y de 29 de abril de 2008 (rec. cas. núm. 6800/2002), FD Tercero)...” Añade también la parte recurrente que en el Fundamento de Derecho octavo de la antedicha sentencia de la Audiencia Nacional se dice: “(…) La primera conclusión que debe dejarse sentada conforme a lo anterior es que las Resoluciones sancionadoras del Director de la Agencia Española de Protección de Datos son inmediatamente ejecutivas en el mismo momento en que ganan firmeza en C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/9 sede administrativa. Tratándose de multas puede exigirse su pago a partir de ese momento con independencia de que se hayan recurrido o no ante los Tribunales. No obstante, el principio general de ejecutividad establecido en las normas anteriores debe conjugarse con las exigencias derivadas de la tutela judicial efectiva. En este sentido es posible el control judicial del privilegio de ejecutividad de los actos administrativos a través de las medidas cautelares. En estos casos la tutela judicial se satisface sometiendo la ejecutividad al juicio del tribunal, que puede suspender la ejecutividad mediante la adopción de la correspondiente medida cautelar o, por el contrario, mantenerla. La segunda conclusión sería que las sanciones administrativas no pueden ser ejecutadas hasta que el Juez o Tribunal Contencioso-Administrativo se haya pronunciado sobre la adopción de medidas cautelares, de manera que, en estos casos, la interposición de recurso contencioso-administrativo con solicitud cautelar impide la ejecutividad del acto sancionador recurrido..." Por último, la parte recurrente solicita la suspensión de la resolución recurrida, que, repite, no es firme, hasta que haya finalizado la vía administrativa con la resolución del presente recurso y, en su caso, la vía judicial, previa interposición del recurso contencioso-administrativo en caso de desestimación de presente recurso de reposición. FUNDAMENTOS DE DERECHO I Competencia Es competente para resolver el presente recurso la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo LPACAP) y el artículo 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD). II Contestación a las alegaciones presentadas En relación con las manifestaciones efectuadas por la parte recurrente, en su mayor parte se reitera en las alegaciones ya presentadas a lo largo del procedimiento sancionador, que ya fueron analizadas y desestimadas en los Fundamentos de Derecho segundo y tercero de la Resolución recurrida, tal como se transcribe a continuación. “II Alegaciones al acuerdo de inicio En respuesta a las alegaciones presentadas por la entidad reclamada se debe señalar lo siguiente. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/9 Respecto a la interposición del recurso de reposición contra el auto de la Audiencia Nacional que desestima la medida cautelar de solicitud de suspensión, cabe señalar que en ningún momento se ha suspendido la ejecución de la resolución del procedimiento sancionador número PS/00441/

1. La suspensión cautelar del art. 90.3 de la LPACAP no sólo no es automática, sino que es potestativa para la Administración, tal como se argumentó en el acuerdo de fecha 17 de febrero de 2023, mencionado anteriormente, y que reproduce parte de los fundamentos de la Sentencia 355/2022 de 16 Mar. 2022, Rec. 677/2021 del Tribunal Superior de Justicia de Castilla y León de Valladolid, Sala de lo Contenciosoadministrativo, Sección 1ª. Por tanto, si la Administración no suspende cautelarmente la resolución, esta es ejecutiva sine die, a no ser que, solicitada judicialmente, así lo acuerde el órgano judicial. Debe tenerse en cuenta que la medida impuesta busca proteger los derechos y libertades de los interesados con carácter inmediato y que está acreditado, además, que la parte reclamada disponía de posibles alternativas para la misma finalidad del control horario menos intrusivas. Argumenta por otra parte que, en el momento de la puesta en marcha del control horario mediante fichaje de huella dactilar, su tratamiento se realizó conforme a la legislación vigente en ese momento y que el mandato del RGPD no se extiende a las operaciones de tratamiento anteriores a dicho Reglamento, contemplando únicamente la excepción de que se hayan producido cambios en los riesgos que el tratamiento implica en relación con el momento en el que el mismo se puso en marcha. Al respecto cabe señalar que el presente procedimiento sancionador se inicia por el incumplimiento de la medida ordenada en la resolución del procedimiento PS/00441/2021, medida que como ya se ha argumentado es plenamente ejecutiva. Cualesquiera alegaciones sobre la conformidad de sus tratamientos con la legalidad vigente pudieron y debieron haberse presentado durante la tramitación de dicho procedimiento. Respecto a la afirmación de que en ningún momento en la resolución del RR/00027/2023 se hace mención al escrito de interposición del recurso de reposición de 25 de enero de 2023, se indica nuevamente que la medida incumplida es plenamente ejecutiva, puesto que se denegó su suspensión, y asimismo se resolvió su impugnación en la resolución del RR/00027/2023, de 26 de enero de
2. Dicha resolución del recurso de reposición RR/00027/2023 es firme, y contra ella no cabe ningún recurso en vía administrativa. A mayor abundamiento, la falta de respuesta que afirma la reclamada con respecto al recurso de 25 de enero, determina la desestimación por silencio por el transcurso de los plazos legalmente previstos, y la habilitación para acudir a la vía judicial, como así ha hecho la reclamada presentando el correspondiente recurso contencioso administrativo. Por último, sobre la indicación de que se está realizando una evaluación de impacto que está en una fase avanzada, se recuerda que en la resolución del procedimiento sancionador PS/00441/2021 se imponía el “límite temporal o definitivo” del tratamiento de los datos de los empleados de la parte reclamada para el control horario mediante C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/9 el uso de la huella dactilar en tanto no dispusiera de una evaluación de impacto de protección de datos del tratamiento válida, que tenga en cuenta los riesgos para los derechos y libertades de los empleados y las medidas y garantías adecuadas para su tratamiento, o incluso si se realizara, precisara efectuar la previsión de consulta que se establece en el artículo 36 del RGPD. Con la reiterada petición de suspender su cumplimiento hasta que no finalice la evaluación de impacto, está pretendiendo de hecho vaciar de contenido dicha medida cautelar, que busca precisamente que se garanticen los derechos y libertades de los interesados de forma inmediata y en tanto no exista un resultado de dicha evaluación. Por tanto, dicha alegación refleja una vez más una manifiesta voluntad de incumplir lo contenido en dicha medida cautelar, incluida en una resolución dictada el 27 de diciembre de 2022 con un plazo de cumplimiento de diez días, y cuya ejecutividad en ningún momento ha sido suspendida. III Alegaciones a la Propuesta de resolución En respuesta a las alegaciones a la Propuesta de resolución del presente expediente presentadas por la parte reclamada se debe señalar lo siguiente. Las alegaciones presentadas contra la Propuesta de resolución de este expediente reproducen en su mayoría los mismos argumentos esgrimidos contra el Acuerdo de inicio y, por tanto, ya han sido rebatidos por esta Agencia en el anterior Fundamento de Derecho, no correspondiendo responder en el presente procedimiento sancionador a las alegaciones relativas al objeto del procedimiento sancionador PS/00441/2021, remitiendo asimismo a lo ya contestado respecto a que la resolución de dicho procedimiento sancionador no debiera considerarse ejecutiva, ni procede por tanto el archivo solicitado del presente procedimiento.” En cuanto a la alegación de la parte recurrente de que la sanción impuesta podría vulnerar, entre otros, el principio de confianza legítima, por una supuesta contradicción entre la actuación de esta Agencia y la respuesta dada en nuestra sede electrónica sobre si los tratamientos iniciados antes del RGPD deben someterse a evaluación de impacto, cabe señalar que dicha alegación se refiere a la conformidad de sus tratamientos con la legalidad vigente y, por tanto, según lo ya expuesto, no corresponde responder a la misma en la resolución recurrida. Se precisa una vez más que dicha conformidad fue objeto de revisión en el PS/00441/2021, cuya resolución es firme en vía administrativa y por tanto no puede ser atacada en esta vía, y que el presente expediente y la resolución recurrida sancionan la falta de cumplimiento de una medida correctiva firme y ejecutiva. Respecto a la solicitud de suspensión de la resolución recurrida en tanto no finalice la vía administrativa y la vía judicial, se precisa que esta no es ejecutiva mientras quepa contra la misma algún recurso ordinario en vía administrativa, por tanto lo será en el momento de dictar y notificar la presenta resolución del recurso de reposición. De conformidad con el artículo 90.3 de la LPACAP, acordar la suspensión que se solicita por su intención de acudir a la vía judicial es una medida potestativa de la Administración, que no resulta procedente estimar en el presente caso puesto que la resolución recurrida se limita a reiterar el cumplimiento de una medida ejecutiva ordenada en la resolución del procedimiento PS/00441/2021, que busca proteger los C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/9 derechos y libertades de los interesados con carácter inmediato, y de la que previamente se ha denegado su suspensión tanto en vía administrativa como en vía judicial. III Conclusión En consecuencia, en el presente recurso de reposición, la parte recurrente no ha aportado nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada. Asimismo, se recuerda a la recurrente que tiene que acreditar ante esta autoridad de control la adopción de las medidas impuestas en la resolución del procedimiento sancionador con número PS/00441/2021, consistente en la limitación del tratamiento que estaba efectuando en tanto no disponga de dicha evaluación de impacto válida, con lo que, se le recuerda que dicho tratamiento tiene que estar paralizado (y que acreditar también tal circunstancia ante la Agencia Española de Protección de Datos). Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por CONSEJERIA DE SANIDAD DE LA JUNTA DE COMUNIDADES DE CASTILLA LA MANCHA contra la resolución de esta Agencia Española de Protección de Datos dictada con fecha 15 de septiembre de 2023, en el expediente EXP
3. SEGUNDO: DESESTIMAR la solicitud de suspensión sobre la ejecución de la misma resolución. TERCERO: NOTIFICAR la presente resolución a CONSEJERIA DE SANIDAD DE LA JUNTA DE COMUNIDADES DE CASTILLA LA MANCHA. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), los interesados podrán interponer recurso contencioso-administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 180-250923 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/9 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es