1/7 Expediente n.º.: EXP202410125 RESOLUCIÓN DE RECURSO DE REPOSICIÓN Examinado el recurso de reposición interpuesto por la CONSEJERÍA DE SALUD Y SERVICIOS SOCIALES DE LA JUNTA DE EXTREMADURA (en lo sucesivo, la parte recurrente) contra la resolución dictada por la Presidencia de la Agencia Española de Protección de Datos de fecha 30 de junio de 2025, y en base a los siguientes HECHOS PRIMERO: Con fecha 30 de junio de 2025, se dictó resolución por la Presidencia de la Agencia Española de Protección de Datos en el expediente EXP202410125, en virtud de la cual se declaró que la CONSEJERÍA DE SALUD Y SERVICIOS SOCIALES DE LA JUNTA DE EXTREMADURA había infringido lo dispuesto en el Artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), infracción tipificada en el Artículo 83.5 del RGPD. Dicha resolución, que fue notificada a la parte recurrente en fecha 11 de julio de 2025, fue dictada previa la tramitación del correspondiente procedimiento sancionador, de conformidad con lo dispuesto en la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), y supletoriamente en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP), en materia de tramitación de procedimientos sancionadores. SEGUNDO: Como hechos probados del citado procedimiento sancionador, quedó constancia de los siguientes: “PRIMERO: El requerimiento de información indicado en el antecedente quinto fue notificado con arreglo a lo dispuesto en la LPACAP. SEGUNDO: La Consejería no ha respondido al requerimiento de información efectuado por la Agencia en el marco de las actuaciones de investigación del expediente número EXP202309321 con anterioridad a que se dictase el acuerdo de inicio del presente procedimiento sancionador.” TERCERO: La parte recurrente ha presentado en fecha 25 de julio de 2025, en esta Agencia Española de Protección de Datos, recurso de reposición. La parte recurrente señala que “Pese a lo indicado por el SES en su escrito de fecha 1 de marzo de 2024, la AEPD, con fecha 5 de junio de 2025 vuelve a notificar a la Consejería, y no al SES, un nuevo requerimiento de información. (…) Con fechas 20, 21 y 28 de agosto de 2024, por el SES, se vuelve a remitir la documentación solicitada en el requerimiento de información notificado a la Consejería C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/7 el 5 de junio de 2024, adjuntando, de nuevo, escrito de contestación en el que vuelven a indicar que es el SES el que debe atender la solicitud de información efectuada por la AEPD y no la Consejería (…) Considera esta Consejería que la Resolución de fecha 1 de julio de 2025 objeto del presente recurso potestativo de reposición es nula de pleno derecho al carecer dicho órgano de la legitimación pasiva necesaria para que se le impute la comisión de la infracción tipificada en el artículo 83.5.
- e)del RGPD, esto es, “no facilitar el acceso en incumplimiento del artículo 58., apartado 1”, por los motivos que se pasan a exponer. El artículo 58.1.
- a)del RGPD establece que cada autoridad de control, en el presente caso, la AEPD, dispondrá, entre otros, del poder de investigación para “ordenar al responsable y al encargado del tratamiento y, en su caso, al representante del responsable o del encargado, que faciliten cualquier información que requiera para el desempeño de sus funciones”. Es decir, que de lo anterior se deduce que la infracción tipificada en el artículo 83.5
- e)RGPD únicamente es imputable al responsable o al encargado del tratamiento (o a sus representantes), de aquellos datos respecto de los cuales se solicite información por parte de la AEPD, circunstancia que, en este caso, no concurre en la Consejería de Salud y Servicios Sociales respecto de los datos a los que se referían los requerimientos efectuados a ésta por la AEPD en el seno del expediente EXP202309321, toda vez que los mismos se referían a datos objeto de tratamiento por parte del SES al venir referidos los requerimientos de la AEPD a información contenida en sistemas de información que tratan los datos del SES. Así, de conformidad con lo establecido en el Acuerdo del Consejo de Gobierno de la Junta de Extremadura de 26 de junio de 2018 por el que se establece la política de privacidad y seguridad de la información de la Administración de la Comunidad Autónoma de Extremadura, el SES queda excluido de dicha Política de Privacidad y Seguridad de la Información (en adelante, PPSI), toda vez que su apartado 1.3 establece que “Los Organismos Públicos estarán sujetos a la Política en todos sus términos y condiciones de acuerdo con las instrucciones, indicaciones de los órganos superiores de las Consejerías a las que están adscritas a excepción del Servicio Extremeño de Salud, que en atención a sus especiales funciones y singularidades respecto a su organización y funcionamiento, deberá establecer su propia Política de Privacidad y Seguridad de la Información alineados con los principios y requisitos mínimos de esta política”, política esta del SES que fue aprobada por RESOLUCIÓN, de 14 de junio de 2021, de la Dirección Gerencia del Servicio Extremeño de Salud (DOE núm. 121 de 25 de junio de 2021), por lo que el SES se constituye como responsable del tratamiento de sus propios datos, entre los que se incluyen los datos que, en este caso, fueron objeto de requerimiento por parte de la AEPD. (Se aporta Resolución de 3 de julio de 2018, de la Vicepresidenta y Consejera, por la que se ordena la publicación en el Diario Oficial de Extremadura del Acuerdo del Consejo de Gobierno de la Junta de Extremadura de 26 de junio de 2018 por el que se establece la política de privacidad y seguridad de la información de la Administración de la Comunidad Autónoma de Extremadura). Como muestra de ello, además, tal y como consta en el Registro de Delegados de Protección de Datos sito en la sede electrónica de la AEPD, la Administración de la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/7 Comunidad Autónoma de Extremadura y el SES tienen, cada uno, su propio Delegado de Protección de Datos (se adjuntan PDF con pantallazos de la sede electrónica de la AEPD), por lo que, tratándose de un requerimiento de información concerniente a datos tratados por sistemas de información pertenecientes al SES, la AEPD debería haberse dirigido a él, y no a la Consejería de Salud y Servicios Sociales, al ser el SES el responsable del tratamiento de dichos datos, tal y como así consta en el propio Registro de la AEPD, máxime cuando, además, dicha circunstancia fue comunicada a la AEPD mediante escrito del Director Gerente del SES de fecha 1 de marzo de 2024, es decir, con anterioridad al supuesto incumplimiento que ahora se imputa a la Consejería de Salud y Servicios Sociales. Es más, en ningún caso se desprende una “actuación no diligente” de la Consejería de Salud y Servicios Sociales, tal y como afirma la AEPD en la Resolución que ahora se impugna, toda vez que, al no ser dicho órgano el competente para responder al requerimiento de información formulado por la AEPD, la Consejería actuó cumpliendo la obligación que le impone el artículo 14 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público, es decir, remitiendo dicha solicitud al órgano competente, quien, como hemos ya señalado, informó a la AEPD en su escrito de fecha 1 de marzo de 2024, que era él el responsable del tratamiento de los datos solicitados, debiendo ser a él al que debía dirigirse la AEPD, por lo que no entiende este órgano que la AEPD volviera a dirigirse, de nuevo, a un órgano al que ya se le informó que no era el adecuado, por lo que el actuar “no diligente” no debiera predicarse de la Consejería de Salud y Servicios Sociales. Por todo lo expuesto, la Resolución de fecha 1 de julio de 2025, dictada por el Presidente de la Agencia Española de Protección de Datos por la que se declara que la Consejería de Salud y Servicios Sociales de la Junta de Extremadura ha infringido lo dispuesto en el Artículo 58.1 del RGPD, infracción tipificada en el Artículo 83.5 del RGPD, es nula de pleno derecho al carecer la Consejería de Salud y Servicios Sociales de la legitimación pasiva necesaria para imputarle la comisión de la infracción tipificada en el artículo 83.5.
- e)del RGPD al requerir que la conducta incluida en dicho tipo sea llevada a cabo por el responsable del tratamiento, el encargado del mismo o sus responsables, y no corresponder ninguno de dichos roles a la Consejería sino al SES, habida cuenta de que la reclamación está relacionada con tratamientos de datos pertenecientes a este y que la solicitud de información está relacionada con los sistemas de información que tratan los datos del SES, habiendo sido así notificado a la AEPD, y sin olvidar que dicho dato constaba, con anterioridad al requerimiento de información efectuado, en el propio Registro de Delegados de Protección de Datos de la propia AEPD”. En consecuencia, la parte recurrente solicita que se estime el recurso de reposición interpuesto, acordando la revocación de la Resolución recurrida “por ser contraria a derecho al carecer la Consejería de Salud y Servicios Sociales de la legitimación pasiva necesaria para cometer la infracción que se le imputa”. FUNDAMENTOS DE DERECHO I C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/7 Competencia Es competente para resolver el presente recurso la Presidencia de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 123 de la LPACAP y el artículo 48.1 de la LOPDGDD. II Contestación a las alegaciones presentadas En relación con las manifestaciones efectuadas por la parte recurrente, en parte se reitera en las alegaciones ya presentadas a lo largo del procedimiento sancionador, que ya fueron analizadas y desestimadas en el Fundamentos de Derecho segundo de la Resolución recurrida, tal como se transcribe a continuación. “II Alegaciones al acuerdo de inicio En respuesta a las alegaciones presentadas al acuerdo de inicio se debe señalar lo siguiente. Respecto a la afirmación de que “el escrito de la Agencia Española de Protección de Datos relativo a este EXP202309321, es trasladado al SERVICIO EXTREMEÑO DE SALUD, quien lo recibe en fecha 22/02/2024 y da respuesta al mismo con fecha 01/03/2024”, cabe señalar que el requerimiento respondido por el SES con fecha 1 de marzo de 2024 es el requerimiento indicado en los antecedentes segundo y tercero, el cual fue notificado a la Consejería con fecha 9 de febrero de 2024. Una vez analizada dicha respuesta, se remitió en dos ocasiones a la Consejería el requerimiento de información recogido en el antecedente quinto, el cual reiteraba las cuestiones a las que no se había dado respuesta en la documentación aportada con fecha 1 de marzo de 2024. Dicho requerimiento, notificado fehacientemente a la Consejería con fecha 5 de junio de 2024, se respondió con posterioridad a la notificación del acuerdo de inicio del presente procedimiento sancionador. De todo ello se puede desprender una actuación no diligente de la Consejería con respecto a dicho requerimiento. La respuesta al requerimiento de información dada durante la instrucción de este procedimiento no afecta a la existencia de los hechos probados constitutivos de infracción. Por tanto, no procede el archivo del presente procedimiento sancionador. Por lo que se refiere a la información comunicada, por parte de esta Agencia se acusa su recibo, incorporándose al expediente desde el que fue requerida, sin que esta declaración suponga ningún pronunciamiento sobre su idoneidad.” En cuanto a la afirmación de la parte recurrente de que carece de la legitimación pasiva necesaria para que se le impute la comisión de la infracción tipificada en el artículo 83.5.
- e)del RGPD al no ser la misma, dice, ni responsable ni encargada del tratamiento de los datos respecto de los cuales se solicitó información por parte de esta Agencia, se señala lo siguiente. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/7 De conformidad con lo establecido en el Acuerdo del Consejo de Gobierno de la Junta de Extremadura de 26 de junio de 2018 por el que se establece la política de privacidad y seguridad de la información de la Administración de la Comunidad Autónoma de Extremadura, “Las personas titulares de las Consejerías ejercen como Responsables de Tratamiento”. Como apunta la parte recurrente, de conformidad con su apartado 1.3, “Los Organismos Públicos estarán sujetos a la Política en todos sus términos y condiciones (…) a excepción del Servicio Extremeño de Salud, que en atención a sus especiales funciones y singularidades respecto a su organización y funcionamiento, deberá establecer su propia Política de Privacidad y Seguridad de la Información alineados con los principios y requisitos mínimos de esta política”. No obstante, el hecho de que el Servicio Extremeño de Salud (en adelante, SES) no esté sujeto a todos los términos y condiciones de dicha Política de Privacidad y Seguridad de la Información no implica que dicho Servicio se constituya como responsable del tratamiento de sus propios datos. Así, el Registro de Actividades de Tratamiento del Servicio Extremeño de Salud publicado en la página web https://saludextremadura.ses.es se refiere a “Las actividades de tratamiento registradas en la Consejería de Sanidad y Políticas Sociales de la Junta de Extremadura” y, respecto al tratamiento Historias Clínicas, identifica como “Entidad responsable” a la “Consejería de Sanidad y Políticas Sociales de la Junta de Extremadura”. La parte recurrente también alega que el SES tiene su propio Delegado de Protección de Datos por lo que, “tratándose de un requerimiento de información concerniente a datos tratados por sistemas de información pertenecientes al SES, la AEPD debería haberse dirigido a él, y no a la Consejería de Salud y Servicios Sociales”. Al respecto, se indica que las notificaciones se dirigen al responsable y que la condición de Delegado de Protección de Datos no atribuye por sí misma facultades de representación, siendo responsable del tratamiento, según el Registro de Actividades de Tratamiento del SES, la parte recurrente. Por todo lo expuesto, no procede acordar la revocación de la Resolución recurrida. III Conclusión En consecuencia, en el presente recurso de reposición, la parte recurrente no ha aportado nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada. IV Obligación de dictar resolución expresa De acuerdo con lo establecido en el artículo 24 de la LPACAP, el sentido del silencio administrativo en los procedimientos de impugnación de actos y disposiciones es desestimatorio. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/7 No obstante, a pesar de que haya transcurrido el plazo legalmente establecido para resolver, la Administración mantiene la obligación de dictar resolución expresa y de notificarla en todos los procedimientos cualquiera que sea su forma de iniciación, incluidos los recursos administrativos que se hayan podido interponer, según dispone el artículo 21.1 de la citada LPACAP. En los casos de desestimación por silencio administrativo, la resolución expresa posterior al vencimiento del plazo se adoptará por la Administración sin vinculación alguna al sentido del silencio, según dispone el artículo 24.3 de la misma ley. Por tanto, aunque no se resuelva el recurso en plazo, procede emitir la resolución expresa que lo finalice. Vistos los preceptos citados y demás de general aplicación, la Presidencia de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por la CONSEJERÍA DE SALUD Y SERVICIOS SOCIALES DE LA JUNTA DE EXTREMADURA contra la resolución de esta Agencia Española de Protección de Datos dictada con fecha 30 de junio de 2025, en el expediente EXP202410125. SEGUNDO: NOTIFICAR la presente resolución a la CONSEJERÍA DE SALUD Y SERVICIOS SOCIALES DE LA JUNTA DE EXTREMADURA. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer recurso contencioso-administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
- a)LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeaepd.gob.es/sede-electronica-web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada LPACAP. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/7 180-020125 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es