← España

REPOSICION-PS-00453-2021

1/6  Procedimiento nº.: PS/00453/2021 Recurso de reposición Nº RR/00015/2022 Examinado el recurso de reposición interpuesto por A.A.A. a resolución dictada por la Directora de la Agencia Española de Protección de Datos en el procedimiento sancionador PS/00453/2021, y en base a los siguientes HECHOS PRIMERO: Con fecha 26/11/2021, se dictó resolución por la Directora de la Agencia Española de Protección de Datos en el procedimiento sancionador PS/00453/2021, en virtud de la cual se dirigía un apercibimiento, por la vulneración de lo dispuesto en el artículo 13 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016 relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (en lo sucesivo RGPD), infracción tipificada en el artículo 83.5

  1. b)del RGPD y calificada de muy grave en el artículo 72.1
  2. h)de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD). Dicha resolución, que fue notificada al recurrente en fecha 10/12/2021, fue dictada previa la tramitación del correspondiente procedimiento sancionador, de conformidad con lo dispuesto en la LOPDGDD, y supletoriamente en la LPACAP, en materia de tramitación de procedimientos sancionadores. SEGUNDO: A.A.A. (en lo sucesivo el recurrente) ha presentado en fecha 09/01/2022, en esta Agencia Española de Protección de Datos, recurso de reposición fundamentándolo básicamente en lo siguiente: “Yo reconozco y les reconocí a los policías que sí les hacía citas a los conocidos y amigos, pero nunca les pedí ni un céntimo a nadie (…) No hay pruebas que yo le cobré a alguien por cita, fueron gratificaciones. Le haces un favor a un amigo luego dice al otro yo tengo un amigo que te va a hacer la cita y así corría la voz, yo les ayudaba encantado (…) No entiendo mucho el tema de protección de datos, pero cuando una persona te pide un favor yo creo que ya te está dando todo su consentimiento del uso de sus datos. (…) FUNDAMENTOS DE DERECHO I C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/6 Es competente para resolver el presente recurso la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 48.1 de la LOPDGDD. II En el presente caso, se procede a examinar el recurso de reposición de fecha 09/01/2022 que se interpone contra la Resolución de esta Agencia de fecha 26/11/2021. Los hechos iniciales son trasladados por la Jefatura Superior de Policía del País Vasco señalando que A.A.A. recaba datos personales con motivo de la solicitud de cita previa para la realización de trámites administrativos “sin ninguna garantía ni identificación del responsable del tratamiento de los mismos, así como sin informar ni obtener el consentimiento de los usuarios conforme a lo establecido por la Ley Orgánica 3/2018 y el Reglamento (UE) 2016/679”. Tales extremos son constatados por el Grupo II de la Brigada Provincial de Extranjería y Fronteras de ***LOCALIDAD.1 de la citada Jefatura que, tras realizar el 14/05/2021 una inspección administrativa, asevera “la existencia de numerosas fichas de clientes (papeles manuscritos, copias de documentación, resguardos de cita previa, NIE), que eran almacenados por esta persona en su teléfono móvil con la supuesta finalidad de la obtención de citas previas para la realización de diferentes trámites”. Añade que “Se procedió a la comprobación por parte de los actuantes de varias anotaciones manuscritas/fotocopias de documentación conteniendo datos personales y de resguardos de citas previas obtenidas a nombre de otros tantos ciudadanos”. Los hechos anteriores suponen una infracción del contenido del artículo 13 del RGPD, al no facilitar a los interesados toda la información que en dicho precepto se indica. En el mencionado recurso, el recurrente reconoce haber solicitado en nombre de amigos y conocidos citas previas para realizar trámites administrativos, pero de manera altruista. Igualmente, manifiesta que el hacer un favor a esas personas lleva implícito que le otorguen el consentimiento para utilizar sus datos personales. III En respuesta a las alegaciones presentadas por el recurrente se debe señalar que el artículo 4.1 del RGPD define “tratamiento” como: “Cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/6 Por tanto, la actuación del recurrente consistente en solicitar citas previas en nombre de terceras personas para realizar trámites administrativos supone una recogida y utilización de sus datos personales, asumiendo así el papel de responsable del tratamiento. Hay que indicar que el citado precepto en ningún momento hace distinción en si existe o no un tratamiento en función de que haya una remuneración económica de por medio. En este sentido, el artículo 12 del RGPD obliga a todo responsable de tratamiento a tomar “las medidas oportunas para facilitar al interesado toda información indicada en los artículos 13 y 14, en forma concisa, transparente, inteligible y de fácil acceso, con un lenguaje claro y sencillo (…)”. El artículo 13 del RGPD, precepto en el que se determina la información que debe facilitarse al interesado en el momento de la recogida de sus datos, indica que: “1. Cuando se obtengan de un interesado datos personales relativos a él, el responsable del tratamiento, en el momento en que estos se obtengan, le facilitará toda la información indicada a continuación:
  3. a)la identidad y los datos de contacto del responsable y, en su caso, de su representante;
  4. b)los datos de contacto del delegado de protección de datos, en su caso;
  5. c)los fines del tratamiento a que se destinan los datos personales y la base jurídica del tratamiento;
  6. d)cuando el tratamiento se base en el artículo 6, apartado 1, letra f), los intereses legítimos del responsable o de un tercero;
  7. e)los destinatarios o las categorías de destinatarios de los datos personales, en su caso;
  8. f)en su caso, la intención del responsable de transferir datos personales a un tercer país u organización internacional y la existencia o ausencia de una decisión de adecuación de la Comisión, o, en el caso de las transferencias indicadas en los artículos 46 o 47 o el artículo 49, apartado 1, párrafo segundo, referencia a las garantías adecuadas o apropiadas y a los medios para obtener una copia de estas o al hecho de que se hayan prestado. 2. Además de la información mencionada en el apartado 1, el responsable del tratamiento facilitará al interesado, en el momento en que se obtengan los datos personales, la siguiente información necesaria para garantizar un tratamiento de datos leal y transparente:
  9. a)el plazo durante el cual se conservarán los datos personales o, cuando no sea posible, los criterios utilizados para determinar este plazo;
  10. b)la existencia del derecho a solicitar al responsable del tratamiento el acceso a los datos personales relativos al interesado, y su rectificación o supresión, o la limitación C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/6 de su tratamiento, o a oponerse al tratamiento, así como el derecho a la portabilidad de los datos;
  11. c)cuando el tratamiento esté basado en el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), la existencia del derecho a retirar el consentimiento en cualquier momento, sin que ello afecte a la licitud del tratamiento basado en el consentimiento previo a su retirada;
  12. d)el derecho a presentar una reclamación ante una autoridad de control;
  13. e)si la comunicación de datos personales es un requisito legal o contractual, o un requisito necesario para suscribir un contrato, y si el interesado está obligado a facilitar los datos personales y está informado de las posibles consecuencias de que no facilitar tales datos;
  14. f)la existencia de decisiones automatizas, incluida la elaboración de perfiles, a que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado. 3. Cuando el responsable del tratamiento proyecte el tratamiento ulterior de datos personales para un fin que no sea aquel para el que se recogieron, proporcionará al interesado, con anterioridad a dicho tratamiento ulterior, información sobre ese otro fin y cualquier información adicional pertinente a tenor del apartado 2. 4. Las disposiciones de los apartados 1, 2 y 3 no serán aplicables cuando y en la medida en que el interesado ya disponga de la información.” Por su parte, el artículo 11 de la LOPDGDD, dispone lo siguiente: “1. Cuando los datos personales sean obtenidos del afectado el responsable del tratamiento podrá dar cumplimiento al deber de información establecido en el artículo 13 del Reglamento (UE) 2016/679 facilitando al afectado la información básica a la que se refiere el apartado siguiente e indicándole una dirección electrónica u otro medio que permita acceder de forma sencilla e inmediata a la restante información. 2. La información básica a la que se refiere el apartado anterior deberá contener, al menos:
  15. a)La identidad del responsable del tratamiento y de su representante, en su caso.
  16. b)La finalidad del tratamiento.
  17. c)La posibilidad de ejercer los derechos establecidos en los artículos 15 a 22 del Reglamento (UE) 2016/679. Si los datos obtenidos del afectado fueran a ser tratados para la elaboración de perfiles, la información básica comprenderá asimismo esta circunstancia. En este caso, el afectado deberá ser informado de su derecho a oponerse a la adopción de decisiones individuales automatizadas que produzcan efectos jurídicos sobre él o le afecten significativamente de modo similar, cuando concurra este derecho de acuerdo con lo previsto en el artículo 22 del Reglamento (UE) 2016/679.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/6 A todo ello, habría que añadir que el procedimiento sancionador PS/00453/2021 no tiene por objeto determinar si los afectados otorgaron el consentimiento para el tratamiento de sus datos personales, pues la legitimación en este caso se encuentra en el apartado
  18. b)del artículo 6.1 del RGPD. IV Examinado el recurso de reposición presentado por el interesado, no aporta hechos ni argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada, por lo que procede acordar su desestimación. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por A.A.A. la resolución de esta Agencia Española de Protección de Datos dictada con fecha 26/11/2021, en el procedimiento sancionador PS/00453/2021. SEGUNDO: NOTIFICAR la presente resolución a A.A.A.. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), los interesados podrán interponer recurso contencioso-administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
  19. a)LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada LPACAP. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 180-100122 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/6 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.