1/25 Expediente N.º: EXP202415776 RESOLUCIÓN DE RECURSO DE REPOSICIÓN Examinado el recurso de reposición interpuesto por GADISA RETAIL S.L.U. (en adelante, GADISA) contra la resolución dictada por la Presidencia de la Agencia Española de Protección de Datos, de fecha 4 de septiembre de 2025, y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 04/09/2025 se dictó resolución por la Presidencia de la Agencia Española de Protección de Datos en el expediente EXP202415776, en virtud de la cual se imponía a GADISA, por una infracción del artículo 26 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), tipificada en el artículo 83.4.
- a)del RGPD, una multa de DOSCIENTOS MIL EUROS (200.000,00 euros). En la misma resolución se ordenaba a GADISA, en virtud del artículo 58.2.
- d)del RGPD, que en el plazo máximo de 6 meses desde que la resolución fuera firme y ejecutiva, acredite haber adoptado el acuerdo exigido por el artículo 26 del RGPD, en los términos y con el contenido que se establecen en dicho precepto y poniendo a disposición de los interesados los aspectos esenciales de dicho acuerdo. Dicha resolución, que fue notificada a GADISA en fecha 05/09/2025, fue dictada previa la tramitación del correspondiente procedimiento sancionador, de conformidad con lo dispuesto en la LOPDGDD, y supletoriamente en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), en materia de tramitación de procedimientos sancionadores. SEGUNDO: Como hechos probados en el citado procedimiento sancionador, constan los siguientes: “PRIMERO: La CONSELLERIA es un órgano administrativo de la Xunta de Galicia entre cuyas competencias se encuentra la promoción y desarrollo de políticas públicas orientadas a la asistencia y apoyo de las familias. A estos efectos podrá promover actuaciones de colaboración con organismos y entidades privadas de acuerdo con la Ley 3/2011, de 30 de junio, de apoyo a la familia y a la convivencia de Galicia. SEGUNDO: En el ejercicio de sus competencias, se creó en el año 2001 el programa “Carné familiar galego”, en palabras de la CONSELLERIA “como medio para ampliar los beneficios de las familias numerosas en Galicia (…) basada en la colaboración entre la Administración autonómica y la iniciativa privada, con el objetivo de facilitar el acceso de las familias numerosas a distintos bienes y servicios mediante descuentos u otro tipo de ventajas C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/25 ampliando y complementando los beneficios que otorga el título oficial de familia numerosa”. TERCERO: GADISA es una entidad privada propietaria de los supermercados GADIS. CUARTO: Con fecha 16/05/2014 se suscribió entre la empresa GADISA y la CONSELLERÍA (entonces denominada Consellería de Traballo e Benestar de la Xunta de Galicia), un acuerdo de colaboración cuyo objeto es el “desarrollo del programa “Carné Familiar Gallego””. En virtud del acuerdo de colaboración, los titulares del mencionado carné, una vez se hubieran identificado como tales al realizar una compra en los establecimientos de GADISA, podrían beneficiarse de descuentos en forma de cheques en estos establecimientos atendiendo al volumen de compras realizadas. A estos efectos, la CONSELLERIA remitiría a GADISA determinados datos personales de los mencionados titulares. QUINTO: El apartado tercero del acuerdo de colaboración establece que GADISA tiene entre sus objetivos la “colaboración en la presentación de determinados servicios sociales a la comunidad, ya sea directamente o colaborando con entidades públicas o privadas”. SEXTO: La cláusula quinta del mencionado acuerdo de colaboración establece que GADISA se compromete a hacer un descuento acumulado de un 2% en la compra efectuada en sus establecimientos a las familias beneficiarias del programa, materializándose en el envío de un cheque semestral para cambiar por productos en sus establecimientos y que podrá hacer descuentos en productos concretos que se acumularán al descuento total. SÉPTIMO: La cláusula séptima de dicho acuerdo establece que la CONSELLERÍA “facilitará los datos personales de las personas titulares del Título oficial de familia numerosa a la entidad GADISA, previo consentimiento de las personas interesadas, con la finalidad exclusiva de hacer llegar a la dirección de las familias beneficiarias del programa el cheque semestral con el descuento acumulado del 2% de las compras. Estos datos comprenderán: el nombre, los apellidos, el domicilio particular y el número del Título oficial de familia numerosa”. OCTAVO: La cláusula novena de dicho acuerdo identifica a GADISA como encargado de tratamiento de los datos de personas titulares del carné familiar gallego, y a la CONSELLERÍA como responsable del tratamiento. Esta identificación se mantiene tanto en las diferentes versiones (de 11 de marzo de 2024 y de 7 de agosto de 2024) de la INFORMACIÓN BÁSICA SOBRE PROTECCIÓN DE DATOS PERSONALES facilitada en el formulario de solicitud “TÍTULO DE FAMILIA NUMEROSA / CERTIFICADO LEY 3/2011”, así como en la información facilitada junto a los cheques de descuento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/25 NOVENO: GADISA tuvo un volumen de negocio de 1.109.165.049 euros en el año 2023.” TERCERO: Con fecha 03/01/2025, dentro del plazo establecido, se ha interpuesto recurso de reposición por GADISA contra la resolución mencionada en el antecedente primero. En dicho recurso, en síntesis, GADISA manifiesta lo siguiente: 1. Señala la inexistencia de corresponsabilidad en el tratamiento de datos. Afirma GADISA que el hecho de participar en el programa de la CONSELLERÍA no convierte su interés en una finalidad propia, afirmando que: “La conclusión alcanzada parte de un razonamiento forzado en la medida en que convierte la mera referencia a la colaboración social de mi representada en la existencia de un fin propio en el tratamiento de los datos. Con el debido respeto, esta interpretación no puede ser compartida. No puede obviarse que la sanción impuesta se basa esencialmente sobre esta premisa: entender que la finalidad corporativa de GADISA RETAIL (colaborar en proyectos sociales) equivale a determinar los fines del tratamiento, lo cual no se ajusta ni a los hechos acreditados ni a los criterios que emanan del RGPD, de la jurisprudencia del TJUE o de las Directrices 07/2020 del CEPD. El hecho de que mi representada participe en el programa como acto de responsabilidad social empresarial no convierte ese interés institucional en una finalidad propia de tratamiento de datos. Se trata de una motivación para adherirse al programa, no de una finalidad que condicione el por qué y el cómo del tratamiento en el sentido del artículo 4.7 RGPD, no debe confundirse los fines institucionales con los fines del tratamiento de datos: (qué se hace con los datos personales, para qué y bajo qué base legal). Como ya hemos alegado anteriormente, GADISA RETAIL no toma la decisión de tratar los datos de familia numerosa para alcanzar fines propios, sino que acepta las condiciones impuestas por la CONSELLERÍA para poder adherirse al programa de entidades colaboradoras. GADISA RETAIL no decide qué datos se van a tratar, ni con que medios, ni la duración del tratamiento, y lo que es más importante no utiliza esos datos para ningún otro fin distinto del señalado por la CONSELLERÍA. La única decisión que puede tomar mi representada, es la de adherirse como entidad colaboradora (al igual que otras muchas) al citado programa.” Cita a continuación las Directrices 07/2020 del CEPD, que señalan que el concepto de responsable es de carácter funcional y debe determinarse atendiendo a los hechos y a quién tiene poder de decisión en el tratamiento. En este sentido, señala GADISA que “Aplicado al presente caso, resulta indudable que la CONSELLERÍA, es quien ostenta la competencia legal (Ley 40/2003, de 18 de noviembre, de Protección a las Familias Numerosas que faculta a las CCAA a ampliar la acción C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/25 protectora en esta materia) para diseñar y ejecutar el programa del Carné Familiar Galego definido por la propia administración como “una tarjeta personal e intransferible que permite obtener ventajas o descuentos en los establecimientos colaboradores”. En el presente caso la CONSELLERÍA es la entidad que determina los fines del tratamiento (el porqué del tratamiento), que no es otro que el de “facilitar a las personas interesadas la posibilidad de beneficiarse de los descuentos y otras ventajas ofertados por las entidades adheridas a este programa”. En cuanto a los medios esenciales del tratamiento, señala GADISA que el carné familiar, el tipo de datos y categorías de interesados y la duración del procedimiento son definidos por la CONSELLERÍA, siendo la intervención de GADISA “puramente instrumental: ejecutar las instrucciones recibidas y suprimir los datos posteriormente”. Señala a continuación GADISA que, si se aceptara que existe corresponsabilidad, no habría una base jurídica para el tratamiento por parte de GADISA, ya que la base de éste es el cumplimiento de una misión realizada en interés público, derivada de las competencias atribuidas a la CONSELLERÍA por las citadas leyes 40/2003 y 3/2011. 2. Señala la existencia de un acuerdo formal con la CONSELLERÍA y confianza legítima en la calificación de encargado realizada por la Administración. Manifiesta GADISA, como ya hizo en sus alegaciones a la propuesta de resolución, que “actuó en todo momento bajo la confianza legítima en que su conducta se ajustaba a Derecho, al amparo de la propia calificación de la Administración, que diseñó el programa, definió la finalidad y los medios esenciales del tratamiento, y plasmó expresamente en el convenio —suscrito en 2014 y actualizado en 2024— que la relación jurídica era de encargo de tratamiento”. Por ello, entiende que el hecho de que esa situación se susceptible de una sanción vulneraría el principio de confianza legítima en la actuación de la Administración, de acuerdo con la jurisprudencia del Tribunal Constitucional. 3. Por último, alega GADISA que el incumplimiento del artículo 26 del RGPD sería en todo caso de carácter meramente formal y sería necesario aplicar el principio de proporcionalidad en la sanción. En este sentido, manifiesta GADISA que “incluso si se aceptara la tesis de la AEPD respecto a la existencia de corresponsabilidad, el incumplimiento imputado (no haber formalizado el acuerdo previsto en el artículo 26 RGPD) constituye una infracción de carácter estrictamente formal y documental, cuya sanción debe ser graduada de manera proporcionada y reducida a la mínima intensidad”. Señala a continuación GADISA lo siguiente en relación con la gravedad de las infracciones: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/25 “El artículo 83.2 RGPD impone la graduación en función de la gravedad real de la infracción y exige que dicha sanción se determine a atendiendo a “la naturaleza, gravedad y duración de la infracción” (art. 83.2). Por lo que respecta a la gravedad de la infracción, hemos sostenido en el trámite de alegaciones, que el artículo 74.
- h)de la LOPDGDD tipifica como infracción leve “no formalizar el acuerdo de corresponsabilidad regulado en el artículo 26 del RGPD” y aunque es cierto que dicha tipificación opera únicamente a efectos de prescripción, no lo es menos que habrá que tener en cuenta el sentido con el que el legislador español ha querido calificar expresamente este incumplimiento, que no es otro que el de incluirlo como una infracción de baja entidad diferenciándolo de las infracciones graves y muy graves de los artículos 72 y 73 de la misma ley. Consideramos este criterio interpretativo como relevante a efectos de proporcionalidad en la aplicación de sanciones. No tendría sentido calificarla como “leve” si se considerara equiparable a infracciones de carácter sustantivo que sí afectan directamente a los derechos de los interesados.” En base a lo anterior considera la sanción impuesta desproporcionada por no adecuarse a la gravedad del hecho constitutivo de la infracción, como dispone el artículo 29.3 de la Ley 40/2015, de Régimen Jurídico del Sector Público. Al respecto cita una serie de circunstancias que se darían en el presente caso: “- El procedimiento se inicia por la denuncia de una organización FACUA y no de un usuario en particular. - Los datos afectados (en su caso) son datos básicos: identificativos y de contacto. - Los usuarios fueron debidamente informados sobre el tratamiento de sus datos y ante quién ejercer sus derechos. - El tratamiento estaba incluido en los respectivos Registros, tanto de GADISA RETAIL (en su condición de ET) como de la CONSELLERÍA (como Responsable). - Se adoptan las correspondientes medidas de seguridad. - La CONSELLERÍA dispone de una base legítima para el tratamiento y, mi representada se amparaba en el documento de mayo de 2014, posteriormente actualizado para actuar como Encargada de tratamiento, al igual que Novagalicia Banco. - Mi representada ha actuado en todo momento conforme a la calificación y a las instrucciones de la Administración.” Del análisis de dichas circunstancias concluye que la entidad de la infracción sería en todo caso muy baja por ser una omisión formal sin ningún impacto directo sobre los derechos fundamentales de los interesados. En cuanto a las circunstancias agravantes (número de interesados afectados y perjuicios sufridos) reitera GADISA la alegación de “arbitrariedad en la determinación del número de afectados” al tomar como referencia un dato genérico (número total de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/25 títulos de familia numerosa en vigor) para afirmar la existencia de una afectación masiva. Afirma en relación con este punto lo siguiente: “La Resolución confunde, el Título de Familia Numerosa y el Carné de Familia Numerosa. El primero es el título oficial que acredita la condición de familia numerosa. Al respecto, es necesario aclarar que existen el “Título de Familia numerosa” con validez en el territorio nacional y el “carné familiar galego” que es un carné individual que da derecho a descuentos en establecimientos comerciales. Puede suceder que muchas familias numerosas no soliciten el carné familiar galego y, de estos últimos, puede suceder que muchas de ellas no sean clientes de GADISA RETAIL y, por tanto, afectadas por el tratamiento en cuestión.” Señala finalmente que, de mantenerse la sanción, GADISA “se vería necesariamente abocada a cesar en el tratamiento de los datos y consecuentemente en dejar de remitir los cheques descuento a las familias beneficiarias, generando un perjuicio directo a los interesados y frustrando los fines de la política pública diseñada por la propia Administración”. CUARTO: El 11 de diciembre de 2025 GADISA presenta un escrito ante la AEPD por el que informa de su intención de interponer recurso contencioso-administrativo, así como que procederá al pago de la sanción de manera inmediata al ser la resolución ejecutiva. Recuerda, además, la obligación de resolver por parte de la administración. QUINTO: El 15 de diciembre de 2025 GADISA presenta un nuevo escrito ante la AEPD por el que comunica que ha procedido a la consignación de íntegra de la cuantía impuesta, sin perjuicio de mantener su intención de recurrir la sanción ante la jurisdicción contencioso-administrativa. FUNDAMENTOS DE DERECHO I Competencia Es competente para resolver el presente recurso la Presidencia de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 123 de la LPACAP y el artículo 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo, LOPDGDD). II Contestación a las alegaciones presentadas En primer lugar, cabe señalar que las manifestaciones efectuadas por GADISA en el recurso relativas a la inexistencia de corresponsabilidad, así como la relativa a la desproporción de la sanción reproducen las alegaciones ya formuladas al acuerdo de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/25 inicio y a la propuesta de resolución y que fueron analizadas y desestimadas en los fundamentos de derecho de la resolución del procedimiento sancionador. Por este motivo, se reproducen a continuación lo que se indicaba en los fundamentos III y IV de dicha resolución: <<III Contestación a las alegaciones al acuerdo de inicio (….) 2. En cuanto a las alegaciones sobre la naturaleza de la relación entre GADISA y la CONSELLERÍA: Sin perjuicio de que se remita a lo contenido en las cuestiones previas del presente documento, se señala que GADISA cabe hacer las siguientes consideraciones. Afirma GADISA que el carné familiar galego se implanta como parte de la acción protectora de las familias prevista por la Ley 40/2003 y señala que el fin del tratamiento es facilitar a las personas interesadas la posibilidad de beneficiarse de descuentos y otras ventajas ofertadas por las entidades adheridas al programa. En este sentido debe precisarse que el acuerdo no niega que la CONSELLERIA sea responsable del tratamiento partiendo de la base, además, de que en los supuestos en que el responsable es una Administración Pública, el responsable del tratamiento es aquel órgano administrativo que tenga atribuidas las competencias por una norma jurídica, para cuyo ejercicio sea necesario el tratamiento de datos de carácter personal. Es decir, si no se ostenta la competencia para llevar a cabo una determinada actividad, tampoco se tiene para llevar a cabo los tratamientos de datos personales que de esta se derivarían. En el presente caso, la CONSELLERÍA es una de las consellerías que forman parte de la Xunta de Galicia, de acuerdo con lo establecido en el artículo 1 del Decreto 49/2024, de 22 de abril, por el que se fija la estructura orgánica de las consellerías de la Xunta de Galicia. Su ámbito competencial está definido en el Decreto 139/2024, de 20 de mayo, por el que se establece la estructura orgánica de la Consellería de Política Social e Igualdad, entre las que se incluyen competencias en materia de políticas de familia, que se desarrollan, entre otras, en la Ley 13/2008, de 3 de diciembre, de servicios sociales de Galicia o la Ley 3/2011, de 30 de junio, de apoyo a la familia y a la convivencia de Galicia. En esta última norma se prevé la posibilidad de que la CONSELLERIA lleve a cabo actuaciones de colaboración con entidades privadas a fin de promover la participación en las actuaciones de protección, asistencia y apoyo a la familia. Sin perjuicio de lo anterior, lo que se sostiene en el presente procedimiento sancionador es que, la CONSELLERIA no sería el único responsable del tratamiento, partiendo de que el artículo 4.7 del RGPD permite que la determinación de los fines y medios de un tratamiento de datos personales por parte del responsable se realice junto con otros responsables. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/25 Así, el acuerdo de inicio sostiene que tanto la CONSELLERIA como GADISA son responsables del tratamiento (corresponsables) en la medida en que, tal y como se pone de manifiesto en las cuestiones previas de este documento, determinan de manera conjunta fines y medios. El hecho de que la CONSELLERÍA tenga una competencia atribuida en la legislación no impide que la finalidad de esa competencia converja en parte con uno de los fines de GADISA y que ambas acuerden colaborar para la consecución de un fin común que requiere el tratamiento de datos personales. Así, en la parte expositiva del convenio que regula la relación entre la CONSELLERÍA y GADISA, se indica (apartado segundo) que GADISA tiene entre sus objetivos la colaboración en la prestación de servicios sociales a la comunidad, directamente o colaborando con entidades públicas o privadas. Este sería, por tanto, un fin u objetivo propio de GADISA, sin perjuicio de otros, como puede ser obtener beneficios económicos para su empresa. El fin relativo a la prestación de servicios sociales a la comunidad converge con un fin perseguido por la CONSELLERÍA (aun cuando forme parte de su ámbito de competencias) y, por ese motivo, acuerdan colaborar mediante la implementación de un sistema concreto basado en la concesión de descuentos en los supermercados de GADISA a los titulares del carné familiar galego. En la medida en que sus actuaciones conllevan tratamientos de datos personales están sujetas a la normativa en esta materia. En cuanto a la alegación de que es la CONSELLERÍA “quien decide “el cómo” (es decir, los medios)”, GADISA señala que estos medios se concretarían en la publicación en la web de la CONSELLERÍA de las entidades colaboradoras y descuentos ofrecidos por éstas y la firma de convenios en los que la CONSELLERÍA establece las instrucciones para hacer efectivo cada beneficio social. Al respecto cabe contestar que esa publicación no es tanto un medio del tratamiento, sino un acuerdo relativo a la publicidad al programa. Por otra parte, la firma de un convenio es un acto jurídico que sirve de marco para determinar la relación entre ambas entidades, sin que pueda considerarse un medio del tratamiento. Además, debe subrayarse que el artículo 47 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público define un convenio de colaboración público-privada como un acuerdo con efectos jurídicos los acuerdos con efectos jurídicos adoptado por las Administraciones Públicas, los organismos públicos y entidades de derecho público vinculados o dependientes o las Universidades públicas con sujetos de derecho privado para un fin común. Es decir, la propia figura jurídica escogida en la que plasmar la relación entre GADISA y la CONSELLERIA sitúa a ambas entidades en una situación de igualdad en el marco de las competencias y la naturaleza de cada una de las entidades. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/25 Por otra parte, di bien el convenio de 2014 suscrito entre GADISA y la CONSELLERÍA contiene estipulaciones concretas en relación con el tratamiento, no cabe entender que GADISA no participe en la determinación de los fines y medios. Así, por ejemplo, en la cláusula quinta del convenio, GADISA determina el modo en el que va a participar en el programa: realizando un descuento del 2% en las compras en sus establecimientos. También determina el mecanismo a través del cual lo va a realizar: enviando semestralmente un cheque descuento. Y añade además la posibilidad de que GADISA realice descuentos adicionales en productos concretos, esto es, descuentos adicionales que GADISA puede decidir posteriormente. Llevar a cabo estos descuentos en compras y la forma de facilitárselos a los titulares, no son una decisión exclusiva de la CONSELLERÍA cuya ejecución encarga a GADISA. De hecho, la CONSELLERÍA ni asume el coste de dichos descuentos ni podría imponérselos a una empresa. Ese mecanismo forma parte de una decisión de GADISA, que acuerda con la CONSELLERÍA dar ese beneficio a los titulares del carné, dado que tiene entre sus objetivos, como se ha dicho, además de su actividad comercial, la prestación de servicios sociales a la comunidad. Ligado a lo anterior, se enfatiza que el CEPD ha establecido en sus Directrices CEPD 07/2020 las dos condiciones acumulativas que han de cumplirse para que una entidad tenga la condición de encargada de otra: en primer lugar, es necesario que sean independientes y, en segundo lugar, que el supuesto encargado trate los datos por cuenta del responsable. En este sentido, si bien el primero de los requisitos podría entenderse cumplido, en la medida en que GADISA y la CONSELLERÍA son dos entidades independientes, no puede afirmarse que GADISA sirva los intereses de la CONSELLERÍA, ni actúe por delegación o por cuenta de esta en la medida en que, en plano de igualdad, determina los fines y medios tal y como se ha señalado previamente. En lo relativo a la alegación de que el Convenio suscrito en 2014 indica expresamente que GADISA tiene la condición de encargado, cabe reiterar lo indicado en las cuestiones previas de este documento, incluido también en el acuerdo de inicio los conceptos de responsable y encargado son, como señalan las Directrices del CEPD 07/2020, conceptos funcionales. Esto implica que la condición jurídica se establece en virtud de las actividades concretas que desarrollan y no de su designación formal (en el presente caso, a través del acuerdo de colaboración). En este sentido, al margen de que el acuerdo designe expresamente a GADISA como encargado, es necesario analizar por qué tiene lugar el tratamiento, quién decide que se lleve a cabo y cómo. En contestación a la afirmación de que el convenio ha sido actualizado en el año 2024 (sin perjuicio de que a efectos de acreditación de este hecho aporte un contrato de encargo suscrito en agosto de 2024 entre la CONSELLERIA y GADISA), se subraya que el presente procedimiento sancionador tiene por objeto el incumplimiento del artículo 26 del RGPD, que exige la suscripción de un acuerdo de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 10/25 corresponsabilidad tomando como base el documento jurídico existente en el momento en que se procedió a la apertura del procedimiento sancionador y que regulaba las relaciones entre las partes. En cuanto a la alegación relativa a que la única operación de tratamiento que realiza es la del envío semestral de los cheques y que esta operación es puramente instrumental y subordinada a las directrices fijadas por la Conselleria, se subraya que dichas actuaciones se realizan en el marco del acuerdo de colaboración entre la CONSELLERIA y GADISA, suscrito en pie de igual entre ambas entidades para la concreción de un sistema de colaboración públicoprivada. Respecto a la alegación de que, en el año 2014, cuando se suscribió el Convenio en que se basa el tratamiento, no existía la figura jurídica de la corresponsabilidad debe señalarse que es cierto que el RGPD establece una nueva obligación para los corresponsables, pero la alegación efectuada no exime a GADISA del cumplimiento de la normativa vigente y de su adaptación, en su caso, a la misma. En este sentido, conviene, además, realizar algunas precisiones sobre la entrada en vigor y la aplicabilidad del RGPD. El RGPD, de conformidad con lo previsto en su artículo 99, fue plenamente aplicable desde el 25 de mayo de 2018, si bien su entrada en vigor se produjo casi dos años antes de esa fecha, en mayo de 2016. Además, a diferencia de la Directiva 95/46/CE del Parlamento Europeo y del Consejo, de 24 de octubre de 1995, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, no necesitaba su transposición al ordenamiento jurídico español, siendo directamente aplicable en la medida en que se trata de un reglamento. De esta manera, el legislador europeo previó un lapso particular de vacatio legis, de nada menos que 2 años, para que los responsables y encargados del tratamiento adecuaran los tratamientos de datos personales que realizaban a lo previsto en el RGPD cuya aplicación comenzaría, sin atisbo de dudas, el 25 de mayo de 2018. Dicho lo cual, corresponde a los responsables o corresponsables del tratamiento adoptar todas las medidas y cautelas para adaptar sus tratamientos al nuevo marco regulador. Por último, destaca GADISA el hecho de que el tratamiento forme parte de una política pública, por lo que “atribuir corresponsabilidad a una empresa privada que actúa conforme a un encargo expreso y reglado supondría una desnaturalización de la figura del encargado del tratamiento y una distorsión del régimen de responsabilidades previsto en el artículo 26 del RGPD” y generar importantes efectos indeseados en términos de seguridad jurídica, disuadiendo la colaboración público-privada. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 11/25 No se estima dicha alegación, en primer lugar, porque, como se ha dicho, GADISA no actúa como mero encargado del tratamiento, sino como corresponsable. En consecuencia, en aras a garantizar la máxima seguridad jurídica desde la perspectiva de protección de datos, el artículo 26 del RGPD consagra la obligación de la creación de un acuerdo de corresponsabilidad. Así, el hecho de que se delimiten adecuadamente las responsabilidades de ambas entidades es precisamente un modo de garantizar el derecho fundamental a la protección de datos personales de los afectados, que deben conocer, entre otros aspectos, qué entidades participan en dicho tratamiento y qué rol adoptan en el mismo. 3. Propuesta de sanción desproporcionada En relación con la posible cuantía de la multa indicada en el acuerdo de inicio, GADISA asegura que la multa fijada inicialmente en el acuerdo de inicio es desproporcionada. A este respecto, conviene señalar que tal y como señalan las Directrices 04/2022 sobre el cálculo de las multas bajo el RGPD, existen tres elementos como punto de partida para la imposición de una multa: el volumen de negocios, la categorización de las infracciones según su propia naturaleza (es decir, si son infracciones del 83.4, 83.5 u 83.6 del RGPD) y el nivel de gravedad de la infracción en cada caso concreto. Este nivel de gravedad no debe confundirse con el término “gravedad” utilizado tradicionalmente en la jurisprudencia española a efectos de calificación de una infracción entre muy grave, grave y leve. El nivel de gravedad al que se refiere el RGPD debe determinarse atendiendo a las circunstancias del artículo 83.2
- a)naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, el alcance o propósito de la operación de tratamiento, el número de afectados y el nivel de daños y perjuicios que hayan producido; del artículo 83.2
- b)intencionalidad o negligencia de la infracción (que no debe confundirse con el requisito de culpabilidad objetiva y subjetiva propia del derecho español) y del artículo 83.2
- g)las categorías de los datos de carácter personal afectados. Sobre ese punto de partida determinado por esos tres elementos, se podrán aplicar circunstancias agravantes o atenuantes (el resto de los elementos del artículo 83.2 del RGPD en relación con el artículo 76.2 de la LOPDGDD). En el presente caso, se debe partir de la base de que GADISA cuenta con un volumen de negocios de 1.109.165.049 euros en 2023. Asimismo, la infracción imputada se encuentra tipificada en el artículo 83.4 del RGPD. Por tanto, de acuerdo con esta categorización de la infracción, la sanción que se imponga podrá ser de 10.000.000 euros como máximo, o, de una cuantía equivalente al 2% del volumen de negocio anual, optándose por la de mayor cuantía. El 2% del volumen de negocios de GADISA es de 22.183.300,98 euros. En consecuencia, en el presente caso la multa que finalmente se imponga deberá encontrarse forzosamente entre los 0 y los 22.183.300,98 euros. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 12/25 Atendiendo a lo anterior, se considera que la sanción fijada en el acuerdo de inicio (200.000 euros) es proporcionada atendiendo a las circunstancias concretas del caso concreto. Por otra parte, en relación con la afirmación de que deberían considerarse determinadas circunstancias, se señala lo siguiente: El hecho de que GADISA no haya sido sancionada previamente en materia de protección de datos no influye en que, en el presente caso, se haya producido una infracción en esta materia, que ha de sancionarse de conformidad con la normativa vigente. Además, si bien el artículo 83.2
- e)contempla cualquier infracción anterior del responsable del tratamiento como una circunstancia agravante, no prevé la inexistencia de infracción previa como circunstancia atenuante. Siguiendo la misma lógica, no cabe la apreciación como atenuante de lo previsto en el artículo 76.2
- c)relativo a los beneficios obtenidos por GADISA. En esta lógica se pronuncia la la SAN de 05/05/2021, rec. 1437/2020, que subraya que no cabe la valoración como atenuantes, circunstancias que la norma prevé como agravantes. En cuanto a la afirmación de que los hechos conocidos no han supuesto perjuicio para los titulares del carné familiar se subraya que la determinación del rol de cada entidad en el tratamiento se configura en el RGPD como un mecanismo para garantizar los derechos de los afectados, pero también como un elemento formal que garantice uno de los fines últimos del RGPD: el control de los interesados sobre sus datos personales. Lo anterior ha de ponerse en relación con que el RGPD consagra el principio de responsabilidad proactiva, por el que el responsable (o corresponsables del tratamiento) no solo debe cumplir con el RGPD, sino también debe ser capaz de demostrarlo. Todo ello sin olvidar que el derecho a la protección de datos es un derecho fundamental constitucionalmente reconocido en el artículo 18.4 de la CE. Este derecho fundamental reconoce el derecho de los ciudadanos al control sobre sus datos, tengan estos datos o no dimensión constitucional por lo que es un aspecto relevante en las obligaciones que impone el RGPD. En cuanto a la alegación de que la actuación de GADISA ha sido de buena fe, bajo el convencimiento de estar actuando conforme a derecho, se subraya que, de conformidad con el artículo 6 del Código Civil, el desconocimiento de la norma no exime de la obligación de su cumplimiento. Respecto a las afirmaciones sobre que los hechos tendrían “meramente carácter formal, sin que hablarse de una infracción (…) que justifique la imposición de una sanción económica”, se remarca que es el artículo 83.4 del RGPD el que tipifica el incumplimiento del artículo 26 del RGPD y establece la sanción económica imponible. Por otra parte, se reitera lo señalado anteriormente sobre la relevancia del adecuado cumplimiento y articulación del artículo 26 del RGPD señalada C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 13/25 anteriormente. En este sentido, conviene señalar que el CEPD en las mencionadas directrices 07/2020: “El objetivo de estas disposiciones es garantizar que, en aquellas situaciones en las que estén involucrados varios participantes, especialmente en contextos de tratamientos de datos complejos, la responsabilidad por el cumplimiento de las normas de protección de datos se reparta claramente a fin de evitar que se reduzca la protección de los datos personales o que un conflicto negativo de competencia dé lugar a lagunas en el cumplimiento de determinadas obligaciones por las partes involucradas en el tratamiento”. IV Contestación a las alegaciones a la propuesta de resolución En respuesta a las alegaciones presentadas a la propuesta de resolución, se señala lo siguiente (se sigue la misma numeración utilizada en el antecedente de hecho sexto): 1. En relación con la reiteración de las alegaciones efectuadas en su escrito de fecha 29 mayo de 2025, éstas ya fueron contestadas en la propuesta de resolución, no obstante, cabe resaltar lo siguiente, El artículo 4, punto 7, del RGPD define, de manera amplia, el concepto de «responsable del tratamiento», como la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento de datos personales, con el objetivo de garantizar, mediante una definición amplia del concepto de «responsable del tratamiento», una protección eficaz y completa de los interesados, como viene declarando el TJUE (por todas STJUE de 5 de junio de 2018, C-210/16, apartado 28). El responsable del tratamiento es, por tanto, el que determina los fines y medios del tratamiento; esto es, el porqué y el cómo del tratamiento, como aclaran las citadas Directrices del CEPD, y cuando los fines y los medios del tratamiento se determinen conjuntamente por dos o más responsables, estos serán considerados corresponsables del tratamiento, debiendo dar cumplimiento, además de a las obligaciones que les competen como responsables en virtud del RGPD, a lo dispuesto en el artículo 26 del mismo. Pues bien, en este caso, cada una de las partes persigue sus propios intereses (implementación de políticas públicas y gestión de servicios públicos al servicio de los intereses generales, en el marco de sus competencias, en el caso de la CONSELLERIA; y el cumplimiento de sus objetivos de colaboración en la prestación de servicios sociales en lo que respecta a GADISA), y deciden participar en el proyecto para la consecución de sus propios objetivos pero ambas participan en la determinación de los fines del tratamiento (el desarrollo del programa “Carné Familiar Galego”). Es importante destacar al respecto, como indican las Directrices 7/2020 del CEPD, en su párrafo 62, “que la mera existencia de un beneficio mutuo (p. ej., C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 14/25 comercial) derivado de una actividad de tratamiento no da lugar a la corresponsabilidad del tratamiento. Si el ente que participa en el tratamiento no persigue ningún fin propio con dicha actividad, sino simplemente recibe una remuneración por los servicios prestados, actúa como encargado del tratamiento y no como corresponsable”, lo que no ocurre en este caso, pues la participación de GADISA no se limita a la obtención de una mera remuneración, sino que se produce para la consecución de sus propios fines. Además, se infiere de los hechos probados que con motivo del acuerdo de colaboración de 2014 entre GADISA y la CONSELLEDRÍA, los titulares del mencionado carné, una vez se hubieran identificado como tales al realizar una compra en los establecimientos de GADISA, podrían beneficiarse de descuentos en forma de cheques para cambiar por productos en sus establecimientos, atendiendo al volumen de compras realizadas. A estos efectos, la CONSELLERIA remitiría a GADISA determinados datos personales de los mencionados titulares con la finalidad exclusiva de que GADISA remitiera a la dirección de las familias beneficiarias del programa el cheque semestral con el descuento acumulado del 2% de las compras. Por tanto, ambos responsables también determinan los medios del tratamiento, como el tipo de datos personales tratados (nombre, apellidos y dirección postal de titulares del carné familiar), la duración del tratamiento y las categorías de interesados (los titulares del citado carné que compren en los establecimientos de GADISA). Es más, la participación conjunta también se deduce del hecho de que ambos deciden utilizar el “Carné Familiar Galego”, lo que se considera una decisión conjunta de ambos sobre los medios para el tratamiento, pues, aunque se trate de un carné desarrollado por la CONSELLERÍA, GADISA elige utilizarlo para sus propios fines, lo que también revela la existencia de corresponsabilidad, acorde con la interpretación que realiza el TJUE en su sentencia, de 29 de julio de 2019 asunto C-40/17. Respecto de esta cuestión, conviene recordar la interpretación que realiza el CEPD en sus Directrices 7/2020 sobre la citada STJUE 67. Además, cuando un ente elige utilizar, para sus propios fines, una herramienta u otro sistema desarrollado por otro ente, de modo que sea posible tratar los datos personales, esto normalmente se considera una decisión conjunta de dichos entes sobre los medios para el tratamiento. Esta interpretación se desprende de la sentencia del TJUE en el asunto Fashion ID, en la que el Tribunal concluyó que, al insertar en su sitio web el botón «me gusta» de Facebook, puesto por Facebook a disposición de los administradores de sitios web, Fashion ID influía de manera decisiva en la recogida y transmisión de datos personales de los visitantes de ese sitio a favor de Facebook y había determinado conjuntamente con Facebook los medios para dicho tratamiento. En definitiva, todo ello lleva a concluir que existe en este caso corresponsabilidad del tratamiento, en los términos del artículo 26 del RGPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 15/25 3. Sobre la tipificación, calificación jurídica y propuesta de sanción GADISA realiza tres alegaciones: 3.1. Sobre la tipificación señala que la propuesta encuadra la infracción en el artículo 83.4
- a)del RGPD, que permite imponer multas de hasta el 2% del volumen de negocio anual o 10 millones de euros, pero que “la LOPDGDD matiza expresamente esta calificación a efectos de prescripción y gravedad. En particular, su artículo 74.
- h)establece que: “Se consideran leves y prescribirán al año [...] la falta de formalización por los corresponsables del tratamiento del acuerdo que determine las obligaciones, funciones y responsabilidades respectivas [...] al que se refiere el artículo 26 del Reglamento (UE) 2016/679”. Es decir, que la legislación española califica esta infracción como de carácter meramente formal y leve, con un plazo de prescripción de un año. Entendemos que, aún en el supuesto de aceptar que se ha producido la infracción, esta es de carácter leve y en ningún caso debería acarrear las sanciones establecidas por el RGPD para las infracciones graves. En consecuencia, no puede mantenerse una interpretación extensiva del artículo 83.4 del RGPD al margen del artículo 74 LOPDGDD, que actúa como norma especial en materia sancionadora interna, conforme al principio de tipicidad recogido en el artículo 25 de la Constitución Española y 63 de la Ley 39/2015.” Dicha interpretación no se corresponde, sin embargo, con la regulación que se establece en el RGPD y la LOPDGDD. El RGPD, en su artículo 84, establece qué sanción puede imponerse a las infracciones tipificadas en sus apartados 4, 5 y 6, diferenciando dos categorías de sanciones aplicables a las infracciones, que difieren en su cuantía: una aplicable a las infracciones tipificadas en los apartados 5 y 6 del artículo 83 y otra para las tipificadas en su apartado 4, pero sin que de ello se pueda deducir que el RGPD realiza una diferenciación entre infracciones graves y menos graves en su artículo 83. Por su parte, la LOPD establece una clasificación de infracciones en muy graves, graves y leves, pero exclusivamente a efectos de prescripción de dichas infracciones (de tres, dos o un año, respectivamente). Esta interpretación consta expresamente en el Preámbulo de la propia LOPDGDD, cuando señala lo siguiente (el subrayado es nuestro): “El Título IX, que contempla el régimen sancionador, parte de que el Reglamento (UE) 2016/679 establece un sistema de sanciones o actuaciones correctivas que permite un amplio margen de apreciación. En este marco, la ley orgánica procede a describir las conductas típicas, estableciendo la distinción entre infracciones muy graves, graves y leves, tomando en consideración la diferenciación que el Reglamento general de protección de datos establece al fijar la cuantía de las sanciones. La categorización de las infracciones se introduce a los solos efectos de determinar los plazos de prescripción, teniendo la descripción de las conductas típicas como único objeto la enumeración C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 16/25 de manera ejemplificativa de algunos de los actos sancionables que deben entenderse incluidos dentro de los tipos generales establecidos en la norma europea.” En conclusión, no cabe considerar que el hecho de que la LOPDGDD califique la infracción como leve a efectos de prescripción, implique que no se imponga la sanción establecida en el artículo 83.4 del RGPD. Tampoco cabe aceptar, como alega GADISA, que “no puede mantenerse una interpretación extensiva del artículo 83.4 del RGPD al margen del artículo 74 LOPDGDD, que actúa como norma especial en materia sancionadora interna”. No se está realizando una interpretación extensiva, en la medida en que el RGPD es una norma de aplicación directa y el artículo 74 de la LOPDGDD, como se ha dicho, no altera el régimen sancionador del RGPD, sino que únicamente establece el régimen de prescripción aplicable a las infracciones y para ello las clasifica a efectos de prescripción. Por todo lo anterior, se rechaza la alegación. 3.2. En cuanto a la determinación del número de afectados, alega GADISA, como se ha transcrito anteriormente, que la propuesta de resolución toma como referencia un dato genérico para afirmar que hay una afectación masiva, sin indicio de que hubiera una afectación efectiva de los derechos de los titulares de los datos, afirmando que el tratamiento les beneficiaba y sin que hubiera ninguna reclamación al respecto. Añade además que la Audiencia Nacional insiste en que las sanciones deben estar motivadas en hechos ciertos y que utilizar un dato estadístico sin acreditar que esas personas hayan sufrido daño es una vulneración del deber de motivación, del principio de proporcionalidad y de las garantías de un procedimiento sancionar justo. Al respecto cabe hacer dos aclaraciones. En primer lugar, GADISA señala los hechos de que no ha habido reclamaciones de los titulares del carné y de que éstos obtenían un beneficio (descuentos en sus compras) para concluir que no existe un daño. Sin embargo, la infracción se produce por un incumplimiento del artículo 26 del RGPD. Dicho artículo establece la obligación de que los corresponsables de un tratamiento suscriban un acuerdo con determinadas condiciones y esto se realiza para garantizar la protección de los derechos y libertades de los interesados, pues no cabe olvidar que el objetivo perseguido por el RGPD, tal como se desprende de su artículo 1 y de sus considerandos 1 y 10, consiste, en particular, en garantizar un nivel elevado de protección de los derechos y libertades fundamentales de las personas físicas, sobre todo de su derecho a la vida privada respecto del tratamiento de los datos personales, consagrado en el artículo 8, apartado 1, de la Carta y en el artículo 16 TFUE, apartado 1 [sentencia de 4 de mayo de 2023, Bundesrepublik Deutschland (Buzón electrónico judicial), C-60/22, EU:C:2023:373, apartado 64]. Por tanto, el hecho de que no se haya cumplido con esta obligación merma la protección que el RGPD dispensa a los interesados y es constitutivo de una infracción. De este modo, con esa obligación, el RGPD ha establecido un mecanismo de garantía del derecho a la protección de datos. En la medida en que el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 17/25 responsable de un tratamiento no da cumplimiento a esa obligación, está privando a los afectados por el tratamiento de uno de los mecanismos que el RGPD prevé para garantizar su derecho, con independencia de que dichos afectados puedan obtener un beneficio de otro tipo. En segundo lugar, el número de afectados es relevante dado que el artículo 83 de RGPD establece que las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, teniendo en cuenta, entre otros criterios, “el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido”. En este sentido, en este caso se ha tenido en cuenta el número de afectados a los que afecta el hecho de que la CONSELLERÍA y GADISA no hayan suscrito el acuerdo que se establece en el artículo 26 y dicho número se correspondería con las personas titulares del carné y cuyos, datos, por tanto, podrían ser objeto de tratamiento por ambas entidades. Así consta en la propuesta de resolución cuando se indica: “Si bien durante las actuaciones de investigación no se han facilitado datos sobre las personas objeto del tratamiento, cabe citar como referencia la Estadística de familias numerosas 2023 (Operación estadística n.º 2103-01-OE06), elaborada por la CONSELLERÍA, según la cual, a 31/12/2023 había 29.015 títulos de familia numerosa en vigor en Galicia. Sin perjuicio de que no todas hayan hecho uso del carné a efectos de obtener descuentos en compras en los establecimientos de GADISA, se toma como referencia del número de afectados potenciales.” Por otro lado, en la medida en que la sanción podría alcanzar un máximo de 20.024.531 euros y la propuesta es de 200.000,00 euros, es decir, de en torno a un 1% del máximo posible se considera que la misma respeta el principio de proporcionalidad. Por los motivos expuestos, se rechaza la alegación”. Sin perjuicio de lo anterior, y de manera añadida a los argumentos ya expuestos en los fundamentos de derecho de la resolución que se acaban de reproducir, a continuación, se remarca lo siguiente, siguiendo el orden del escrito de GADISA en su recurso de reposición: 1. En cuanto a la inexistencia de corresponsabilidad en el tratamiento de datos. Señala GADISA que no puede confundirse la existencia de una finalidad corporativa en el marco de su responsabilidad social corporativa con la existencia de corresponsabilidad, en tanto que GADISA en ningún caso define fines y medios. Insiste, de nuevo, en que se limita a seguir las instrucciones señaladas por parte de la CONSELLERIA que es quien determina por qué, para qué y qué datos serán objeto de tratamiento. Se define, como encargado del tratamiento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 18/25 Se señala a este respecto que a lo largo de la resolución recurrida ya se analizaba pormenorizadamente la naturaleza de la relación entre las partes y, en particular, se descartaba que GADISA fuera un mero encargado del tratamiento. Así, en el Fundamento de Derecho II de la resolución se indicaba: “(…) En el presente caso, como se ha dicho, en la cláusula novena del convenio de colaboración de 16/05/2014 se cita a GADISA como encargada del tratamiento y se limita el tratamiento de los datos que le comunica la CONSELLERÍA (relativos a titulares del carné de familia numerosa) a las instrucciones determinadas por la Xunta de Galicia y a la finalidad contemplada en el acuerdo. Sin embargo, aunque figura esa referencia a instrucciones en cuanto al tratamiento de los datos, no cabe entender que eso implique que GADISA es mero encargado del tratamiento, atendiendo al carácter funcional de este concepto. GADISA tiene un fin propio en relación con el tratamiento y es quien lo determina. Así, el convenio de colaboración no se limita a mencionar los fines de la CONSELLERÍA y a determinar en qué medida GADISA colabora con ella, como sería propio de la figura de un encargado. Al contrario, GADISA, a través de un convenio de colaboración, en el que acuerda de forma voluntaria y en plano de igualdad, deja constancia en el apartado tercero de la parte expositiva, de cuáles son sus fines (la colaboración en la prestación de determinados servicios sociales a la comunidad). Para la consecución de estos fines, propios de GADISA, ésta toma la decisión de llevar a cabo el tratamiento, porque responde a los objetivos que se ha fijado como organización y no como un mero encargo. La determinación de los fines y medios, de acuerdo con las citadas Directrices del CEPD (punto 35): “equivale a decidir, respectivamente, el porqué y el cómo del tratamiento en una operación de tratamiento concreta, el responsable del tratamiento es la parte que determina por qué tiene lugar el tratamiento (esto es, «con qué fin» o «para qué») y cómo se alcanzará este objetivo (es decir, qué medios se emplearán para lograrlo).” En el presente caso, GADISA explicita en el convenio de colaboración con qué fin (un fin propio de GADISA) va a realizar el tratamiento y por ello cabría considerarla como responsable del mismo. El hecho de que lo haga de forma conjunta con la CONSELLERÍA no implica necesariamente que sea encargada. En la medida en que ambas entidades determinan los fines y medios del tratamiento cabe considerar a ambas responsables, una posibilidad que prevé expresamente el RGPD cuando, al definir al responsable, se refiere a quien “solo o junto con otros, determine los fines y medios del tratamiento”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 19/25 En este sentido cabe citar de nuevo las Directrices, que en relación con el concepto de encargado señalan la necesidad de convergencia de dos requisitos, ser un ente independiente y actuar por cuenta del responsable: 76. Para ser considerado encargado del tratamiento, es necesario reunir dos condiciones fundamentales:
- a)ser un ente independiente del responsable del tratamiento; y
- b)tratar datos personales por cuenta del responsable. (…) En este sentido, si bien el primero de los requisitos podría entenderse cumplido, en la medida en que GADISA y la CONSELLERÍA son dos entidades independientes, del contenido del acuerdo de colaboración no se desprende que GADISA sirva los intereses de la CONSELLERÍA, ni actúe por delegación o en nombre de esta. Conviene señalar que GADISA determina fines de los datos, esto es, para qué se tratan, el porqué del tratamiento, como puede ser el desarrollo de iniciativas en beneficio de familias numerosas basadas en un sistema descuentos en sus supermercados para los beneficiarios, lo que, indirectamente, repercute en el volumen de ventas en sus establecimientos. Además, GADISA realiza el tratamiento determinando los medios para ello, en tanto que establece los mecanismos en los que se llevarán a la práctica y se implementarán esos descuentos, tal y como se recoge en la cláusula quinta del convenio, cuya aplicación detalla GADISA en su respuesta (…)” En definitiva, tal y como ya se indicaba en la resolución, GADISA y la CONSELLERIA actúan como corresponsables del tratamiento resultando, además, que el instrumento jurídico en el que se ampara la colaboración no es un programa previamente decidido al que GADISA se adhiera. Se trata de un convenio de colaboración en cuyo clausulado dos entidades, GADISA y la CONSELLERÍA, manifiestan tener cada una unos objetivos y, dado que esos objetivos son convergentes acuerdan poner en marcha un programa que implica un tratamiento de datos. GADISA toma decisiones concretas sobre su participación. Así, como indicaba en la resolución, en la cláusula quinta del convenio, determina el modo en el que GADISA va a participar (realizando un descuento del 2% en las compras en sus establecimientos), determina el mecanismo a través del cual lo va a realizar (enviando semestralmente un cheque descuento) y añade la posibilidad de realizar descuentos adicionales que puede decidir posteriormente. En cuanto al argumento de GADISA de que, si se aceptara que existe corresponsabilidad, no habría una base jurídica para el tratamiento, cabe señalar que la resolución se limita a constatar la ausencia del cumplimiento de una obligación impuesta por el RGPD: la de suscribir el correspondiente acuerdo entre corresponsables. No entra a valorar la base de legitimación del tratamiento, que no es objeto del procedimiento sancionador. En cualquier caso, la argumentación de GADISA parece descartar que una entidad privada, por el mero hecho de serlo, pueda llevar a cabo una actuación en el marco de lo previsto en las bases de licitud previstas C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 20/25 en los artículos 6.1
- c)y 6.1
- e)del RGPD, cuando en ocasiones las normas imponen obligaciones o designan como responsables del tratamiento a entidades privadas. 2. En cuanto a la apelación efectuada al principio de confianza legítima en relación con la calificación como encargado realizada por la Consellería, cabe contestar que no se darían en el presente caso los elementos necesarios que el Tribunal Constitucional señala para poder acogerse a este principio. Así, tradicionalmente este principio se ha ligado por una parte con el principio de seguridad jurídica en relación con las actuaciones efectuadas por el legislador (lo que no sería aplicable a este supuesto), o, por otra parte, con el principio de buena fe y el respeto a los actos propios de la Administración. En este sentido, ya en la STS de 1 de febrero de 1999, Rec. 5475/1995, el Tribunal Supremo señalaba: "Tanto la doctrina del Tribunal Constitucional como la Jurisprudencia de este Alto considera que el principio de buena fe protege la confianza que fundadamente se puede haber depositado en el comportamiento ajeno e impone el deber de coherencia en el comportamiento propio. Lo que es tanto como decir que dicho principio implica la exigencia de un deber de comportamiento que consiste en la necesidad de observar de cara al futuro la conducta que los actos anteriores hacían prever y aceptar las consecuencias vinculantes que se desprenden de los propios actos, constituyendo un supuesto de lesión a la confianza legítima de las partes "venire contrafactum propium"”. Ahora bien, tal y como precisa la mencionada sentencia, este principio no puede invocarse para “crear, mantener o extender, en el ámbito del Derecho público, situaciones contrarias al ordenamiento jurídico, o cuando del acto precedente resulta una contradicción con el fin o interés tutelado por una norma jurídica que, por su naturaleza, no es susceptible de amparar una conducta discrecional por la Administración (…)” Lo anterior implicaría una vulneración del principio de legalidad, pues permitiría dar validez a una actuación de una Administración aun cuando esta resultara contraria al ordenamiento jurídico por el mero hecho de que así lo ha decidido una administración o porque responde a una actuación previa de esta. En cualquier caso, no puede olvidarse que el principio alegado de confianza legítima precisa de tres requisitos esenciales: que se base en signos innegables y externos; que las expectativas generadas en el administrado han de ser legítimas; y que la conducta final de la Administración resulte contradictoria con los actos anteriores. En el presente caso, el principio de confianza legítima al que apela GADISA, de existir, se referiría, en su caso, a las actuaciones realizadas por la Consellería. Ahora bien, la supuesta confianza legítima no puede, tal y como se ha señalado, validar actuaciones que resulten contrarias al ordenamiento jurídico. La resolución recurrida se corresponde con una decisión de la AEPD que, como autoridad de control en el ejercicio de las competencias de asegurar una adecuada aplicación del RGPD atribuidas por el artículo 57 de la misma norma, verifica la adecuación a la normativa en materia de protección de datos de GADISA y la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 21/25 CONSELLERÍA en este caso concreto. Concluyéndose, tras la tramitación del oportuno procedimiento sancionador, que los hechos objeto de este suponen una infracción del RGPD. No puede apelarse, por tanto, a un “quebrantamiento de la confianza depositada en la actuación administrativa”. El principio de confianza legítima cabría esgrimirse por parte de GADISA frente a una hipotética decisión de la CONSELLERÍA, no de una resolución de esta Agencia. Por otro lado, en la medida en que la resolución sancionadora califica los hechos como una infracción y estaríamos, por tanto, ante una actuación (la obligación impuesta por el RGPD de documentar la relación entre corresponsables) reglada, no discrecional. 3. Por último, en cuanto a la reiteración efectuada por GADISA sobre la ausencia de proporcionalidad de la sanción impuesta cuando, en todo caso, la infracción del artículo 26 del RGPD tendría carácter meramente formal, no procede sino reiterar las contestaciones a estas alegaciones ya contenidas en la resolución recurrida, previamente reproducidas incidiendo particularmente en: - No cabe confundir la tipificación de la infracción (contenida en el artículo 83.4 del RGPD) con su calificación a los solos efectos de prescripción, establecido por el artículo 74
- h)de la LOPDGDD. En cuanto a la apelación al artículo 29.3 de la LRJSP se debe recordar que el artículo 63.2 de la LOPDGDD prevé lo siguiente: “los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos”. El RGPD establece su propio sistema sancionador y de determinación de la cuantía de la multa en el artículo 83, sin perjuicio de que prevea la aplicación subsidiaria de los principios básicos del derecho sancionador. Por tanto, de acuerdo con el principio de especialidad normativa (lex specialis derogat legi generali), es de aplicación preferente la ley especial (esto es, lo contenido en el RGPD y en la LOPDGDD) sobre la ley general, que tendrá aplicación subsidiaria. Por su parte, el artículo 83.2 del RGPD consagra las diferentes circunstancias que habrán de tenerse en cuenta a la hora de determinar la cuantía de la sanción, sin perjuicio de que esta deba ser siempre efectiva, proporcionada y disuasoria. En cuanto a la valoración de las circunstancias del artículo 83.2 del RGPD, tal y como se recogía en la resolución recurrida, las Directrices 04/2022 sobre el cálculo de las multas bajo el RGPD, consagran existen tres elementos como punto de partida para la imposición de una multa: el volumen de negocios, la categorización de las infracciones según su propia naturaleza (es decir, si son infracciones del 83.4, 83.5 u 83.6 del RGPD) y el nivel de gravedad de la infracción en cada caso concreto. El nivel de gravedad al que se refiere el RGPD debe determinarse atendiendo a las circunstancias del artículo 83.2 a); 83.2
- b)intencionalidad o negligencia de la infracción (que no debe confundirse con el requisito de culpabilidad objetiva y subjetiva propia del derecho español); y 83.2
- g)del RGPD. Sobre esa cuantía se podrán aplicar circunstancias agravantes y atenuantes (el resto de los elementos del artículo 83.2 del RGPD en relación con el artículo 76.2 de la LOPDGDD). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 22/25 Al margen de lo anterior y valorando el fondo de la alegación sobre la gravedad de la infracción, cabe recordar de nuevo a lo ya indicado respecto de este punto en la resolución, cuando indicaba que: “en la medida en que la sanción podría alcanzar un máximo de 20.024.531 euros y la propuesta es de 200.000,00 euros, es decir, de en torno a un 1% del máximo posible se considera que la misma respeta el principio de proporcionalidad”. Es decir que, atendiendo a la gravedad de la infracción, de acuerdo con los criterios marcados en el artículo 83 del RGPD y atendiendo a las circunstancias del caso, se ha impuesto una sanción de un 1% del máximo que podría imponerse, que responde, a su vez, al 0,018% del volumen de negocios de GADISA (1.109.165.049 euros en el año 2023). En consecuencia, no cabe apreciar que la sanción resulte desproporcionada en relación con los hechos, el número potencial de afectados y la duración de la misma. En cuanto a las circunstancias que cita GADISA como a tener en cuenta, cabe señalar lo siguiente: - En cuanto a que el procedimiento se inicie por denuncia, se precisa que todo procedimiento sancionador se inicia, de oficio, en virtud de un acuerdo de inicio dictado por el órgano competente. Lo que se produjo en este caso sin que afecte la manera en que la AEPD tuviera conocimiento de los hechos en cuestión a la determinación de la cuantía de la sanción. - El que los datos sean “básicos”. Se subraya que la resolución no incluye entre las circunstancias a valorar a efectos de determinar un mayor nivel de gravedad de la infracción, las circunstancias del artículo 83.2
- g)del RGPD en atención a la categoría de los datos tratados. Por tanto, se ha tenido en cuenta que los datos eran de carácter básico. - Que los afectados fueran informados de sus derechos y que el tratamiento esté incluido en el RAT, que se hayan adoptado medidas de seguridad y que se cuente con una base de legitimación, no alteran el objeto del procedimiento sancionador, sino que suponen meramente el cumplimiento de las obligaciones que la normativa en materia de protección de datos impone a GADISA. - En cuanto a la afirmación de que GADISA “ha actuado en todo momento conforme a la calificación y a las instrucciones de la Administración”, ya se ha dado respuesta a este respecto en relación con la alegación referida al principio de confianza legítima. Señala a continuación GADISA lo siguiente: “En cuanto a las circunstancias agravantes (número de interesados afectados y perjuicios sufridos) reitera GADISA la alegación de “arbitrariedad en la determinación del número de afectados” al tomar como referencia un dato genérico (número total de títulos de familia numerosa en vigor) para afirmar la existencia de una afectación masiva.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 23/25 En primer lugar, cabe decir que ni el número de interesados afectados ni los perjuicios sufridos se tienen en cuenta como circunstancias agravantes. Tal y como se ha explicado a lo largo del procedimiento sancionador y en esta resolución de recurso de reposición, estos elementos se valoran en relación con las circunstancias previstas del artículo 83.2
- a)del RGPD determinante para determinar el nivel de gravedad de la infracción como punto de partida (junto con el volumen de negocios de 1.109.165.049 euros y la categorización de la infracción) para fijar la cuantía de la sanción. Sobre esa base se pueden valorar circunstancias agravantes y atenuantes (circunstancias del artículo 83.2 del RGPD salvo las previstas en los apartados a),
- b)y g)). En la resolución se menciona únicamente el número potencial de afectados al valorar las circunstancias del artículo 83.2
- a)del RGPD. A diferencia de lo que señala GADISA, la resolución no hace referencia alguna a los perjuicios sufridos como elemento que se haya tenido en cuenta para la fijación de la multa, al entender que no aplica ese supuesto. Conviene señalar que el término “perjuicios sufridos” previsto en el art. 83.2
- a)del RGPD ha de entenderse, de acuerdo con las Directrices 04/2022, como un parámetro adicional que va más allá de la pérdida de control sobre los datos personales o la afectación al derecho fundamental a la protección de datos inherente a la comisión de una infracción del RGPD. Así, se trata de “los daños sufridos, o que probablemente se hayan sufrido como un parámetro adicional, separado con respecto al número de interesados implicados (por ejemplo, en los casos en que el número de personas afectadas por el tratamiento ilícito es elevado, pero el daño sufrido por ellos es marginal). De conformidad con el considerando 75 del RGPD, el nivel de daño sufrido se refiere a los daños físicos, materiales o no materiales”. Tampoco se hace referencia a “la existencia de una afectación masiva, contrariamente a lo señalado por GADISA. Se insiste, además, respecto a la alegada arbitrariedad para determinar el número de afectados, así como la supuesta confusión existente en la resolución respecto al título de familias numerosas y carné de familias numerosas en la literalidad de lo contenido en la resolución: “Si bien durante las actuaciones de investigación no se han facilitado datos sobre las personas objeto del tratamiento, cabe citar como referencia la Estadística de familias numerosas 2023 (Operación estadística n.º 2103-01-OE06), elaborada por la CONSELLERÍA, según la cual, a 31/12/2023 había 29.015 títulos de familia numerosa en vigor en Galicia. Sin perjuicio de que no todas hayan hecho uso del carné a efectos de obtener descuentos en compras en los establecimientos de GADISA, se toma como referencia del número de afectados potenciales”. Así, la resolución habla de afectados potenciales, siguiendo lo previsto en las ya mencionadas Directrices 04/2022 que prevé precisamente que se tengan en cuenta no solo “el número de interesados concretos, pero también potencialmente afectados”. Además, respecto a la afirmación de que la resolución confunde el título de familia numerosa y el carné de familia numerosa, cabe señalar que el convenio señala que “la Consellería de Traballo e Benestar se compromete, a su vez, a facilitar los datos personales de las personas titulares del Título oficial de familia numerosa a GADISA RETAIL”. En este sentido, la resolución menciona el título de familia numerosa porque es el documento cuyos datos se intercambian y lo menciona específicamente en el fundamento de sanción, como se ha indicado anteriormente, como referencia del número potencial de afectados, afirmando expresamente que no necesariamente todos los titulares del título serán afectados por el procedimiento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 24/25 Señala finalmente GADISA que, mantenerse la sanción, “se vería necesariamente abocada a cesar en el tratamiento de los datos”. Al respecto cabe indicar que la resolución recurrida se limita a establecer que el tratamiento, en los términos en que se estaba haciendo, implicaba una infracción del RGPD por cuanto había una relación de corresponsabilidad que no se había documentado y de la que no se había informado correctamente. En este sentido, se señala que, como medida correctiva, no se requiere a GADISA que proceda a cesar en el tratamiento, sino que se adopte el acuerdo previsto en el artículo 26 del RGPD y ponga a disposición de los interesados los aspectos esenciales del mismo. III Conclusión En consecuencia, en el presente recurso de reposición, la parte recurrente no ha aportado hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada. IV Resolución extemporánea Debido a razones de funcionamiento del órgano administrativo, por ende, no atribuibles a la parte recurrente, hasta el día de la fecha no se ha emitido el preceptivo pronunciamiento de esta Agencia respecto al presente recurso. De acuerdo con lo establecido en el art. 24 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP) el sentido del silencio administrativo en los procedimientos de impugnación de actos y disposiciones es desestimatorio. Con todo, y a pesar del tiempo transcurrido, la Administración está obligada a dictar resolución expresa y a notificarla en todos los procedimientos cualquiera que sea su forma de iniciación, según dispone el art. 21.1 de la citada LPACAP. Por tanto, procede emitir la resolución que finalice el procedimiento del recurso de reposición interpuesto. Vistos los preceptos citados y demás de general aplicación, la Presidencia de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por GADISA RETAIL S.L.U. contra la Resolución de esta Agencia Española de Protección de Datos dictada en fecha 4 de septiembre de 2025, en la que se resolvía el procedimiento sancionador en el expediente n.º EXP202415776. SEGUNDO: NOTIFICAR la presente resolución a GADISA RETAIL S.L.U. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 25/25 Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del referido texto legal. 868-071125 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es