Kamuya Açık Personel Listelerinin Yeniden Yayımlanması

1/26

 Procedimiento Nº: PS/00136/2020

RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR

Del procedimiento instruido por la Agencia Española de Protección de Datos y en base
a los siguientes

ANTECEDENTES

PRIMERO: Con fecha 24/05/2019 se recibe escrito de la Junta de Andalucía, DIRECCIÓN
GENERAL DEL PROFESORADO Y GESTIÓN DE RECURSOS HUMANOS (reclamante),
que ha tenido conocimiento de que en la web https: ***URL.1, cuyo responsable es la entidad
FILIGRANA COMUNICACIÓN, S.L.U., (reclamada) trata información relativa a procesos de
provisión de interinidades de la Consejería de Educación y Deporte gestionados por este a
través del sistema ***URL.1 (Sistema de Provisión de Interinidades) que da soporte al
procedimiento de llamamientos para interinidades durante el curso, sea por vacantes, sea por
sustituciones.

Manifiesta que dicha web dispone de una página inicial con las siguientes funcionalidades:
- diferentes contenidos divulgativos sobre ***URL.1, pasos para participar, métodos de acce-
so, un vídeo divulgativo etcétera.
- un sistema de suscripción para recibir notificaciones.
- enlace al sistema ***URL.1 originario de la Junta de Andalucía.
- un menú con opciones y contenidos de convocatorias, resultados, bolsas y oposiciones.
- botones para ver los “últimos adjudicados” y ver la “última convocatoria”. En la funcionalidad
convocatorias y resultados, se pueden consultar diferentes convocatorias efectuadas por el
***URL.1 pudiéndose acceder a datos personales de los adjudicatarios de la convocatoria,
nombre, documento de identificación y centro de destino adjudicado. “Se incluyen por tanto
todos los listados que son generados por el sistema”. “Los datos mostrados no son un hiperli-
nk, son datos obtenidos de listados publicados en nuestro propio sistema mediante un siste-
ma informatizado y alojados en esta web”.
Manifiesta la reclamante que “Los datos de los participantes en las convocatorias de provisión
de interinidades si bien son obtenidos de listados que son públicos, alojados en esta web sin
que nos conste ningún tipo de consentimiento previo”
Esa información no refleja la fiabilidad oficial y cualquier error puede tener consecuencias
para interesados.
Manifiesta la reclamante que en la sección de la citada web figura en “política de privacidad”
los datos del responsable; FILIGRANA COMUNICACIÓN SLU, y una actividad social :”perio-
dismo y otros profesionales de comunicación” y proporciona los datos que figuran de la mis-
ma.
Considera que se puede estar llevando a cabo un tratamiento que no es lícito, por carecer de
base legitima y de información sobre el origen de los datos y ejercicio de derechos.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

2/26

SEGUNDO: A la vista de los hechos denunciados y de los documentos aportados por el
reclamante se traslada a la reclamada la reclamación por el sistema electrónico, figurando el
20/08/2019 como rechazo automático al transcurrir el tiempo de puesta a disposición y pese
a estar obligado a comunicarse con la administración de modo telemático.

Se remitió también a través de correo ordinario certificado, constando en la entrega
desconocido con devolución a origen el 22/08/2019.

TERCERO: Con fecha 26/12/2019, la directora de la AEPD admitió la reclamación.

CUARTO: Con fecha 30/12/2019, se inician actuaciones de investigación, cuyo contenido se
transcribe:
1.“Con fecha 15/04/2020 se comprueba la existencia de una POLÍTICA DE PRIVACIDAD
en la web ***URL.1.es donde consta, entre otro contenido:
“***URL.1.es se compromete a salvaguardar su privacidad. Póngase en contacto con
nosotros en ***EMAIL.1 si tiene alguna pregunta o problema con respecto al uso de sus
Datos Personales y con mucho gusto le ayudaremos.
Al utilizar este sitio web y/o nuestros servicios, usted consiente el Procesamiento de sus
Datos Personales como se describe en esta Política de Privacidad.
De conformidad con lo dispuesto en la Ley Orgánica 15/1999 de Protección de Datos de
Carácter Personal, mediante la aceptación de la presente Política de Privacidad prestas tu
consentimiento informado, expreso, libre e inequívoco para que los datos personales que
proporciones a través de nuestra página web ***URL.1.es sean incluidos en un fichero de
“USUARIOS DE LA WEB y SUSCRIPTORES” propiedad de FILIGRANA COMUNICACIÓN
SLU, cuyos datos son:
Denominación Social: FILIGRANA COMUNICACIÓN SLU
CIF B04770632
Domicilio Social, ***DIRECCIÓN.1 (***LOCALIDAD.1) – España.
Email: ***EMAIL.1
Actividad Social: Periodismo y otros profesionales de comunicación.”
2. En el apartado de “Principios de Protección de Datos” consta, entre otras:
“Nuestras actividades de procesamiento se ajustan al propósito para el cual usted nos cedió
los datos personales.”
“El procesamiento se realiza con datos mínimos”
“No almacenaremos sus datos personales por más tiempo del necesario”
“Haremos nuestro mejor esfuerzo para garantizar la exactitud de los datos”
“Haremos todo lo posible para garantizar la integridad y la confidencialidad de los datos”
Consta un apartado con nombre “Derechos del usuario”.
En el apartado de “Datos que recopilamos” consta:
“La información que usted nos ha proporcionado

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

3/26

Esta es su dirección de correo electrónico, nombre y apellidos, DNI y teléfono móvil. Esta
información es necesaria para poder comprobar si el sistema ***URL.1 le ha convocado,
adjudicado o cualquier otra circunstancia. Además, guardamos la información que nos
proporciona para que pueda comentar o realizar otras actividades en el sitio web.
Información recopilada automáticamente
Todas las webs y esta también almacenan automáticamente mediante cookies y otras
herramientas de sesión cierta información. Por ejemplo, su dirección IP. Esta información se
utiliza para mejorar la experiencia de usuario. Cuando utiliza nuestros servicios o mira los
contenidos de nuestro sitio web, es posible que se registren sus actividades.
Información disponible públicamente
Podemos recopilar información sobre usted que esté disponible públicamente en las webs de
las diferentes administraciones públicas, como por ejemplo, la web de la Consejería de
Educación de la Junta de Andalucía.”
En el apartado de “Cómo utilizamos sus datos personales” consta, entre otras
manifestaciones:
“Utilizamos sus datos personales para:
• Proveer nuestro servicio. Esto incluye, por ejemplo, el registro de su cuenta;
proporcionarle otros productos y servicios que haya solicitado; proporcionarle artículos
promocionales a su solicitud y comunicarse con usted en relación con esos productos y
servicios; comunicándole e interactuando con usted; y notificándole los cambios en cualquier
servicio.
• Mejorar su experiencia de usuario.
• Cumplir con una obligación legal o contractual.
• Comprobar si el sistema ***URL.1 ha realizado alguna publicación relativa a usted.
Utilizamos sus datos personales por motivos legítimos y con su consentimiento.
Con el fin de celebrar un contrato o cumplir obligaciones contractuales, procesamos sus
Datos personales para los siguientes fines:
• para identificarle.
• para avisarle de novedades que le afecten directamente a usted o en general a
interinos y aspirantes docentes.
• para proporcionarle un servicio o para enviarle / ofrecerle un producto
• para comunicarse ya sea por ventas o facturación
Por motivos de interés legítimo, procesamos sus datos personales para los siguientes fines:
• Para enviarle ofertas personalizadas nuestras y / o de nuestros socios
cuidadosamente seleccionados;
• Para administrar y analizar nuestra base de usuarios (comportamiento de compra e
historial) para mejorar la calidad, variedad y disponibilidad de los productos / servicios
ofrecidos / proporcionados;
• Realizar cuestionarios sobre la satisfacción del usuario.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

4/26

Siempre y cuando no nos haya informado de otra manera, consideramos que ofrecerle
productos / servicios similares a su historial de comportamiento es nuestro interés legítimo.
Con su consentimiento, procesamos sus datos personales para los siguientes fines:
• Para enviarle avisos, boletines y ofertas de campañas (de nosotros y / o de nuestros
socios cuidadosamente seleccionados).
• Para otros fines, de los hemos solicitado su consentimiento.
…”
-En el apartado de “Quién más puede acceder a sus datos personales” consta, entre otras
manifestaciones:
“En esta web también se estudian las preferencias de sus usuarios, sus características
demográficas, sus patrones de tráfico, y otra información en conjunto para comprender mejor
quiénes constituyen nuestra audiencia y qué es lo que necesita. El rastreo de las preferencias
de nuestros usuarios también nos ayuda a mostrarle los avisos publicitarios más relevantes”

3. Con fecha 15/04/2020 se comprueba la existencia de listados con los siguientes datos
personales:
En resultados: Nombre y apellidos, DNI enmascarado, Centro, Provincia, Localidad, Puesto.
(ANEXO 3)
En la página 16 de 18 del ANEXO 3 figura el literal: “Todos los listados de puestos y personas
que aparecen en esta web son de dominio público y han sido publicados y expuestos
previamente de manera abierta, libre y publica en el portal web de la Consejería de
Educación de la Junta de Andalucía, en virtud de los obligados principios de publicidad y
transparencia que deben regir por ley las ofertas de empleo público. Por tanto, ***URL.1 no
publica ningún dato sensible o sujeto a privacidad, ningún dato que no sea de libre dominio
público y ningún dato que no esté o haya estado expuesto de manera abierta y pública en el
portal web de la citada Consejería de Educación
Aunque ***URL.1 refleja los datos públicos de la Consejería a modo informativo siempre
recomendamos que dichos datos sean cotejados directamente en el portal web de la
Consejería. Por tanto ***URL.1.ES no se hace responsable de la exactitud de los datos los
cuales han sido recopilados directamente de la zona públicamente accesible de la web de la
Consejería y es responsabilidad del usuario su comprobación en la web de dicha Consejería.
“
En convocatorias: Nombre y apellidos, DNI enmascarado, Orden en bolsa, Puesto”(ANEXO 4)
4. Con fecha 15/04/2020 se comprueba que al final de la web ***URL.1 consta el
siguiente aviso:
“Aviso: La página en la que te encuentras no es una web de la Administración. Pertenece a
FILIGRANA COMUNICACIÓN SLU, que ofrece un servicio de información sobre el sistema
***URL.1 de la Consejería de Educación de la Junta de Andalucía.
***URL.1 recomienda siempre cotejar y comprobar todos los datos en la página de la
Consejería de Educación de la Junta de Andalucía”

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

5/26

QUINTO: Queda incorporado a actuaciones previas los ANEXOS UNO a CUATRO que se
corresponden con el contenido de la diligencia del inspector de 15/04/2020. El contenido de
los anexos I y II coinciden con el punto 1 y 2 reflejado del apartado HECHOS, cuarto. Los
ANEXOS TRES y CUATRO, se refieren al punto 3 del punto cuarto de HECHOS.

1. ANEXO UNO: Resultado obtenido en el acceso a la URL ***URL.1.

En el mismo figura diversa información, entre otros, aspectos, como:

-Detalla que ***URL.1 es un “sistema de provisión de interinidades, una plataforma telemática
puesta en marcha por la Consejería de Educación de la Junta de Andalucía para la adjudica-
ción de vacantes sobrevenidas y sustituciones a lo largo del curso escolar” ”Adiós a las llama-
das telefónicas”” plataforma puesta en marcha 28/01/2019 sustituye al tradicional sistema de
llamamientos telefónicos desde las distintas delegaciones provinciales”. “Los interinos o aspi-
rantes en bolsa ya no tienen que estar atentos a una llamada de la Consejería para adjudicar-
le destino. ¿cómo funciona ***URL.1? A través de dos convocatorias semanales y el resulta-
do de los llamamientos de cada una. Detalla en qué consisten las convocatorias para interinos
y aspirantes en bolsa indicando que la plataforma pública tres listados, el de personas convo-
cadas, de plazas obligatorias y el de plazas voluntarias y detalla a qué corresponde cada una
de las categorías.

“Según información de la Consejería todas las personas convocadas reciben un co-
rreo electrónico de la Consejería avisando de que están obligadas a participar. De todas ma-
neras es importante tener en cuenta que los sistemas de correos masivos en general también
los de la Junta pueden dar errores incluso pueden ser confundidos con spam por esta razón
se recomienda qué comprueben directamente en ***URL.1 si están convocados o no. Existe
incluso la posibilidad de realizar una consulta por DNI para saber si estás convocado” .

También se informa de los pasos para participar en las convocatorias de ***URL.1.

-Se avisa que “la página en la que te encuentras no es una web de la administración,
pertenece a FILIGRANA COMUNICACIÓN que ofrece un Servicio de Información sobre el
sistema ***URL.1 de la Consejería de Educación de la Junta de Andalucía”

- Como servicio que proporcionan, figura: “suscríbete, recibirás avisos de las convoca-
torias y novedades de ***URL.1, bolsas y oposiciones” “Suscríbete y nuestro sistema de inteli-
gencia artificial te enviara un email automáticamente cuando te convoquen te adjudiquen una
plaza, seas declarado inactivo de oficio recibas propuesta de expulsión o cualquier otra inci-
dencia también te avisaremos cada vez que haya una nueva convocatoria ***URL.1 y una ad-
judicación así como de cualquier otra novedad relevante para el profesorado interino y aspi-
rante. ¿ porque pedimos el DNI? Para que nuestro sistema de inteligencia artificial pueda
comprobar con más fiabilidad sí ha sido convocado y/o adjudicado”. Como datos a introducir
en las casillas figura nombre y apellidos email, teléfono móvil y, un apartado que pone con-
sentimiento acepto la política de privacidad. Pinchando en política de privacidad lleva a la in-
formación que se contiene en la sección “política de privacidad.”. Debajo del apartado quiero
suscribirme figura:

“Responsable; A.A.A.” (XX en lo sucesivo) “FINALIDAD enviarte Avisos ***URL.1 y
novedades de interés (nada de spam). LEGITIMACIÓN: tú consentimiento al marcar la casi-
lla. DESTINATARIOS tus datos estarán securizados en los servidores de SITEGROUND
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

6/26

SPAIN SL (hosting de ***URL.1 dentro de la UE) Derechos: tienes derecho de verificar limitar
y suprimir tus datos. “

2. ANEXO DOS: Política de privacidad de la web ***URL.1

3. ANEXO TRES: Resultado obtenido en el acceso a la URL ***URL.2

4. ANEXO CUATRO: Resultado obtenido en el acceso a la URL ***URL.3

SEXTO: Con fecha 17/06/2020, la Directora de la AEPD acuerda:

“INICIAR PROCEDIMIENTO SANCIONADOR conforme señala el artículo 58.2.i) a
FILIGRANA COMUNICACIÓN S.L.U., por las presuntas infracciones de los artículos:

-6.1 del RGPD, de conformidad con el artículo 83.5.a) del RGPD.
-14 del RGPD, de conformidad con el artículo 83.5.b) del RGPD.
-13 del RGPD, de conformidad con el artículo 83.5.b) del RGPD.”

“a los efectos previstos en el art. 64.2 b) de la LPCAC que pudiera corresponder, sin perjuicio
de la instrucción del procedimiento, serian:

-2.000 euros en concepto de sanción administrativa por la infracción del artículo 6.1) del
RGPD.
-2.000 euros en concepto de sanción administrativa por la infracción del artículo 14 del
RGPD.
-4.000 euros en concepto de sanción administrativa por la infracción del artículo 13 del
RGPD.”

La notificación del acuerdo dio como resultado según acuse de recibo que figura en el pen-
diente “rechazo automático”, por transcurrir el plazo de puesta a disposición sin haberse ac-
cedido a la misma. Figura puesta a disposición 18/06/2020 rechazo automático 29/06/2020,
entendiéndose practicada de acuerdo con la LPCAP.

SÉPTIMO: Con fecha 19/01/2021 se emitió propuesta de resolución, con el literal:

“PRIMERO: Que por la Directora de la Agencia Española de Protección de Datos se
sancione a FILIGRANA COMUNICACIÓN S.L. U., con NIF B04770632, por las infracciones
de los artículos:

- 6.1 del RGPD, con 2.000 euros, de conformidad con el artículo 83.5.a) y 83.2 a) y b) del
RGPD,
-14 del RGPD, con 2.000 euros, de conformidad con el artículo 83.5.b) y 83.2 del RGPD, y
-13 del RGPD, con 4.000 euros, de conformidad con el artículo 83.5.b) y 83.2.a) y d) del
RGPD.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

7/26

SEGUNDO: De acuerdo con el artículo 58.2.d) del RGPD, “cada autoridad de control
podrá ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento
se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una
determinada manera y dentro de un plazo especificado…” se conmina a la reclamada a que
corrija las tres infracciones declaradas, pudiendo ordenar en la resolución tal medida,
otorgando un plazo para ello, si no acreditara antes su cumplimiento. “

El envío telemático, según el certificado que figura en el expediente, consta el siguiente resul-
tado tras haber transcurrido diez días naturales desde su puesta a disposición para su acceso
según el párrafo 2, artículo 43, de la LPCAP.

“Fecha de puesta a disposición: 19/01/2021 12:39:08
Fecha de rechazo automático: 30/01/2021 00:00:00”

Por deferencia, y con la finalidad de que obtuviera la notificación, también se realiza el
21/01/2021, un segundo envío, a través del correo postal, al domicilio que le figura en el Re-
gistro Mercantil: ***DIRECCIÓN.1 (***LOCALIDAD.1), constando: “Devuelto a Origen por 02
Dirección incorrecta el 05/02/2021 a las 10:15”

HECHOS PROBADOS

1) DIRECCIÓN GENERAL DEL PROFESORADO Y GESTIÓN DE RECURSOS
HUMANOS (reclamante), de la de la Consejería de Educación y Deporte de la Junta de
Andalucía reclama contra la reclamada FILIGRANA COMUNICACIÓN, S.L.U. (objeto social
Actividad Social: Periodismo y otros profesionales de comunicación) porque en la web de la
reclamada https: ***URL.1 trata información relativa a procesos de provisión de interinidades
a través de ***URL.1 (Sistema de Provisión de Interinidades) con el que el reclamante da
soporte al procedimiento de llamamientos de profesores para interinidades durante el curso,
-por vacantes, o por sustituciones-.

2) La citada página web de la reclamada informa que ***URL.1 es un “sistema de provi-
sión de interinidades, una plataforma telemática puesta en marcha por la Consejería de Edu-
cación de la Junta de Andalucía para la adjudicación de vacantes sobrevenidas y sustitucio-
nes a lo largo del curso escolar” ”Adiós a las llamadas telefónicas”” plataforma puesta en mar-
cha 28/01/2019 sustituye al tradicional sistema de llamamientos telefónicos desde las distin-
tas delegaciones provinciales”. “Los interinos o aspirantes en bolsa ya no tienen que estar
atentos a una llamada de la Consejería para adjudicarle destino. ¿cómo funciona ***URL.1?

- Como servicio que proporcionan figura la suscripción de avisos del sistema ***URL.1
a través del que se le envía “un email automáticamente cuando te convoquen te adjudiquen
una plaza, seas declarado inactivo de oficio recibas propuesta de expulsión o cualquier otra
incidencia también te avisaremos cada vez que haya una nueva convocatoria ***URL.1 y una
adjudicación así como de cualquier otra novedad relevante para el profesorado interino y as-
pirante”. Para dicha suscripción se pide cumplimentar en la web: nombre y apellidos email, te-
léfono móvil y, un apartado que pone consentimiento “acepto la política de privacidad”. Pin-

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

8/26

chando en política de privacidad lleva a la información que se contiene en la sección “política
de privacidad.” Debajo del apartado quiero suscribirme figura:

Responsable; MR FINALIDAD enviarte Avisos ***URL.1 y novedades de interés (nada de
spam). LEGITIMACIÓN: tú consentimiento al marcar la casilla. DESTINATARIOS tus datos
estarán securizados en los servidores de SITEGROUND SPAIN SL (hosting de ***URL.1
dentro de la UE) Derechos: tienes derecho de verificar limitar y suprimir tus datos. (ANEXO I
de 15/04/2020).

3) De acuerdo con el ANEXO UNO, diligenciado por el inspector del Servicio de inspección
de la AEPD, el 15 de abril del 2020, en la web de la reclamada: ***URL.1 consta:
-En POLÍTICA DE PRIVACIDAD en la web ***URL.1, entre otro contenido:
el uso de la web y de sus servicios y de los servicios
Entiende otorgado el consentimiento por la constancia de la “aceptación” de la “Política de
Privacidad” de su página para los que proporcionan sus datos, que pasan a forma parte del
fichero de “USUARIOS DE LA WEB y SUSCRIPTORES” propiedad de FILIGRANA
COMUNICACIÓN SLU, mencionando además “ De conformidad con lo dispuesto en la Ley
Orgánica 15/1999 de Protección de Datos de Carácter Personal”.

4) De acuerdo con el ANEXO DOS, diligenciado por el Inspector del servicio de inspección de
la AEPD, e 15 de abril del 2020, en la página web de la reclamada, en el apartado de
“Principios de Protección de Datos” consta, entre otras y se inicia, informando que “Nuestras
actividades de procesamiento se ajustan al propósito para el cual usted nos cedió los datos
personales.” En el apartado “Derechos del usuario”,“ Datos que recopilamos” consta: “La
información que usted nos ha proporcionado;”” Esta es, su dirección de correo electrónico,
nombre y apellidos, DNI y teléfono móvil. Esta información es necesaria para poder
comprobar si el sistema ***URL.1 le ha convocado, adjudicado o cualquier otra circunstancia.
Además, guardamos la información que nos proporciona para que pueda comentar o realizar
otras actividades en el sitio web.” también figura “Información disponible públicamente
Podemos recopilar información sobre usted que esté disponible públicamente en las webs de
las diferentes administraciones públicas, como por ejemplo, la web de la Consejería de
Educación de la Junta de Andalucía.”

5) El Inspector adscrito al servicio de Inspección de la AEPD diligencia en ANEXO TRES Y
CUATRO, que en la web de la reclamada, el 15/04/2020, existen listados con los siguientes
datos personales:
En resultados: Nombre y apellidos, DNI enmascarado, Centro, Provincia, Localidad, Puesto.
(ANEXO 3)
En la página 16 de 18 del ANEXO TRES figura el literal: “Todos los listados de puestos y
personas que aparecen en esta web son de dominio público y han sido publicados y
expuestos previamente de manera abierta, libre y publica en el portal web de la Consejería de
Educación de la Junta de Andalucía, en virtud de los obligados principios de publicidad y
transparencia que deben regir por ley las ofertas de empleo público. Por tanto, ***URL.1 no
publica ningún dato sensible o sujeto a privacidad, ningún dato que no sea de libre dominio
público y ningún dato que no esté o haya estado expuesto de manera abierta y pública en el
portal web de la citada Consejería de Educación
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

9/26

Aunque ***URL.1 refleja los datos públicos de la Consejería a modo informativo siempre
recomendamos que dichos datos sean cotejados directamente en el portal web de la
Consejería. Por tanto ***URL.1 no se hace responsable de la exactitud de los datos los
cuales han sido recopilados directamente de la zona públicamente accesible de la web de la
Consejería y es responsabilidad del usuario su comprobación en la web de dicha Consejería.
“
En convocatorias: Nombre y apellidos, DNI enmascarado, Orden en bolsa, Puesto”(ANEXO
CUATRO)
Se comprueba que al final de la web ***URL.1 consta un aviso de que “La página en la que te
encuentras no es una web de la Administración. Pertenece a FILIGRANA COMUNICACIÓN
SLU, que ofrece un servicio de información sobre el sistema ***URL.1 de la Consejería de
Educación de la Junta de Andalucía.***URL.1 recomienda siempre cotejar y comprobar todos
los datos en la página de la Consejería de Educación de la Junta de Andalucía””

FUNDAMENTOS DE DERECHO

I

En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de control,
y según lo establecido en los arts. 47 y 48.1 de la LOPDGDD, la Directora de la Agencia
Española de Protección de Datos es competente para resolver este procedimiento.

II

El acuerdo de inicio fue notificado electrónicamente a la reclamada, por exigencia del artículo
14.2 de la LPACAP conforme al cual: “En todo caso estarán obligados a relacionarse a través
de medios electrónicos con las Administraciones Públicas para la realización de cualquier trá-
mite de un procedimiento administrativo, al menos, los siguientes sujetos: a) Las personas ju-
rídicas”.

Consta en el expediente el certificado emitido por el Servicio de Notificaciones Electrónicas y
de Dirección Electrónica Habilitada de la FNMT-RCM, que deja constancia del envío del
acuerdo de inicio, notificación de la AEPD dirigida a la reclamada y la fecha de rechazo auto-
mático.

El artículo 43.2. de la LPACAP establece que cuando la notificación por medios electrónicos
sea de carácter obligatorio -como acontece en el presente caso- “se entenderá rechazada
cuando hayan transcurrido diez días naturales desde la puesta a disposición de la notificación
sin que se acceda a su contenido.” (El subrayado es de la AEPD)

Hay que añadir que los artículos 41.5 y 41.1, párrafo tercero, de la LPACAP dicen, respecti-
vamente:

“Cuando el interesado o su representante rechace la notificación de una actuación administra-
tiva, se hará constar en el expediente especificándose las circunstancias del intento de notifi-
cación y el medio, dando por efectuado el trámite y siguiéndose el procedimiento.” (El subra-
yado es de la AEPD)

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

10/26

“Con independencia del medio utilizado, las notificaciones serán válidas siempre que per-
mitan tener constancia de su envío o puesta a disposición, de la recepción o acceso por el in-
teresado o su representante, de sus fechas y horas, del contenido íntegro, y de la identidad fi-
dedigna del remitente y del destinatario de la misma. La acreditación de la notificación efec-
tuadas se incorporará al expediente”.

Así pues, atendiendo a que la notificación del acuerdo de inicio se efectuó electrónicamente
por imperativo legal (artículo 14 LPACAP) y de que se produjo el rechazo de la notificación
transcurridos diez días, tal y como dispone el artículo 43.2 de la precitada ley, el trámite se
consideró efectuado y el procedimiento siguió su curso (ex artículo 41.5 LPACAP)

De conformidad con el artículo 73.1 de la LPCAP el plazo para formular alegaciones al
Acuerdo de Inicio es de diez días computados a partir del siguiente al de la notificación.

El artículo 64.2. LPACAP, indica que se informará al denunciado del derecho a formular ale-
gaciones, del “derecho a la audiencia en el procedimiento y de los plazos para su ejercicio,
así como la indicación de que en caso de no efectuar alegaciones en el plazo previsto sobre
el contenido del acuerdo de iniciación éste podrá ser considerado propuesta de resolución
cuando contenga un pronunciamiento preciso acerca de la responsabilidad imputada”. (El su-
brayado es de la AEPD)

El acuerdo de inicio del expediente sancionador que nos ocupa contenía un pronunciamiento
preciso sobre la responsabilidad de la entidad reclamada en el citado acuerdo se concretaba
cuáles eran las conductas infractoras, tipo subsumible, las circunstancias que se estimaban
concurrentes para cuantificar el importe de las multas, y el importe de las mismas que a juicio
de la AEPD procedía imponer.

La presente propuesta se envía de nuevo telemáticamente, como el acuerdo de inicio, y al
mismo tiempo con la finalidad de que se produzca el efectivo cumplimiento de las medidas
consignadas en la resolución, a través de correo postal. La primeramente recibida será la que
tenga todos los efectos de cómputo de plazo para alegaciones. No obstante, la resolución que
se emitirá tras la propuesta se notificará tal como prevé la normativa, vía telemática.

III

En cuanto a la infracción del artículo 6.1) del RGPD, los datos de las personas incluidas en la
web de la reclamada procedentes de la página de la Consejería de Educación de la Junta de
Andalucía que gestiona el sistema ***URL.1, que no es un enlace a la misma, son datos
procedentes de otra entidad, en este caso pública, responsable de los mismos. La mera
disposición de los mismos en los sistemas de la reclamada constituye un tratamiento de datos
de carácter personal según se indica en el artículo 4.2 del RGPD:” Tratamiento cualquier
operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos
personales ya sea por procedimientos automatizados o no, como la recogida, registro,
organización, estructuración, conservación, adaptación o modificación, extracción, consulta,
utilización , comunicación por transmisión, difusión o cualquier otra forma de habilitación de
acceso, cotejo o interconexión, limitación, supresión o destrucción”

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

11/26

La normativa en materia de protección de datos de carácter personal recogida en el RGPD,
mantiene el principio de que todo tratamiento de datos necesita apoyarse en una base
legitimadora que lo legitime, igual que antes de la citada entrada en vigor establecía la LOPD
que transponía la Directiva 95/46/CE del Parlamento Europeo y del Consejo, de 24/10/1995,
relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos
personales y a la libre circulación de estos datos.
Se establecen así diversas causas legitimadoras del tratamiento, de modo que el
consentimiento no opera como la única posible.

En todo caso, a partir de la entrada en vigor del RGPD no puede hablarse de un concepto
legal de “fuentes accesibles al público” como el que existía en la LOPD, ni tampoco podemos
entender que el hecho de que los datos aparezcan en este tipo de fuentes legitime su más el
tratamiento. El RGPD sólo habla de fuentes de acceso público al regular el derecho a la
información si los datos no se han recogido del interesado.

Ahora bien, el hecho de que las Administraciones Públicas o los órganos jurisdiccionales pu-
bliquen documentos con datos de carácter personal no implica, en ningún caso, que los datos
objeto de tratamiento tengan la naturaleza de “datos abiertos”. Categoría que define el Anexo
I, punto 1, de la Ley 37/2007 de 16/11, sobre “reutilización de la información del sector públi-
co”, como “aquellos que cualquiera es libre de utilizar, reutilizar y redistribuir, con el único lími-
te, en su caso, del requisito de atribución de su fuente o reconocimiento de su autoría”.
La Ley 37/2007 sobre “reutilización de la información del sector público” trasladó al ordena-
miento interno español la Directiva 2003/98/CE, de 17/11/2003, relativa a la reutilización de la
información del sector público, que fue modificada por la Directiva 2013/37/UE y ha sido dero-
gada con efectos 17/07/2021 por la Directiva (UE) 2019/1024, de 20/06/2019, sobre los datos
abiertos y la reutilización de la información del sector público. Las novedades introducidas por
la nueva Directiva, que exige las pertinentes transposiciones de los Estados miembros a su
Derecho interno, no afectan a las cuestiones que son de interés en el presente asunto ni a la
transposición que se hace en la ley 37/2017.
Están sometidos a la ley 37/2007 sobre “reutilización de la información del sector público”, por
disposición expresa de su artículo 2 y de su Disposición adicional segunda, los documentos
elaborados por la Administración del Estado, por la Administración de las Comunidades Autó-
nomas, por los entes que integran la Administración Local, por cualquier organismo público o
entidad de Derecho Público vinculado o dependiente de las anteriores, así como las “resolu-
ciones judiciales”.

La ley 37/2007 define la reutilización como “el uso de documentos que obran en poder de las
Administraciones y organismos del sector público, por personas físicas o jurídicas, con fines
comerciales o no comerciales, siempre que dicho uso no constituya una actividad administra-
tiva pública” (artículo 3.1)

Al regular el régimen jurídico de la reutilización, la ley 37/2007 (artículo 4.6) dice: “La reutiliza-
ción de documentos que contengan datos de carácter personal se regirá por lo dispuesto en
la Ley Orgánica 15/1999, de 13/12, de protección de datos de carácter personal.”
Por otra parte, en el dictamen 6/2013 de 5/06/2013, sobre datos abiertos y reutilización de la
información del sector público. del Grupo de Trabajo del artículo 29 sobre Protección de
Datos, (GT 29) establecido en el artículo 29 de la Directiva 95/46/CE, de 25/10/1995, del
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

12/26

Parlamento Europeo y del Consejo, relativa a la protección de las personas físicas en lo que
respecta al tratamiento de datos personales y a la libre circulación de éstos, se trata el asunto
de datos abiertos y reutilización de la información del sector público.

Remisión que debemos entender hecha en la actualidad al RGPD y a LOPDGDD a tenor de
la Disposición derogatoria única de ésta última, que derogó la LOPD y cuantas disposiciones
de igual o inferior rango contradigan, se opongan, o resulten incompatibles con lo dispuesto
en el RGPD y en la propia Ley Orgánica 3/2018.
Se concluye de lo expuesto que el tratamiento de datos personales contenidos en documen-
tos elaborados o que obran en poder de las Administraciones Públicas que sean objeto de
reutilización por una persona -en este caso la reclamada-, para un uso que no represente una
actividad administrativa, estará sujeto a la normativa de protección de datos de carácter per-
sonal: RGPD y LOPDGDD.

En otras palabras, en ningún caso es óbice para la aplicación de la normativa de protección
de datos que los datos personales tratados por la reclamada mediante su herramienta se hu-
bieran obtenido de la reutilización de documentos en poder de la Administración del Estado,
de las Comunidades Autónomas, de la Administración local, de entidades de Derecho Público
dependientes de ellas -como la Tesorería General de la Seguridad Social (TGSS) o la Agencia
Estatal de Administración Tributaria (AEAT)- o de las resoluciones de los órganos jurisdiccio-
nales, que fueron publicados bien a través de diarios oficiales -como el BOE, los diarios oficia-
les de cada comunidad autónoma, o los BOP- bien mediante anuncios en la sede electrónica
o física de tales organismos bien en los estrados de los Tribunales o en el tablón edictal judi-
cial único.

El hecho de que un dato sea accesible por cualquiera puede ser tenido en cuenta a la hora de
realizar la ponderación cuando se formulase el tratamiento al amparo de una base
legitimadora como podría ser la del artículo 6.1.f) del RGPD, pero no implica necesariamente
que el tratamiento vaya a ser lícito, por cuanto se deben respetar los restantes principios del
RGPD.

Sobre los requisitos del interés legítimo, la Sentencia del Tribunal de Justicia de la Unión
Europea de 24/11/2011, por la que se resuelven las cuestiones prejudiciales planteadas por el
Tribunal Supremo en los recursos interpuestos contra el Reglamento de desarrollo de la Ley
Orgánica 15/1999, y en la que se declaraba expresamente el efecto directo del artículo 7 f) de
la Directiva 95/46/CE, ponía de manifiesto en su apartado 38 que el artículo 7 f) de la
Directiva “establece dos requisitos acumulativos para que un tratamiento de datos personales
sea lícito, a saber, por una parte, que ese tratamiento de datos personales sea necesario para
la satisfacción del interés legítimo perseguido por el responsable del tratamiento o por el
tercero o terceros a los que se comuniquen los datos, y, por otra parte, que no prevalezcan
los derechos y libertades fundamentales del interesado” y, en relación con la citada
ponderación, el apartado 40 ponía de manifiesto que la misma “dependerá, en principio, de
las circunstancias concretas del caso particular de que se trate y en cuyo marco la persona o
institución que efectúe la ponderación deberá tener en cuenta la importancia de los derechos
que los artículos 7 y 8 de la Carta de los Derechos Fundamentales de la Unión Europea
confieren al interesado”.

En el mismo sentido, más recientemente, la Sentencia del Tribunal de Justicia de la Unión
Europea de 4/05/2017, en el asunto C-13/16, (Valsts policijas Rīgas reģiona pārvaldes
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

13/26

Kārtības policijas pārvalde y Rīgas pašvaldības SIA «Rīgas satiksme), recordaba que el
artículo 7, letra f), de la Directiva 95/46 fija tres requisitos acumulativos para que el
tratamiento de datos personales resulte lícito: primero, que el responsable del tratamiento o el
tercero o terceros a quienes se comuniquen los datos persigan un interés legítimo; segundo,
que el tratamiento sea necesario para la satisfacción de ese interés legítimo y, tercero, que no
prevalezcan los derechos y libertades fundamentales del interesado en la protección de los
datos.

En el RGPD, para la existencia del interés legítimo como base jurídica del tratamiento,
requiere realizar una ponderación para determinar la prevalencia entre el interés legítimo
alegado y los “intereses, o los derechos y libertades fundamentales” del interesado que
requieran la protección de datos personales (art. 6.1 f) RGPD).

El régimen de protección del interesado en el RGPD frente al responsable del tratamiento que
pretende utilizar sus datos personales en base a un interés legítimo es más intenso en el
RGPD que en la LOPD, puesto que si en esta última, para permitir el interés legítimo bastaba
con que no se “vulnerasen” sus derechos o libertades, en el régimen del RGPD basta con que
sus intereses, derechos o libertades prevalezcan sobre dicho interés legítimo. Adviértase que
se añade la palabra intereses, frente a la vulneración de los derechos o libertades necesarios
anteriormente en la LOPD. Y que no es necesaria ninguna vulneración, sino que un que basta
con que sus intereses, derechos o libertades se vean afectados, siquiera sea levemente,
siempre que dicho interés prevalezca sobre el interés legítimo alegado.

Sobre el interés legítimo del responsable del tratamiento de datos en virtud del artículo 7 de la
directiva 95/46, el GT 29 emitió el dictamen 6/2014 de 9/04/2014 relativo al concepto de
interés legítimo el responsable del tratamiento. El dictamen 6/2013 ya mencionado, trata el
asunto de datos abiertos y reutilización de la información del sector público. De ninguno de
ellos se deriva que del hecho de que los datos se publiquen en internet deba suponerse que
puedan ser tratados con cualquier fin posible.

Los hechos expuestos suponen por parte de la reclamada la comisión de una infracción del
artículo 6.1) del RGPD que indica:

“1.El tratamiento solo será lícito si se cumple al menos una de las siguientes
condiciones:

a) el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o
varios fines específicos;

b) el tratamiento es necesario para la ejecución de un contrato en el que el interesado es
parte o para la aplicación a petición de este de medidas precontractuales;

c) el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al
responsable del tratamiento;

d) el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona
física;

e) el tratamiento es necesario para el cumplimiento de una misión realizada en interés público
o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

14/26

f) el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el
responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no
prevalezcan los intereses o los derechos y libertades fundamentales del interesado que
requieran la protección de datos personales, en particular cuando el interesado sea un niño.”

IV

El artículo 13 del RGPD precisa la Información que deberá facilitarse al interesado cuando los
datos personales se obtengan del mismo. En este caso, los datos personales de las personas
relacionadas con el ***URL.1 se obtienen y se llevan a la página web de la reclamada, y a
través de su página web, son titularidad de otro responsable del tratamiento, que además de
ofrecerlos en modo consulta, los destina a otras finalidades. El artículo 14 del RGPD trata de
la Información que deberá facilitarse cuando los datos personales no se hayan obtenido del
interesado, que se correspondería con este caso, ya que los datos originariamente se tratan
y se dan a la Consejería de Educación de la Junta de Andalucía. Respecto de estos datos, la
reclamada no ha informado sobre los derechos que corresponden a los titulares de los datos
que trata en su web, que proceden como ella misma indica de la web de la Consejería de
Educación.

Este principio aparece considerado en el considerando 39 que indica:

“El principio de transparencia exige que toda información y comunicación relativa al
tratamiento de dichos datos sea fácilmente accesible y fácil de entender, y que se utilice un
lenguaje sencillo y claro. Dicho principio se refiere en particular a la información de los
interesados sobre la identidad del responsable del tratamiento y los fines del mismo y a la
información añadida para garantizar un tratamiento leal y transparente con respecto a las
personas físicas afectadas y a su derecho a obtener confirmación y comunicación de los
datos personales que les conciernan que sean objeto de tratamiento. Las personas físicas
deben tener conocimiento de los riesgos, las normas, las salvaguardias y los derechos
relativos al tratamiento de datos personales así como del modo de hacer valer sus derechos
en relación con el tratamiento. En particular, los fines específicos del tratamiento de los datos
personales deben ser explícitos y legítimos, y deben determinarse en el momento de su
recogida”

En este caso, las personas cuyos datos personales proceden del ***URL.1 se han incluido en
la web de la reclamada sin ser informados de los extremos contenidos en el artículo 14 del
RGPD que se considera infringido, y que indica:

“1. Cuando los datos personales no se hayan obtenidos del interesado, el responsable del
tratamiento le facilitará la siguiente información:

a) la identidad y los datos de contacto del responsable y, en su caso, de su representante;

b) los datos de contacto del delegado de protección de datos, en su caso;

c) los fines del tratamiento a que se destinan los datos personales, así como la base jurídica
del tratamiento;
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

15/26

d) las categorías de datos personales de que se trate;

e) los destinatarios o las categorías de destinatarios de los datos personales, en su caso;

f) En su caso, la intención del responsable de transferir datos personales a un destinatario
en un tercer país u organización internacional y la existencia o ausencia de una decisión de
adecuación de la Comisión, o, en el caso de las transferencias indicadas en los artículos 46 o
47 o el artículo 49, apartado 1, párrafo segundo, referencia a las garantías adecuadas o
apropiadas y a los medios para obtener una copia de ellas o al hecho de que se hayan
prestado.

2. Además de la información mencionada en el apartado 1, el responsable del tratamiento
facilitará al interesado la siguiente información necesaria para garantizar un tratamiento de
datos leal y transparente respecto del interesado:

a) el plazo durante el cual se conservarán los datos personales o, cuando eso no sea
posible, los criterios utilizados para determinar este plazo;

b) cuando el tratamiento se base en el artículo 6, apartado 1, letra f), los intereses legítimos
del responsable del tratamiento o de un tercero;

c) la existencia del derecho a solicitar al responsable del tratamiento el acceso a los datos
personales relativos al interesado, y su rectificación o supresión, o la limitación de su
tratamiento, y a oponerse al tratamiento, así como el derecho a la portabilidad de los datos;

d) cuando el tratamiento esté basado en el artículo 6, apartado 1, letra a), o el artículo 9,
apartado 2, letra a), la existencia del derecho a retirar el consentimiento en cualquier
momento, sin que ello afecte a la licitud del tratamiento basada en el consentimiento antes de
su retirada;

e) el derecho a presentar una reclamación ante una autoridad de control;

f) la fuente de la que proceden los datos personales y, en su caso, si proceden de fuentes
de acceso público;

g) la existencia de decisiones automatizadas, incluida la elaboración de perfiles, a que se
refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información significativa
sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho
tratamiento para el interesado.

3. El responsable del tratamiento facilitará la información indicada en los apartados 1 y 2:

a) dentro de un plazo razonable, una vez obtenidos los datos personales, y a más tardar
dentro de un mes, habida cuenta de las circunstancias específicas en las que se traten dichos
datos;

b) si los datos personales han de utilizarse para comunicación con el interesado, a más
tardar en el momento de la primera comunicación a dicho interesado, o

c) si está previsto comunicarlos a otro destinatario, a más tardar en el momento en que los
datos personales sean comunicados por primera vez.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

16/26

4. Cuando el responsable del tratamiento proyecte el tratamiento ulterior de los datos
personales para un fin que no sea aquel para el que se obtuvieron, proporcionará al
interesado, antes de dicho tratamiento ulterior, información sobre ese otro fin y cualquier otra
información pertinente indicada en el apartado 2.

5. Las disposiciones de los apartados 1 a 4 no serán aplicables cuando y en la medida en
que:

a) el interesado ya disponga de la información;

b) la comunicación de dicha información resulte imposible o suponga un esfuerzo
desproporcionado, en particular para el tratamiento con fines de archivo en interés público,
fines de investigación científica o histórica o fines estadísticos, a reserva de las condiciones y
garantías indicadas en el artículo 89, apartado 1, o en la medida en que la obligación
mencionada en el apartado 1 del presente artículo pueda imposibilitar u obstaculizar
gravemente el logro de los objetivos de tal tratamiento. En tales casos, el responsable
adoptará medidas adecuadas para proteger los derechos, libertades e intereses legítimos del
interesado, inclusive haciendo pública la información;

c) la obtención o la comunicación esté expresamente establecida por el Derecho de la
Unión o de los Estados miembros que se aplique al responsable del tratamiento y que
establezca medidas adecuadas para proteger los intereses legítimos del interesado, o

d) cuando los datos personales deban seguir teniendo carácter confidencial sobre la base
de una obligación de secreto profesional regulada por el Derecho de la Unión o de los
Estados miembros, incluida una obligación de secreto de naturaleza estatutaria.”

V
Además, la reclamada dispone un servicio de suscripción en el que se recaban datos
personales distintos de los contenidos en los listados de participantes en los procesos de las
convocatorias ***URL.1. Para estos datos que se contienen en las casillas de suscripción al
servicio de avisos, resultarían aplicables las obligaciones que impone el artículo 12 del
RGPD que “ indica que se facilite el interesado toda la información indicada en los artículos
artículo 13 así como cualquier comunicación con arreglo a los artículos 15 a 22 y 34 relativa
al tratamiento en forma concisa transparente inteligible y de fácil acceso con un lenguaje claro
y sencillo”.
Ello significa que el responsable del tratamiento debe presentar la información o comunica-
ción de manera eficaz y sucinta para evitar el cansancio informativo. El requisito de que la in-
formación sea «inteligible» significa que debe ser entendida por el destinatario medio, ligado
al requisito de utilizar un lenguaje claro y sencillo. En un contexto en línea, el uso de una de-
claración o aviso de privacidad en capas permitirá al interesado ir a la sección específica de la
declaración o aviso de privacidad a la que desea acceder de forma inmediata en lugar de te-
ner que desplazarse por grandes cantidades de texto buscando una determinada cuestión.

El elemento «de fácil acceso» implica que el interesado no debe buscar la información; debe-
ría ser inmediatamente evidente para él dónde y cómo se puede acceder a esta información,
por ejemplo proporcionándola directamente, disponiendo un enlace a la misma, señalándola
claramente o como respuesta a una pregunta en lenguaje natural.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

17/26

La información debe ser concreta y determinante; no debe formularse en términos abstractos
o ambivalentes ni dar lugar a diferentes interpretaciones. En particular, los propósitos y la
base legal para el tratamiento de los datos personales deben ser claros.

Los calificadores idiomáticos como «puede», «podría», «algún», «a menudo» y «posible»
también deben evitarse. Cuando los responsables del tratamiento opten por utilizar un lengua-
je indefinido, deberían poder, de acuerdo con el principio de responsabilidad, demostrar por
qué no se pudo evitar el uso de dicho lenguaje y de qué modo este hecho no socava la impar-
cialidad del tratamiento.
El GT29 recomienda el uso de declaraciones o avisos de privacidad en capas, que permitan a
los visitantes ir a aquellos aspectos de la declaración o aviso de privacidad en cuestión que
sean de mayor interés para ellos

Por la falta de información de los datos que se recogen de los usuarios que se suscriben al
servicio de avisos, se imputa la infracción del artículo 13 del RGPD que indica:

“1. Cuando se obtengan de un interesado datos personales relativos a él, el responsable del
tratamiento, en el momento en que estos se obtengan, le facilitará toda la información
indicada a continuación:

a) la identidad y los datos de contacto del responsable y, en su caso, de su representante;

b) los datos de contacto del delegado de protección de datos, en su caso;

c) los fines del tratamiento a que se destinan los datos personales y la base jurídica del
tratamiento;

d) cuando el tratamiento se base en el artículo 6, apartado 1, letra f), los intereses legítimos
del responsable o de un tercero;

e) los destinatarios o las categorías de destinatarios de los datos personales, en su caso;

f) en su caso, la intención del responsable de transferir datos personales a un tercer país u
organización internacional y la existencia o ausencia de una decisión de adecuación de la
Comisión, o, en el caso de las transferencias indicadas en los artículos 46 o 47 o el artículo
49, apartado 1, párrafo segundo, referencia a las garantías adecuadas o apropiadas y a los
medios para obtener una copia de estas o al hecho de que se hayan prestado.

2. Además de la información mencionada en el apartado 1, el responsable del tratamiento
facilitará al interesado, en el momento en que se obtengan los datos personales, la siguiente
información necesaria para garantizar un tratamiento de datos leal y transparente:

a) el plazo durante el cual se conservarán los datos personales o, cuando no sea posible, los
criterios utilizados para determinar este plazo;

b) la existencia del derecho a solicitar al responsable del tratamiento el acceso a los datos
personales relativos al interesado, y su rectificación o supresión, o la limitación de su
tratamiento, o a oponerse al tratamiento, así como el derecho a la portabilidad de los datos;

c) cuando el tratamiento esté basado en el artículo 6, apartado 1, letra a), o el artículo 9,
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

18/26

apartado 2, letra a), la existencia del derecho a retirar el consentimiento en cualquier
momento, sin que ello afecte a la licitud del tratamiento basado en el consentimiento previo a
su retirada;

d) el derecho a presentar una reclamación ante una autoridad de control;

e) si la comunicación de datos personales es un requisito legal o contractual, o un requisito
necesario para suscribir un contrato, y si el interesado está obligado a facilitar los datos
personales y está informado de las posibles consecuencias de que no facilitar tales datos;

f) la existencia de decisiones automatizas, incluida la elaboración de perfiles, a que se refiere
el artículo 22, apartados 1 y 4, y, al menos en tales casos, información significativa sobre la
lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento
para el interesado.

3. Cuando el responsable del tratamiento proyecte el tratamiento ulterior de datos personales
para un fin que no sea aquel para el que se recogieron, proporcionará al interesado, con
anterioridad a dicho tratamiento ulterior, información sobre ese otro fin y cualquier información
adicional pertinente a tenor del apartado 2.

4. Las disposiciones de los apartados 1, 2 y 3 no serán aplicables cuando y en la medida en
que el interesado ya disponga de la información.”

Este artículo se desarrolla en el 11 de la LOPDGDD, que indica:

“1. Cuando los datos personales sean obtenidos del afectado el responsable del tratamiento
podrá dar cumplimiento al deber de información establecido en el artículo 13 del Reglamento
(UE) 2016/679 facilitando al afectado la información básica a la que se refiere el apartado
siguiente e indicándole una dirección electrónica u otro medio que permita acceder de forma
sencilla e inmediata a la restante información.

2. La información básica a la que se refiere el apartado anterior deberá contener, al menos:

a) La identidad del responsable del tratamiento y de su representante, en su caso.

b) La finalidad del tratamiento.

c) La posibilidad de ejercer los derechos establecidos en los artículos 15 a 22 del
Reglamento (UE) 2016/679.

Si los datos obtenidos del afectado fueran a ser tratados para la elaboración de
perfiles, la información básica comprenderá asimismo esta circunstancia. En este caso, el
afectado deberá ser informado de su derecho a oponerse a la adopción de decisiones
individuales automatizadas que produzcan efectos jurídicos sobre él o le afecten
significativamente de modo similar, cuando concurra este derecho de acuerdo con lo previsto
en el artículo 22 del Reglamento (UE) 2016/679.”

Se observan las siguientes deficiencias respecto a la información que ofrece la reclamada a
los usuarios que se suscriban al servicio de avisos y novedades de las convocatorias de
***URL.1, bolsas y oposiciones ofertadas en su web:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

19/26

-Refiere una normativa, Ley Orgánica 15/1999, de 13/12, de Protección de los Datos de
Carácter Personal (en lo sucesivo LOPD) que no está en vigor, sin referencia alguna a la que
sí que lo está, el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de
27/04/2016 relativo a la protección de las personas físicas en lo que respecta al tratamiento
de datos personales y a la libre circulación de estos datos (en lo sucesivo, RGPD); y a
LOPDGDD.

-“La mera utilización de la web o del sitio web” no supone consentir el procesamiento. El
término “procesamiento de datos “no se adapta a los conceptos legales que prevé la
normativa sobre datos de carácter personal siendo conveniente su sustitución por tratamiento
de datos.

-“El procesamiento se limita al propósito de este sitio web. Nuestras actividades de
procesamiento se ajustan al propósito para el cual usted nos cedió los datos personales.”
Además de la sugerencia del término procesamiento, la finalidad del tratamiento ha de ser
informada , concretada, especificada por la responsable sobre los datos que se recogen. En
el presente supuesto solo se ha verificado que no es que se cedan datos, se recogen del
propio interesado, datos para recibir avisos. Debe informar de la finalidad del tratamiento de
los datos, no hacer recaer en el interesado dicha finalidad.

-“No almacenaremos sus datos personales por más tiempo del necesario” no es correcto, ya
que debe concretarse el plazo durante el cual se conservarán los datos personales o, cuando
no sea posible, los criterios utilizados para determinar este plazo;
- Información disponible públicamente
Podemos recopilar información sobre usted que esté disponible públicamente en las
webs de las diferentes administraciones públicas, como por ejemplo, la web de la Consejería
de Educación de la Junta de Andalucía.”
Si se refiere al mecanismo de confrontar los avisos que interesan al afectado con los listados
que gestiona la Consejería, debería eliminar el término “podemos” inconcreto e inespecífico.
-“Utilizamos sus datos personales para:
• Proveer nuestro servicio. Esto incluye, por ejemplo, el registro de su cuenta;
proporcionarle otros productos y servicios que haya solicitado; proporcionarle artículos
promocionales a su solicitud y comunicarse con usted en relación con esos productos y
servicios; comunicándole e interactuando con usted; y notificándole los cambios en cualquier
servicio.
• Mejorar su experiencia de usuario.
• Cumplir con una obligación legal o contractual”
Todas estas finalidades, ajenas al envío de avisos han de ser objeto de un consentimiento
especifico diferenciado, con posibilidad de oponerse a cada uno de ellos, sin sufrir restricción
en la prestación del servicio que se suscriba. Si la base legitima de suscribirse al servicio es el
consentimiento, no se entiende que tiene que ver la adición del “cumplimiento de una
obligación legal o contractual”. Asimismo, deben ser productos o servicios especificados. El
objeto del consentimiento ha de ser prestado en elementos objetivos de modo que no se
convierta este en inespecífico, sin saber sobre que se consiente.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

20/26

En cuanto a “Cumplir con una obligación legal o contractual” la base del tratamiento del
servicio de avisos y envíos SMS se basa en el consentimiento no en vinculo contractual, por
lo que se crea confusión.

-- Utilizamos sus datos personales por motivos legítimos y con su consentimiento.
Con el fin de celebrar un contrato o cumplir obligaciones contractuales, procesamos sus Da-
tos personales para los siguientes fines:

 para identificarle.

 para avisarle de novedades que le afecten directamente a usted o en general a interi-
nos y aspirantes docentes.

 para proporcionarle un servicio o para enviarle / ofrecerle un producto.

 para comunicarse ya sea por ventas o facturación.

Si el uso del servicio de suscripción recae sobre la base del consentimiento informado, no se-
ría preciso indicar “Utilizamos sus datos personales por motivos legítimos” ya que puede aña-
dir confusión mediante la contradicción de bases del tratamiento, al existir una distinta deno-
minada interés legítimo en el artículo 6.1.f) del RGPD.

“Con el fin de celebrar un contrato o cumplir obligaciones contractuales”. En este caso, se
desconoce en estos casos que el origen del vínculo sea contractual, ya que el origen de los
datos descansa en el consentimiento, que no supone concertación legal en cuanto a vinculo
jurídico de derechos-obligaciones por las partes.

“para proporcionarle un servicio o para enviarle / ofrecerle un producto”. En este caso, debe
circunscribirse que servicio, y que producto se trata y debe ofrecerse posibilidad de rechazar
el uso de los datos para este servicio adicional.

-“Por motivos de interés legítimo, procesamos sus datos personales para los siguientes fines:

 Para enviarle ofertas personalizadas nuestras y / o de nuestros socios cuidadosamen-
te seleccionados;

 Para administrar y analizar nuestra base de usuarios (comportamiento de compra e
historial) para mejorar la calidad, variedad y disponibilidad de los productos / servicios ofreci-
dos / proporcionados;

 Realizar cuestionarios sobre la satisfacción del usuario.”

Como base de tratamiento distinta a consentimiento, si se utilizaran los datos del servicio de
avisos de este modo, los motivos de interés legítimo han de ser detallados en qué consisten,
especificando en que consiste el citado interés, el balance resultante realizado para que pre-
domine sobre los derechos del titular de los datos. Asimismo se ha de dar la opción de oposi-
ción al tratamiento. Para más detalle sobre la base del interés legítimo, puede consultar el dic-
tamen 6/2014 de 9/04/2014, del GT 29 cuyas explicaciones son aplicables a dicha base de
tratamiento prevista en el RGPD.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

21/26

“enviarle ofertas personalizadas nuestras y / o de nuestros socios cuidadosamente se-
leccionados;” En este caso, debe ofrecer posibilidad de oponerse a dicha finalidad así como
concretar los productos que se ofertan, y precisar no los socios, sino “los destinatarios o cate-
goría de destinatarios de los datos personales”.

“comportamiento de compra e historial”
- “Siempre y cuando no nos haya informado de otra manera, consideramos que ofrecerle
productos / servicios similares a su historial de comportamiento es nuestro interés legítimo.”
Esta cláusula supone un posible interés legítimo en actividades de mercadotecnia, pero en los
envíos se ha de informar y dar la opción de oposición al tratamiento.
En cuanto al “historial de comportamiento” se parte de la consideración que “Todo interesado
tendrá derecho a no ser objeto de una decisión basada únicamente en el tratamiento
automatizado, incluida la elaboración de perfiles, que produzca efectos jurídicos en él o le
afecte significativamente de modo similar. (artículo 22.1 RGPD), detallando si concurre alguna
excepción del artículo 22.2 del RGPD.

Si se utilizan, se ha de informar de la existencia de decisiones automatizas, incluida la
elaboración de perfiles, a que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales
casos, dando información significativa sobre la lógica aplicada, así como la importancia y las
consecuencias previstas de dicho tratamiento para el interesado.

No supone base legitima para el tratamiento consistente en el análisis del historial del
comportamiento el interés legítimo escuetamente indicado, debiendo ajustarse a lo
establecido para este tipo de tratamientos al artículo 22 del RGPD.

-“Con su consentimiento, procesamos sus datos personales para los siguientes fines:
• Para enviarle avisos, boletines y ofertas de campañas (de nosotros y / o de nuestros
socios cuidadosamente seleccionados).
• Para otros fines, de los hemos solicitado su consentimiento.”

El envío de comunicaciones comerciales “ofertas de campaña” debe ser objeto de una cláusu-
la específica sobre la que se ha de proporcionar la oportunidad de oponerse a dicho trata-
miento y los productos o servicios han de concretarse y especificarse, no pudiendo ser gené-
ricos o indeterminados.

No figura con claridad quien es el responsable del tratamiento de los datos que se dan para
recibir avisos del ***URL.1 pues en un caso se remite a A.A.A., y en el apartado de “Política
de privacidad” indica que el fichero suscriptores es propiedad de FILIGRANA COMUNICACIN
SL. A ello se añade que en ninguno de los dos casos se indica la sede o el modo de ejercitar
los derechos derivados del RGPD.

Así pues, se considera que la reclamada ha infringido el artículo 13 del RGPD.

VI

A las infracciones se refiere el artículo 83.5.a) del RGPD que indica:

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

22/26

“Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el
apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de
una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total
anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:

a) los principios básicos para el tratamiento, incluidas las condiciones para el consenti-
miento a tenor de los artículos 5, 6, 7 y 9;”

b) los derechos de los interesados a tenor de los artículos 12 a 22;

La LOPDGDD indica en su artículo 72:

“1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se
consideran muy graves y prescribirán a los tres años las infracciones que supongan una
vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:

b) El tratamiento de datos personales sin que concurra alguna de las condiciones de licitud
del tratamiento establecidas en el artículo 6 del Reglamento (UE) 2016/679.

h) La omisión del deber de informar al afectado acerca del tratamiento de sus datos
personales conforme a lo dispuesto en los artículos 13 y 14 del Reglamento (UE) 2016/679 y
12 de esta ley orgánica.”

Y el artículo 74 de la LOPDGDD:

“Se consideran leves y prescribirán al año las restantes infracciones de carácter
meramente formal de los artículos mencionados en los apartados 4 y 5 del artículo 83 del
Reglamento (UE) 2016/679 y, en particular, las siguientes:

a) El incumplimiento del principio de transparencia de la información o el derecho de
información del afectado por no facilitar toda la información exigida por los artículos 13 y 14
del Reglamento (UE) 2016/679.”
Además, entre los poderes correctivos que contempla el artículo 58 del RGPD, en su
apartado 2 d) se establece que cada autoridad de control podrá “ordenar al responsable o
encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones
del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo
especificado…”.

La imposición de esta medida es compatible con la sanción consistente en multa
administrativa, según lo dispuesto en el art. 83.2 del RGPD.

En tal sentido, la reclamada deberá corregir las infracciones que se declaran, pudiéndose
disponer en la parte dispositiva de la resolución la obligatoriedad de llevarse a efectos si antes
no se hubiera efectuado.

VII

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

23/26

La determinación de las sanciones que procede imponer en el presente caso exige observar
las previsiones de los artículos 83.1 y.2 del RGPD, preceptos que, respectivamente, disponen
lo siguiente:
“1. Cada autoridad de control garantizará que la imposición de las multas administrativas
con arreglo al presente artículo por las infracciones del presente Reglamento indicadas en los
apartados 4, 9 y 6 sean en cada caso individual efectivas, proporcionadas y disuasorias.”
“2. Las multas administrativas se impondrán, en función de las circunstancias de cada
caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58,
apartado 2, letras a) a h) y j). Al decidir la imposición de una multa administrativa y su cuantía
en cada caso individual se tendrá debidamente en cuenta:

a) la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza,
alcance o propósito de la operación de tratamiento de que se trate, así como el número de in-
teresados afectados y el nivel de los daños y perjuicios que hayan sufrido;
b) la intencionalidad o negligencia en la infracción;

c) cualquier medida tomada por el responsable o encargado del tratamiento para paliar
los daños y perjuicios sufridos por los interesados;
d) el grado de responsabilidad del responsable o del encargado del tratamiento, habida
cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos
25 y 32;
e) toda infracción anterior cometida por el responsable o el encargado del tratamiento;
f) el grado de cooperación con la autoridad de control con el fin de poner remedio a la
infracción y mitigar los posibles efectos adversos de la infracción;
g) las categorías de los datos de carácter personal afectados por la infracción;
h) la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular
si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida;
i) cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas pre-
viamente contra el responsable o el encargado de que se trate en relación con el mismo
asunto, el cumplimiento de dichas medidas;
j) la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certifi-
cación aprobados con arreglo al artículo 42, y
k) cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso,
como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamen-
te, a través de la infracción.” Dentro de este apartado, la LOPDGDD contempla en su ar-
tículo 76, titulado “Sanciones y medidas correctivas”:

“1. Las sanciones previstas en los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE)
2016/679 se aplicarán teniendo en cuenta los criterios de graduación establecidos en el
apartado 2 del citado artículo.

2. De acuerdo a lo previsto en el artículo 83.2.k) del Reglamento (UE) 2016/679 también
podrán tenerse en cuenta:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

24/26

a) El carácter continuado de la infracción.

b) La vinculación de la actividad del infractor con la realización de tratamientos de datos
personales.

c) Los beneficios obtenidos como consecuencia de la comisión de la infracción.

d) La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión de la
infracción.

e) La existencia de un proceso de fusión por absorción posterior a la comisión de la
infracción, que no puede imputarse a la entidad absorbente.

f) La afectación a los derechos de los menores.

g) Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.

h) El sometimiento por parte del responsable o encargado, con carácter voluntario, a
mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que existan
controversias entre aquellos y cualquier interesado.

3. Será posible, complementaria o alternativamente, la adopción, cuando proceda, de las
restantes medidas correctivas a las que se refiere el artículo 83.2 del Reglamento (UE)
2016/679.”
Para la valoración de las sanciones se contemplan los siguientes factores:
Sobre la infracción del artículo 6.1 RGPD se valora que los datos están expuestos en una web
abierta al público pretendiendo supuestamente llevar a cabo con el tratamiento una informa-
ción a los interesados, para lo que se importan todos los datos a pesar de que las expectati-
vas de los titulares de los datos hace difícil pensar que van a ser utilizados en otra página con
fines comerciales (83.2.a) del RGPD, la supuesta falta de intencionalidad, al considerar que
podrían ser esos datos una fuente de uso público faltando un análisis más detallado (83.2.b)
RGPD, por lo que la valoración de la multa por la infracción imputada es de 2.000 euros.

Sobre la cuantía de la infracción del artículo 14 del RGPD, el alto grado de negligencia al no
incorporar aspecto alguno de la información (83.2.b) del RGPD, valorando la multa en 2.000
euros.

Sobre el artículo 13 del RGPD, se valora que la información no está suficientemente clara,
produciéndose reiteración de información, y se contienen varios elementos inexactos e inde-
terminados que no aclaran en que consiste en tratamiento, se contienen términos que condu-
cen a la confusión (83.2.a) RGPD y una falta de adaptación a las pautas organizativas y téc-
nicas que supuso la entrada en vigor del RGPD, conteniendo referencias a la LOPD y ninguna
al RGPD (83.2.d) RGPD. La valoración de la multa por esta infracción es de 4.000 euros

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

25/26

Por lo tanto, de acuerdo con la legislación aplicable ley valorados los criterios de
graduación de las sanciones cuya existencia ha quedado acreditada,

la Directora de la Agencia Española de Protección de Datos RESUELVE:

PRIMERO: IMPONER a FILIGRANA COMUNICACIÓN S.L.U., con NIF B04770632, las
sanciones por infracción del:

- artículo 6.1 del RGPD, multa de 2.000 euros, de conformidad con el artículo 83.5.a) y 83.2
a) y b) del RGPD,

-artículo 14 del RGPD, multa de 2.000 euros, de conformidad con el artículo 83.5.b) y 83.2 b)
del RGPD, y

-artículo 13 del RGPD, multa de con 4.000 euros, de conformidad con el artículo 83.5.b) y
83.2.a) y d) del RGPD.

SEGUNDO: En ejercicio del artículo 58.2.d) del RGPD, “cada autoridad de control podrá
ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se
ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada
manera y dentro de un plazo especificado” se requiere a la reclamada para que corrija las tres
infracciones declaradas” otorgando un plazo para ello, de dos meses en que deberá informar
las medidas adoptadas. Si persistiera en el incumplimiento, se podría iniciar procedimiento
sancionador por incumplimiento de los requerimientos previstos en el RGPD.

TERCERO: NOTIFICAR la presente resolución a FILIGRANA COMUNICACIÓN S.L.U.

CUARTO: Advertir al sancionado que deberá hacer efectiva la sanción impuesta una vez que
la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el art. 98.1.b) de la
LPACAP, en el plazo de pago voluntario establecido en el art. 68 del Reglamento General de
Recaudación, aprobado por Real Decreto 939/2005, de 29/07, en relación con el art. 62 de la
Ley 58/2003, de 17/12, mediante su ingreso, indicando el NIF del sancionado y el número de
procedimiento que figura en el encabezamiento de este documento, en la cuenta restringida
nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección
de Datos en la entidad bancaria CAIXABANK, S.A.. En caso contrario, se procederá a su
recaudación en período ejecutivo.

Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los
días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta
el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y
último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes
siguiente o inmediato hábil posterior.

De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución
se hará pública una vez haya sido notificada a los interesados.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

26/26

Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la
LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados
podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia
Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la
notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala
de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el
artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13/07,
reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar
desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la
referida Ley.

Finalmente, se señala que conforme a lo previsto en el art. 90.3 a) de la LPACAP, se podrá
suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta
su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el
interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia
Española de Protección de Datos, presentándolo a través del Registro Electrónico de la
Agencia [https://sedeagpd.gob.es/sede-electronica-web/], o a través de alguno de los
restantes registros previstos en el art. 16.4 de la citada LPCAP. También deberá trasladar a la
Agencia la documentación que acredite la interposición efectiva del recurso contencioso-
administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso
contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación
de la presente resolución, daría por finalizada la suspensión cautelar.

938-131120
Mar España Martí
Directora de la Agencia Española de Protección de Datos

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es