1/42
Expediente N.º: PS/00214/2022
RESOLUCIÓN DE TERMINACIÓN DEL PROCEDIMIENTO POR PAGO
VOLUNTARIO
Del procedimiento instruido por la Agencia Española de Protección de Datos y en base
a los siguientes
ANTECEDENTES
PRIMERO: Con fecha 5 de mayo de 2022, la Directora de la Agencia Española de
Protección de Datos acordó iniciar procedimiento sancionador a THOMAS
INTERNATIONAL SYSTEMS, S.A. (en adelante la parte reclamada). Notificado el
acuerdo de inicio y tras analizar las alegaciones presentadas, con fecha 14 de
noviembre de 2022, se emitió la propuesta de resolución que a continuación se
transcribe:
<<
Expediente N.º: PS/00214/2022
PROPUESTA DE RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR
Del procedimiento instruido por la Agencia Española de Protección de Datos y en base
a los siguientes:
ANTECEDENTES
PRIMERO: Con fecha 26/02/2021, tuvo entrada en esta Agencia Española de
Protección de Datos un escrito presentado por A.A.A. (en adelante, la parte
reclamante), por el que interpone reclamación contra la entidad Agroxarxa, S.L., con
NIF B25269358 (en adelante, Agroxarxa), por el tratamiento de datos personales de
categorías especiales.
La parte reclamante manifiesta que (…) debió realizar unos psicotécnicos, accesibles
a través de un enlace de una entidad especializada en estos servicios. Según afirma,
en uno de los formularios empleados para llevar a cabo el proceso le solicitaron datos
sensibles (discapacidad y etnia), desconociéndose el uso que haría la empresa de
estos datos. Añade que la cumplimentación de esos formularios le fue requerida por el
departamento de Recursos Humanos de Agroxarxa.
Aporta un volcado de pantalla del cuestionario en el que se solicitan los datos
controvertidos, disponible en la web “***URL.1” (en lo sucesivo “Cuestionario de
Investigación de Thomas” o “Cuestionario”), cuyo contenido consta reseñado en el
Hecho Probado Segundo. En su vértice superior izquierdo figura el logo de la entidad
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
2/42
“Thomas International Ltd.”, a la que pertenece dicho formulario según la indicación
insertada en el mismo (“Copyright”). En la pantalla aportada por la parte reclamante
aparecen seleccionadas las opciones que se detallan en el Hecho Probado Sexto.
SEGUNDO: Durante la fase de admisión a trámite de la reclamación reseñada, por la
Subdirección General de Inspección de Datos se accedió a la Política de Privacidad de
la entidad “Thomas International Ltd.”, fechada el 03/07/2019 y en lengua inglesa (el
detalle del contenido de este documento, en lo que interesa al presente
procedimiento, consta reseñado en el Hecho Probado Cuarto).
TERCERO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de
diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en
adelante LOPDGDD), la reclamación formulada fue trasladada a la entidad Agroxarxa
para que procediese a su análisis e informase a esta Agencia, en el plazo de un mes,
de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la
normativa de protección de datos.
El plazo concedido para ello a Agroxarxa transcurrió sin que en esta Agencia se
recibiera escrito alguno de respuesta.
CUARTO: Con fecha 29/06/2021, de conformidad con el artículo 65 de la LOPDGDD,
se admitió a trámite la reclamación presentada por la parte reclamante.
QUINTO: A la vista de los hechos denunciados en la reclamación y de los documentos
aportados por la parte reclamante, la Subdirección General de Inspección de Datos
procedió a la realización de actuaciones previas de investigación para el
esclarecimiento de los hechos en cuestión, en virtud de los poderes de investigación
otorgados a las autoridades de control en el artículo 57.1 del Reglamento (UE)
2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de
conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la
LOPDGDD. Por los Servicios de Inspección de la AEPD se realizaron las actuaciones
siguientes:
1. Los Servicios de Inspección de esta Agencia remitieron a Agroxarxa un
requerimiento de información, que fue atendido por dicha entidad mediante escrito de
21/12/2021, en el que informa lo siguiente:
. (…).
. En referencia al proceso de selección de personal, advierte que no solicita ni requiere
a las personas candidatas la inclusión en los currículums de datos personales
concernientes a raza, etnia o discapacidad.
Explica el proceso que sigue para seleccionar las personas finalistas, a las que se les
solicita que complementen una “encuesta de comportamiento”, con el objetivo de
conocer si la persona candidata se ajusta -en cuanto a habilidades y competencias- a
las condiciones requeridas para el puesto de trabajo, la cual se realiza a través de la
plataforma propiedad de la compañía “Thomas International Ltd”, quien informa de
sus términos y condiciones, política de privacidad, cookies y demás requisitos legales
en el correo que reciben los candidatos para completar la encuesta.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
3/42
Una vez las personas candidatas realizan la encuesta en la plataforma de “Thomas
International Ltd.”, y en base al análisis del resultado que emite, se realiza una
entrevista final para escoger a la persona que se contratará.
. En referencia a la información facilitada a las personas candidatas.
La compañía “Thomas International Ltd.”, al remitir el correo para participar en la
encuesta remite el enlace a sus normas donde se puede ver en detalle el tratamiento
de datos.
Agroxarxa incorpora uno de estos correos como ejemplo, cuyo texto es el siguiente:
“Estimado/a…
…(nombre), de Agroxarxa, SLU le ha invitado a completar una breve evaluación de
comportamiento.
Pulse en el siguiente enlace o cópielo y péguelo en su navegador para comenzar la
evaluación
https://open.***URL.1/Login/Login...
Existe la posibilidad de que se le pida que introduzca los siguientes datos de usuario y
contraseña:
Usuario…
Contraseña…
Visite el área de candidatos de Thomas https://www.***URL.1/es-es/candidatos.aspx para
saber más de esta evaluación.
Saludos
… (nombre)
Agroxarxa, SLU
… (teléfono)
[email protected]
Vea nuestra política de privacidad www.***URL.1/es-es/Privacidadycookies.aspx” .
Según Agroxarxa, con ello queda claro que “la información de la que disponen los
candidatos y el tratamiento de los datos que informan a la compañía, que no a
Agroxarxa, SLU”.
. En referencia al contrato suscrito con “Thomas Internacional Ltd.”.
Los responsables de la entidad aportan copia del contrato de prestación de servicios y
de encargo de tratamiento de datos (“Acuerdo de tratamiento de datos”) suscrito en
fecha 30/05/2018 con la entidad THOMAS INTERNACIONAL SYSTEMS, S.A. (en lo
sucesivo THOMAS INTERNACIONAL SYSTEMS). El contenido de este “Acuerdo de
tratamiento de datos”, en lo que interesa al presente procedimiento, consta
detallado en el Hecho Probado Tercero.
. En referencia al motivo por el que “Thomas Internacional Ltd.” recaba datos de etnia
y discapacidad.
Según indican los representantes de Agroxarxa no se recaban de forma expresa
estos datos para la entidad. “Thomas Internacional Ltd.” utiliza el mismo
“Cuestionario” para todos sus clientes.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
4/42
Además, los datos solicitados en el “Cuestionario” en cuanto a “discapacidad” y
“etnia” son voluntarios, la persona encuestada puede optar por la opción “prefiero no
contestar”. Aportan la imagen de dicho “Cuestionario”, cuyo contenido coincide con el
descrito en el Hecho Probado Segundo. En esta imagen constan las respuestas
siguientes:
. Sexo: “Mujer”.
. Año de nacimiento: “2017”.
. Discapacidad: “Prefiero no contestar”.
. Etnia: “Prefiero no contestar”.
“Thomas International Ltd.” solo dispone de la información que las personas
candidatas aportan de forma voluntaria, sin que sea obligatorio y necesario para
Agroxarxa disponer de los datos en cuestión. Agroxarxa en ningún momento ha
solicitado que se recabe esta información para ningún proceso de selección.
Por lo tanto, “Thomas International Ltd.” sólo dispone de la información referente a
etnia y discapacidad cuando el candidato de forma expresa, y de forma totalmente
voluntaria e informada, la facilita, sin que sea facilitada esta información a Agroxarxa,
a la que sólo se remite el correspondiente informe de perfil de competencias y
habilidades, pero nunca las respuestas.
. En referencia a los tratamientos que realiza Agroxarxa con los datos relativos a etnia
y discapacidad y período de conservación.
La aplicación de “Thomas Internacional Ltd.” no se ha diseñado de forma expresa
para procesos de selección de Agroxarxa, quien (como el resto de los clientes) no
participa de la elaboración de los formularios utilizados por dicha compañía.
Es por ello que Agroxarxa no recaba, ni trata ni conserva datos relativos a etnia y
discapacidad.
. En referencia a los datos que figuran en Agroxarxa relativos a la parte reclamante.
No dispone de datos relativos a etnia o discapacidad de la parte reclamante. (…).
Con su respuesta, Agroxarxa aportó copia de dos informes como ejemplo de la
información sobre los candidatos que “Thomas International Ltd.” facilita a la
Agroxarxa:
a) El primero de ellos contiene unos gráficos y puntuaciones relativas a “Máscara de
trabajo”, “Comportamiento bajo presión” y “autoimagen”.
b) En el segundo se describe el “Perfil APP” de la persona valorada en relación con la
“Autoimagen”, “Automotivación”, “Énfasis laboral”, “Palabras descriptivas”, “Máscara”
(“cómo lo ven otros”), “Comportamiento bajo presión” y “Comentarios generales”.
2. Con fecha 30/12/2021, los Servicios de Inspección de esta Agencia remitieron a
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
5/42
Agroxarxa un nuevo requerimiento de información, que fue respondido como sigue:
. En el proceso de selección, Agroxarxa en ningún momento cede datos a la entidad
“Thomas Internacional Ltd.”, sino que contrata a esta empresa para que efectúe un
análisis de habilidades y competencias.
Los únicos datos que comunica Agroxarxa a “Thomas Internacional Ltd.” son el
nombre y apellidos y el correo electrónico de contacto, utilizado para facilitar el acceso
a la plataforma.
. Es su interés proceder a una reevaluación del proceso y del protocolo de selección
de personas con el objetivo de simplificar y mejorar el proceso, así como facilitar a los
candidatos una mayor y mejor información.
3. (…):
Su actividad es proporcionar herramientas de psicometría para que las empresas las
apliquen en sus procesos de evaluación y reclutamiento.
En fecha 30/05/2018, se firmó un “Acuerdo de tratamiento de datos” con la mercantil
Agroxarxa (aporta copia).
(…).
En el contrato firmado entre las partes (Anexo 1), se contempla que “Thomas
International” procesará, por orden de Agroxarxa, la información de los datos
personales de candidatos seleccionados por ésta y serán almacenados y controlados
por el responsable de los datos, Agroxarxa, en el hub de “Thomas International” que
previamente ha sido contratado. Agroxarxa dispone de herramientas para el
mantenimiento de los datos personales resultantes de los procesos de evaluación y
durante el tiempo que Agroxarxa considere oportuno.
En el apartado 2.3 del Contrato se especifica que Agroxarxa es quien controla la
información de los datos personales introducidos en los sistemas de evaluación de
“Thomas International Ltd.” mediante las herramientas proporcionadas por ésta, y que
serán procesados los datos de los candidatos (resultados de las evaluaciones) por
indicación de Agroxarxa, teniendo ésta el único acceso a los resultados procesados
por los sistemas de “Thomas International”.
En el apartado 2.4 se indica que Agroxarxa es el responsable de los datos personales
que se introducen en los procesos de evaluación de “Thomas International” para que
sean procesados y se obtengan resultados de evaluación que son analizados y
recibidos por Agroxarxa para el desarrollo de su actividad empresarial. Igualmente,
Agroxarxa dispone de herramientas, previamente contratadas, para el acceso único y
exclusivo al hub de “Thomas International” (donde se almacenan los resultados de las
evaluaciones) para analizar, visualizar, eliminar, mantener, etc. la información
procesada por “Thomas International” por indicación de Agroxarxa.
Según el apartado 3.1.1, los sistemas de “Thomas International” procesan los datos
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
6/42
personales de los candidatos de Agroxarxa por indicación y siguiendo las instrucciones
proporcionadas por ésta.
Y el apartado 3.1.2 estipula que “Thomas International” actúa según las instrucciones
proporcionadas por el cliente, Agroxarxa.
En el apartado 3.2 se contempla que deberán cumplir con prontitud las instrucciones
proporcionadas por Agroxarxa.
En el apartado 4 Agroxarxa autoriza a “Thomas International Ltd.” a enviar un
formulario para los propósitos de investigación permitidos, para que sea rellenado de
forma voluntaria y anónima por las personas que accedan a los procedimientos
autorizados y contratados por Agroxarxa siempre y cuando no se incumplan los tres
apartados 4.1; 4.2 y 4.3.
Termina THOMAS INTERNACIONAL SYSTEMS destacando que, según el acuerdo
firmado entre las partes, “Thomas International” no está obligada a facilitar información
a los candidatos que van a ser evaluados para Agroxarxa, que es la propietaria de la
información relativa a los mismos, y “Thomas International Ltd.” solamente procesa la
información que es proporcionada por Agroxarxa y a petición de ésta. “Thomas
International Ltd.” desconoce los datos personales de los candidatos que van a ser
evaluados según las necesidades que determina Agroxarxa en sus políticas de
evaluación de candidatos para determinados puestos de trabajo.
En relación con los datos de origen étnico y discapacidad indica que se recababan de
forma voluntaria y optativa, con la opción de no responder. Ninguna información
recogida a través de esta encuesta opcional forma parte de la evaluación psicométrica
y no afecta a los resultados obtenidos por el candidato en su evaluación. Toda la
información recogida por la mencionada encuesta optativa se usaría por el equipo de
“Thomas International Sciences” para asegurar que, sus herramientas de evaluación
psicométrica se diseñan de tal forma que no discriminen a las personas evaluadas.
THOMAS INTERNACIONAL SYSTEMS aporta copia del formulario “autorizado por
parte de Agroxarxa para ser enviado al personal que accede a los sistemas de
“Thomas International Ltd.” según los supuestos del apartado 4” (“el Cuestionario”),
cuyo contenido coincide con el reseñado en el Hecho Probado Segundo, y copia de la
siguiente información previa que facilita. Después del texto informativo se incluyen los
botones “No estoy de acuerdo” y “Siguiente”.
SEXTO: Con fecha 25/04/2022, por la Subdirección General de Inspección de Datos
se accede a la información disponible sobre la entidad THOMAS INTERNACIONAL
SYSTEMS en “Axesor”. (…).
SÉPTIMO: Con fecha 5 de mayo de 2022, la Directora de la Agencia Española de
Protección de Datos acordó iniciar procedimiento sancionador a THOMAS
INTERNACIONAL SYSTEMS, con arreglo a lo dispuesto en los artículos 63 y 64 de la
LPACAP, por la presunta infracción del artículo 9 del RGPD, tipificada en el artículo
83.5.a) del citado Reglamento; y calificada como muy grave a efectos de prescripción
en el artículo 72.1.e) de la LOPDGDD.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
7/42
En el acuerdo de apertura se determinó que la sanción que pudiera corresponder,
atendidas las evidencias existentes en el momento de la apertura y sin perjuicio de lo
que resulte de la instrucción, ascendería a un total de 50.000 euros.
Asimismo, se advertía que las infracciones imputadas, de confirmarse, podrán
conllevar la imposición de medidas, según el citado artículo 58.2 d) del RGPD.
OCTAVO: Notificado el citado acuerdo de inicio conforme a las normas establecidas
en la LPACAP, THOMAS INTERNACIONAL SYSTEMS presentó escrito de
alegaciones en el que solicita el archivo del procedimiento o, subsidiariamente, que se
dirija un apercibimiento, en base a las consideraciones siguientes:
1. De las actuaciones de THOMAS INTERNACIONAL SYSTEMS.
La entidad THOMAS INTERNATIONAL SYSTEMS es una compañía española que
presta servicios a diferentes entidades en España consistentes en facilitar el uso de la
plataforma especializada en la evaluación, formación y consultoría de usuarios de
dichos clientes “www.***URL.1”. Las entidades clientes aceden a un área restringida
en la plataforma mediante usuario y contraseña y se ocupan de gestionar a los
candidatos, seleccionando a aquellos que realizaron las evaluaciones, y obteniendo
los informes finales realizados sobre dichas valuaciones.
En base a lo expuesto anteriormente, concluye que THOMAS INTERNATIONAL
SYSTEMS no ha realizado ningún tratamiento de datos personales de la parte
reclamante.
2. De las actuaciones de “Thomas”.
El “grupo Thomas International”, como grupo, y concretamente la compañía matriz
“Thomas International Limited LTD”, presta servicios de psicometría, evaluación,
formación y/o auditoría a aquellos clientes que lo contratan a través de la plataforma
www.***URL.1.
Dicha plataforma ofrece dichos servicios de evaluaciones de psicometría, cumpliendo
la totalidad de la legislación vigente, los más estrictos estándares internacionales de
psicometría, así como las más estrictas medidas de seguridad técnicas, organizativas
y jurídicas en general, y especialmente en materia de protección de datos y
psicometría.
Precisamente, una de las medidas adoptadas para garantizar el cumplimiento de los
estándares y normas internacionales de psicometría es el “Cuestionario de
investigación Thomas” objeto del presente procedimiento, que se realiza de forma
totalmente independiente a las evaluaciones de los usuarios: sólo una vez que
finalizan la evaluación y se cierra de forma irreversible, se le ofrece al usuario realizar
el “Cuestionario”. El usuario, puede optar por realizarlo o no, sin que tenga ningún
condicionamiento ni consecuencia su cumplimentación o no, ni sus respuestas, que no
son compartidas con las entidades clientes ni con terceros.
La única finalidad de este “Cuestionario” es poder cumplir con los estándares
internacionales de psicometría exigidos por las normativas y protocolos
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
8/42
internacionales; así como poder garantizar la fiabilidad de las evaluaciones y
cuestionarios demoscópicos que realiza “Thomas International” a través de su
plataforma.
Sobre este cuestionario se informa a los clientes a través del contrato de encargo del
tratamiento (cláusula 4ª). También a los usuarios que, antes de su cumplimentación
acceden a un aviso en el que se les indica que “Thomas International” es el
responsable del mismo, que tiene finalidad de investigación científica, de la
independencia y condicionalidad de realizarlo o no de toda evaluación que hubieran
realizado anteriormente, de la naturaleza anónima y confidencial en el tratamiento de
la información y que no se compartirá información alguna con la entidad o persona que
le hubiera invitado a realizar la evaluación (en ningún caso los datos recabados
mediante el “Cuestionario” son conocidos por los clientes de la plataforma ni otros
terceros y ni siquiera por aquellos partners o trabajadores del Grupo).
Sobre esta cuestión de la transparencia en el tratamiento de los datos que conlleva el
“Cuestionario”, THOMAS INTERNACIONAL SYSTEMS manifiesta que se ha
encargado a nuevos profesionales y a un nuevo DPD para que se perfeccione el
cumplimiento de la normativa de protección de datos. Aporta copia de la nueva
cláusula informativa, que consta reproducida en el Hecho Probado Segundo.
3. De la legitimidad del tratamiento del cuestionario.
El tratamiento de datos personales que se realiza en el “Cuestionario” objeto del
presente expediente se realiza de forma legítima y conforme a lo establecido en el
artículo 9.2 j) del RGPD, en relación con el artículo 89.1 del mismo Reglamento, y
demás normativa aplicable al sector al que se dedica la entidad.
La “compañía Internacional”, con anterioridad a la realización del “Cuestionario”, ha
tomado todas las medidas técnicas, organizativas y jurídicas necesarias para:
a) Realizar un tratamiento de datos de carácter sensible que obedece exclusivamente
a la finalidad de investigación científica y para cumplir con los requisitos exigidos en
los estándares y normas internacionales de psicometría, para poder garantizar la
fiabilidad requerida en sus evaluaciones (limitación de la finalidad), sin que la entidad
obtenga beneficio alguna de la realización del cuestionario.
b) Tratar, en todo caso, los datos mínimos posible para cumplir dichos fines y
necesidades. El “Cuestionario de investigación Thomas” se realiza por las mínimas
personas necesarias, durante el tiempo estrictamente necesario y se tratan los datos
estrictamente necesarios para el cumplimiento del fin indicado, cumpliéndose
escrupulosamente el principio de minimización de los datos y anonimización de los
datos identificativos. Aplica procesos robustos de seudo anonimización y
amonimización a sus tratamientos.
c) Aplicar todas las medidas técnicas, organizativas y jurídicas necesarias para un
correcto tratamiento de dicha información; estableciendo un robusto sistema de
minimización de la información, acceso restringido al personal profesional colegiado de
psicólogos, que han firmado debidamente los acuerdos de normas de uso de la
información, acuerdos de confidencialidad y códigos deontológicos necesarios; y
aplicando igualmente un sistema de anonimización de la información obtenida,
previamente testado y monitorizado continuamente.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
9/42
d) Aplicando igualmente robustos sistemas de seguridad, encriptando el
“Cuestionario”, aplicando las más altas medidas de seguridad que garanticen la
confidencialidad, integridad y disponibilidad de la información. Una vez
cumplimentado, el formulario es almacenado en servidores encriptados de la entidad,
con las más altas medidas de seguridad y de forma anonimizada en tres tablas. El
sistema ha obtenido los Certificados ISO 9001.
e) Analizar y evaluar previamente todos los posibles riesgo e incidencias, con
adopción de las medidas necesarias para evidenciar y/o mitigar toda incidencia, y
cumpliendo todas las medidas y/u obligaciones en materia de protección de datos, de
forma concreta los principios establecidos en el artículo 5 del RGPD.
f) Respetar el principio de exactitud de los datos: la necesidad de exactitud en las
evaluaciones que presta “Thomas” a través de su plataforma hace necesaria la
existencia del “Cuestionario de investigación Thomas”. Igualmente, se han establecido
todas las medidas necesarias para garantizar la exactitud en el proceso de recogida,
almacenamiento y conservación de los datos tratados.
g) Conservar los datos estrictamente para la finalidad descrita. Al anonimizarse los
datos y disgregarse de forma irreversible los datos identificativos de las respuestas
dadas, el plazo de conservación mínima está completamente garantizado, al ser
destruidos de forma segura e irreversible los datos personales de forma inmediata en
el sistema de las tres tablas. Por tanto, únicamente se tratan datos no personales que
cumplen la finalidad de investigación científica y cumplimiento de los estándares
científicos exigidos.
En relación con la licitud y lealtad del tratamiento de datos del cuestionario señala lo
siguiente:
Los datos requeridos a través del “Cuestionario”, entre los que se encuentran datos de
carácter sensible (como son la etnia y posibles discapacidades), resultan necesarios
en cumplimiento de lo requerido en los estándares y normativas internacionales de
psicometría; de tal forma que las evaluaciones realizadas en la plataforma midan con
rigor científico lo que dicen que hacen, lo hacen con precisión y lo hacen de forma
justa. Y, al mismo tiempo se garantice que cumplen con el sector demográfico correcto
y que no se realiza ninguna discriminación, tal y como requieren los estándares y
normas internacionales que se citan a continuación:
. El “Cuestionario” es validado de acuerdo con las Directrices de la Federación
Europea de Asociaciones de Psicólogos (FEAP) o EFPA en sus siglas en inglés
(European Federation Pshychologists Associations). La EFPA es una organización
europea de la que forman parte la mayoría de las asociaciones europeas de
psicología. Su modelo de revisión de pruebas se utiliza en toda Europa, y sirve como
herramienta para evaluar las evaluaciones psicométricas desde dos puntos de vista:
por un lado, para comprobar si un grupo o muestra es representativo de una población
más amplia y calcular la posición relativa en esa muestra de los examinados; y por
otro lado, para asegurar la equidad de la prueba.
. Comisión Internacional de Pruebas (ITC), Directrices sobre el uso de pruebas, que
también hacen referencia a la equidad de las pruebas, si son justas para su uso con
diversos grupos; y a la necesidad de controlar los cambios en la población mediante la
información demográfica que proporcionan las personas que completan las pruebas.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
10/42
. Código de conducta de la Asociación de Psicología Empresarial ***URL.2.
Añade que la información recabada es necesaria, según el mencionado formulado
demoscópico (CIT o ITC en sus siglas en inglés), ya que permite asegurar, mediante
estudios estadísticos anonimizados, que sus herramientas de evaluación psicométrica
(personalidad, inteligencia, aptitudes, inteligencia emocional, etc.) no discriminan a las
personas evaluadas, precisamente por razones de etnia o discapacidad, entre otras
circunstancias. Por tanto, entiende que “Thomas International”, como diseñadora de
evaluaciones y cuestionarios, queda legitimada y amparada en sus objetivos por el
art.89.1 del RGPD, que acepta la recopilación de datos con fines de investigación y
estadísticos globales, con la garantía de que estos datos estén anonimizados y resulte
imposible que puedan ser asociados a un candidato concreto, mediante el mencionado
CIT.
La pertinencia de la actividad de “Thomas International” y su encuesta CIT se basa en
las exigencias de garantizar buenas prácticas en el diseño, desarrollo y seguimiento
de pruebas psicométricas, de acuerdo a los estándares definidos por la BPS (British
Psychological Society), la EFPA (European Federation Pshychologists Associations) o
el COP (Colegio Oficial de Psicólogos), que velan por las buenas prácticas en
psicometría, certifican la validez y fiabilidad de un test y exigen que los estándares de
calidad se mantengan actualizados mediante estudios macro estadísticos paralelos a
lo largo de la vida técnica de estas pruebas, recurriendo a metaanálisis estadísticos
obligadamente anonimizados, globales y longitudinales. Recientemente ha surgido una
nueva norma de aplicación en este ámbito, ISO.30414 Gestión de Recursos Humanos,
que redunda en la exigencia de la realización de un uso adecuado de las pruebas
psicométricas, así como en el requisito del poder discriminador de las mismas.
Además, añade que “Thomas International” realizó los análisis y evaluaciones de
impacto necesarias, habiendo valorado la proporcionalidad del tratamiento de datos y
necesidad de los mismos para la investigación científica, antes de confeccionar las
evaluaciones de la plataforma.
Asimismo, tanto las evaluaciones como los cuestionarios han sido diseñados
exclusivamente por prestigiosos profesionales de psicología colegiados que
desarrollan su actividad en “Thomas International”, que son los que tratan en exclusiva
los datos del cuestionario. Estos profesionales están acogidos a acuerdos de
confidencialidad y al estricto cumplimiento de los estándares y normativas
internacionales de psicometría.
4. Teniendo en cuenta que (…) sin discriminación alguna, no sufrió infracción o daño
(…), sin haber expresado objeción alguna del tratamiento del “Cuestionario de
investigación Thomas”; que Agroxarxa no conoció si el interesado realizó o no dicho
“Cuestionario” ni qué contestó; que “Thomas International” no ha obtenido ningún
beneficio ni causado perjuicio; y no ha tenido reclamación ni incidencia alguna;
entiende THOMAS INTERNACIONAL SYSTEMS que no existe infracción y/o
incumplimiento en materia de protección de datos.
5. De la inexistencia de ilicitud en el tratamiento de información: entiende, asimismo,
THOMAS INTERNACIONAL SYSTEMS que se realiza un tratamiento de datos
personales de carácter sensible conforme al artículo 9.2 j) del RGPD; y una vez se han
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
11/42
anonimizado los datos; por tanto, no se puede considerar que hay un tratamiento de
datos personales.
6. De la falta de intencionalidad y/o culpa de “Thomas International”: para que exista
una infracción sancionable, debe concurrir no solo un hecho antijurídicos sino una
intencionalidad en la comisión u omisión que la provoque, tal y como se recoge en las
Resoluciones y Sentencias de la Audiencia Nacional de 25/02/2010, (la cual establece
que no es admisible en derecho administrativo sancionador de la responsabilidad
objetiva, que está proscrita, después de la STC 76/1999; Sentencia de la Audiencia
Nacional 29/04/2010), 29/04/2020, 19/10/2010 y 10/02/2011.
“Thomas International” ha tenido una actitud proactiva y cumplidora de sus
obligaciones en materia de protección de datos en todos los tratamientos que realiza,
aplicando los más altos estándares de seguridad en sus tratamientos.
7. De la inexistencia de gravedad de “Thomas International”: en el hipotético caso que
se considere que “Thomas International” no ha informado correctamente, de forma
subsidiaria, la actitud de “Thomas International” no puede ser sancionada con una
infracción grave, ya que todas las indicadas circunstancias que se dan en el presente
caso y que han quedado acreditadas, conllevan a determinar la total inexistencia de
infracción grave.
Además, a raíz de lo conocido en el presente caso, ha tomado medidas adicionales
para evitar cualquier incidencia o infracción, tales como nombrar a un nuevo Delegado
de Protección de Datos de contrastada experiencia y conocimientos (ANEXO Nº 15);
iniciar un nuevo análisis de riesgos y evaluación de impacto sobre los tratamientos de
datos personales con el fin de identificar posibles riesgos y aplicar las medidas
necesarias para evitar y/o mitigar sus daños; redactar cláusulas informativas nuevas
sobre el tratamiento que se realiza en el “Cuestionario de investigación Thomas”;
reforzar la información y formación de todos los agentes implicados en los tratamientos
de datos personales, como los clientes, personal psicológico colegiado y personal
tecnológico, personas que aceptan realizar las evaluaciones y cuestionarios.
Por tanto, considera que debe tenerse en cuenta lo establecido en el Considerando
148 del RGPD, según se recoge en las resoluciones de la AEPD siguientes:
a) En la Resolución dictada en el procedimiento E/00660/2020, relativo a una
infracción muy grave por tratamiento de datos ilícito, se archivan las actuaciones por la
adecuación a la normativa llevada a cabo antes de la presentación de la reclamación
ante la AEPD.
b) En los procedimientos señalados con los números PS/00077/2021 y
PS/00416/2020, relativos a infracciones graves por brechas de seguridad de la
información, se sanciona con apercibimiento por las medidas adoptadas para resolver
el problema y por la suspensión de la web implicada en los hechos, que fue migrada a
otro servidor, adoptándose medidas para evitar hechos similares a los que motivaron
la reclamación.
c) En las actuaciones seguidas con el número E/05039/2018, el procedimiento
sancionador se transforma en archivo atendiendo a las medidas adoptadas para
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
12/42
solucionar el problema y por la escasa relevancia de las deficiencias.
d) En el caso de los procedimientos PS/00040/2021, PS/00041/2021, PS/00067/2021,
PS/00071/2021, PS/00240/2020, PS/00366/2020, PS/00285/2020, PS/00311/2020,
PS/00355/2020, PS/00371/2020, PS/00381/2020, PS/00399/2020, PS/00414/2020,
PS/00441/2020, PS/00453/2020, PS/00454/2020, PS/00455/2020, PS/00457/2020 y
PS/00490/2020, el procedimiento sancionador se transforma en apercibimiento en
base a fundamentos como los que se expresan a continuación:
. Se constata que la parte reclamada actualizó la información.
. Se elabora la Política de Privacidad después de la reclamación.
. El consentimiento es expreso porque el tratamiento de los datos está basado en el
consentimiento que se otorga rellenando y enviando el formulario y al marcar la casilla
aceptando el tratamiento de datos (PS/00040/2021).
. La multa se considera desproporcionada para la parte reclamada, cuya actividad
principal no está directamente vinculada al tratamiento de datos personales, y que no
consta la comisión de ninguna infracción anterior en materia de protección de datos
(PS/00041/2021 y otros).
. Se atiende a lo dispuesto en el artículo 58.2 del RGPD (PS/00067/2021 y otros)
. Ausencia de intencionalidad; adopción de medidas para que se cumpla con el RGPD;
nombramiento de un DPD; no hay reincidencia; se han adoptado medidas adecuadas
y razonables para evitar incidencias como la parte reclamada (PS/00071/2021).
. Subsanación, una vez iniciado el expediente, de la deficiencia apreciada en el
formulario existente en la web y aceptación de las condiciones de privacidad antes del
envío de dicho formulario y habilitación de una casilla para consentir el envío de
comunicaciones comerciales (PS/00311/2020).
. No consta ninguna infracción anterior en materia de protección de datos.
. Se modificaron convenientemente las políticas de privacidad.
Finalmente, destaca que tiene una actitud proactiva; todo su personal está
debidamente formado; su actividad no ha producido daños a los derechos de los
interesados, que no ha recibido ninguna reclamación ni incidencia ni brecha de
seguridad hasta la fecha; y que, al tener conocimiento del asunto, ha iniciado una
revisión de sus protocolos, análisis y evaluaciones, y ha procedido a nombrar
especialistas contrastados en la materia.
Con sus alegaciones aporta la documentación siguiente:
. Contrato suscrito con Agroxarxa.
. Contrato de partner entre “Thomas IS” y “Thomas LTD”.
. Explicación del proceso de anonimización y minimización en tres tablas que se
realiza del “Cuestionario de investigación Thomas”.
. Protocolos y política de seguridad aplicados, entre los que figura una versión de la
Política de Privacidad de fecha 31/03/2020.
. Directrices EFPA.
. Directrices ICT.
. Código de Conducta.
. Resumen ejecutivo sobre las prácticas de Thomas International y el cumplimiento del
RGPD.
. Protocolo para la confección de test para Dislexia y Pruebas Ocupacionales.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
13/42
. Código Deontológico.
. Contrato de psicólogos.
HECHOS PROBADOS
PRIMERO: La entidad THOMAS INTERNACIONAL SYSTEMS presta servicios de
evaluación y consultoría en procesos de selección de personal llevados a cabo por las
entidades que contratan dichos servicios.
La evaluación de los candidatos por parte de THOMAS INTERNACIONAL SYSTEMS
requiere que estos cumplimenten unos test o encuestas de comportamiento accesibles
a través de la web de dicha entidad, “***URL.1”, para, a partir de la información
obtenida, valorar la idoneidad de la persona candidata al puesto de trabajo ofertado.
La entidad que convoca el proceso de selección realiza una preselección de los
candidatos que deberán ser evaluados por THOMAS INTERNACIONAL SYSTEMS.
Estos candidatos finalistas reciben de esta última entidad un correo electrónico con las
instrucciones para acceder a su plataforma, al “área de candidatos”, y poder realizar la
encuesta. Se facilitan el nombre de usuario y la contraseña que deberá utilizar para el
acceso y se incluye un enlace para comenzar la evaluación; y otros que conducen a la
información disponible sobre el “área de candidatos” y a la Política de Privacidad
disponible en la web “***URL.1”.
Como resultado de la prestación del servicio, THOMAS INTERNACIONAL SYSTEMS
aporta a las entidades clientes un informe o perfil sobre competencias y habilidades de
la persona candidata.
SEGUNDO: Una vez los candidatos finalizan la cumplimentación de los test
necesarios para llevar a cabo la evaluación, THOMAS INTERNACIONAL SYSTEMS
les solicita la cumplimentación de un nuevo cuestionario, que denomina “Cuestionario
de Investigación de Thomas”, el cual incluye interrogantes relativos a sexo, año de
nacimiento, discapacidad, etnia, idioma materno, nivel de estudios, estado laboral
actual, sector en el que trabaja actualmente, función actual, nivel actual de mando,
nivel de felicidad en el puesto (con escala del 1 al 7), calificación de su trabajo (con
escala del 1 al 7), descripción de la discapacidad (campo de texto) y consideración
sobre el liderazgo. Para responder cada cuestión, excepto para la descripción de la
discapacidad, se muestra un desplegable con las opciones que el interesado puede
seleccionar, incluida la opción “prefiero no contestar”.
Con carácter previo a la cumplimentación de este “Cuestionario”, se ofrecía a los
interesados la siguiente información en materia de protección de datos personales:
“Gracias por completar el formulario.
Se ha enviado una notificación a la persona que le invitó a realizar la evaluación. Por favor,
contacte con él para más información sobre esta evaluación Thomas.
Bienvenido/a al Cuestionario de Investigación de Thomas.
En Thomas International, estamos comprometidos con la mejora continua de nuestras
evaluaciones. Como parte de nuestra iniciativa de investigación y desarrollo, le pedimos que
nos proporcione información para ayudarnos a mejorar nuestras evaluaciones. La información
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
14/42
recopilada se usará solo para propósitos de investigación y no se le facilitará a su empleador.
Nuestros psicólogos se rigen por directrices éticas y toda la información que recopilemos será
confidencial y solo se reportarán resultados globales. La participación es enteramente
voluntaria y podrá optar por saltarse cualquier pregunta que no quiera contestar”.
Después del texto informativo se incluyen los botones “No estoy de acuerdo” y
“Siguiente”.
La entidad THOMAS INTERNACIONAL SYSTEMS, con ocasión del trámite de
alegaciones a la apertura del procedimiento, ha informado que la cláusula informativa
anterior ha sido modificada, quedando como sigue:
“Gracias por completar el formulario.
Se ha enviado una notificación a la persona que le invitó a realizar la evaluación. Por favor,
contacte con él para más información sobre esta evaluación Thomas.
Bienvenido/a al Cuestionario de Investigación de Thomas.
En Thomas International estamos comprometidos con la mejora continua de nuestras
evaluaciones. Como parte de esto, Thomas International, como responsable del control de los
datos, lleva a cabo regularmente investigaciones para garantizar que nuestras evaluaciones
sean válidas, fiables y, sobre todo, justas. Esto nos permite asegurar que nos adherimos a las
normas internacionales de mejores prácticas. Le agradeceríamos que nos ayudara en esta
importante investigación rellenando el siguiente cuestionario.
La cumplimentación del cuestionario es voluntaria e independiente de la persona que le ha
pedido que realice la evaluación. En ningún caso se facilitará la información de este
cuestionario a la persona que le invitó a realizar la evaluación mencionada. La información
recogida en este cuestionario se utilizará únicamente con fines de investigación científica, será
tratada únicamente por los psicólogos registrados de Thomas International y será tratada de
forma anónima. Para ejercer sus derechos y/o para obtener más información, consulte nuestra
política de privacidad (***URL.3), o póngase en contacto con nuestro Responsable de
Protección de Datos en ***EMAIL.1.Nuestros psicólogos se rigen por directrices éticas y toda la
información que recopilamos se mantendrá confidencial y solo se comunicarán los resultados
agregados anonimizados. La participación es totalmente voluntaria y puede optar por omitir
cualquier pregunta que no desee responder”.
Después del texto informativo se incluyen los botones “No estoy de acuerdo” y
“Siguiente”.
TERCERO: Para formalizar la prestación de los servicios reseñados en el Hecho
Probado Primero, la entidad ha dispuesto un formulario denominado “Acuerdo de
tratamiento de datos” que suscribe con sus clientes.
De las estipulaciones contenidas en este acuerdo, el cual se declara reproducido a
efectos probatorios, cabe reseñar las siguientes:
Antecedentes
(...)
(...)
(…)
(…)
Obligaciones de Thomas
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
15/42
(…):
(…);
(…);
(…);
(…)
Investigación
(…):
(…);
(…);
(…).
(...)”.
CUARTO: La Política de Privacidad disponible en la web “***URL.1”, en su versión de
fecha 03/07/2019, incluye la información siguiente:
“1.3 ¿Actuamos siempre como responsables del tratamiento de datos? Si bien Thomas actúa a
menudo como responsable del tratamiento de datos, en algunas de nuestras actividades
también podemos actuar como encargado o subencargado del tratamiento de datos…
Entre los ejemplos de casos en los que Thomas actúa como responsable del tratamiento de
datos se incluyen, entre otros, los siguientes:
(…)
. Tratamiento de los datos personales de los candidatos con fines de investigación.
. Tratamiento de los datos personales de los candidatos para crear una forma anonimizada de
los datos personales…
2.5 ¿Utilizamos datos personales en nuestra investigación?
Nos comprometemos a mejorar continuamente nuestras evaluaciones. Para ello, pedimos a los
candidatos que nos faciliten información adicional, como la franja de edad, el nivel educativo, el
origen étnico y cuestiones similares. El suministro de esta información es voluntario y no es
necesario para completar una evaluación.
Cuando tratamos cualquiera de estos datos personales para la investigación, lo hacemos como
responsable del tratamiento de datos.
Toda información personal que se nos facilite para investigación se utilizará exclusivamente
con fines de investigación y no se revelará a terceros. Tanto durante como después de que
nuestros psicólogos evalúen su información personal, la almacenaremos con seguridad y con
la máxima confianza. Si compartimos nuestros resultados con terceros, solo se compartirán los
resultados anónimos y agregados de los cuales no se puede identificar ningún individuo.
2.6 En caso de que seamos responsables del tratamiento de datos: ¿Qué fundamento jurídico
tenemos para utilizar sus datos personales?
(…)
. usted ha dado su consentimiento para utilizar sus datos personales;
. el uso que hacemos de sus datos personales redunda en nuestro legítimo interés como
organización comercial; en estos casos, trataremos su información en todo momento de
manera proporcionada y respetuosa con su derecho a la intimidad. También tendrá derecho a
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
16/42
oponerse al tratamiento, tal como se explica en la sección 7;
. el uso de sus datos personales es necesario para ejecutar un contrato o tomar medidas para
celebrar un contrato con usted; o
. nuestro uso de sus datos personales es necesario para cumplir una obligación legal o
reglamentaria pertinente…” (Traducción no oficial).
El contenido de los apartados transcritos es similar al incluido en la versión de la
Política de Privacidad de fecha 31/03/2020, aportada a las actuaciones por THOMAS
INTERNACIONAL SYSTEMS.
QUINTO: Agroxarxa convocó un proceso de selección de personal y contrató los
servicios de THOMAS INTERNACIONAL SYSTEMS para que realizara las
evaluaciones de los candidatos preseleccionados por Agroxarxa. Con este motivo,
ambas entidades suscribieron un contrato (“Acuerdo de tratamiento de datos”) en
fecha 30/05/2018, en los términos señalados en el Hecho Probado Tercero.
SEXTO: La parte reclamante participó en un proceso de selección de personal
convocado por Agroxaxa indicado en el Hecho Probado Quinto y fue seleccionado
como finalista para que fuese evaluado por THOMAS INTERNACIONAL SYSTEMS.
Después de realizar las encuestas dispuestas para llevar a cabo esta evaluación a
través de la web “***URL.1”, le fue solicitada la cumplimentación del “Cuestionario de
Investigación de Thomas”, mediante el que la parte reclamada facilitó los datos
siguientes:
. Sexo: “XXXXXX”.
. Año de nacimiento: “XXXX”.
. Discapacidad: “XX”.
. Etnia: “XXXXXXXXXXX”.
FUNDAMENTOS DE DERECHO
I
En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de
control, y según lo establecido en los artículos 47 y 48 de la Ley Orgánica 3/2018, de 5
de diciembre, de Protección de Datos Personales y garantía de los derechos digitales
(en adelante LOPDGDD), la Directora de la Agencia Española de Protección de Datos
es competente para iniciar y para resolver este procedimiento.
El artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la
Agencia Española de Protección de Datos se regirán por lo dispuesto en el RGPD, en
la presente ley orgánica, por las disposiciones reglamentarias dictadas en su
desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas
generales sobre los procedimientos administrativos”.
II
La reclamación que ha motivado las presentes actuaciones cuestiona el tratamiento de
datos personales relativos a etnia y discapacidad realizado por THOMAS
INTERNACIONAL SYSTEMS durante el proceso de selección de candidatos a un
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
17/42
puesto de trabajo ofertado por la entidad Agroxarxa, constituyendo esta cuestión el
objeto único del presente procedimiento.
Así, las conclusiones que deriven del procedimiento no suponen ningún
pronunciamiento respecto de cuestiones ajenas a dicho objeto.
III
El proceso de selección de personal (…) comienza con la publicación, por esta
entidad, de y con el siguiente examen del perfil de los candidatos que se han
interesado por el puesto para seleccionar las personas finalistas, a las que se pide que
completen una “encuesta de comportamiento”.
Esta “encuesta de comportamiento” se realiza a través de la plataforma de la entidad
THOMAS INTERNACIONAL SYSTEMS. Se trata de unas pruebas psicológicas que
valoran la inteligencia, personalidad, inteligencia emocional y el potencial de los
candidatos.
THOMAS INTERNACIONAL SYSTEMS envía un correo al candidato con el acceso a
su plataforma. En este correo advierte que el motivo es realizar una evaluación de
comportamiento para Agroxarxa, le indica el enlace para acceder a la plataforma, así
como el usuario y contraseña que debe emplear. Además, le indica los enlaces para
acceder a la información contenida en el área de candidatos y la política de privacidad.
Como resultado de esta actuación, THOMAS INTERNACIONAL SYSTEMS remite a
Agroxarxa un informe sobre el perfil de competencias y habilidades de la persona
candidata.
El proceso de selección termina con una entrevista final que realiza Agroxarxa.
Las tareas que THOMAS INTERNACIONAL SYSTEMS realiza en el marco de este
proceso le fueron encargadas por Agroxarxa mediante contrato de prestación de
servicios suscrito por ambas entidades. Dicho contrato incluye un “Acuerdo de
tratamiento de datos”, formalizado en fecha 30/05/2018, el cual define el rol de
THOMAS INTERNACIONAL SYSTEMS como encargada del tratamiento y señala que
dicha entidad sigue las instrucciones de Agroxarxa, la cual interviene en calidad de
responsable del tratamiento.
Las figuras de “responsable del tratamiento” y “encargado del tratamiento” se definen
en el artículo 4 del RGPD como sigue:
. “Responsable del tratamiento o responsable: la persona física o jurídica, autoridad pública,
servicio u otro organismo que, solo o junto con otros, determine los fines y medios del
tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios
del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento
podrá establecerlos el Derecho de la Unión o de los Estados miembros”.
. “Encargado del tratamiento o encargado: la persona física o jurídica, autoridad pública,
servicio u otro organismo que trate datos personales por cuenta del responsable del
tratamiento”.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
18/42
El artículo 24 del RGPD, referido a la “Responsabilidad del responsable del
tratamiento”, establece lo siguiente:
“1. Teniendo en cuenta la naturaleza, el ámbito, el contexto y los fines del tratamiento así como
los riesgos de diversa probabilidad y gravedad para los derechos y libertades de las personas
físicas, el responsable del tratamiento aplicará medidas técnicas y organizativas apropiadas a
fin de garantizar y poder demostrar que el tratamiento es conforme con el presente
Reglamento. Dichas medidas se revisarán y actualizarán cuando sea necesario.
2. Cuando sean proporcionadas en relación con las actividades de tratamiento, entre las
medidas mencionadas en el apartado 1 se incluirá la aplicación, por parte del responsable del
tratamiento, de las oportunas políticas de protección de datos…”.
El Informe 0064/2020 del Gabinete Jurídico de la AEPD ha expresado con rotundidad
que “El RGPD ha supuesto un cambio de paradigma al abordar la regulación del
derecho a la protección de datos personales, que pasa a fundamentarse en el
principio de “accountability” o “responsabilidad proactiva” tal y como ha señalado
reiteradamente la AEPD (Informe 17/2019, entre otros muchos) y se recoge en la
Exposición de motivos de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de
Datos Personales y garantía de los derechos digitales (LOPDGDD)”.
Sigue diciendo el citado informe lo siguiente:
“…los criterios sobre cómo atribuir los diferentes roles siguen siendo los mismos (apartado 11),
reitera que se trata de conceptos funcionales, que tienen por objeto asignar responsabilidades
de acuerdo con los roles reales de las partes (apartado 12), lo que implica que en la mayoría
de los supuestos deba atenderse a las circunstancias del caso concreto (case by case)
atendiendo a sus actividades reales en lugar de la designación formal de un actor como
"responsable" o "encargado" (por ejemplo, en un contrato), así como de conceptos autónomos,
cuya interpretación debe realizarse al amparo de la normativa europea sobre protección de
datos personales (apartado 13), y teniendo en cuenta (apartado 24) que la necesidad de una
evaluación fáctica también significa que el papel de un responsable del tratamiento no se
deriva de la naturaleza de una entidad que está procesando datos sino de sus actividades
concretas en un contexto específico…”.
Los conceptos de responsable y encargado de tratamiento no son formales, sino
funcionales y deben atender al caso concreto.
El responsable del tratamiento lo es desde el momento que decide los fines y los
medios del tratamiento, no perdiendo tal condición por el hecho de dejar cierto margen
de actuación al encargado del tratamiento o por no tener acceso a las bases de datos
del encargado.
Así se expresa indubitadamente en las Directrices 07/2020 del Comité Europeo de
Protección de Datos (CEPD) sobre los conceptos de responsable del tratamiento y
encargado en el RGPD:
“Un responsable del tratamiento es quien determina los propósitos y los medios del
tratamiento, es decir, el porqué y el cómo del tratamiento. El responsable del tratamiento debe
decidir sobre ambos propósitos y medios. Sin embargo, algunos aspectos más prácticos de la
implementación ("medios no esenciales") se pueden dejar en manos del encargado del
tratamiento. No es necesario que el responsable tenga realmente acceso a los datos que se
están tratando para calificarse como responsable” (la traducción es nuestra).
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
19/42
En el presente caso, consta que Agroxarxa es responsable de los tratamientos de
datos personales que tienen causa en el proceso de selección de personal en el que
participó la parte reclamante, toda vez que, conforme define el artículo 4.7 del RGPD,
es la entidad que determina la finalidad y medios de los tratamientos realizados. En su
condición de responsable del tratamiento está obligada a cumplir con lo dispuesto en
el transcrito artículo 24 del RGPD y, en especial, lo relativo al control efectivo y
continuado de las “medidas técnicas y organizativas apropiadas a fin de garantizar y
poder demostrar que el tratamiento es conforme con el presente Reglamento”, entre
las que se encuentran las dispuestas en el artículo 28 del RGPD en relación con el
encargado del tratamiento que actúe en nombre y por cuenta del responsable.
Agroxarxa es responsable del tratamiento de los datos que tenga como finalidad
resolver el proceso de selección incluso aunque no tenga acceso a dichos datos. En
este sentido, en las Directrices 07/2020 del Comité Europeo de Protección de Datos
(CEPD), sobre los conceptos de responsable del tratamiento y encargado en el RGPD,
se indica que “42. No es necesario que el responsable del tratamiento tenga realmente
acceso a los datos que se están procesando. Quien externalice una actividad de
tratamiento y, al hacerlo, tenga una influencia determinante en la finalidad y los
medios (esenciales) del tratamiento (por ejemplo, ajustando los parámetros de un
servicio de tal manera que influya en cuyos datos personales serán tratados), debe ser
considerado como responsable aunque nunca tendrá acceso real a los datos” (la
traducción es nuestra).
Por otra parte, la existencia de un encargado del tratamiento depende de una decisión
adoptada por el responsable del tratamiento, que podrá decidir realizar por si mismo
determinadas operaciones de tratamiento o contratar la totalidad o parte del
tratamiento con un encargado.
La esencia de la función del encargado el tratamiento es que los datos personales
sean tratados en nombre y por cuenta del responsable del tratamiento. En la práctica,
es el responsable el que determina la finalidad y los medios, al menos los esenciales,
mientras que el encargado del tratamiento tiene la función de prestar servicios a los
responsables del tratamiento. En otras palabras, “actuando en nombre y por cuenta
del responsable del tratamiento” significa que el encargado del tratamiento está al
servicio del interés del responsable del tratamiento en llevar a cabo una tarea
específica y que, por tanto, sigue las instrucciones establecidas por éste, al menos en
lo que se refiere a la finalidad y a los medios esenciales del tratamiento encomendado.
El responsable del tratamiento es quien tiene la obligación de garantizar la aplicación
de la normativa de protección de datos y la protección de los derechos de los
interesados, así como ser capaz de demostrarlo (artículos 5.2, 24, 28 y 32 del RGPD).
El control del cumplimiento de la legalidad se extiende durante todo el tratamiento,
desde el principio hasta el final. El responsable del tratamiento debe actuar, en
cualquier caso, de forma diligente, consciente, comprometida y activa.
Ese mandato del legislador es independiente de que el tratamiento lo realice
directamente el responsable del tratamiento o de que lo efectúe valiéndose de un
encargado del tratamiento.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
20/42
Además, el tratamiento ejecutado materialmente por un encargado de tratamiento por
cuenta del responsable del tratamiento pertenece a la esfera de actuación de éste
último, de igual forma que si lo realizara directamente él mismo. El encargado de
tratamiento, en el supuesto examinado, es una extension del responsable del
tratamiento, y solo puede realizar tratamientos sobre las instrucciones documentadas
del responsable, a menos que esté obligado a hacerlo por el Derecho de la Unión o de
un Estado miembro, que no es el caso (artículo 29 del RGPD).
Por tanto, el responsable del tratamiento debe establecer modalidades claras para
dicha asistencia y dar instrucciones precisas al encargado del tratamiento sobre cómo
cumplirlas de forma adecuada y documentarlo previamente a través de un contrato o
bien en otro acuerdo (vinculante) y comprobar en todo momento del desarrollo del
contrato su cumplimiento en la forma establecida en el mismo.
Solo el encargado del tratamiento será plenamente responsable cuando sea
enteramente responsable de los perjuicios ocasionados en cuanto a los derechos y
libertades de los interesados afectados.
Al establecer la responsabilidad del encargado del tratamiento en la comisión de
infracciones al RGPD, su artículo 28.10 también atiende al criterio de la determinación
de los fines y medios del tratamiento. De acuerdo con este artículo, si el encargado
determina los fines y medios del tratamiento será considerado responsable del mismo:
“10. Sin perjuicio de lo dispuesto en los artículos 82, 83 y 84, si un encargado del tratamiento
infringe el presente Reglamento al determinar los fines y medios del tratamiento, será
considerado responsable del tratamiento con respecto a dicho tratamiento”.
En el presente caso, la correcta calificación jurídica con arreglo al RGPD de THOMAS
INTERNACIONAL SYSTEMS es de encargada del tratamiento, toda vez que actúa en
nombre y por cuenta de Agroxarxa.
Sin embargo, las actuaciones han puesto de manifiesto que THOMAS
INTERNACIONAL SYSTEMS realiza, en su propio beneficio, tratamiento de datos
personales de los candidatos al puesto ofertado por Agroxarxa o, en general, por
cualquier otro cliente. Respecto de estos tratamientos, THOMAS INTERNACIONAL
SYSTEMS determina los medidos y los fines y ostenta la condición de responsable del
tratamiento, según lo dispuesto en el citado artículo 28.10 del RGPD.
Al realizar las encuestas de comportamiento encargadas por Agroxarxa, la entidad
THOMAS INTERNACIONAL SYSTEMS incluye un “Cuestionario” para que sea
cumplimentado por los aspirantes al puesto de trabajo mediante el que se solicita a los
interesados datos personales relativos a sexo, año de nacimiento, discapacidad, etnia,
idioma materno, nivel de estudios, estado laboral actual, sector en el que trabaja
actualmente, función actual, nivel actual de mando, nivel de felicidad en el puesto (con
escala del 1 al 7), calificación de su trabajo (con escala del 1 al 7), descripción de la
discapacidad (campo de texto) y consideración sobre el liderazgo. Para responder
cada cuestión, excepto para la descripción de la discapacidad, se muestra un
desplegable con las opciones que el interesado puede seleccionar (en el
“Cuestionario” concreto aportado por la parte reclamante aparecen seleccionadas las
opciones siguientes: Sexo: “XXXXX”; Año de nacimiento: “XXXX”; Discapacidad:
“XX”; Etnia: “XXXXXXXXXXX”).
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
21/42
Es THOMAS INTERNACIONAL SYSTEMS quien decide la recogida de estos datos
personales y su utilización con finalidades propias (fines de investigación y mejora de
las evaluaciones), en su propio beneficio. En definitiva, es dicha entidad quien
determina llevar a cabo estas operaciones de tratamiento de datos personales. Es lo
mismo que decir que THOMAS INTERNACIONAL SYSTEMS es la entidad que
determina por qué (la finalidad) y cómo (los medios) se tratan tales datos personales
para alcanzar el propósito que se pretende.
En cuanto a los “medios del tratamiento”, las Directrices 07/2020 del Comité Europeo
de Protección de Datos (CEPD) sobre los conceptos de responsable del tratamiento y
encargado en el RGPD, ya citadas, señalan lo siguiente:
“Por lo que respecta a la determinación de los medios, se puede hacer una distinción entre
medios esenciales y no esenciales. Los "medios esenciales" están tradicional e inherentemente
reservados al responsable del tratamiento. Mientras que los medios no esenciales también
pueden ser determinados por el encargado, los medios esenciales deben ser determinados por
el responsable del tratamiento. "Medios esenciales" son los medios que están estrechamente
relacionados con la finalidad y el alcance del tratamiento, como el tipo de datos personales que
se tratan ("¿qué datos se tratarán?"), la duración del tratamiento ("¿durante cuánto tiempo se
tratarán?"), las categorías de destinatarios ("¿quién tendrá acceso a ellos?") y las categorías
de interesados ("cuyos datos personales están siendo procesados"). Junto con la finalidad del
tratamiento, los medios esenciales también están estrechamente relacionados con la cuestión
de si el tratamiento es legal, necesario y proporcionado. Los "medios no esenciales" se refieren
a aspectos más prácticos de la aplicación, tales como la elección de un tipo particular de
software o las medidas de seguridad detalladas que pueden dejarse al encargado del
tratamiento para que decida” (la traducción es nuestra).
THOMAS INTERNACIONAL SYSTEMS ostenta la condición de responsable del
tratamiento respecto de la recogida y utilización de los datos personales relativos a
etnia y discapacidad a los que se refiere la reclamación, tal y como esa misma entidad
ha reconocido y según consta acreditado por la documentación incorporada a las
actuaciones.
El “Acuerdo de tratamiento de datos” formalizado por Agroxarxa y THOMAS
INTERNACIONAL SYSTEMS, antes referido, contempla en su estipulación 4 la
utilización de datos personales como responsable por parte de THOMAS
INTERNACIONAL SYSTEMS con fines de investigación. Se dice expresamente:
“Thomas puede actuar como un controlador de datos en relación con los Datos personales
de la Compañía y dicho procesamiento puede realizarse únicamente con Propósitos de
investigación permitidos”.
Asimismo, en la Política de Privacidad disponible en la web “***URL.1” se obtiene la
información siguiente:
2.5 ¿Utilizamos datos personales en nuestra investigación?
Nos comprometemos a mejorar continuamente nuestras evaluaciones. Para ello, pedimos a los
candidatos que nos faciliten información adicional, como la franja de edad, el nivel educativo, el
origen étnico y cuestiones similares. El suministro de esta información es voluntario y no es
necesario para completar una evaluación.
Cuando tratamos cualquiera de estos datos personales para la investigación, lo hacemos como
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
22/42
responsable del tratamiento de datos.
Toda información personal que se nos facilite para investigación se utilizará exclusivamente
con fines de investigación y no se revelará a terceros…” (Traducción no oficial).
También se deduce esta condición de responsable del tratamiento de la respuesta
facilitada por THOMAS INTERNACIONAL SYSTEMS a los Servicios de Inspección de
esta Agencia, cuando señala que los datos de origen étnico y discapacidad no forman
parte de la evaluación psicométrica ni afectan a los resultados obtenidos por el
candidato en su evaluación; y que dicha información se usa por el equipo de “Thomas
International Sciences” para asegurar que sus herramientas de evaluación
psicométrica se diseñan de tal forma que no discriminen a las personas evaluadas.
Con esta respuesta, dicha entidad aportó copia del “Cuestionario” cuya
cumplimentación solicita a los interesados (candidatos al puesto ofertado) y la
información previa que les. En esta información se refieren al formulario como
“Cuestionario de investigación Thomas” y advierten que los datos se utilizarán con
propósitos de investigación, para mejorar sus evaluaciones.
Por otra parte, la entidad Agroxarxa ha informado que no recaba datos de etnia y
discapacidad, que estos datos no se recogen por THOMAS INTERNACIONAL
SYSTEMS para Agroxarxa ni se le facilitan las respuestas contenidas en el formulario
en cuestión. Asimismo, ha declarado que THOMAS INTERNACIONAL SYSTEMS
utiliza el mismo formulario para todos sus clientes.
THOMAS INTERNACIONAL SYSTEMS, en sus alegaciones a la apertura del
procedimiento, no ha cuestionado los argumentos anteriores, que ya se exponían en
dicho acuerdo de apertura.
IV
Los datos personales relativos a etnia y discapacidad, por su naturaleza, pertenecen a
categorías especiales de datos, reguladas en el artículo 9 del RGPD, que establece
una prohibición general de su tratamiento. En este artículo se dispone lo siguiente:
“Tratamiento de categorías especiales de datos personales
1. Quedan prohibidos el tratamiento de datos personales que revelen el origen étnico o racial, las
opiniones políticas, las convicciones religiosas o filosóficas, o la afiliación sindical, y el
tratamiento de datos genéticos, datos biométricos dirigidos a identificar de manera unívoca a una
persona física, datos relativos a la salud o datos relativos a la vida sexual o la orientación sexual
de una persona física.
2. El apartado 1 no será de aplicación cuando concurra una de las circunstancias siguientes:
a) el interesado dio su consentimiento explícito para el tratamiento de dichos datos personales
con uno o más de los fines especificados, excepto cuando el Derecho de la Unión o de los
Estados miembros establezca que la prohibición mencionada en el apartado 1 no puede ser
levantada por el interesado;
b) el tratamiento es necesario para el cumplimiento de obligaciones y el ejercicio de derechos
específicos del responsable del tratamiento o del interesado en el ámbito del Derecho laboral y
de la seguridad y protección social, en la medida en que así lo autorice el Derecho de la Unión o
de los Estados miembros o un convenio colectivo con arreglo al Derecho de los Estados
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
23/42
miembros que establezca garantías adecuadas del respeto de los derechos fundamentales y de
los intereses del interesado;
c) el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona
física, en el supuesto de que el interesado no esté capacitado, física o jurídicamente, para dar su
consentimiento;
d) el tratamiento es efectuado, en el ámbito de sus actividades legítimas y con las debidas
garantías, por una fundación, una asociación o cualquier otro organismo sin ánimo de lucro, cuya
finalidad sea política, filosófica, religiosa o sindical, siempre que el tratamiento se refiera
exclusivamente a los miembros actuales o antiguos de tales organismos o a personas que
mantengan contactos regulares con ellos en relación con sus fines y siempre que los datos
personales no se comuniquen fuera de ellos sin el consentimiento de los interesados;
e) el tratamiento se refiere a datos personales que el interesado ha hecho manifiestamente
públicos;
f) el tratamiento es necesario para la formulación, el ejercicio o la defensa de reclamaciones o
cuando los tribunales actúen en ejercicio de su función judicial;
g) el tratamiento es necesario por razones de un interés público esencial, sobre la base del
Derecho de la Unión o de los Estados miembros, que debe ser proporcional al objetivo
perseguido, respetar en lo esencial el derecho a la protección de datos y establecer medidas
adecuadas y específicas para proteger los intereses y derechos fundamentales del interesado;
h) el tratamiento es necesario para fines de medicina preventiva o laboral, evaluación de la
capacidad laboral del trabajador, diagnóstico médico, prestación de asistencia o tratamiento de
tipo sanitario o social, o gestión de los sistemas y servicios de asistencia sanitaria y social, sobre
la base del Derecho de la Unión o de los Estados miembros o en virtud de un contrato con un
profesional sanitario y sin perjuicio de las condiciones y garantías contempladas en el apartado
3;
i) el tratamiento es necesario por razones de interés público en el ámbito de la salud pública,
como la protección frente a amenazas transfronterizas graves para la salud, o para garantizar
elevados niveles de calidad y de seguridad de la asistencia sanitaria y de los medicamentos o
productos sanitarios, sobre la base del Derecho de la Unión o de los Estados miembros que
establezca medidas adecuadas y específicas para proteger los derechos y libertades del
interesado, en particular el secreto profesional,
j) el tratamiento es necesario con fines de archivo en interés público, fines de investigación
científica o histórica o fines estadísticos, de conformidad con el artículo 89, apartado 1, sobre la
base del Derecho de la Unión o de los Estados miembros, que debe ser proporcional al objetivo
perseguido, respetar en lo esencial el derecho a la protección de datos y establecer medidas
adecuadas y específicas para proteger los intereses y derechos fundamentales del interesado.
3. Los datos personales a que se refiere el apartado 1 podrán tratarse a los fines citados en el
apartado 2, letra h), cuando su tratamiento sea realizado por un profesional sujeto a la obligación
de secreto profesional, o bajo su responsabilidad, de acuerdo con el Derecho de la Unión o de
los Estados miembros o con las normas establecidas por los organismos nacionales
competentes, o por cualquier otra persona sujeta también a la obligación de secreto de acuerdo
con el Derecho de la Unión o de los Estados miembros o de las normas establecidas por los
organismos nacionales competentes.
4. Los Estados miembros podrán mantener o introducir condiciones adicionales, inclusive
limitaciones, con respecto al tratamiento de datos genéticos, datos biométricos o datos relativos
a la salud”.
Con carácter general, este precepto prohíbe la realización de tratamientos de
categorías especiales de datos, salvo que dicho tratamiento pueda ampararse en
alguna de las excepciones reguladas en el artículo 9.2 del RGPD.
Así, se establece una prohibición general de tratamiento de datos personales que
revelen el origen étnico o racial y datos relativos a la salud, como aquellos relativos a
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
24/42
la discapacidad de la persona (Considerando 35 y artículo 4.15 del RGPD); y, en su
apartado 2, regula las excepciones que levantan dicha prohibición, algunas de ellas
sobre la base del Derecho de la Unión o de los Estados miembros, que debe
incorporar en su propia regulación las garantías adecuadas para que el derecho a la
protección de datos sea respetado, respetar también el principio de proporcionalidad y
establecer medidas adecuadas y específicas para salvaguardar los derechos
fundamentales y los intereses de las personas afectadas.
En concreto, para los tratamientos de categorías especiales de datos que resulten
necesarios con fines de investigación científica a los que se refiere la letra j) del citado
artículo 9.2 del RGPD, el responsable deberá acudir ineludiblemente a una concreta
norma legal que lo ampare y, además, cumplir los principios mencionados y establecer
garantías adicionales que salvaguarden los derechos de las personas afectadas.
En relación con los tratamientos de datos personales relativos a la salud, la disposición
adicional decimoséptima de la LOPDGDD establece que se encuentran amparados en
las letras g), h), i) y j) del citado artículo 9.2 del RGPD los tratamientos que estén
regulados en las leyes que enumera, entre las que figura el texto refundido de la Ley
General de derechos de las personas con discapacidad y de su inclusión social,
aprobado por Real Decreto Legislativo 1/2013 de 29 de noviembre. No obstante, ello
no descarta aquellos tratamientos de datos que se lleven a cabo en aplicación de otras
normas distintas a las señaladas en la citada disposición adicional.
El artículo 89 del RGPD se refiere expresamente a “Garantías y excepciones
aplicables al tratamiento con fines de archivo en interés público, fines de investigación
científica o histórica o fines estadísticos”:
1. El tratamiento con fines de archivo en interés público, fines de investigación científica o
histórica o fines estadísticos estará sujeto a las garantías adecuadas, con arreglo al presente
Reglamento, para los derechos y las libertades de los interesados. Dichas garantías harán que
se disponga de medidas técnicas y organizativas, en particular para garantizar el respeto del
principio de minimización de los datos personales. Tales medidas podrán incluir la
seudonimización, siempre que de esa forma puedan alcanzarse dichos fines. Siempre que
esos fines pueden alcanzarse mediante un tratamiento ulterior que no permita o ya no permita
la identificación de los interesados, esos fines se alcanzarán de ese modo.
(…)”.
El RGPD recoge los principios relativos al tratamiento en su artículo 5: licitud, lealtad y
transparencia; limitación de la finalidad; minimización de datos; exactitud; limitación del
plazo de conservación; e integridad y confidencialidad.
Por otra parte, una vez excepcionada la prohibición general con la cobertura del
artículo 9.2 del RGPD, para dar licitud al tratamiento de datos de categorías especiales
es necesario acudir a los supuestos del artículo 6 del mismo Reglamento. Así lo indicó
el Grupo de Trabajo del Articulo 29 (cuyas funciones han sido asumidas por el Comité
Europeo de Protección de Datos) en su dictamen “Directrices sobre decisiones
individuales automatizadas y elaboración de perfiles a los efectos del Reglamento
2016/679”, adoptado el 03/10/2017 y revisado en fecha 06/02/2018, al indicar que “Los
responsables del tratamiento solo pueden tratar datos personales de categoría
especial si se cumple una de las condiciones previstas en el artículo 9, apartado 2, así
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
25/42
como una condición del artículo 6”.
Este artículo 6 del RGPD establece los supuestos que permiten que el tratamiento de
datos sea considerado lícito:
“Artículo 6. Licitud del tratamiento
1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
a) el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o
varios fines específicos;
b) el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte
o para la aplicación a petición de este de medidas precontractuales;
c) el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al
responsable del tratamiento;
d) el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona
física;
e) el tratamiento es necesario para el cumplimiento de una misión realizada en interés público
o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
f) el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el
responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no
prevalezcan los intereses o los derechos y libertades fundamentales del interesado que
requieran la protección de datos personales, en particular cuando el interesado sea un niño.
Lo dispuesto en la letra f) del párrafo primero no será de aplicación al tratamiento realizado por
las autoridades públicas en el ejercicio de sus funciones.
2. Los Estados miembros podrán mantener o introducir disposiciones más específicas a fin de
adaptar la aplicación de las normas del presente Reglamento con respecto al tratamiento en
cumplimiento del apartado 1, letras c) y e), fijando de manera más precisa requisitos
específicos de tratamiento y otras medidas que garanticen un tratamiento lícito y equitativo, con
inclusión de otras situaciones específicas de tratamiento a tenor del capítulo IX.
3. La base del tratamiento indicado en el apartado 1, letras c) y e), deberá ser establecida por:
a) el Derecho de la Unión, o
b) el Derecho de los Estados miembros que se aplique al responsable del tratamiento.
La finalidad del tratamiento deberá quedar determinada en dicha base jurídica o, en lo relativo
al tratamiento a que se refiere el apartado 1, letra e), será necesaria para el cumplimiento de
una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al
responsable del tratamiento. Dicha base jurídica podrá contener disposiciones específicas para
adaptar la aplicación de normas del presente Reglamento, entre otras: las condiciones
generales que rigen la licitud del tratamiento por parte del responsable; los tipos de datos
objeto de tratamiento; los interesados afectados; las entidades a las que se pueden comunicar
datos personales y los fines de tal comunicación; la limitación de la finalidad; los plazos de
conservación de los datos, así como las operaciones y los procedimientos del tratamiento,
incluidas las medidas para garantizar un tratamiento lícito y equitativo, como las relativas a
otras situaciones específicas de tratamiento a tenor del capítulo IX. El Derecho de la Unión o
de los Estados miembros cumplirá un objetivo de interés público y será proporcional al fin
legítimo perseguido.
4. Cuando el tratamiento para otro fin distinto de aquel para el que se recogieron los datos
personales no esté basado en el consentimiento del interesado o en el Derecho de la Unión o
de los Estados miembros que constituya una medida necesaria y proporcional en una sociedad
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
26/42
democrática para salvaguardar los objetivos indicados en el artículo 23, apartado 1, el
responsable del tratamiento, con objeto de determinar si el tratamiento con otro fin es
compatible con el fin para el cual se recogieron inicialmente los datos personales, tendrá en
cuenta, entre otras cosas:
a) cualquier relación entre los fines para los cuales se hayan recogido los datos personales y
los fines del tratamiento ulterior previsto;
b) el contexto en que se hayan recogido los datos personales, en particular por lo que respecta
a la relación entre los interesados y el responsable del tratamiento;
c) la naturaleza de los datos personales, en concreto cuando se traten categorías especiales
de datos personales, de conformidad con el artículo 9, o datos personales relativos a condenas
e infracciones penales, de conformidad con el artículo 10;
d) las posibles consecuencias para los interesados del tratamiento ulterior previsto;
e) la existencia de garantías adecuadas, que podrán incluir el cifrado o la seudonimización”.
V
En el presente caso, por parte de THOMAS INTERNACIONAL SYSTEMS se realiza
un tratamiento de datos relativos a etnia y discapacidad, por lo que nos encontramos
ante un supuesto de tratamiento de categorías especiales de datos personales sujeto
a la regla general de prohibición establecida en el artículo 9.1 del RGPD.
Por otra parte, no consta en las actuaciones, y tampoco ha sido justificado por la
entidad THOMAS INTERNACIONAL SYSTEMS, que concurra ninguna de las
circunstancias o excepciones establecidas en el apartado 2 de dicho artículo que
salven la prohibición de tratamiento de tales datos personales.
La citada entidad considera aplicable la excepción prevista en el artículo 9.2.j),
considerando que aquellos datos de etnia y discapacidad se someten a tratamiento
con fines de investigación científica, y dedica sus alegaciones a justificar la necesidad
y proporcionalidad de ese tratamiento y las garantías adicionales establecidas para
respetar el derecho a la protección de datos de las personas afectadas, entre ellas, las
relativas a las medidas de seguridad, técnicas y organizativas implantadas, la no
comunicación de los datos a terceros, o el cumplimiento de los principios de limitación
de la finalidad, minimización, limitación de la conservación y de exactitud de los datos.
Sin embargo, THOMAS INTERNACIONAL SYSTEMS no invoca ninguna norma legal
que ampare dicho tratamiento de datos, en el contexto en el que se lleva a cabo, de
modo que no se cumple el presupuesto básico establecido en el artículo 9.2.j) del
RGPD, según el cual el tratamiento de datos de categorías especiales con fines de
investigación científica debe realizarse “sobre la base del Derecho de la Unión o de los
Estados miembros, que debe ser proporcional al objetivo perseguido, respetar en lo
esencial el derecho a la protección de datos y establecer medidas adecuadas y
específicas para proteger los intereses y derechos fundamentales del interesado”.
A este respecto, la citada entidad se ha limitado a manifestar que cumple los
estándares internacionales de psicometría recomendados por la Federación Europea
de Asociaciones de Psicólogos (FEAP), la Comisión Internacional de Pruebas (ITC) o
la Asociación de Psicología Empresarial, que no constituyen normas “del Derecho de
la Unión o de los Estados miembros”.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
27/42
Esta exigencia no puede salvarse, como pretende THOMAS INTERNACIONAL
SYSTEMS, por el establecimiento de las garantías a las que se refiere en su escrito de
alegaciones o por el cumplimiento de los principios relativos al tratamiento, ni por las
medidas que dice haber tomado a raíz del presente caso, con las que ha pretendido
mejorar la información ofrecida a los interesados y mitigar los posibles daños con
nuevas evaluaciones de riesgos.
Ni siquiera consta con certeza la base jurídica que legitima el tratamiento de estos
datos conforme a lo establecido en el artículo 6 del RGPD, ni THOMAS
INTERNACIONAL SYSTEMS informa al respecto de forma clara a los interesados. La
información contenida en la Política de Privacidad en relación con este aspecto es
genérica, limitándose a enumerar los tipos de base de legitimación, pero sin
especificar cuál de ellas corresponde a los concretos tratamientos que lleva a cabo:
“2.6 En caso de que seamos responsables del tratamiento de datos: ¿Qué fundamento jurídico
tenemos para utilizar sus datos personales?
Solo recogeremos, utilizaremos y compartiremos sus datos personales si estamos convencidos
de que disponemos de una base jurídica adecuada para ello. Sobre la base de la variedad de
servicios que prestamos, podemos basarse en una de las siguientes bases jurídicas para el
tratamiento de sus datos:
. usted ha dado su consentimiento para utilizar sus datos personales;
. el uso que hacemos de sus datos personales redunda en nuestro legítimo interés como
organización comercial; en estos casos, trataremos su información en todo momento de
manera proporcionada y respetuosa con su derecho a la intimidad. También tendrá derecho a
oponerse al tratamiento, tal como se explica en la sección 7;
. el uso de sus datos personales es necesario para ejecutar un contrato o tomar medidas para
celebrar un contrato con usted; o
. nuestro uso de sus datos personales es necesario para cumplir una obligación legal o
reglamentaria pertinente…” (Traducción no oficial).
El tratamiento de datos objeto de las actuaciones no es necesario para el
cumplimiento de la relación contractual que THOMAS INTERNACIONAL SYSTEMS
formaliza con sus clientes como prestador de servicios, por cuanto dicho tratamiento
se realiza al margen de dicha relación comercial, en beneficio exclusivo de THOMAS
INTERNACIONAL SYSTEMS; tampoco responde al cumplimiento de una obligación
legal; ni se invoca un interés legítimo que prevalezca sobre los derechos y libertades
fundamentales de los interesados.
THOMAS INTERNACIONAL SYSTEMS únicamente ha manifestado al respecto que
los datos de origen étnico y discapacidad se recababan de forma voluntaria y optativa,
ofreciendo al interesado la opción de no responder.
De ello, parece desprenderse que la base jurídica invocada por esta entidad para
legitimar el tratamiento de datos que realiza es el consentimiento de los interesados.
Sin embargo, en relación con el tratamiento de datos personales relativos a etnia y
discapacidad no se ha justificado la prestación de un consentimiento válido por los
interesados.
Es cierto que la información ofrecida con carácter previo a la cumplimentación del
formulario advierte a los interesados que “la participación es enteramente voluntaria y
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
28/42
podrá optar por saltarse cualquier pregunta que no quiera contestar”; y que después
del texto informativo se incluyen los botones “No estoy de acuerdo” y “Siguiente”.
Además, en el desplegable de respuestas que se muestran para alguna de las
preguntas figura también la opción “Prefiero no contestar”.
Pero no consta ningún mecanismo que permita al interesado prestar su
consentimiento y la mera cumplimentación del formulario, en este caso, no puede
aceptarse como una prestación de dicho consentimiento.
De acuerdo con lo establecido en el artículo 9.2.a) del RGPD, el consentimiento para
el tratamiento de categorías especiales de datos personales debe ser “explícito”, de
modo que no sirve a tales efectos una mera acción afirmativa de la que pueda
concluirse que el interesado consiente el tratamiento, sino que se hace necesario tener
constancia formal sobre la prestación de dicho consentimiento, una declaración o
confirmación expresa de consentimiento.
La forma más evidente sería realizando una declaración escrita, aunque en el entorno
digital o en línea pueden habilitarse formas que podrían suponer un consentimiento
explícito válido: rellenar un impreso electrónico, enviar un correo electrónico que
contenga el consentimiento, utilizar la firma electrónica o subir un documento
escaneado con la firma manuscrita. Igualmente, en el caso de páginas web, este
consentimiento explícito se podría recoger insertando unas casillas con las opciones
de aceptar y no aceptar junto a un texto referido al consentimiento que sea claro para
el interesado.
Así lo entiende el Comité Europeo de Protección de Datos en el documento
“Directrices 05/2020 sobre el consentimiento con arreglo al Reglamento 2016/679”,
que actualiza las directrices sobre el consentimiento adoptadas por el Grupo de
Trabajo del Artículo 29 el 28/11/2017, revisadas y aprobadas el 10/04/2018:
“91. El consentimiento explícito se requiere en determinadas situaciones en las que existe un
grave riesgo en relación con la protección de los datos y en las que se considera adecuado que
exista un elevado nivel de control sobre los datos personales. En virtud del RGPD, el
consentimiento explícito tiene una función importante en el artículo 9 sobre el tratamiento de
categorías especiales de datos personales…
92. El RGPD estipula que el requisito previo de un consentimiento “normal” es “una declaración
o una clara acción afirmativa”. Dado que el requisito de consentimiento “normal” en el RGPD ya
se ha elevado a un nivel superior en comparación con el requisito de consentimiento
contemplado en la Directiva 95/46/CE, deben aclararse qué esfuerzos adicionales debería
realizar el responsable del tratamiento con el fin de obtener el consentimiento explícito del
interesado en consonancia con el RGPD.
93. El término explícito se refiere a la manera en que el interesado expresa el consentimiento.
Significa que el interesado debe realizar una declaración expresa de consentimiento. Una
manera evidente de garantizar que el consentimiento es explícito sería confirmar de manera
expresa dicho consentimiento en una declaración escrita. Cuando proceda, el responsable
podría asegurarse de que el interesado firma la declaración escrita, con el fin de eliminar
cualquier posible duda o falta de prueba en el futuro.
94. No obstante, dicha declaración firmada no es el único modo de obtener el consentimiento
explícito y no puede decirse que el RGPD prescriba declaraciones escritas y firmadas en todas
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
29/42
las circunstancias que requieran un consentimiento explícito válido. Por ejemplo, en el contexto
digital o en línea, un interesado puede emitir la declaración requerida rellenando un impreso
electrónico, enviando un correo electrónico, cargando un documento escaneado con su firma o
utilizando una firma electrónica. En teoría, el uso de declaraciones verbales también puede ser
una forma lo suficientemente manifiesta de expresar el consentimiento explícito, sin embargo,
puede resultar difícil para el responsable del tratamiento demostrar que se cumplieron todas las
condiciones para el consentimiento explícito válido cuando se grabó la declaración”.
Y tampoco se cumplen otros requisitos que otorgan validez al consentimiento, según la
definición recogida en el artículo 4 del RGPD:
“Artículo 4 Definiciones
A efectos del presente Reglamento se entenderá por:
11. “consentimiento del interesado”: toda manifestación de voluntad libre, específica, informada
e inequívoca por la que el interesado acepta, ya sea mediante una declaración o una clara
acción afirmativa, el tratamiento de datos personales que le conciernen”.
En relación con la prestación del consentimiento, debe tenerse en cuenta lo
establecido en el artículo 6 del RGPD y en los artículos 7 del RGPD y 7 de la
LOPDGDD.
Artículo 7 “Condiciones para el consentimiento” del RGPD:
“1. Cuando el tratamiento se base en el consentimiento del interesado, el responsable deberá
ser capaz de demostrar que aquel consintió el tratamiento de sus datos personales”.
Artículo 6 “Tratamiento basado en el consentimiento del afectado” de la LOPDGDD:
“1. De conformidad con lo dispuesto en el artículo 4.11 del Reglamento (UE) 2016/679, se
entiende por consentimiento del afectado toda manifestación de voluntad libre, específica,
informada e inequívoca por la que este acepta, ya sea mediante una declaración o una clara
acción afirmativa, el tratamiento de datos personales que le conciernen.
2. Cuando se pretenda fundar el tratamiento de los datos en el consentimiento del afectado
para una pluralidad de finalidades será preciso que conste de manera específica e inequívoca
que dicho consentimiento se otorga para todas ellas.
3. No podrá supeditarse la ejecución del contrato a que el afectado consienta el tratamiento de
los datos personales para finalidades que no guarden relación con el mantenimiento, desarrollo
o control de la relación contractual”.
El consentimiento se entiende como un acto afirmativo claro que refleje una
manifestación de voluntad libre, específica, informada e inequívoca del interesado de
aceptar el tratamiento de datos de carácter personal que le conciernan, prestada con
garantías suficientes para acreditar que el interesado es consciente del hecho de que
da su consentimiento y de la medida en que lo hace. Y debe darse para todas las
actividades de tratamiento realizadas con el mismo o mismos fines, de modo que,
cuando el tratamiento tenga varios fines, debe darse el consentimiento para todos
ellos de manera específica e inequívoca, sin que pueda supeditarse la ejecución del
contrato a que el afectado consienta el tratamiento de sus datos personales para
finalidades que no guarden relación con el mantenimiento, desarrollo o control de la
relación negocial. A este respecto, la licitud del tratamiento exige que el interesado sea
informado sobre los fines a que están destinados los datos (consentimiento
informado).
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
30/42
El consentimiento ha de prestarse libremente. Se entiende que el consentimiento no
es libre cuando el interesado no goza de verdadera o libre elección o no puede
denegar o retirar su consentimiento sin sufrir perjuicio alguno; o cuando no se le
permita autorizar por separado las distintas operaciones de tratamiento de datos
personales pese a ser adecuado en el caso concreto, o cuando el cumplimiento de un
contrato o prestación de servicio sea dependiente del consentimiento, aún cuando éste
no sea necesario para dicho cumplimiento. Esto ocurre cuando el consentimiento se
incluye como una parte no negociable de las condiciones generales o cuando se
impone la obligación de estar de acuerdo con el uso de datos personales adicionales a
los estrictamente necesarios.
Sin estas condiciones, la prestación del consentimiento no ofrecería al interesado un
verdadero control sobre sus datos personales y el destino de los mismos, y ello haría
ilegal la actividad del tratamiento.
El Comité Europeo de Protección de Datos analizó estas cuestiones en su documento
“Directrices 05/2020 sobre el consentimiento con arreglo al Reglamento 2016/679”, de
04/05/2020 De lo indicado en este documento, interesa ahora destacar algunos
aspectos relacionados con la validez del consentimiento, en concreto sobre los
elementos “específico”, “informado” e “inequívoco”:
“3.2. Manifestación de voluntad específica
El artículo 6, apartado 1, letra a), confirma que el consentimiento del interesado para el
tratamiento de sus datos debe darse «para uno o varios fines específicos» y que un interesado
puede elegir con respecto a cada uno de dichos fines. El requisito de que el consentimiento
deba ser «específico» tiene por objeto garantizar un nivel de control y transparencia para el
interesado. Este requisito no ha sido modificado por el RGPD y sigue estando estrechamente
vinculado con el requisito de consentimiento «informado». Al mismo tiempo, debe interpretarse
en línea con el requisito de «disociación» para obtener el consentimiento «libre». En suma,
para cumplir con el carácter de «específico» el responsable del tratamiento debe aplicar:
i) la especificación del fin como garantía contra la desviación del uso,
ii) la disociación en las solicitudes de consentimiento, y
iii) una clara separación entre la información relacionada con la obtención del consentimiento
para las actividades de tratamiento de datos y la información relativa a otras cuestiones.
(…)
“3.3. Manifestación de voluntad informada
El RGPD refuerza el requisito de que el consentimiento debe ser informado. De conformidad
con el artículo 5 del RGPD, el requisito de transparencia es uno de los principios
fundamentales, estrechamente relacionado con los principios de lealtad y licitud. Facilitar
información a los interesados antes de obtener su consentimiento es esencial para que puedan
tomar decisiones informadas, comprender qué es lo que están autorizando y, por ejemplo,
ejercer su derecho a retirar su consentimiento. Si el responsable no proporciona información
accesible, el control del usuario será ilusorio y el consentimiento no constituirá una base válida
para el tratamiento de los datos.
Si no se cumplen los requisitos relativos al consentimiento informado, el consentimiento no
será válido y el responsable podrá estar incumpliendo el artículo 6 de RGPD.
3.3.1. Requisitos mínimos de contenido para que el consentimiento sea «informado»
Para que el consentimiento sea informado es necesario comunicar al interesado ciertos
elementos que son cruciales para poder elegir. Por tanto, el GT29 opina que se requiere, al
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
31/42
menos, la información siguiente para obtener el consentimiento válido:
i) la identidad del responsable del tratamiento,
ii) el fin de cada una de las operaciones de tratamiento para las que se solicita el
consentimiento,
iii) qué (tipo de) datos van a recogerse y utilizarse,
iv) la existencia del derecho a retirar el consentimiento,
v) información sobre el uso de los datos para decisiones automatizadas de conformidad con el
artículo 22, apartado 2, letra c), cuando sea pertinente, e
vi) información sobre los posibles riesgos de transferencia de datos debido a la ausencia de
una decisión de adecuación y de garantías adecuadas, tal y como se describen en el artículo
46”.
En el supuesto denunciado no existen evidencias sobre la prestación de un
consentimiento válido por parte de los interesados que ampare los tratamientos de
datos personales objeto de la reclamación. Esta entidad ni siquiera informa
debidamente sobre este tratamiento de datos, sobre su finalidad y base jurídica o el
derecho a retirar el consentimiento, en su caso, de conformidad con lo establecido en
el artículo 13 del RGPD; ni ha establecido ningún mecanismo para que los interesados
puedan prestar un consentimiento explícito.
En cuanto a la información, debe señalarse que únicamente se presenta la Política de
Privacidad de la matriz británica del Grupo, Thomas International Ltd., en idioma
inglés, y que no informa debidamente sobre la base jurídica del tratamiento y la
finalidad del tratamiento, que se describe simplemente haciendo referencia a fines de
investigación.
Por último, tampoco la entidad THOMAS INTERNACIONAL SYSTEMS ha aportado
elementos suficientes para que pueda determinarse el cumplimiento del juicio de los
requisitos de proporcionalidad exigidos por el Tribunal Constitucional, de modo que
puede concluirse la idoneidad del tratamiento para la finalidad propuesta, si el mismo
es o no necesario o si existen medidas alternativas menos intrusivas.
En este sentido, el Tribunal Constitucional ha señalado (Sentencia 14/2003, de 28 de
enero) que “para comprobar si una medida restrictiva de un derecho fundamental
supera el juicio de proporcionalidad, es necesario constatar si cumple los tres
requisitos o condiciones siguientes: si tal medida es susceptible de conseguir el
objetivo propuesto (juicio de idoneidad); si, además, es necesaria, en el sentido de
que no exista otra medida más moderada para la consecución de tal propósito con
igual eficacia (juicio de necesidad); y, finalmente, si la misma es ponderada o
equilibrada, por derivarse de ella más beneficios o ventajas para el interés general que
perjuicios sobre otros bienes o valores en conflicto (juicio de proporcionalidad en
sentido estricto)”.
A este respecto, debe tenerse en cuenta el principio de intervención mínima (art. 5.1.c)
y art. 25.1 RGPD), dado que es preciso acreditar que no hay otra medida más
moderada para la consecución de la finalidad pretendida con igual eficacia, en el
marco de la responsabilidad proactiva del responsable del tratamiento.
Por tanto, de los hechos y fundamentos de derecho expuestos, resulta que, por parte
de THOMAS INTERNACIONAL SYSTEMS, se realizan tratamientos de datos
personales de categorías especiales en contra de la prohibición establecida en el
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
32/42
artículo 9 del RGPD y sin que concurra ninguna de las excepciones previstas para
levantar dicha prohibición. Este incumplimiento de lo establecido en el artículo 9 del
RGPD da lugar a la aplicación de los poderes correctivos que el artículo 58 del citado
Reglamento otorga a la Agencia Española de Protección de datos.
VI
THOMAS INTERNACIONAL SYSTEMS ha señalado que no se produce una infracción
sancionable al no existir intencionalidad en la comisión u omisión que provoca dicha
infracción, añadiendo que ha tenido una actitud proactiva y cumplidora de sus
obligaciones.
A este respecto, debe señalarse, en primer término, que la incidencia se produce en el
ámbito de responsabilidad de THOMAS INTERNACIONAL SYSTEMS y esta entidad
debe responder por ello. En modo alguno puede considerarse que la falta de
intencionalidad alegada excluya su responsabilidad, especialmente cuando la
infracción pudo evitarse con el empleo de una mayor diligencia. En este caso, la
infracción cometida es incompatible con la diligencia que dicha entidad viene obligada
a observar.
Esta diligencia debe manifestarse en el caso concreto que se analiza, y no en las
circunstancias generales que alega la entidad para justificar una actuación proactiva,
las cuales no pueden tomarse como circunstancias que impidan exigir las
responsabilidades que derivan de la concreta actuación irregular.
Admitir el planteamiento efectuado por THOMAS INTERNACIONAL SYSTEMS en sus
alegaciones sería tanto como admitir que pueda ignorarse la aplicación del RGPD y la
LOPDGDD, desvirtuando todo el sistema establecido sobre la licitud de los
tratamientos de datos personales.
Debe recordarse, por otra parte, que la infracción puede cometerse de forma dolosa o
culposa. La Audiencia Nacional en Sentencia de 21 de septiembre de 2004 (RCA
937/2003), se pronuncia en los siguientes términos:
“Además, en cuanto a la aplicación del principio de culpabilidad resulta (siguiendo el criterio de
esta Sala en otras Sentencias como la de fecha 21 de enero de 2004 dictada en el recurso
1139/2001) que la comisión de la infracción prevista en el artículo 44.3.d) puede ser tanto
dolosa como culposa… pues aunque en materia sancionadora rige el principio de culpabilidad,
como se infiere de la simple lectura del Art. 130 de la Ley 30/1992, lo cierto es que la expresión
“simple inobservancia” del Art. 130.1 de la Ley 30/1992, permite la imposición de la sanción, sin
duda en supuestos doloso, y asimismo en supuestos culposos, bastando la inobservancia del
deber de cuidado”.
En esta línea cabe citar la SAN de 21 de enero de 2010, en la que la Audiencia
expone:
“La recurrente también mantiene que no concurre culpabilidad alguna en su actuación. Es
cierto que el principio de culpabilidad impide la admisión en el derecho administrativo
sancionador de la responsabilidad objetiva, también es cierto, que la ausencia de
intencionalidad resulta secundaria ya que este tipo de infracciones normalmente se cometen
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
33/42
por una actuación culposa o negligente, lo que es suficiente para integrar el elemento subjetivo
de la culpa. La actuación de XXX es claramente negligente pues… debe conocer… las
obligaciones que impone la LOPD a todos aquellos que manejan datos personales de terceros.
XXX viene obligada a garantizar el derecho fundamental a la protección de datos personales
de sus clientes e hipotéticos clientes con la intensidad que requiere el contenido del propio
derecho”.
El principio de culpabilidad es exigido en el procedimiento sancionador y así la STC
246/1991 considera inadmisible en el ámbito del Derecho administrativo sancionador
una responsabilidad sin culpa. Pero el principio de culpa no implica que sólo pueda
sancionarse una actuación intencionada o voluntaria, y a este respecto el artículo 28
de la Ley 40/2015 de Régimen Jurídico del Sector Público, bajo la rúbrica
“Responsabilidad”, dispone lo siguiente:
“1. Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las
personas físicas y jurídicas, así como, cuando una Ley les reconozca capacidad de obrar, los
grupos de afectados, las uniones y entidades sin personalidad jurídica y los patrimonios
independientes o autónomos, que resulten responsables de los mismos a título de dolo o
culpa”.
Los hechos expuestos en el Fundamento precedente ponen de manifiesto que
THOMAS INTERNACIONAL SYSTEMS no obró con la diligencia a la que venía
obligada, que actuó con falta de diligencia. El Tribunal Supremo (Sentencias de 16 y
22/04/1991) considera que del elemento culpabilista se desprende “...que la acción u
omisión, calificada de infracción sancionable administrativamente, ha de ser, en todo
caso, imputable a su autor, por dolo o imprudencia, negligencia o ignorancia
inexcusable”. El mismo Tribunal razona que “no basta... para la exculpación frente a
un comportamiento típicamente antijurídico la invocación de la ausencia de culpa” sino
que es preciso “que se ha empleado la diligencia que era exigible por quien aduce su
inexistencia” (STS 23 de enero de 1998).
Conectada también con el grado de diligencia que el responsable del tratamiento está
obligado a desplegar en el cumplimiento de las obligaciones que le impone la
normativa de protección de datos puede citarse la SAN de 17/10/2007 (Rec. 63/2006),
que precisó: “(...) el Tribunal Supremo viene entendiendo que existe imprudencia
siempre que se desatiende un deber legal de cuidado, es decir, cuando el infractor no
se comporta con la diligencia exigible”.
A mayor abundamiento, la Audiencia Nacional en materia de protección de datos de
carácter personal, ha declarado que “basta la simple negligencia o incumplimiento de
los deberes que la Ley impone a las personas responsables de ficheros o del
tratamiento de datos de extremar la diligencia...” (SAN 29/06/2001).
Se concluye, por tanto, en contra de lo objetado por la entidad reclamada, que el
elemento subjetivo sí está presente en la infracción declarada.
VII
Para el caso de que concurra una infracción de los preceptos del RGPD, entre los
poderes correctivos de los que dispone la Agencia Española de Protección de Datos,
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
34/42
como autoridad de control, el artículo 58.2 de dicho Reglamento contempla los
siguientes:
“2 Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a
continuación:
(…)
b) dirigir a todo responsable o encargado del tratamiento un apercibimiento cuando las
operaciones de tratamiento hayan infringido lo dispuesto en el presente Reglamento;”
(...)
d) ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se
ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada
manera y dentro de un plazo especificado;
(…)
i) imponer una multa administrativa con arreglo al artículo 83, además o en lugar de las
medidas mencionadas en el presente apartado, según las circunstancias de cada caso
particular;”.
Según lo dispuesto en el artículo 83.2 del RGPD, la medida prevista en la letra d)
anterior es compatible con la sanción consistente en multa administrativa.
VIII
Se considera que los hechos expuestos incumplen lo establecido en el artículo 9 del
RGPD, lo que supone la comisión de una infracción tipificada en el apartado 5.a) del
artículo 83 del RGPD.
El artículo 83.5.a) del RGPD, bajo la rúbrica “Condiciones generales para la
imposición de multas administrativas” dispone lo siguiente:
“5. Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el
apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una
empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual
global del ejercicio financiero anterior, optándose por la de mayor cuantía:
a) los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a
tenor de los artículos 5, 6, 7 y 9”.
Por otra parte, el artículo 71 de la LOPDGDD considera infracción cualquier
incumplimiento de esta Ley Orgánica:
“Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del
artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente
ley orgánica”.
El apartado 1.e) del artículo 72 de la LOPDGDD considera, como “muy grave”, a
efectos de prescripción:
“1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se
consideran muy graves y prescribirán a los tres años las infracciones que supongan una
vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
e) El tratamiento de datos personales de las categorías a las que se refiere el artículo 9 del
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
35/42
Reglamento (UE) 2016/679, sin que concurra alguna de las circunstancias previstas en dicho
precepto y en el artículo 9 de esta Ley Orgánica”.
A fin de determinar la multa administrativa a imponer se han de observar las
previsiones de los artículos 83.1 y 83.2 del RGPD, preceptos que señalan:
“1. Cada autoridad de control garantizará que la imposición de las multas administrativas con
arreglo al presente artículo por las infracciones del presente Reglamento indicadas en los
apartados 4, 9 y 6 sean en cada caso individual efectivas, proporcionadas y disuasorias.
2. Las multas administrativas se impondrán, en función de las circunstancias de cada caso
individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58,
apartado 2, letras a) a h) y j). Al decidir la imposición de una multa administrativa y su cuantía
en cada caso individual se tendrá debidamente en cuenta:
a) la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la
naturaleza, alcance o propósito de la operación de tratamiento de que se trate así
como el número de interesados afectados y el nivel de los daños y perjuicios que
hayan sufrido;
b) la intencionalidad o negligencia en la infracción;
c) cualquier medida tomada por el responsable o encargado del tratamiento para
paliar los daños y perjuicios sufridos por los interesados;
d) el grado de responsabilidad del responsable o del encargado del tratamiento,
habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud
de los artículos 25 y 32;
e) toda infracción anterior cometida por el responsable o el encargado del tratamiento;
f) el grado de cooperación con la autoridad de control con el fin de poner remedio a la
infracción y mitigar los posibles efectos adversos de la infracción;
g) las categorías de los datos de carácter personal afectados por la infracción;
h) la forma en que la autoridad de control tuvo conocimiento de la infracción, en
particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué
medida;
i) cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas
previamente contra el responsable o el encargado de que se trate en relación con el
mismo asunto, el cumplimiento de dichas medidas;
j) la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de
certificación aprobados con arreglo al artículo 42, y
k) cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso,
como los beneficios financieros obtenidos o las pérdidas evitadas, directa o
indirectamente, a través de la infracción.”
Por su parte, el artículo 76 “Sanciones y medidas correctivas” de la LOPDGDD
dispone:
“1. Las sanciones previstas en los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE)
2016/679 se aplicarán teniendo en cuenta los criterios de graduación establecidos en el
apartado 2 del citado artículo.
2. De acuerdo a lo previsto en el artículo 83.2.k) del Reglamento (UE) 2016/679 también
podrán tenerse en cuenta:
a) El carácter continuado de la infracción.
b) La vinculación de la actividad del infractor con la realización de tratamientos de datos
personales.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
36/42
c) Los beneficios obtenidos como consecuencia de la comisión de la infracción.
d) La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión de la
infracción.
e) La existencia de un proceso de fusión por absorción posterior a la comisión de la infracción,
que no puede imputarse a la entidad absorbente.
f) La afectación a los derechos de los menores.
g) Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
h) El sometimiento por parte del responsable o encargado, con carácter voluntario, a
mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que existan
controversias entre aquellos y cualquier interesado”.
Con respecto a la infracción del artículo 9 del RGPD, atendiendo a los hechos
expuestos, se considera que la sanción que correspondería imponer es de multa
administrativa.
La multa que se imponga deberá ser, en cada caso individual, efectiva, proporcionada
y disuasoria, conforme a lo establecido en el artículo 83.1 del RGPD. Así, se
considera, con carácter previo, la condición de pequeña empresa y volumen de
negocio de THOMAS INTERNACIONAL SYSTEMS (Consta en las actuaciones que
dicha entidad (…).
De acuerdo con los preceptos indicados, a efectos de fijar el importe de la sanción a
imponer en el presente caso, se consideran aplicables los siguientes criterios:
Se estiman concurrentes como agravantes los criterios de graduación siguientes:
. Artículo 83.2.a) del RGPD: “a) la naturaleza, gravedad y duración de la
infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación
de tratamiento de que se trate así como el número de interesados afectados y el
nivel de los daños y perjuicios que hayan sufrido”.
. La naturaleza y gravedad de la infracción, teniendo que el interesado no
conoce de forma clara la entidad responsable del tratamiento y el uso que se
realizará de los datos personales, lo que incide en la capacidad de los
interesados de ejercer un verdadero control sobre sus datos personales.
. En relación con la duración de la infracción, consta en las actuaciones que la
Política de Privacidad que recoge las acciones de tratamiento de datos
personales que lleva a cabo, incluidas las que son objeto del presente
procedimiento, tiene fecha de 03/07/2019.
. El número de interesados: la infracción afecta a todos los interesados que
son evaluados por la entidad THOMAS INTERNACIONAL SYSTEMS.
. Los perjuicios que hayan sufrido los interesados: teniendo en cuenta todas
las circunstancias expuestas, es claro que los interesados han visto
incrementados los riesgos en su privacidad.
. Artículo 83.2.b) del RGPD: “b) la intencionalidad o negligencia en la infracción".
La negligencia apreciada en la comisión de la infracción. A este respecto, se tiene
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
37/42
en cuenta lo declarado en Sentencia de la Audiencia Nacional de 17/10/2007 (rec.
63/2006) que, partiendo de que se trata de entidades cuya actividad lleva
aparejado en continuo tratamiento de datos, indica que “…el Tribunal Supremo
viene entendiendo que existe imprudencia siempre que se desatiende un deber
legal de cuidado, es decir, cuando el infractor no se comporta con la diligencia
exigible. Y en la valoración del grado de diligencia ha de ponderarse
especialmente la profesionalidad o no del sujeto, y no cabe duda de que, en el
caso ahora examinado, cuando la actividad de la recurrente es de constante y
abundante manejo de datos de carácter personal ha de insistirse en el rigor y el
exquisito cuidado por ajustarse a las prevenciones legales al respecto”.
Se trata de una empresa que realiza tratamientos de datos personales de manera
sistemática y continua en el ámbito laboral y que debe extremar el cuidado en el
cumplimiento de sus obligaciones en materia de protección de datos.
. Artículo 83.2.d) del RGPD: “d) el grado de responsabilidad del responsable o del
encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas
que hayan aplicado en virtud de los artículos 25 y 32”.
La entidad imputada no tiene implantados procedimientos adecuados de
actuación en la recogida y tratamiento de los datos de carácter personal, en lo que
se refiere a los datos relativos a etnia y discapacidad, de modo que la infracción
no es consecuencia de una anomalía en el funcionamiento de dichos
procedimientos sino un defecto del sistema de gestión de los datos personales
diseñado por la responsable a su iniciativa.
. Artículo 76.2.b) de la LOPDGDD: “b) La vinculación de la actividad del infractor
con la realización de tratamientos de datos personales”.
La alta vinculación de la actividad del infractor con la realización de tratamientos
de datos personales. Se considera el nivel de implantación del Grupo al que
pertenece THOMAS INTERNACIONAL SYSTEMS y la actividad que desarrolla.
Esta circunstancia determina un mayor grado de exigencia y profesionalidad y,
consiguientemente, de la responsabilidad de la citada entidad en relación con el
tratamiento de los datos.
Considerando los factores expuestos, la valoración que alcanza la multa, por la
Infracción del artículo 9 del RGPD, es de 50.000 euros (cincuenta mil euros).
THOMAS INTERNACIONAL SYSTEMS, en su escrito de alegaciones a la apertura del
procedimiento no ha efectuado ninguna manifestación sobre los criterios de
graduación expuestos, que se exponían en dicho acuerdo con la misma amplitud y
detalle.
No obstante, ha solicitado que, en lugar de sancionar con multa administrativa, se
dirija un apercibimiento considerando que ha adoptado medidas adicionales para
evitar cualquier incidencia, tales como nombrar un nuevo delegado de protección de
datos, efectuar un nuevo análisis de riesgos y evaluación de impacto, y redactar
nuevas cláusulas informativas sobre los tratamientos que conlleva el “Cuestionario”,
además de reforzar la información y formación de su personal.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
38/42
En apoyo de su planteamiento, cita diversos precedentes tramitados por esta Agencia,
que constan mencionados en el Antecedente Octavo, en los que se archivaron las
actuaciones o se dirigió un apercibimiento atendiendo a la adecuación normativa
llevada a cabo por la entidad responsable.
Destaca THOMAS INTERNACIONAL SYSTEMS las acciones desarrolladas por la
parte reclamante en los precedentes que cita, entre ellas, la suspensión de la web
implicada en los hechos, la actualización de la información en materia de protección de
datos ofrecida a los interesados, la mejora de los mecanismos para otorgar el
consentimiento mediante la marcación de una casilla, nombramiento de un delegado
de protección de datos, o la no comisión de ninguna infracción anterior por la parte
reclamada.
Finalmente, destaca que tiene una actitud proactiva; todo su personal está
debidamente formado; su actividad no ha producido daños a los derechos de los
interesados, que no ha recibido ninguna reclamación ni incidencia ni brecha de
seguridad hasta la fecha; y que, al tener conocimiento del asunto, ha iniciado una
revisión de sus protocolos, análisis y evaluaciones, y ha procedido a nombrar
especialistas contrastados en la materia.
En respuesta a estas alegaciones se reitera que, en este caso, considerando la
gravedad de la infracción constatada, procede la imposición de multa, además de la
adopción de medidas. No cabe aceptar la solicitud formulada por THOMAS
INTERNACIONAL SYSTEMS para que se impongan otros poderes correctivos que
hubiesen permitido la corrección de la situación irregular, como es el apercibimiento,
que está previsto, con carácter general, para personas físicas y cuando la sanción
constituya una carga desproporcionada (considerando 148 del RGPD).
Además, THOMAS INTERNACIONAL SYSTEMS no ha justificado, ni siquiera
mencionado, cuáles son las similitudes entre el presente caso y los supuestos de
hecho examinados en los precedentes que invoca.
En todo caso, debe señalarse que las medidas adoptadas resultan insuficientes a los
efectos pretendidos, por cuanto no restablecen los derechos de los interesados.
THOMAS INTERNACIONAL SYSTEMS no ha planteado en forma alguna la cesación
de la conducta vulneradora del ordenamiento jurídico.
Tampoco las medidas que dicha entidad dice haber adoptado pueden valorarse como
una atenuante. Dichas medidas no son las adecuadas para “poner remedio a la
infracción y mitigar los posibles efectos adversos de la infracción”, según los términos
del artículo 83.2.f) del RGPD, o “para paliar los daños y perjuicios sufridos por los
interesados” como consecuencia de la infracción, según el apartado 2.c) del mismo
artículo. Mitigar los efectos adversos o paliar los daños y perjuicios causados de las
infracciones implica restablecer los derechos de los interesados, cosa que en este
caso conlleva la supresión de los datos de etnia y discapacidad recabados de los
interesados y suspender su recogida.
Por otra parte, ninguno de los factores de graduación considerados queda atenuado
por el hecho de que la entidad THOMAS INTERNACIONAL SYSTEMS no haya sido
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
39/42
objeto de un procedimiento sancionador con anterioridad.
A este respecto, la Sentencia de la AN, de 05/05/2021, rec. 1437/2020, indica:
“Considera, por otro lado, que debe apreciarse como atenuante la no comisión de una
infracción anterior. Pues bien, el artículo 83.2 del RGPD establece que debe tenerse en cuenta
para la imposición de la multa administrativa, entre otras, la circunstancia "e) toda infracción
anterior cometida por el responsable o el encargado del tratamiento". Se trata de una
circunstancia agravante, el hecho de que no concurra el presupuesto para su aplicación
conlleva que no pueda ser tomada en consideración, pero no implica ni permite, como pretende
la actora, su aplicación como atenuante”.
Según el citado artículo 83.2 del RGPD, al decidir la imposición de una multa
administrativa y su cuantía de debe tener en cuenta “toda infracción anterior cometida
por el responsable”. Es una previsión normativa que no incluye la inexistencia de
infracciones precedentes como factor de graduación de la multa, el cual debe
entenderse como un criterio próximo a la reincidencia, aunque más amplio.
Tampoco cabe admitir que no se hayan producido daños a los derechos de las
personas interesadas, por cuanto éstas han visto incrementado el riesgo en su
privacidad.
IX
De confirmarse la infracción, podría acordarse imponer al responsable la adopción de
medidas adecuadas para ajustar su actuación a la normativa mencionada en este
acto, de acuerdo con lo establecido en el citado artículo 58.2.d) del RGPD, según el
cual cada autoridad de control podrá “ordenar al responsable o encargado del
tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del
presente Reglamento, cuando proceda, de una determinada manera y dentro de un
plazo especificado…”.
En el presente acto se establece cuál ha sido la infracción cometida y los hechos que
dan lugar a la vulneración de la normativa de protección de datos, de lo que se infiere
con claridad cuáles son las medidas a adoptar, sin perjuicio de que el tipo de
procedimientos, mecanismos o instrumentos concretos para implementarlas
corresponda a la parte sancionada, pues es el responsable del tratamiento quien
conoce plenamente su organización y ha de decidir, en base a la responsabilidad
proactiva y en enfoque de riesgos, cómo cumplir con el RGPD y la LOPDGDD.
No obstante, en este caso, con independencia de lo anterior, se propone que en la
resolución que se adopte, esta Agencia requiera a la entidad responsable para que en
el plazo que se determine acredite haber procedido a suprimir del “Cuestionario” la
recogida de datos personales relativos a etnia y discapacidad de los afectados; así
como el cese en la utilización de los que hubiese recabado con anterioridad.
Se advierte que no atender los requerimientos de este organismo puede ser
considerado como una infracción administrativa grave al “no cooperar con la Autoridad
de control” ante los requerimientos efectuados, pudiendo ser valorada tal conducta a la
hora de la apertura de un procedimiento administrativo sancionador con multa
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
40/42
pecuniaria.
A la vista de lo expuesto se procede a emitir la siguiente
PROPUESTA DE RESOLUCIÓN
PRIMERO: Que por la Directora de la Agencia Española de Protección de Datos se
sancione a THOMAS INTERNATIONAL SYSTEMS, S.A., con NIF A81603391, por una
infracción del Artículo 9 del RGPD, tipificada en el Artículo 83.5.a) del RGPD, y
calificada como muy grave a efectos de prescripción en el artículo 72.1.e) de la
LOPDGDD, con una multa de 50.000 euros (cincuenta mil euros).
SEGUNDO: Que por la Directora de la Agencia Española de Protección de Datos se
imponga a THOMAS INTERNATIONAL SYSTEMS, S.A., en el plazo que se
determine, la adopción de las medidas necesarias para adecuar su actuación a la
normativa de protección de datos personales, con el alcance expresado en el
Fundamento de Derecho IX de esta propuesta de resolución.
Asimismo, de conformidad con lo establecido en el artículo 85.2 de la LPACAP, se le
informa de que podrá, en cualquier momento anterior a la resolución del presente
procedimiento, llevar a cabo el pago voluntario de la sanción propuesta, lo que
supondrá una reducción de un 20% del importe de la misma. Con la aplicación de esta
reducción, la sanción quedaría establecida en 40.000 euros (cuarenta mil euros), y su
pago implicará la terminación del procedimiento. La efectividad de esta reducción
estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía
administrativa contra la sanción.
En caso de que optara por proceder al pago voluntario de la cantidad especificada
anteriormente, de acuerdo con lo previsto en el artículo 85.2 citado, deberá hacerla
efectiva mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000
0000 abierta a nombre de la Agencia Española de Protección de Datos en la entidad
bancaria CAIXABANK, S.A., indicando en el concepto el número de referencia del
procedimiento que figura en el encabezamiento de este documento y la causa, por
pago voluntario, de reducción del importe de la sanción. Asimismo, deberá enviar el
justificante del ingreso a la Subdirección General de Inspección para proceder a cerrar
el expediente.
En su virtud se le notifica cuanto antecede, y se le pone de manifiesto el procedimiento
a fin de que en el plazo de DIEZ DÍAS pueda alegar cuanto considere en su defensa y
presentar los documentos e informaciones que considere pertinentes, de acuerdo con
el artículo 89.2 de la LPACAP.
926-050522
B.B.B.
INSTRUCTOR
>>
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
41/42
SEGUNDO: En fecha 18 de noviembre de 2022, la parte reclamada ha procedido al
pago de la sanción en la cuantía de 40000 euros haciendo uso de la reducción
prevista en la propuesta de resolución transcrita anteriormente.
TERCERO: El pago realizado conlleva la renuncia a cualquier acción o recurso en vía
administrativa contra la sanción, en relación con los hechos a los que se refiere la
propuesta de resolución.
CUARTO: En la propuesta de resolución transcrita anteriormente se constataron los
hechos constitutivos de infracción, y se propuso que, por la Directora, se impusiera al
responsable la adopción de medidas adecuadas para ajustar su actuación a la
normativa, de acuerdo con lo establecido en el citado artículo 58.2 d) del RGPD, según
el cual cada autoridad de control podrá “ordenar al responsable o encargado del
tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del
presente Reglamento, cuando proceda, de una determinada manera y dentro de un
plazo especificado…”.
FUNDAMENTOS DE DERECHO
I
Competencia
De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679
(Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada
autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la
Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y
garantía de los derechos digitales (en adelante, LOPDGDD), es competente para
iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección
de Datos.
Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos
tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto
en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones
reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter
subsidiario, por las normas generales sobre los procedimientos administrativos."
II
Terminación del procedimiento
El artículo 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo
Común de las Administraciones Públicas (en lo sucesivo, LPACAP), bajo la rúbrica
“Terminación en los procedimientos sancionadores” dispone lo siguiente:
“1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad,
se podrá resolver el procedimiento con la imposición de la sanción que proceda.
2. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa imponer una
sanción pecuniaria y otra de carácter no pecuniario pero se ha justificado la
improcedencia de la segunda, el pago voluntario por el presunto responsable, en
cualquier momento anterior a la resolución, implicará la terminación del procedimiento,
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
42/42
salvo en lo relativo a la reposición de la situación alterada o a la determinación de la
indemnización por los daños y perjuicios causados por la comisión de la infracción.
3. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el
órgano competente para resolver el procedimiento aplicará reducciones de, al menos,
el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables entre sí.
Las citadas reducciones, deberán estar determinadas en la notificación de iniciación
del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de
cualquier acción o recurso en vía administrativa contra la sanción.
El porcentaje de reducción previsto en este apartado podrá ser incrementado
reglamentariamente.”
De acuerdo con lo señalado, la Directora de la Agencia Española de Protección de
Datos RESUELVE:
PRIMERO: DECLARAR la terminación del procedimiento PS/00214/2022, de
conformidad con lo establecido en el artículo 85 de la LPACAP.
SEGUNDO: REQUERIR a THOMAS INTERNATIONAL SYSTEMS, S.A. para que en
el plazo de un mes notifique a la Agencia la adopción de las medidas que se describen
en los fundamentos de derecho de la propuesta de resolución transcrita en la presente
resolución.
TERCERO: NOTIFICAR la presente resolución a THOMAS INTERNATIONAL
SYSTEMS, S.A..
De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente
Resolución se hará pública una vez haya sido notificada a los interesados.
Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por
el art. 114.1.c) de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo
Común de las Administraciones Públicas, los interesados podrán interponer recurso
contencioso administrativo ante la Sala de lo Contencioso-administrativo de la
Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de
la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la
Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el
día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la
referida Ley.
1331-281122
Mar España Martí
Directora de la Agencia Española de Protección de Datos
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es