1. Identificación de la resolución
- Procedimiento: PS/00083/2025, expediente EXP202316362.
- Fecha: la fecha de firma no figura expresamente en el texto (propuesta de resolución de 28 de enero de 2026; últimas alegaciones de 17 de febrero de 2026).
- Tipo: procedimiento sancionador (acuerdo de inicio de 9 de julio de 2025; reclamación de 19 de octubre de 2023).
- Responsable: Servicio Público de Empleo Estatal (SEPE); la entidad formativa encargada aparece seudonimizada (***EMPRESA.1).
- Sentido: declaración de infracción del artículo 28 del RGPD, tipificada en el artículo 83.4.a) del RGPD.
- Sanción económica: ninguna; por el artículo 77 de la LOPDGDD solo se declara la infracción, sin cuantía ni reducciones por pago voluntario o reconocimiento.
- Medidas: con base en el artículo 58.2.d) del RGPD, se ordena al SEPE que, en un plazo de 6 meses desde que la resolución sea firme y ejecutiva, acredite haber formalizado un contrato u otro acto jurídico escrito de encargo con las entidades que ofertan cursos subvencionados por el SEPE que estén activos o cuya impartición esté prevista, con el contenido del artículo 28.3 del RGPD. Se comunica al Defensor del Pueblo (artículo 77.5 LOPDGDD).
2. Hechos y objeto del procedimiento
La parte reclamante se inscribió en la web de una entidad privada en un curso subvencionado por el SEPE, dentro de la convocatoria aprobada por Resolución del SEPE de 4 de julio de 2022, y la entidad le pidió copia de su DNI.
Durante la investigación, la Agencia pidió al SEPE en dos ocasiones (11 de octubre y 17 de noviembre de 2024) copia del contrato de encargo firmado con la entidad. El 26 de noviembre de 2024 el SEPE respondió que «no se dispone de la información solicitada».
Según los hechos probados, la disposición adicional segunda de la convocatoria atribuye al SEPE la condición de responsable de los datos obtenidos durante la solicitud, gestión, financiación, control, seguimiento y evaluación de los programas. Las beneficiarias recogen el consentimiento y quedan autorizadas a tratar los datos para ejecutar y justificar la formación. El formulario oficial (Anexo I) identifica al SEPE como responsable ante el que ejercer los derechos.
El objeto se limita a la falta de contrato de encargo, no a la licitud de pedir la copia del DNI.
3. Doctrina de la Agencia
Las nociones de responsable y encargado son funcionales y dependen de las actividades reales de cada parte, según el Informe 0064/2020 del Gabinete Jurídico y las Directrices 07/2020 del Comité Europeo de Protección de Datos.
El SEPE es responsable porque decidió crear los programas de formación en ejercicio de sus competencias, definió quiénes podían participar y fijó en el formulario qué datos personales debían recogerse. En las Administraciones Públicas, además, la condición de responsable va ligada a la competencia atribuida por la norma (artículos 9.1 y 103.1 de la Constitución).
Frente a la alegada autonomía de la entidad en la selección, la Agencia responde que el margen sobre medios no esenciales no altera la calificación, porque los esenciales (qué datos, de quién, quién accede) los fija la convocatoria. Ser responsable no exige acceder a los datos (apartado 42 de las Directrices 07/2020).
La política de privacidad de la web de la entidad se considera ajena al tratamiento vinculado a la convocatoria, y tampoco influye que la relación nazca de una subvención.
4. Fundamentos jurídicos relevantes
El artículo 28.3 del RGPD exige que el tratamiento por un encargado se rija por un contrato u otro acto jurídico escrito que fije el objeto, la duración, la naturaleza y la finalidad del tratamiento, el tipo de datos, las categorías de interesados y las obligaciones y derechos del responsable. Según el apartado 101 de las Directrices 07/2020, no bastan acuerdos no escritos. Al no existir ese instrumento, se considera infringido el artículo 28.3, tipificado en el artículo 83.4.a) del RGPD. A efectos de prescripción, la infracción es grave según el artículo 73.k) de la LOPDGDD, con un plazo de dos años.
El argumento del SEPE basado en el Informe 0143/2010 se rechaza a la luz de los artículos 4.7, 4.8, 5.2, 24, 28.10 y 29 del RGPD.
Al ser el SEPE un organismo del artículo 77.1 de la LOPDGDD (en relación con el artículo 83.7 del RGPD), no se gradúa multa alguna: se declara la infracción y se fijan medidas. Su incumplimiento podría constituir infracción del artículo 83.6 del RGPD.
5. Valoración técnica
La resolución aplica la distinción entre responsable y encargado a programas ejecutados por entidades beneficiarias de subvenciones. En la lectura de la Agencia, cuando la convocatoria fija los datos que se recogen, los interesados y los destinatarios, y además declara responsable al órgano convocante, ese órgano debe formalizar contratos de encargo con las entidades que tratan los datos.
Afecta a los órganos convocantes de subvenciones con tratamiento de datos de participantes y a las entidades beneficiarias; la medida alcanza a todas las entidades con cursos activos o previstos.
Referencias
- Texto íntegro (AEPD): https://www.aepd.es/documento/ps-00083-2025.pdf
- Normativa aplicada: RGPD, artículos 4.1, 4.2, 4.7, 4.8, 5.2, 24, 28 (en especial 28.3 y 28.10), 29, 58.2.d), 83.4.a), 83.5, 83.6 y 83.7; LOPDGDD, artículos 50, 63.2, 71, 73.k) y 77; Ley 39/2015 (LPACAP), artículos 63 y 64; Constitución Española, artículos 9.1 y 103.1; Ley 30/2015, artículo 24.2.b); Real Decreto 694/2017; Ley 38/2003, General de Subvenciones, artículo 11; Resolución del SEPE de 4 de julio de 2022 (artículos 5 y 22 y disposición adicional segunda); Directrices 07/2020 del CEPD.