← España

A-00195-2013

1/9 Procedimiento Nº: A/00195/2013 RESOLUCIÓN: R/00261/2014 En el procedimiento A/00195/2013, instruido por la Agencia Española de Protección de Datos a BILDU, vista la denuncia presentada por Doña A.A.A., y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fecha 2 de abril de 2013, tuvo entrada en esta Agencia un escrito remitido por la Agencia Vasca de Protección de Datos. Acompañaba la denuncia presentada por Doña A.A.A. en la que exponía que en la página web de BILDU se publicaba un listado con datos de carácter identificativo de los presidentes y vocales de las Mesas Electorales para las Elecciones al Congreso y Senado del 20 de noviembre de 2011. La denunciante entiende que es responsable no solo BILDU, sino también al Ayuntamiento de Sestao, por haber entregado el acta a los partidos políticos sin omitir los datos personales, indicando que no son ni necesarios ni relevantes para ellos. Aportaba junto con su denuncia una impresión de pantalla con la consulta “XXXXXXXXXXbildu” efectuada con el buscador Google, y figurando entre los resultados dos documentos tipo pdf publicados en “bildu....…” que contienen, uno en castellano y otro en vasco, el acta de la sesión del 26 de octubre de 2011 del Ayuntamiento de Sestao. Aportaba, asimismo, la publicación del acta en castellano, en la que constaba el listado con los datos de los presidentes y vocales de las Mesas Electorales para las Elecciones al Congreso y Senado del 20 de noviembre de 2011, entre los que se encuentran los de la denunciante. Con fecha 27 de marzo de 2013 el Director de la Agencia Vasca de Protección de Datos firmó la resolución, de referencia R13-010, mediante la que se archivaba la denuncia formulada contra el Ayuntamiento de Sestao, indicando que la publicación de los datos la realiza BILDU, cuya naturaleza privada implica que la autoridad competente para conocer el asunto es Agencia Española de Protección de Datos. Esta Resolución analiza la cesión del Acta correspondiente al pleno del día 26 de octubre de 2011, realizada por el Ayuntamiento de Sestao a los corporativos. Concluye la Resolución que esa cesión se ampara en el artículo 77.1 de la Ley 7/1985, de 2 de abril, reguladora de las Bases del Régimen Local, que preceptúa lo siguiente: “Todos los miembros de las Corporaciones locales tienen derecho a obtener del Alcalde o Presidente o de la Comisión de Gobierno cuantos antecedentes, datos o informaciones obren en poder de los servicios de la Corporación y resulten precisos para el desarrollo de su función”, siendo este derecho es expresión del derecho fundamental de participación política consagrado en el artículo 23 de la Constitución, si bien tienen la obligación de guardar secreto sobre las informaciones que se les faciliten, de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/9 conformidad con lo establecido en el artículo 16.3 del Real Decreto 2568/1986, de 28 de noviembre, por el que se aprueba el Reglamento de Organización, Funcionamiento y Régimen Jurídico de las entidades locales. Se archivan las actuaciones practicadas ya que la cesión está habilitada por una Ley, por lo que no precisa el consentimiento de los afectados, según determina el artículo 11.1 de la LOPD. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: Por parte de la Inspección de Datos se comprobó que a fecha 27 de junio de 2013, fecha en que se realiza la primera comprobación, el acta denunciada ya no se encontraba expuesta en Internet. Entre las comprobaciones realizadas se incluye la consulta con el buscador Google y con el criterio “XXXXXXXXXXbildu”, es decir, de la misma forma que fue realizada por la afectada. Solicitada información y documentación a la Agrupación Local de Sestao de Bildu, sus representantes han manifestado lo siguiente: “PRIMERO.- Entendemos que, en virtud del artículo 41 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, corresponde a la Agencia Vasca de Protección de Datos velar por el cumplimiento de la citada Ley en el ámbito de la Comunidad Autónoma del País Vasco, por lo que es la referida agencia quien deberá solicitarnos la información que estime oportuna, una vez le sea remitida la denuncia a la que hacen referencia. Si, en su caso, la Agencia Vasca de Protección de Datos reitera la solicitud, no tendremos inconveniente en aclarar cuantos extremos se nos requieran. SEGUNDO.- No obstante lo anterior, analizada la documentación que se nos ha remitido junto con el escrito arriba referenciado, entendemos que es ante el Ayuntamiento de Sestao ante quien deberían actuar, en todo caso, por la supuesta publicación indebida de datos personales. Ello es así porque las actas que figuran en nuestra página web son públicas, tal y como recoge el artículo 70 de la Ley 7/1985, de 2 de abril, reguladora de las Bases del Régimen Local. Es por ello que, si en las mismas se reflejan datos de carácter personal que no debería figurar, corresponde al Ayuntamiento aclarar dicho extremo, ya que esta coalición se ha limitado a poner en Internet un documento público de autoría municipal.” TERCERO: En ese sentido, la Ley 7/1985, de 2 de abril, Reguladora de las Bases de Régimen Local, modificada por la Ley 57/2003, de 16 de diciembre, de medidas de para la modernización del gobierno local, establece en su artículo 70.1 que las sesiones del Pleno de las Corporaciones Locales son “públicas”, salvo en aquellos asuntos que puedan afectar al derecho fundamental de los ciudadanos a que se refiere el artículo 18.1 de la Constitución, cuando así se acuerde por mayoría absoluta. Por otra parte, el apartado 2 del referido artículo 70 establece que los acuerdos que adopten las corporaciones locales se publicarán o notificarán en la forma prevista por ley. El artículo 88.1 del R.D. 2568/1986, de 28 de noviembre, del Reglamento de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/9 Organización, Funcionamiento y Régimen Jurídico de las Entidades Locales, establece el carácter público de las sesiones del Pleno, con la posibilidad de celebrar a puerta cerrada el debate y votación de aquellos asuntos que puedan afectar al derecho fundamental de los ciudadanos a que se refiere el artículo 18 de la Constitución, cuando así se acuerde por mayoría absoluta. A su vez, el artículo 229 del RD 2568/1986 establece que las Corporaciones darán publicidad resumida del contenido de las sesiones plenarias y de todos los acuerdos del Pleno y de las Comisiones de Gobierno, así como de las resoluciones del Alcalde. Concretamente en el citado artículo dispone que: “1. Las convocatorias y у órdenes del día de las sesiones del Pleno se trasmitirán a los medios de comunicación social de la localidad y se harán públicas en el Tablón de Anuncios de la entidad. 2. Sin perjuicio de lo dispuesto en el artículo 70.2 de la Ley 7/1985, de 2 de abril, la Corporación dará publicidad resumida del contenido de las sesiones plenarias y de todos los acuerdos del Pleno y de la Comisión de Gobierno, así como de las resoluciones del Alcalde y las que por su delegación dicten los delegados. 3. A tal efecto, además de la exposición en el Tablón de Anuncios de la entidad, podrán utilizarse los siguientes medios:

  1. a)Edición, con una periodicidad mínima trimestral, de un boletín informativo de la entidad.
  2. b)Publicación en los medios de comunicación social del ámbito de la entidad.” El Ayuntamiento puede publicar de forma resumida el contenido de las sesiones y acuerdos del Pleno y las Comisiones, pero sin incluir más datos de los que sean adecuados, pertinentes y no excesivos en relación con la finalidad pretendida. En el supuesto presente, se considera que es excesivo publicar el listado completo con los nombres y apellidos de todas las personas que fueron designados para formar parte de las mesas electorales, puesto que se les notifica uno por uno tal circunstancia en sus domicilios. Igualmente, las Corporaciones Locales y Partidos Políticos podrían publicar en sus páginas web información sobre la vida municipal y sus actividades, pero igualmente resumida. CUARTO: Con fecha 8 de octubre de 2013, el Director de la Agencia Española de Protección de Datos acordó someter a trámite de audiencia previa el presente procedimiento de apercibimiento A/00195/2013. Dicho acuerdo fue notificado a la denunciante y al denunciado. Ambos lo recibieron el día 14 de octubre de 2013, sin que se hayan recibido alegaciones al respecto. HECHOS PROBADOS C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/9 PRIMERO: Doña A.A.A. denunció ante la Agencia Vasca de Protección de Datos al Ayuntamiento de Sestao y a BILDU ya que en la página web de BILDU se publicaba un listado con datos de carácter identificativo de los presidentes y vocales de las Mesas Electorales para las Elecciones al Congreso y Senado del 20 de noviembre de 2011. Aportaba junto con su denuncia una impresión de pantalla con la consulta “XXXXXXXXXXbildu” efectuada con el buscador Google, y figurando entre los resultados dos documentos tipo pdf publicados en “bildu....…” que contienen, uno en castellano y otro en vasco, el acta de la sesión del 26 de octubre de 2011 del Ayuntamiento de Sestao. Aportaba, asimismo, la publicación del acta en castellano, en la que constaba el listado con los datos de los presidentes y vocales de las Mesas Electorales para las Elecciones al Congreso y Senado del 20 de noviembre de 2011, entre los que se encuentran los de la denunciante. SEGUNDO: El Director de la Agencia Vasca de Protección de Datos resolvió la denuncia formulada contra el Ayuntamiento de Sestao, archivándola e indicando que la publicación de los datos la realiza BILDU, cuya naturaleza privada implica que la autoridad competente para conocer el asunto es Agencia Española de Protección de Datos. TERCERO: Por parte de esta Inspección de Datos se comprobó que, a fecha 27 de junio de 2013, el acta denunciada ya no se encontraba expuesta en Internet. Entre las comprobaciones realizadas se incluye la consulta con el buscador Google y con el criterio “XXXXXXXXXXbildu”, es decir, de la misma forma que fue realizada por la afectada. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
  3. g)en relación con el artículo 36 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, (en lo sucesivo LOPD). II Se imputa a BILDU una vulneración del deber de secreto establecido en el artículo 10 de la LOPD, que dispone lo siguiente: “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo”. El deber de confidencialidad obliga no sólo al responsable del fichero sino a todo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/9 aquel que intervenga en cualquier fase del tratamiento. Este deber de secreto comporta que el responsable de los datos almacenados no pueda revelar ni dar a conocer su contenido teniendo el “deber de guardarlos, obligaciones que subsistirán aún después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo”. Es una exigencia elemental y anterior al propio reconocimiento del derecho fundamental a la libertad informática a que se refiere la Sentencia del Tribunal Constitucional 292/2000, de 30/11, y por lo que ahora interesa, comporta que los datos tratados no pueden ser conocidos por ninguna persona o entidad ajena fuera de los casos autorizados por la Ley, pues en eso consiste precisamente el secreto. Este deber de sigilo resulta esencial en las sociedades actuales cada vez más complejas, en las que los avances de la técnica sitúan a la persona en zonas de riesgo para la protección de derechos fundamentales, como la intimidad o el derecho a la protección de los datos que recoge el artículo 18.4 de la Constitución Española. En efecto, este precepto contiene un “instituto de garantía de los derechos de los ciudadanos que, además, es en sí mismo un derecho o libertad fundamental, el derecho a la libertad frente a las potenciales agresiones a la dignidad y a la libertad de la persona provenientes de un uso ilegítimo del tratamiento mecanizado de datos” (Sentencia del Tribunal Constitucional 292/2000, de 30/11). Este derecho fundamental a la protección de datos persigue garantizar a esa persona un poder de control sobre sus datos personales, sobre su uso y destino que impida que se produzcan situaciones atentatorias con la dignidad de la persona, es decir, el poder de resguardar su vida privada de una publicidad no querida. En el caso que nos ocupa, ha quedado acreditado que BILDU vulneró este deber de confidencialidad en relación con los datos personales de la denunciante al publicar en su página web sus datos identificativos, obtenidos del Ayuntamiento de Sestao e incluidos en el acta de la sesión celebrada el día 26 de octubre de 2011, y en la que constaban los datos personales de los Presidentes y Vocales de las Mesas Electorales. Esta información no puede ser facilitada a terceros, salvo consentimiento de los afectados o que exista una habilitación legal que permita su comunicación, que no concurren en el presente caso. Por tanto, queda acreditado que por parte de BILDU, se vulnera el deber de secreto garantizado en el artículo 10 de la LOPD, al haber posibilitado que terceras personas tuviesen acceso a datos personales de otros afectados. III La vulneración del deber de secreto aparece tipificada como infracción grave en el artículo 44.3.
  4. d)de la LOPD. En este precepto se establece lo siguiente: “
  5. d)La vulneración del deber de guardar secreto acerca del tratamiento de los datos de carácter personal al que se refiere el artículo 10 de la presente Ley”. En el presente caso, según ha quedado expuesto, consta acreditado que los datos personales de la denunciante fueron facilitados a terceros por BILDU, no habiéndose acreditado que la misma hubiese prestado el consentimiento necesario para ello. Por tanto, se concluye que la conducta imputada a BILDU se ajusta a la tipificación C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/9 prevista en el 44.3.
  6. d)de la LOPD. IV En cuanto al principio de culpabilidad, cabe señalar lo dispuesto en el artículo 130.1 de la LRJPAC, según el cual “... sólo pueden ser sancionadas por hechos constitutivos de infracción administrativa los responsables de los mismos, aún a título de simple inobservancia”. Esta simple inobservancia no puede ser entendida como la admisión en el derecho administrativo sancionador de la responsabilidad objetiva, pues la doctrina del Tribunal Constitucional (Sentencias de 26/04/1990, 19/12/1991 y 04/07/1999, entre otras) y la jurisprudencia mayoritaria del Tribunal Supremo (Sentencia de 23/01/1998, entre otras), así como las exigencias inherentes a un Estado de Derecho, exigen que el principio de culpabilidad requiera la existencia de dolo o culpa. El Tribunal Supremo (Sentencias de 16 y 22/04/1991) considera que del elemento culpabilista se desprende “... que la acción u omisión, calificada de infracción sancionable administrativamente, ha de ser, en todo caso, imputable a su autor, por dolo o imprudencia, negligencia o ignorancia inexcusable.” Por su parte, la Audiencia Nacional, en Sentencia de 29/06/2001, en materia de protección de datos de carácter personal, ha declarado que “... basta la simple negligencia o incumplimiento de los deberes que la Ley impone a las personas responsables de ficheros o del tratamiento de datos de extremar la diligencia...”. El Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el sujeto infractor no se comporta con la diligencia exigible. Diligencia cuyo grado de exigencia se determinará en atención a las circunstancias concurrentes, tales como el especial valor del bien jurídico protegido, la profesionalidad exigible al infractor, etc. En este sentido la Sentencia de 05/06/1998 exige a los profesionales del sector “... un deber de conocer especialmente las normas aplicables”. En similares términos se pronuncian las Sentencias de 17/12/1997, 11/03/1998, 02/03 y 17/09/1999. Conforme a esta doctrina jurisprudencial, es evidente la existencia en este caso de, al menos, una falta de diligencia debida que le era exigible en los hechos denunciados atribuible plenamente a BILDU, que no adoptó ninguna cautela para evitar la difusión de los datos. Si bien obtuvo lícitamente los datos del Ayuntamiento de Sestao no debió publicarlos, al no resultar adecuado, pertinente y ser excesivo. En el supuesto presente, se considera que es excesivo publicar el listado completo con los nombres y apellidos de todas las personas que fueron designados para formar parte de las mesas electorales, puesto que se les notifica uno por uno tal circunstancia en sus domicilios; y no supone un dato de relevancia pública. Por ello la infracción del deber de secreto declarada es conforme al principio de culpabilidad, ya que una actuación diligente de BILDU hubiera impedido el tratamiento de tales datos y su incorporación a la web señalada. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/9 V La disposición final quincuagésima sexta de la Ley 2/2011, de 4 de marzo, de Economía Sostenible (BOE 5-3-2011), ha añadido un nuevo apartado 6 al artículo 45 de la LOPD, en lugar del existente hasta su entrada en vigor, del siguiente tenor: “Excepcionalmente el órgano sancionador podrá, previa audiencia de los interesados y atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado anterior, no acordar la apertura del procedimiento sancionador, y en su lugar, apercibir al sujeto responsable a fin de que, en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que en cada caso resultasen pertinentes, siempre que concurran los siguientes presupuestos:
  7. a)que los hechos fuesen constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley.
  8. b)Que el infractor no hubiese sido sancionado o apercibido con anterioridad. Si el apercibimiento no fuera atendido en el plazo que el órgano sancionador hubiera determinado procederá la apertura del correspondiente procedimiento sancionador por dicho incumplimiento”. A este respecto, procede considerar lo establecido en el artículo 45.4 y 5 de la LOPD, que establece lo siguiente: “4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
  9. a)El carácter continuado de la infracción.
  10. b)El volumen de los tratamientos efectuados.
  11. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
  12. d)El volumen de negocio o actividad del infractor.
  13. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  14. f)El grado de intencionalidad.
  15. g)La reincidencia por comisión de infracciones de la misma naturaleza.
  16. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
  17. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
  18. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
  19. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
  20. b)Cuando la entidad infractora haya regularizado la situación irregular de forma C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/9 diligente.
  21. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
  22. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
  23. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente”. En el presente supuesto se cumplen los requisitos recogidos en los apartados
  24. a)y
  25. b)del citado artículo 45.6 de la LOPD. Junto a ello se constata una cualificada disminución de la culpabilidad de la entidad denunciada por la concurrencia de varios criterios de los enunciados en el artículo 45.4 de la LOPD, concretamente, la ausencia de beneficios, el grado de intencionalidad y que la información fue retirada de la página web antes de iniciar este apercibimiento, por lo que, no procede requerimiento alguno. De acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA: 1.- APERCIBIR (A/00195/2013) a BILDU con arreglo a lo dispuesto en el artículo 45.6 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, en relación con la denuncia por infracción del artículo 10 de la LOPD, tipificada como grave en el artículo 44.3.
  26. d)de la citada Ley Orgánica, en su redacción vigente en el momento en que se cometió la infracción, y de conformidad con lo establecido en los artículos 36 y 37.a),
  27. f)y
  28. n)de la LOPD, que atribuye la competencia al Director de la Agencia Española de Protección de Datos. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de esta acto, según lo previsto en el artículo 46.1 del referido texto legal. 2.- NOTIFICAR el presente Acuerdo a BILDU. 3.- NOTIFICAR el presente Acuerdo a Doña A.A.A.. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/9 De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.