AAPP-00006-2017

(2015)y la cancelación del expediente, adjunto le remitimos el justificante solicitado”. Carta pago recibo, emitido por la Unidad de Rentas y Tributos del Ayuntamiento de Moralzarzal, en el que se detalla el Impuesto Bienes Inmuebles Urbana 2015 de Don B.B.B. (en adelante TERCERO). SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: La Corporación Local ha informado que la denunciante figura como titular del expediente de apremio administrativo individual con referencia ***NÚM.1, expediente ***EXPTE.2 del programa de gestión documental. Por otra parte, el TERCERO figura como titular de expediente de apremio administrativo individual con referencia ***NÚM.2, expediente ***EXPTE.1 del programa de gestión documental, que remitió escrito el 29 de marzo de 2016, solicitando justificante del pago realizado. Que por un error administrativo se relaciona el expediente de la denunciante con el del TERCERO, al insertar la plantilla correspondiente al oficio de remisión, se incorpora de forma automática los datos del titular del expediente, en este caso la denunciante. Se aporta, como acreditación del expediente de la denunciante que consta en el Ayuntamiento de Moralzarzal, Carta de Pago Notificación a nombre, dirección postal y C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/8 NIF de la denunciante, fecha notificación 16 de marzo de 2016, número de expediente ***NÚM.1, total ingresar 50,84€. En este procedimiento se ha acreditado que la entidad denunciada ha divulgado los datos personales de un vecino del municipio al entregarle una carta de pago justificante del ingreso de un impuesto, a otro vecino, denunciante en este procedimiento. TERCERO: Con fecha 22 de febrero de 2017, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento de declaración de infracción de Administraciones Públicas al Ayuntamiento de Moralzarzal por la presunta infracción del artículo 10 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como grave en el artículo 44.3.d) de la citada Ley Orgánica. CUARTO: Notificado el citado acuerdo de inicio de procedimiento de declaración de infracción de Administraciones Públicas, el Ayuntamiento de Moralzarzal presentó escrito en el que reitera exactamente lo alegado en la fase de actuaciones previas, reconocen los hechos denunciados pero que fueron consecuencia de un error administrativo excusable por los numerosos expedientes que el servicio municipal de recaudación debe tramitar. Añaden que se califican los hechos de infracción grave, cuando es un error carente de culpabilidad, sin intención, voluntad o negligencia. Por ello, solicitan el archivo. QUINTO: El artículo 85.1 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, determina lo siguiente: 1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento con la imposición de la sanción que proceda. HECHOS PROBADOS 1. Doña A.A.A. figura en el Ayuntamiento de Moralzarzal como titular del expediente de apremio administrativo individual con referencia ***NÚM.1, expediente ***EXPTE.2 del programa de gestión documental. 2. Don B.B.B. figura en el Ayuntamiento de Moralzarzal como titular de expediente de apremio administrativo individual con referencia ***NÚM.2, expediente ***EXPTE.1 del programa de gestión documental. 3. Don B.B.B. remitió escrito dirigido al Ayuntamiento de Moralzarzal, en fecha 29 de marzo de 2016, solicitando justificante del pago realizado. 4. La Intervención del Ayuntamiento de Moralzarzal envió, en fecha 11 de abril de 2016, a Doña A.A.A. la carta siguiente: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/8 “En contestación a su escrito de fecha 29 de marzo de 2016, en el que solicitaba justificación del pago del IBI

(2015)y la cancelación del expediente, adjunto le remitimos el justificante solicitado”. Carta pago recibo, emitido por la Unidad de Rentas y Tributos del Ayuntamiento de Moralzarzal, en el que se detalla el Impuesto Bienes Inmuebles Urbana 2015 de Don B.B.B.. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.

1. g)en relación con el artículo 36 de la LOPD. II El artículo 18.4 de la Constitución Española establece en que: “la ley limitará el uso de la informática para garantizar el honor y la intimidad personal y familiar de los ciudadanos y el pleno ejercicio de sus derechos”, consagrándose así el derecho a la protección de datos como un derecho autónomo, incluso del propio derecho a la intimidad, tal y como ha indicado la Sentencia del Tribunal Constitucional 292/2000, de 30 de noviembre. El artículo 1 de la LOPD dispone: “La presente Ley Orgánica tiene por objeto garantizar y proteger, en lo que concierne al tratamiento de los datos personales, las libertades públicas y los derechos fundamentales de las personas físicas, y especialmente de su honor e intimidad personal y familiar”. En cuanto al ámbito de aplicación de la citada norma, el artículo 2.1 de la misma señala que “La presente Ley Orgánica será de aplicación a los datos de carácter personal registrados en soporte físico que los haga susceptibles de tratamiento, y a toda modalidad de uso posterior de estos datos por los sectores público y privado”; definiéndose el concepto de dato de carácter personal en el artículo 3.
2. a)de la citada LOPD como “Cualquier información concerniente a personas físicas identificadas o identificables”. En este mismo sentido se pronuncia el artículo 2.
3. a)de la Directiva 95/46/CE, del Parlamento y del Consejo, de 24/10/1995, relativa a la Protección de las Personas Físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (en lo sucesivo la Directiva), según el cual se entiende por dato personal “toda información sobre una persona física identificada o identificable; se considerará identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un número de identificación o uno o varios elementos específicos, característicos de su identidad física, fisiológica, psíquica, económica, cultural o social”. En el presente caso, ha quedado acreditado que el fichero al que pertenecen los C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/8 datos personales en cuestión, atendiendo a su contenido (nombre, apellidos e importe de la deuda en concepto de IBI), se encuentra incluido dentro del ámbito de aplicación establecido en la LOPD y sus normas de desarrollo. III El presente procedimiento tiene por objeto determinar las responsabilidades que se derivan de la revelación de datos efectuada por el Ayuntamiento de Moralzarzal, que resulta de la divulgación de los datos personales de un tercero denunciantes, relativos a nombre, apellidos, domicilio e importe de la deuda pagada a la denunciante, sin que conste su consentimiento previo y expreso. El artículo 10 de la LOPD dispone: “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo”. El deber de confidencialidad obliga no sólo al responsable del fichero sino a todo aquel que intervenga en cualquier fase del tratamiento. Este deber de secreto comporta que el responsable de los datos almacenados no pueda revelar ni dar a conocer su contenido teniendo el “deber de guardarlos, obligaciones que subsistirán aún después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo”. Este deber es una exigencia elemental y anterior al propio reconocimiento del derecho fundamental a la libertad informática a que se refiere la Sentencia del Tribunal Constitucional 292/2000, de 30/11, y por lo que ahora interesa, comporta que los datos tratados no pueden ser conocidos por ninguna persona o entidad ajena fuera de los casos autorizados por la Ley, pues en eso consiste precisamente el secreto. Este deber de sigilo resulta esencial en las sociedades actuales cada vez más complejas, en las que los avances de la técnica sitúan a la persona en zonas de riesgo para la protección de derechos fundamentales, como la intimidad o el derecho a la protección de los datos que recoge el artículo 18.4 de la Constitución Española. En efecto, este precepto contiene un “instituto de garantía de los derechos de los ciudadanos que, además, es en sí mismo un derecho o libertad fundamental, el derecho a la libertad frente a las potenciales agresiones a la dignidad y a la libertad de la persona provenientes de un uso ilegítimo del tratamiento mecanizado de datos” (Sentencia del Tribunal Constitucional 292/2000, de 30/11). Este derecho fundamental a la protección de datos persigue garantizar a esa persona un poder de control sobre sus datos personales, sobre su uso y destino que impida que se produzcan situaciones atentatorias con la dignidad de la persona, es decir, el poder de resguardar su vida privada de una publicidad no querida. Igualmente, cabe destacar la Sentencia dictada por la Audiencia Nacional, de fecha 14/09/2001, que en los Fundamentos de Derecho Tercero y Cuarto señala: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/8 “Pues bien, la conducta que configura el ilícito administrativo -artículo 43.3.
4. g)de la Ley Orgánica 5/1992- requiere la existencia de culpa, que se concreta, por lo que ahora interesa, en el simple incumplimiento del deber de guardar secreto, deber que se transgrede cuando se facilita información a terceros de los datos que sobre el titular de una cuenta bancaria dispone la entidad recurrente, siendo indiferente a estos efectos que los datos se facilitaran mediante engaño, pues la entidad bancaria no observó una conducta diligente tendente a salvaguardar el expresado deber de secreto, y esta conducta basta para consumar la infracción cuya sanción se recurre en el presente recurso. En consecuencia, esa falta de diligencia configura el elemento culpabilístico de la infracción administrativa y resulta imputable a la recurrente. En definitiva, concurren los requisitos exigibles para que la conducta sea culpable, pues la conducta desarrollada vulnera el deber de guardar secreto, es una conducta tipificada como infracción administrativa, y la voluntariedad reviste forma de culpa”. En el caso que nos ocupa, ha quedado acreditado que el Ayuntamiento de Moralzarzal envió a una persona los datos relativos al pago del IBI de otra persona diferente, con indicación de sus datos relativos a nombre, apellidos e importe que dicha persona abonó. Consta incorporada a las actuaciones una copia de la comunicación dirigida por el Ayuntamiento de Moralzarzal a la denunciante; además el propio Ayuntamiento reconoce su envío, consecuencia de un error administrativo propicia por la necesidad de cumplir los plazos. En definitiva, la comunicación a la denunciante de la carta de pago de un tercero, que contienen sus datos personales, y su divulgación sin el consentimiento del afectado, supone una vulneración de lo dispuesto en el citado artículo 10 de la LOPD por parte del Ayuntamiento de Moralzarzal, entidad sobre la que recae el deber de secreto que impone dicho precepto. IV La vulneración del deber de secreto aparece tipificada como infracción grave en el artículo 44.3.
5. d)de la LOPD. En este precepto se establece lo siguiente: “
6. d)La vulneración del deber de guardar secreto acerca del tratamiento de los datos de carácter personal al que se refiere el artículo 10 de la presente Ley”. En el presente caso, consta acreditado que los datos personales de un tercero fueron divulgados a la denunciante por el Ayuntamiento de Moralzarzal sin que dispusiera del consentimiento necesario para ello. Por tanto, se concluye que la conducta imputada a dicha entidad se ajusta a la tipificación prevista en el 44.3.
7. d)de la LOPD. V El Ayuntamiento de Moralzarzal alega que en su actuación no concurre la culpabilidad, por lo que no puede ser sancionado. Esta alegación no puede ser tenida en cuenta, dado que, si bien el principio de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/8 culpabilidad es exigido en el procedimiento sancionador y así la STC 246/1991 considera inadmisible en el ámbito del Derecho administrativo sancionador una responsabilidad sin culpa, este principio de culpa no implica que sólo pueda sancionarse una actuación intencionada. El Tribunal Supremo (STS de 16 de abril de 1991 y STS de 22 de abril de 1991) considera que del elemento de culpabilidad se desprende “que la acción u omisión, calificada de infracción sancionable administrativamente, ha de ser, en todo caso, imputable a su autor, por dolo o imprudencia, negligencia o ignorancia inexcusable.” El mismo Tribunal razona que “no basta...para la exculpación frente a un comportamiento típicamente antijurídico la invocación de la ausencia de culpa” sino que es preciso “que se ha empleado la diligencia que era exigible por quien aduce su inexistencia.” (STS de 23 de enero de 1998). A mayor abundamiento, la Audiencia Nacional en materia de protección de datos de carácter personal, ha declarado que “Sobre la falta de culpabilidad, ha de decirse que generalmente este tipo de conductas no tienen un componente doloso, y la mayoría de ellas se producen sin malicia o intencionalidad. Basta la simple negligencia o incumplimiento de los deberes que la Ley impone a las personas responsables de ficheros (...) lo que denota una falta evidente en la observancia de esos deberes que conculcan claramente los principios y garantías establecidas en la Ley Orgánica 5/1992, de 29 de octubre de Regulación del Tratamiento de Datos de Carácter Personal...” Hay que tener en cuenta que las exigencias derivadas del principio de culpabilidad se traducen en materia de protección de datos de carácter personal en la necesidad de exigir una especial diligencia a las personas físicas o jurídicas responsables del tratamiento de los mismos, diligencia que en el presente supuesto faltó desde el momento en que se comunicaron a terceros, datos de carácter personal de un tercero sin su consentimiento. VI Tratándose de infracciones cometidas por Administraciones Públicas, procede aplicar el artículo 46 de la LOPD, que establece lo siguiente: “1. Cuando las infracciones a que se refiere el artículo 44 fuesen cometidas en ficheros de titularidad pública o en relación con tratamientos cuyos responsables lo serían de ficheros de dicha naturaleza, el órgano sancionador dictará una resolución estableciendo las medidas que procede adoptar para que cesen o se corrijan los efectos de la infracción. Esta resolución se notificará al responsable del fichero, al órgano del que dependa jerárquicamente y a los afectados si los hubiera. 2. El órgano sancionador podrá proponer también la iniciación de actuaciones disciplinarias, si procedieran. El procedimiento y las sanciones a aplicar serán las establecidas en la legislación sobre régimen disciplinario de las Administraciones Públicas. 3. Se deberán comunicar al órgano sancionador las resoluciones que recaigan en relación con las medidas y actuaciones a que se refieren los apartados anteriores. 4. El Director de la Agencia comunicará al Defensor del Pueblo las actuaciones que efectúe y las resoluciones que dicte al amparo de los apartados anteriores”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/8 En el presente caso, la vulneración del deber de secreto por parte del Ayuntamiento de Moralzarzal se ha debido a un error puntual fruto del exceso de trabajo y de los plazos cortos para atender las solicitudes. Por tanto, no procede requerir la adopción de medidas específicas para impedir que en el futuro pueda producirse de nuevo una infracción de lo dispuesto en el artículo 10 de la LOPD, más allá de la exigencia habitual de todos sus trabajadores en el tratamiento de datos personales. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR que el AYUNTAMIENTO DE MORALZARZAL ha infringido lo dispuesto en el artículo 10 de la LOPD, tipificada como grave en el artículo 44.3.
8. d)de la citada Ley Orgánica. SEGUNDO: NOTIFICAR MORALZARZAL. la presente resolución al AYUNTAMIENTO DE TERCERO: COMUNICAR la presente resolución al Defensor del Pueblo, de conformidad con lo establecido en el artículo 46.4 de la LOPD. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, se podrá interponer potestativamente recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa (en lo sucesivo LJCA), en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/8 Sin embargo, el responsable del fichero de titularidad pública, de acuerdo con el artículo 44.1 de la LJCA, sólo podrá interponer directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la LJCA, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es