← España

AAPP-00007-2018

1/18 Procedimiento Nº AP/00007/2018 RESOLUCIÓN: R/01004/2018 En el procedimiento de Declaración de Infracción de Administraciones Públicas AP/00007/2018, instruido por la Agencia Española de Protección de Datos al CONCELLO DE OURENSE. ORGANO DE XESTION TRIBUTARIA, vista la denuncia presentada por Don A.A.A., y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fecha 30 de mayo de 2017, se registra de entrada en esta Agencia escrito de Don A.A.A. (en lo sucesivo, el denunciante) poniendo de manifiesto que tres de las cinco notificaciones que ha recibido del Órgano de Xestión Tributaria del Concello de Ourense, (en adelante entidad denunciada), pudieran vulnerar la normativa de protección de datos al no estar correctamente cerradas y ensobradas. El denunciante aporta los originales de las cinco notificaciones a las que se refiere, y que según afirma, no han sido manipuladas por su parte. A la vista de esta documentación, si bien se comprueba que tres de las notificaciones aportadas muestran en su reverso los datos del contenido de los actos administrativos notificados, en forma que pueden resultar accesibles a terceros ajenos, también se constata que dichas notificaciones están incompletas. Por lo cual, su estado no se corresponde con la situación original de salida de los envíos, lo que puede traer causa en cualquier incidencia o manipulación ocurridas durante el transporte de los mismos para su entrega al destinatario que no resulta imputable al órgano emisor. SEGUNDO: No obstante lo anterior, se observa que el anverso o frontal de las notificaciones aportadas presenta las siguientes características:  En el anverso o frontal de “tres” de las notificaciones a los que se refiere el denunciante, junto con los datos del remitente (entidad denunciada) y los datos personales del destinatario/a (nombre, apellidos y dirección postal del denunciante) aparece el texto: CLASE NOTIFICACIÓN – A/R NOTIFICACIÓN DE DENUNCIA En el interior de estos envíos de “NOTIFICACIÓN DE DENUNCIA” entre otra información aparece: identificación del emisor de dichas notificaciones, apareciendo como tal al Órgano de Xestión Tributario del Concello de Ourense; información relativa a los “Datos del hecho denunciado”, en la que, entre otra, aparece la descripción del hecho denunciado, fecha y lugar de la infracción, matrícula del vehículo, referencia de los números de expediente, boletín y recibo, identificación del Instructor, precepto y artículo infringido, calificación de la infracción, importe e importe bonificado, entidades colaboradoras; y, finalmente, “Datos interesado/a”, identificado como tal al denunciante en una casilla en la que constan el nombre, apellidos y dirección postal del mismo. En el lateral derecho consta impreso: ”EJEMPLAR PARA EL INFRACTOR”. Estas notificaciones se corresponden con los expedientes números: B.B.B., D.D.D. y C.C.C.. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/18  En el anverso o frontal de otra de las notificaciones aportadas: junto con los datos del remitente (entidad denunciada) y los datos personales del destinatario/a (nombre, apellidos y dirección postal del denunciante) aparece el texto: NOTIFICACION PROVIDENCIA DE APREMIO/CONTRINXIMENTO CLASE NOTIFICACIÓN – A/R  En el anverso-frontal de otra de las notificaciones aportadas aparecen los datos del remitente (entidad denunciada) y los datos personales del destinatario/a (nombre, apellidos y dirección postal del denunciante). En el reverso de la misma figuran las distintas opciones para ser devueltas a su origen por el SR. CARTERO De todo lo cual, se evidencia que en el anverso o frontal de cuatro de las notificaciones aportadas, a la vista de terceros ajenos, aparece descrita la naturaleza concreta del acto administrativo objeto de notificación al destinatario de los envíos, cuyos datos identificativos y postales se recogen en la casilla de destinatario/a. TERCERO: A la vista de los hechos denunciados, en fase de actuaciones previas de investigación, por los Servicios de Inspección de esta Agencia se solicita información al CONCELLO DE OURENSE – ORGANO DE XESTION TRIBUTARIA, en adelante el Concello de Ourense, que mediante escrito registrado en esta Agencia con fecha de 5 de octubre de 2017, pone de manifiesto lo siguiente: 1º Respecto de la notificación de denuncias por infracciones en materia de tráfico: Los documentos de notificación se generan en el propio Órgano de Xestión Tributaria. Los envíos de notificaciones de denuncias por infracciones en materia de tráfico se realizan con una periodicidad mínima semanal y se registran en la aplicación informática de gestión de avisos y notificaciones (GAN). Cuando los interesados que no disponen de dirección electrónica vial, se generan unos documentos en formato pdf que contienen las notificaciones y que se depositan en una carpeta a la que tienen acceso únicamente las personas adscritas al Órgano de Gestión Tributaria relacionadas con la tramitación de estos procedimientos. Mediante un proceso automático diario las notificaciones de denuncia se envían para su impresión y plegado a la empresa DELION COMMUNICATIONS, S.L.U., que facilita las notificaciones al operador postal UNIPOST, S.A., que genera un albarán de entrega y un fichero en formato SICER con el resultado de la entrega al destinatario. Con posterioridad se devuelven al Órgano de Xestión Tributaria los acuses de recibo de las notificaciones debidamente diligenciados, bien con la firma del receptor de la notificación, bien con indicación del motivo por el que no fue posible su entrega y la notificación sin abrir. La práctica de las notificaciones de las denuncias de tráfico se regula en el artículo 90 del texto refundido de la Ley sobre Tráfico, Circulación de Vehículos a Motor y Seguridad Vial, aprobado por Real Decreto Legislativo 6/2015, de 30 de octubre, siendo de aplicación las modificaciones en esta material introducidas por la Ley 39/2015. En virtud de dicho precepto es necesario incluir el nombre y apellidos, así como la dirección del destinatario de la notificación para poder realizar su entrega. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/18 Se adjunta copia del modelo completo de la notificación de denuncia, que incluye la parte correspondiente a la recepción de la notificación y al “Aviso de Recibo” de la misma. En consecuencia, en la impresión, plegado, distribución y entrega de las notificaciones de denuncias, además del propio Concello de Ourense, participan las siguientes entidades: - DELION COMMUNICATIONS SLU.: adjudicataria de un contrato menor de impresión, plegado y transporte de documentos del Negociado de sanciones de tráfico, que incluye un apartado relativo a Protección de Datos. Se adjunta copia del documento de “Solicitud de presupuesto” para el referido contrato enviado a dicha empresa, que finalmente resultó adjudicataria del mismo. - UNIPOST, S.A.: Empresa adjudicataria del contrato de servicios postales y notificaciones del Concello de Ourense (contrato ***CONTRATO.1, visible en el perfil del contratante del Concello de Ourense). Dicho contrato ha finalizado el 23 de septiembre de 2017. En el “Pliego de Cláusulas Administrativas Particulares para la Contratación del Servicio de Prestación de los Servicios Postales y Notificaciones del Ayuntamiento de Ourense” (PCAP) y en el “Pliego de prescripciones técnicas para la Prestación de Servicios Postales y Notificaciones del Ayuntamiento de Ourense” (PPT), cuyas copias se adjuntan, aparecen sendas cláusulas dedicadas al secreto de las comunicaciones y protección de datos (artículo 23 PCAP y cláusula 16 PPT)). 2º.- Respecto a la notificación de las providencias de apremio: Con periodicidad mensual, se dicta una providencia de apremio colectiva, liquidando los correspondientes recargos del período ejecutivo, respecto de aquellas deudas cuya período voluntario de ingreso ha vencido sin que éste se haya producido. Firmada la providencia, se realiza el envío de las notificaciones en la aplicación mencionada de gestión de avisos y notificaciones y se generan los documentos correspondientes en formato pdf, que se imprimen y pliegan por el Servicio de Recaudación o por el Servicio de Reprografía del Concello de Ourense. Una vez realizada la impresión, se procede de forma idéntica al supuesto de las notificaciones de denuncias de tráfico, generando el albarán y el fichero de intercambio SICER, si bien en este caso las notificaciones son recogidas directamente por el personal de la empresa UNIPOST, S.A. en las dependencias del Órgano de Gestión Tributaria. Las notificaciones de las providencias de apremio se rigen por lo dispuesto en los artículos 109 y siguientes de la Ley 58/2013, de 17 de diciembre, con las modificaciones introducidas por la Ley 39/2015. 3º Respecto de la causa por la cual consta en el anverso-sobre de las notificaciones información referente a su contenido: Se manifiesta que el artículo 40 del Real Decreto 1829/1999, de 3 de diciembre, por el que se aprueba el Reglamento por el que se regula la prestación de los servicios postales, en desarrollo de lo establecido en la Ley 24/1998, de 13 de julio, del Servicio Postal Universal y de Liberalización de los Servicios Postales, establece en el artículo 40 Admisión de notificaciones de órganos administrativos y judiciales lo siguiente: "La admisión de notificaciones por el operador al que se ha encomendado la prestación del servicio postal universal requiere que en el envío conste la palabra C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/18 "Notificación", y, debajo de ella y en caracteres de menor tamaño, el acto a que se refiera (citación, requerimiento, resolución) y la indicación "Expediente núm..." o cualquier otra expresión que identifique el acto a notificar. Estos envíos se acompañarán del documento justificativo de su admisión." Se observa que el documento con el anverso queda en poder del destinatario cuando se recibe y, si no es recibido, es devuelto al Concello de Ourense. El acuse de recibo que justifica la entrega se remite al Concello de Ourense para su archivo, debiendo, en todo caso, tener la identificación del acto notificado para poder acreditar su entrega. CUARTO: Con fecha 12 de febrero de 2018, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento de declaración de infracción de Administraciones Públicas al CONCELLO DE OURENSE - ORGANO DE XESTION TRIBUTARIA por la presunta infracción del artículo 9 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), en su relación con lo dispuesto en el artículo 92 del Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, aprobado por Real Decreto 1720/2007, de 21 de diciembre de protección de datos de carácter personal (en lo sucesivo RLOPD), tipificada como grave en el artículo 44.3.

  1. h)de dicha norma. El dicho acuerdo, que consta notificado con fecha 21 de febrero de 2018, se acordaba incorporar al procedimiento de declaración de administraciones públicas, a efectos probatorios, la denuncia interpuesta por el denunciante y su documentación; los documentos obtenidos y generados por los Servicios de Inspección durante la fase de investigaciones; así como el informe de actuaciones previas de Inspección. QUINTO: Notificado el citado acuerdo de inicio de procedimiento de declaración de infracción de Administraciones Públicas, en fecha 8 de marzo de 2018 el CONCELLO DE OURENSE- ORGANO DE XESTION TRIBUTARIA, presentó escrito de alegaciones en el que, en síntesis, negaba la comisión de la infracción que la Agencia señalaba como cometida con arreglo a los siguientes argumentos: - El artículo 40 del Real Decreto 1829/1999, de 3 de diciembre, por el que se aprueba el Reglamento por el que se regula la prestación de los servicios postales, en desarrollo de lo establecido en la Ley 24/1998, de 13 de julio, del Servicio Postal Universal y de Liberación de los Servicios Postales, que se refiere a la admisión de notificaciones de órganos administrativos y judiciales, establece que, en las notificaciones debe identificarse el acto al que se refiere a efectos probatorios, quedando el documento en poder del destinatario cuando se recibe y, si no es recibido, es devuelto al Concello de Ourense por el operador postal. - Las únicas personas que tendrían acceso a la información referida a la descripción de la naturaleza concreta del acto notificado serían los trabajadores de la empresa que realizaba el servicio postal para el Concello de Ourense, que hasta el mes de septiembre de 2017 era Unipost SAU, empresa habilitada mediante una autorización administrativa singular para la prestación de dicho servicios. En relación con lo cual, se incide en que los artículos 7 y 40.2 de la Ley 43/2010, de 30 de diciembre, del Servicio Postal Universal, de los Derechos de los Usuarios y del Mercado Postal, obligan al personal que realiza las notificaciones a cumplir la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/18 normativa en materia de protección de datos, y, en particular, a garantizar el deber de secreto de los de carácter personal, la confidencialidad de la información transmitida o almacenada y la protección de la intimidad. La información contenida en las notificaciones no es más detallada que las que cualquier administración publica en el Boletín Oficial del Estado (Tablón Edictal Único) en las citaciones para notificación por comparecencia y en la notificación de las denuncias de tráfico que no pudieran realizarse por ausencia o por figurar como desconocido su destinatario en la dirección a la que se enviaron, tratándose de anuncios de obligada publicación para continuar los procedimientos administrativos correspondientes. En cualquier caso debería archivarse el procedimiento al haberse adoptado las medidas precisas para modificar los formatos y procesos de notificación, como prueba que desde septiembre de 2017 las notificaciones se realizan a través de la Sociedad Estatal de Correos y Telégrafos de España, SA., habiéndose sustituido el acuse de recibo por una prueba de entrega electrónica de las notificaciones. Asimismo, se adjunta impresión del frontal de los sobres actuales a fin de acreditar que en los mismos se ha suprimido cualquier referencia al contenido de las notificaciones, constando únicamente los datos del emisor y del destinatario y el texto “NOTIFICACIÓN ADMINSITRATIVA Prueba de entrega electrónica”. La identificación del contenido únicamente figura en un campo del fichero informático denominado “referencia“, que consta en la prueba de entrega electrónica que Correos devuelve a través de procesos automatizados. SEXTO: Con fecha 9 de mayo de 2018, la Instructora del procedimiento emitió Propuesta de Resolución, en el sentido de que por la Directora de la Agencia Española de Protección de Datos se declare que el CONCELLO DE OURENSE. ORGANO DE XESTION TRIBUTARIA ha infringido lo dispuesto en el artículo 9.1de la LOPD en su relación con lo dispuesto en el artículo 92.3 del RLOPD, lo que supone una infracción tipificada como grave en el artículo 44.3.
  2. h)de la citada Ley. Dicha propuesta fue notificada con fecha 11 de mayo de 2018 HECHOS PROBADOS PRIMERO: Con fecha 30 de mayo de 2017, se registra de entrada en esta Agencia escrito del denunciante adjuntando los originales de cinco envíos que le fueron remitidos por el Órgano de Xestión Tributaria del Concello de Ourense, cuatro de los cuales son notificaciones que el denunciante indica recibió en el mismo estado en que los presenta, incompletas y sin abrir SEGUNDO: Las cuatro notificaciones aportadas por el denunciante contienen, entre otra, la siguiente información: - En el anverso o frontal de “tres” de las notificaciones aportadas, junto con los datos del remitente, (Concello de Ourense. Órgano de Xestión Tributaria y dirección postal de dicho órgano) y los datos personales del destinatario/a de las notificaciones (nombre y apellidos del denunciante y dirección postal a la que se remiten) aparece el texto: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/18 CLASE NOTIFICACIÓN – A/R NOTIFICACIÓN DE DENUNCIA En el cuerpo del ”EJEMPLAR PARA EL INFRACTOR” de cada “NOTIFICACIÓN DE DENUNCIA”, aparece, entre otra información: identificación del emisor de la notificación, en este caso, el Concello de Ourense, Órgano de Xestión Tributario; “Datos del hecho denunciado”, donde, entre otra, figura la descripción del hecho denunciado, fecha y lugar de la infracción, matrícula del vehículo, referencia de los números de expediente, boletín y recibo correspondiente a cada notificación, identificación del Instructor, precepto y artículo infringido, calificación de la infracción, importe e importe bonificado, entidades colaboradoras; y, finalmente, “Datos interesado/a”, recogidos en una casilla donde consta el nombre y apellidos del denunciante y la dirección postal a la que se dirigen. Estas tres notificaciones se corresponden con los expedientes números: B.B.B., D.D.D. y C.C.C.. - En el anverso o frontal de la cuarta de las notificaciones aportadasse observa que junto con los datos del remitente (Concello de Ourense. Órgano de Xestión Tributaria y dirección postal de dicho órgano) y los datos personales del destinatario/a (nombre, apellidos y dirección postal del denunciante) aparece el texto: NOTIFICACION PROVIDENCIA DE APREMIO/CONTRINXIMENTO CLASE NOTIFICACIÓN – A/R TERCERO: El CONCELLO DE OURENSE- ORGANO DE XESTION TRIBUTARIA ha informado de lo siguiente: - Finalizado con fecha 23 de septiembre de 2017 el contrato de prestación de los servicios postales y notificaciones suscrito entre el Concello de Ourense y el operador postal UNIPOST, S.A., el servicio de notificaciones pasó a prestarse por la Sociedad Estatal de Correos y Telégrafos de España, S.A. - Los sobres utilizados actualmente no contienen ninguna referencia relativa al contenido de las notificaciones, constando únicamente los datos del emisor y del destinatario y el texto “NOTIFICACIÓN ADMINISTRATIVA Prueba de entrega electrónica”. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
  3. g)en relación con el artículo 36 de la LOPD. II C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/18 El artículo 7 del Convenio Nº 108 del Consejo de Europa, para la protección de las personas con respecto al tratamiento automatizado de datos de carácter personal, establece: “Seguridad de los datos: Se tomarán medidas de seguridad apropiadas para la protección de datos de carácter personal registrados en ficheros automatizados contra la destrucción accidental o no autorizada, o la pérdida accidental, así como contra el acceso, la modificación o la difusión no autorizados.” El artículo 17.1 de la Directiva 95/46/CE, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, establece: “Seguridad del tratamiento: 1. Los Estados miembros establecerán la obligación del responsable del tratamiento de aplicar las medidas técnicas y de organización adecuadas, para la protección de los datos personales contra la destrucción, accidental o ilícita, la pérdida accidental y contra la alteración, la difusión o el acceso no autorizados, en particular cuando el tratamiento incluya la transmisión de datos dentro de una red, y contra cualquier otro tratamiento ilícito de datos personales. Dichas medidas deberán garantizar, habida cuenta de los conocimientos técnicos existentes y del coste de su aplicación, un nivel de seguridad apropiado en relación con los riesgos que presente el tratamiento y con la naturaleza de los datos que deban protegerse” La LOPD traspuso al ordenamiento interno el contenido de la Directiva 95/46, disponiéndose en el artículo 1 de dicha norma que: “La presente Ley Orgánica tiene por objeto garantizar y proteger, en lo que concierne al tratamiento de los datos personales, las libertades públicas y los derechos fundamentales de las personas físicas, y especialmente de su honor e intimidad personal y familiar”. En cuanto al ámbito de aplicación de la citada Ley Orgánica, el artículo 2.1 de la misma señala que “La presente Ley Orgánica será de aplicación a los datos de carácter personal registrados en soporte físico que los haga susceptibles de tratamiento, y a toda modalidad de uso posterior de estos datos por los sectores público y privado”. El artículo 3.
  4. a)de dicha Ley define el concepto de datos de carácter personal como “Cualquier información concerniente a personas físicas identificadas o identificables”. En este mismo sentido se pronuncia el artículo 2
  5. a)de la Directiva 95/46/CE del Parlamento y del Consejo, de 24 de octubre de 1995, relativa a la Protección de las Personas Físicas en lo que respecta al tratamiento de datos profesionales y a la libre circulación de estos datos, que dispone “toda información sobre una persona física identificada o identificable (el «interesado»); se considerará identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un número de identificación o uno o varios elementos específicos, característicos de su identidad física, fisiológica, psíquica, económica, cultural o social”. En el presente caso, en el que los hechos objeto de estudio tienen relación con el tratamiento de los datos personales del denunciante (nombre, apellidos y dos domicilios postales del mismo) efectuado por el CONCELLO DE OURENSEORGANO DE XESTION TRIBUTARIA en el anverso o frontal exterior de cuatro C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/18 envíos de notificaciones dirigidas al afectado, donde también se inserta información sobre la naturaleza exacta del acto o procedimiento administrativo origen de tales notificaciones, se encuentra incluido dentro del ámbito de aplicación establecido en la LOPD y sus normas de desarrollo. A su vez, el artículo 43.1 de la LOPD dispone que: “1. Los responsables de los ficheros y los encargados de los tratamientos estarán sujetos al régimen sancionador establecido en la presente Ley.” El artículo 3 de la LOPD establece las definiciones de responsable de fichero o tratamiento y de encargado de tratamiento: “
  6. d)Responsable del fichero o tratamiento: persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento”. “
  7. g)Encargado del tratamiento: La persona física o jurídica, autoridad pública, servicio o cualquier otro organismo que, sólo o conjuntamente con otros, trate datos personales por cuenta del responsable del tratamiento”. III En el presente procedimiento debe dilucidarse si el CONCELLO DE OURENSE- ORGANO DE XESTION TRIBUTARIA ha infringido el principio de seguridad de los datos personales que constan en sus ficheros con motivo del tratamiento efectuado. A este respecto, el artículo 9 de la LOPD, dispone: “1. El responsable del fichero, y, en su caso, el encargado del tratamiento, deberán adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten su alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural. 2. No se registrarán datos de carácter personal en ficheros que no reúnan las condiciones que se determinen por vía reglamentaria con respecto a su integridad y seguridad y a las de los centros de tratamiento, locales, equipos, sistemas y programas. 3. Reglamentariamente se establecerán los requisitos y condiciones que deban reunir los ficheros y las personas que intervengan en el tratamiento de los datos a que se refiere el artículo 7 de esta Ley”. El citado artículo 9 de la LOPD establece el “principio de seguridad de los datos” imponiendo la obligación de adoptar las medidas de índole técnica y organizativa que garanticen dicha seguridad, añadiendo que tales medidas tienen como finalidad evitar, entre otros aspectos, el “acceso no autorizado” por parte de terceros. Para poder delimitar cuáles son los accesos que la LOPD pretende evitar exigiendo las pertinentes medidas de seguridad, es preciso acudir a las definiciones de “fichero” y “tratamiento” contenidas en la LOPD. En lo que respecta a los ficheros el artículo 3.
  8. a)los define como “todo conjunto organizado de datos de carácter personal” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/18 con independencia de la modalidad de acceso al mismo. Por su parte, la letra
  9. c)del mismo artículo 3 considera tratamiento de datos cualquier operación o procedimiento técnico que permita, en lo que se refiere al objeto del presente expediente, la “comunicación” o “consulta” de los datos personales, tanto si las operaciones o procedimientos de acceso a los datos son automatizados como si no lo son. Sintetizando las previsiones legales puede afirmarse que:
  10. a)Las operaciones y procedimientos técnicos automatizados o no, que permitan el acceso –la conservación o consulta- de datos personales, es un tratamiento sometido a las exigencias de la LOPD.
  11. b)Los ficheros que contengan un conjunto organizado de datos de carácter personal así como el acceso a los mismos, cualquiera que sea la forma o modalidad en que se produzca, están, también, sujetos a la LOPD.
  12. c)La LOPD impone al responsable del fichero la adopción de medidas de seguridad, cuyo detalle se refiere a normas reglamentarias, que eviten accesos no autorizados.
  13. d)El mantenimiento de ficheros carentes de medidas de seguridad que permitan accesos o tratamientos no autorizados, cualquiera que sea la forma o modalidad de éstos, constituye una infracción tipificada como grave. IV Para efectuar tal análisis, deben tenerse en cuenta r las previsiones que el Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal, prevé para garantizar que no se produzcan accesos no autorizados a los ficheros. Las medidas de seguridad se clasifican en atención a la naturaleza de la información tratada, esto es, en relación con la mayor o menor necesidad de garantizar la confidencialidad y la integridad de la misma. Así, las medidas de seguridad de nivel básico están reguladas en los artículos 89 a 94, las de nivel medio se regulan en los artículos 95 a 100 y las medidas de seguridad de nivel alto se regulan en los artículos 101 a 104. Por su parte, en el artículo 81.1 del mismo Reglamento se establece que “Todos los ficheros o tratamientos de datos de carácter personal deberán adoptar las medidas de seguridad calificadas de nivel básico”. El artículo 88.3, referido al documento de seguridad, establece lo siguiente: “El documento deberá contener, como mínimo, los siguientes aspectos:
  14. a)Ámbito de aplicación del documento con especificación detallada de los recursos protegidos.
  15. b)Medidas, normas, procedimientos de actuación, reglas y estándares encaminados a garantizar el nivel de seguridad exigido en este reglamento.
  16. c)Funciones y obligaciones del personal en relación con el tratamiento de los datos de carácter personal incluidos en los ficheros. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/18
  17. d)Estructura de los ficheros con datos de carácter personal y descripción de los sistemas de información que los tratan.
  18. e)Procedimiento de notificación, gestión y respuesta ante las incidencias.
  19. f)Los procedimientos de realización de copias de respaldo y de recuperación de los datos en los ficheros o tratamientos automatizados.
  20. g)Las medidas que sea necesario adoptar para el transporte de soportes y documentos, así como para la destrucción de los documentos y soportes, o en su caso, la reutilización de estos últimos”. Asimismo, el Reglamento citado, distingue entre medidas de seguridad aplicables a ficheros y tratamientos automatizados (Capítulo III Sección 2ª del Título VIII) y las medidas de seguridad aplicables a los ficheros y tratamientos no automatizados (Capítulo IV Sección 2ª del Título VIII). En el caso que nos ocupa, el CONCELLO DE OURENSE- ORGANO DE XESTION TRIBUTARIA debió salvaguardar la confidencialidad y seguridad de los datos de carácter personal del denunciante objeto de análisis adoptando las medidas de nivel básico fijadas en el artículo 92 del mencionado RDLOPD. Dicho precepto, aplicable a todos los ficheros y tratamientos automatizados, en cuanto a la “Gestión de soportes y documentos” establece: 1. Los soportes y documentos que contengan datos de carácter personal deberán permitir identificar el tipo de información que contienen, ser inventariados y solo deberán ser accesibles por el personal autorizado para ello en el documento de seguridad. Se exceptúan estas obligaciones cuando las características físicas del soporte imposibiliten su cumplimiento, quedando constancia motivada de ello en el documento de seguridad. 2. La salida de soportes y documentos que contengan datos de carácter personal, incluidos los comprendidos y/o anejos a un correo electrónico, fuera de los locales bajo el control del responsable del fichero o tratamiento deberá ser autorizada por el responsable del fichero o encontrarse debidamente autorizada en el documento de seguridad. 3. En el traslado de la documentación se adoptarán las medidas dirigidas a evitar la sustracción, pérdida o acceso indebido a la información durante su transporte. 4. Siempre que vaya a desecharse cualquier documento o soporte que contenga datos de carácter personal deberá procederse a su destrucción o borrado, mediante la adopción de medidas dirigidas a evitar el acceso a la información contenida en el mismo o su recuperación posterior. 5. La identificación de los soportes que contengan datos de carácter personal que la organización considerase especialmente sensibles se podrá realizar utilizando sistemas de etiquetado comprensibles y con significado que permitan a los usuarios con acceso autorizado a los citados soportes y documentos identificar su contenido, y que dificulten la identificación para el resto de personas.” (El subrayado es de la AEPD) Según el artículo 5.2 ñ) del citado Reglamento, por “Soporte” debe entenderse el “objeto físico que almacena o contiene datos o documentos, u objeto susceptible de ser tratado en un sistema de información y sobre el cual se pueden C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/18 grabar y recuperar datos”. En definitiva, el CONCELLO DE OURENSE- ORGANO DE XESTION TRIBUTARIA, está obligado a adoptar, de manera efectiva, las medidas técnicas y organizativas para los ficheros de la naturaleza indicada, y, entre ellas, las dirigidas a impedir el acceso no autorizado por parte de terceros a los datos personales que constan en sus ficheros. Sin embargo, ha quedado acreditado que por parte del mencionado Órgano de Xestión Tributaria del Concello de Ouren se incumplió esta obligación, por cuanto el sistema de gestión empleado para la realización de notificaciones se basaba, hasta que se produjo el cambio alegado, en el uso de unos modelos de envío de notificación en cuyo frontal o anverso exterior junto a los datos personales del destinatario aparecía, también, una referencia al tipo concreto de notificación, de tal modo que por parte del responsable del fichero y/o tratamiento no se impedía, de manera fidedigna, que los datos personales de los destinatarios se pudieran vincular a la situación que se describía en dicha referencia por terceros no interesados que pudieran visualizar dicha información, siendo ello consecuencia de una insuficiente o ineficaz implementación de las medidas de seguridad fijadas en el artículo 92.3 del mencionado RDLOPD. Así, consta en el procedimiento que el denunciante había recibido con anterioridad a la formulación de su denuncia, registrada de entrada el día 30/05/2017, sendas notificaciones del CONCELLO DE OURENSE- ORGANO DE XESTION TRIBUTARIA, en cuyos frontales o anversos figuraba, junto a la casilla con los datos identificativos y postales del destinatario, la indicación “NOTIFICACIÓN DE DENUNCIA” en el caso de tres envíos y “NOTIFICACION PROVIDENCIA DE APREMIO/CONTRINXIMENTO” en el caso de un cuarto envío. Asimismo, a la vista de lo expresado por la Administración Pública denunciada en su escrito de contestación al requerimiento de información que le fue efectuado por esta Agencia en fase de actuaciones previas de inspección, consta que a fecha 2 de octubre de 2017 el CONCELLO DE OURENSE- ORGANO DE XESTION TRIBUTARIA continuaba utilizando en los sobres o anversos de los envíos ese tipo de referencias concernientes al contenido de las notificaciones (Antecedente de Hecho Tercero de esta propuesta de resolución). En consecuencia, el sistema implementado permitía, que los datos personales del denunciante, asociados a la situación de “denunciado” o “apremiado” que se explicitada en el anverso o frontal de los envíos o sobres de las notificaciones dirigidas al mismo por el CONCELLO DE OURENSE- ORGANO DE XESTION TRIBUTARIA, pudieran ser accedidos por terceros no interesados. V En el presente caso se considera relevante destacar que, en un supuesto similar, la Audiencia Nacional, en Sentencia de 10/07/2014, señalo lo siguiente: <<Considera la Agencia Española de Protección de Datos que se ha vulnerado el principio de seguridad de los datos, por cuanto XXX incumplió las medidas de seguridad dirigidas a impedir el acceso no autorizado por parte de terceros a los datos personales que constan en sus ficheros, al incorporar en los sobres de las comunicaciones remitidas al denunciante reclamándole el pago de una deuda, tanto en el anverso como en el reverso la expresión “COBRO DE MOROSOS”, que con independencia de que se refiere a la descripción de su actividad, ofrece una C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/18 información que vulnera lo establecido en el artículo 9.1 de la LOPD, en relación con el artículo 92.3 del Reglamento de desarrollo de la LOPD, vinculándola y asociándola necesariamente con los datos de carácter personal que figuran en el sobre, posibilitando deducir la condición de su destinatario, tratándose de información que debería estar vedada a terceros, para salvaguardar la confidencialidad del contenido de la información. (…) TERCERO.- A la vista de la normativa expuesta, la entidad recurrente estaba obligada a adoptar, de manera efectiva, las medidas técnicas y organizativas necesarias para impedir el acceso no autorizado por parte de terceros a los datos personales que constaban en sus ficheros, sea cual fuere el soporte o documento que los contuviera. A esta conclusión ha llegado la Sala en las Sentencias de 15 de abril -recurso nº. 143/2013- y 30 de abril -recurso nº. 140/2013- de 2014, en supuestos semejantes al que nos ocupa en que la parte actora era la misma. Decíamos en la segunda de las citadas Sentencias lo siguiente: <<Como ha señalado la Sala en la SAN, de 15 de abril 2014 (Rec. 143/2013) referente a un supuesto similar en el que incluso la entidad recurrente era la misma entidad: "Esta obligación fue incumplida por dicha empresa cuando llevó a cabo la notificación o comunicación al deudor denunciante de la reclamación de deuda, cuya gestión le había sido encomendada, de forma que posibilitaba el acceso de terceros a los datos personales del denunciante asociados a su condición de deudor "moroso", mediante la inclusión en el reverso del sobre con ventanilla donde se recogían los datos personales del destinatario, concretamente, nombre, apellidos y dirección postal, así como la indicación en el anverso del remitente "GRUPO XXX" con las direcciones de su sede central ...y en su reverso la expresión "COBRO DE MOROSOS" estampada en gran tamaño..." Pues bien, en el caso de autos, la expresión "COBRO DE MOROSOS" no sólo figura en negrilla y de forma destacada bajo el logotipo y nombre de la empresa "GRUPO XXX", en el anverso del sobre que contiene los requerimientos de pago enviados al denunciante, sino también y en grandes caracteres en el reverso de dicho sobre -folios 6 y 7 del expediente-. La citada expresión, aisladamente considerada, no puede ser considerada como dato personal ni permite su asociación a ningún dato de carácter personal. Sin embargo, al estamparse en el anverso y reverso del sobre o soporte que contiene la información, destacando su presencia, y en el que aparecen los datos personales del destinatario -nombre, apellidos y dirección postal- y con independencia de que dicha expresión se refiera a la descripción de la actividad de la recurrente, resulta evidente que se relaciona con el destinatario de la comunicación, revelando su condición de deudor "moroso" a cualquier tercero que acceda al citado sobre. Por otro lado, ha de considerarse que el estampillado de la citada expresión en el sobre de la correspondencia remitida al deudor resulta absolutamente innecesaria par los lícitos fines perseguidos por la empresa de recobros demandante, consistentes en la comunicación de la deuda al deudor y la realización de las gestiones oportunas para procurar su pago. En definitiva, y como ha señalado ya esta Sala en la citada sentencia de 15 de abril de 2014, el sistema de notificaciones empleado por la denunciante permitía que un tercero pudiera conocer la situación de deudor "moroso" del destinatario de la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/18 carta, posibilitando un acceso no autorizado a los datos personales que constan en los ficheros de la entidad recurrente. Es decir, resulta acreditado que el sistema de envíos de comunicaciones utilizado, contrariamente a lo que alega la actora, posibilita un acceso no autorizado a la condición de moroso del destinatario de la comunicación, que tendría que estar vedado a terceros para salvaguardar la confidencialidad del contenido de la información. Sistema de comunicación que supone una flagrante violación de las medidas de seguridad impuesta por la normativa reguladora de la protección de datos de carácter personal para los ficheros y tratamientos de datos de carácter personal, que obliga expresamente al titular del fichero, en el traslado de la documentación, a adoptar las medidas adecuadas para evitar el acceso indebido a la información (artículo 92.3 del RLOPD). Por tanto, la conducta realizada por la entidad recurrente tiene pleno encuadre en la infracción prevista en el artículo 44.3.
  21. h)de la LOPD apreciada por la resolución impugnada, sin que constituya una interpretación extensiva del citado tipo>>. Con arreglo a lo expresado, el sistema empleado por el CONCELLO DE OURENSE- ORGANO DE XESTION TRIBUTARIA para formalizar las notificaciones de denuncia y de apremio embargo remitidas al denunciante no cumplía las medidas de seguridad exigidas en el artículo 9.1 de la LOPD en relación con lo previsto en el artículo 92.3 del RDLOPD, lo que, como mínimo, acaeció hasta octubre de 2017, tal y como se ha justificado en el anterior Fundamento de Derecho. No será hasta la formulación del escrito de alegaciones al acuerdo de inicio del presente procedimiento, con fecha 8 de marzo de 2018, que la denunciada comunicó a esta Agencia que había implementado las medidas de seguridad necesarias para que en los soportes (sobres) de las notificaciones se suprimiera la información relativa al contenido o naturaleza de las mismas. VI El CONCELLO DE OURENSE- ORGANO DE XESTION TRIBUTARIA alega que, considerando su naturaleza administrativa, las notificaciones se han realizado siguiendo el procedimiento establecido en la normativa que resulta de aplicación. En apoyo de lo cual se citan los siguientes preceptos: - Artículo 90 del Texto refundido de la Ley sobre Tráfico, Circulación de Vehículos a Motor y Seguridad Vial, aprobado por Real Decreto Legislativo 6/2015, de 30 de octubre, respecto de la práctica de las notificaciones de las denuncias de Tráfico. Este precepto, bajo la rúbrica “Práctica de la notificación de las denuncias”, establece: “1. Las Administraciones con competencias sancionadoras en materia de tráfico notificarán las denuncias que no se entreguen en el acto y las demás notificaciones a que dé lugar el procedimiento sancionador en la Dirección Electrónica Vial (DEV). En el caso de que el denunciado no la tuviese, la notificación se efectuará en el domicilio que expresamente hubiese indicado para el procedimiento, y en su defecto, en el domicilio que figure en los registros del organismo autónomo Jefatura Central de Tráfico. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/18 2. La notificación en la Dirección Electrónica Vial (DEV) permitirá acreditar la fecha y hora en que se produzca la puesta a disposición del denunciado del acto objeto de notificación, así como el acceso a su contenido, momento a partir del cual la notificación se entenderá practicada a todos los efectos legales. Si existiendo constancia de la recepción de la notificación en la Dirección Electrónica Vial (DEV), transcurrieran diez días naturales sin que se acceda a su contenido, se entenderá que aquélla ha sido rechazada, salvo que de oficio o a instancia del destinatario se compruebe la imposibilidad técnica o material del acceso. El rechazo se hará constar en el procedimiento sancionador, especificándose las circunstancias del intento de notificación, y se tendrá por efectuado el trámite, continuándose el procedimiento. 3. Cuando la notificación se practique en el domicilio del interesado, de no hallarse presente éste en el momento de entregarse, podrá hacerse cargo de la misma cualquier persona que se encuentre en el domicilio y haga constar su identidad. Si nadie se hiciera cargo de la notificación, se dejará constancia de esta circunstancia en el procedimiento sancionador, junto con el día y la hora en que se intentó, y se practicará de nuevo dentro de los tres días siguientes. Si tampoco fuera posible la entrega, se dará por cumplido el trámite, procediéndose a la publicación en el Boletín Oficial del Estado. Si estando el interesado en el domicilio rechazase la notificación, se hará constar en el procedimiento sancionador, especificándose las circunstancias del intento de notificación, teniéndose por efectuado el trámite y continuándose el procedimiento.” - Artículo 109 de la Ley 58/2003, de 17 de diciembre, General Tributaria, en adelante LGT, en lo que respecta a las notificaciones de las providencias de apremio. El artículo 109 de la LGT bajo la rúbrica “Notificaciones en materia Tributaria”, establece, que: “El régimen de notificaciones será el previsto en las normas administrativas generales con las especialidades establecidas en esta sección.” - Artículo 40 del Real Decreto 1829/1999, de 3 de diciembre, por el que se aprueba el Reglamento por el que se regula la prestación de los servicios postales, en desarrollo de lo establecido en la Ley 24/1998, de 13 de julio, del Servicio Postal Universal y de Liberación de los Servicios Postales. Este precepto, bajo la rúbrica “Admisión de notificaciones de órganos administrativos y judiciales” establece que “La admisión de notificaciones por el operador al que se ha encomendado la prestación del servicio postal universal requiere que en el envío conste la palabra “Notificación”, y, debajo de ella y en caracteres de menor tamaño, el acto a que se refiera (citación, requerimiento, resolución) y la indicación “Expediente núm…” o cualquier otra expresión que identifique el acto a notificar. Estos envíos se acompañarán del documento justificativo de su admisión” . A la vista de dichos preceptos, y especialmente, de lo previsto en el artículo 40 del Real Decreto 1829/1999, de 3 de diciembre, se significa que el tipo de expresiones que se citan en el mismo a modo de ejemplo, en ningún caso ofrecen, por su generalidad, información que pueda vincularse al contenido o naturaleza concreta de las notificaciones que se envían al afectado, mientras que las utilizadas en las notificaciones estudiadas ofrecen información cuyo conocimiento por terceros debe C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/18 evitarse al . También alega el CONCELLO DE OURENSE- ORGANO DE XESTION TRIBUTARIA que las únicas personas que habrían tenido acceso a la información impresa en el anverso o frontal de las notificaciones, excepción hecha del denunciante que las recibió, serían los trabajadores de UNIPOST, S.A., operador postal que hasta finales de septiembre de 2017 prestó al Concello de Ourense el servicio postal, y que estaba obligado a dar cumplimiento a las exigencias en materia de protección de los datos fijadas en los artículos 7 y 40.2 de la Ley 43/2010, de 30 de diciembre, del Servicio Postal Universal, de los Derechos de los Usuarios y del Mercado Postal. El citado artículo 7 de la Ley 43/2010, de 30 de diciembre, bajo la rúbrica “Protección de Datos”, establece que: “1. Conforme a la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, los operadores que presten servicios postales no podrán facilitar ningún dato relativo a la existencia del envío postal, a su clase, a sus circunstancias exteriores, a la identidad del remitente y del destinatario, ni a sus direcciones. 2. La obligación de protección de los datos incluirá el deber de secreto de los de carácter personal, la confidencialidad de la información transmitida o almacenada y la protección de la intimidad.” A su vez, el artículo 40.2 de la misma Ley 43/2010, de 30 de diciembre, bajo la rúbrica “Ámbito y condiciones de las declaraciones responsables” establece que “Se consideran requisitos esenciales para la prestación de los servicios postales, el respeto, conforme al artículo 18.3 de la Constitución Española, al derecho a la inviolabilidad de la correspondencia, la obligación de protección de los datos y de la privacidad, así como…” En contestación a este argumento, advertir que el presente procedimiento de declaración de Infracción de Administraciones Públicas no se tramita por una revelación de datos personales a terceros no interesados que constituiría vulneración del deber de secreto recogido en el artículo 10 de la LOPD, que, efectivamente, es una infracción de resultado, sino que se tramita por una infracción en materia de seguridad de datos por incumplimiento de lo dispuesto en el artículo 9.1 de la LOPD en relación con el artículo 92.3 del RDLOPD, que es una infracción de actividad, al no haber adoptado las medidas organizativas y técnicas necesarias para evitar la visualización (acceso indebido) por terceros no interesados a la información relativa a las notificaciones administrativas que se reseñaba en los anversos de los envíos (sobres) junto a los datos del destinatario de las mismas (el denunciante) . En este sentido se pronuncia la Audiencia Nacional, en Sentencia de 07/05/2009, en la que se declara lo siguiente: "En el presente caso la Sala no aprecia que se haya producido la revelación de secretos que se imputa a AAA, por varias razones: Por un lado, porque no ha resultado acreditado que los datos personales de D... respecto de los que hubiera deber de secreto profesional por parte de AAA, hayan sido revelados a persona alguna. La infracción tipificada en el art. 44.3.
  22. g)es una infracción de resultado que exige que los datos personales sobre los que exista un deber de secreto profesional –como aquí ocurre en relación con el número de la cuenta corriente- se hayan puesto de manifiesto a un tercero, sin que pueda C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/18 presumirse que tal revelación se ha producido. Efectivamente, la Agencia Española de Protección de Datos en su resolución se limita a poner de manifiesto que el sistema de cierre, mediante ventanilla transparente, de los sobres utilizados por el Banco para realizar determinadas comunicaciones a sus clientes pudiera dar lugar a que determinados datos personales contenidos en esas comunicaciones puedan ser conocidas por terceras personas respecto de las que deba mantenerse el secreto. No prueba sin embargo que los datos fueran efectivamente conocidos por dichos terceros. Estaríamos, por tanto, como sostiene el recurrente, ante una posible infracción de medidas de seguridad -que es una infracción de actividad- pero no ante la infracción que se le imputa que exige la puesta en conocimiento de un tercero de los datos personales”. Por lo tanto, dichas alegaciones deben ser desestimadas. VII El artículo 44.3.
  23. h)de la LOPD, considera infracción grave: “Mantener los ficheros, locales, programas o equipos que contengan datos de carácter personal sin las debidas condiciones de seguridad que por vía reglamentaria se determinen”. En el caso examinado, se estima que el CONCELLO DE OURENSE- ORGANO DE XESTION TRIBUTARIA ha vulnerado el artículo 9.1 de la LOPD en relación con el artículo 92.3 del RDLOPD, conforme acredita la documentación aportada por el denunciante, que muestra la información de carácter personal concerniente al mismo reseñada en dichas notificaciones en forma que resultaba accesible a terceros no interesados, permitiendo vincular la información dimanante de las indicaciones “NOTIFICACIÓN DE DENUNCIA” y “NOTIFICACION PROVIDENCIA DE APREMIO/CONTRINXIMENTO” con los datos personales del denunciante obrantes en la casilla del destinatario, y asociar al mismo, por tanto, con la situación de denunciado o apremiado por la Administración Pública remitente de las citadas notificaciones. Por lo cual, se considera que el CONCELLO DE OURENSE- ORGANO DE XESTION TRIBUTARIA resulta responsable de la comisión de la infracción grave descrita por haber conculcado el “principio de seguridad de los datos”, como consecuencia de una incorrecta implementación de la medida de seguridad que afecta a la “Gestión de soportes y documentos” que contengan datos de carácter personal. Aplicando la doctrina, la Audiencia Nacional, en varias sentencias, entre otras las de fechas 14/02, 20/09/2002 y 13/04/2005, exige a las entidades que operan en el mercado de datos una especial diligencia a la hora de llevar a cabo el uso o tratamiento de tales datos o su cesión a terceros, visto que se trata de la protección de un derecho fundamental de las personas a las que se refieren los datos, por lo que los depositarios de éstos deben ser especialmente diligentes y cuidadosos a la hora de realizar operaciones con los mismos y deben optar siempre por la interpretación más favorable a la protección de los bienes jurídicos protegidos por la norma. VIII C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 17/18 Por último, el artículo 46 de la LOPD, “Infracciones de las Administraciones Públicas”, dispone que: «1. Cuando las infracciones a que se refiere el artículo 44 fuesen cometidas en ficheros de titularidad pública o en relación con tratamientos cuyos responsables lo serían de ficheros de dicha naturaleza, el órgano sancionador dictará una resolución estableciendo las medidas que procede adoptar para que cesen o se corrijan los efectos de la infracción. Esta resolución se notificará al responsable del fichero, al órgano del que dependa jerárquicamente y a los afectados si los hubiera. 2. El órgano sancionador podrá proponer también la iniciación de actuaciones disciplinarias, si procedieran. El procedimiento y las sanciones a aplicar serán las establecidas en la legislación sobre régimen disciplinario de las Administraciones Públicas. 3. Se deberán comunicar al órgano sancionador las resoluciones que recaigan en relación con las medidas y actuaciones a que se refieren los apartados anteriores.» 4. El Director de la Agencia comunicará al Defensor del Pueblo las actuaciones que efectúe y las resoluciones que dicte al amparo de los apartados anteriores”. En el presente caso, el CONCELLO DE OURENSE ha manifestado que ha modificado los soportes documentales utilizados para practicar las notificaciones, señalando que en los en los sobres actuales no aparece ninguna referencia al contenido de las notificaciones, constando únicamente los datos del emisor y del destinatario y el texto “NOTIFICACIÓN ADMINISTRATIVA Prueba de entrega electrónica”. En consecuencia, al haberse adoptado por dicho Concello las medidas técnicas y organizativas necesarias para que terceros no puedan identificar la naturaleza exacta de la notificación administrativa dirigida al destinatario del envío o el tipo de procedimiento en el que dicho envío se enmarca, no procede requerimiento alguno en orden a la adopción de medidas correctoras que impidan que en el futuro vuelva a producirse una infracción a lo dispuesto en el artículo 9.1 de la LOPD por hechos semejantes a los estudiados. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR que el CONCELLO DE OURENSE. ORGANO DE XESTION TRIBUTARIA ha infringido lo dispuesto en el artículo 9.1 de la LOPD, en su relación con lo dispuesto en el artículo 92.3 del RLOPD, tipificada como grave en el artículo 44.3.
  24. h)de la citada Ley Orgánica. SEGUNDO: NOTIFICAR la presente resolución ORGANO DE XESTION TRIBUTARIA al CONCELLO DE OURENSE. TERCERO: COMUNICAR la presente resolución al Defensor del Pueblo, de conformidad con lo establecido en el artículo 46.4 de la LOPD. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 18/18 medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, se podrá interponer potestativamente recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa (en lo sucesivo LJCA), en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Sin embargo, el responsable del fichero de titularidad pública, de acuerdo con el artículo 44.1 de la LJCA, sólo podrá interponer directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la LJCA, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.