AAPP-00009-2018

1/7 Procedimiento Nº AP/00009/2018 RESOLUCIÓN: R/01009/2018 En el procedimiento de Declaración de Infracción de Administraciones Públicas AP/00009/2018, instruido por la Agencia Española de Protección de Datos a la entidad AYUNTAMIENTO DE GRIÑÓN, vista la denuncia presentada por A.A.A., y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fecha 23/05/2017 tuvo entrada la denuncia de A.A.A. contra el AYUNTAMIENTO DE GRIÑÓN por que ha recibido en su domicilio notificación en cuya parte exterior, anverso del sobre, figura la identificación de la corporación local, los datos personales del destinatario (denunciante) y en el centro del mismo, con letras de mayor tamaño: DILIGENCIA DE EMBARGO DEVOLUCIÓN AEAT NOTIFICACIÓN Añade, que dicha información, la de haber sido embargado, corresponde al ámbito privado y no debe el ente público darle publicidad, por lo que la comunicación no es al embargado sino a todas las personas que tienen acceso al documento, hasta que el servicio postal hace entrega del mismo, y que el impuesto se encontraba abonado desde hacía dos años. Se adjunta fotocopia de la notificación dirigida al denunciante, siendo la fecha diligencia embargo 23/05/2016 y en cuyo sobre-anverso consta la identificación del denunciado (Recaudación ejecutiva, los datos del destinatario (denunciante) y en la parte central del mismo: el literal reseñado por el denunciante. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información al AYUNTAMIENTO DE GRIÑÓN, teniendo conocimiento el 19/10/2017 de:  La notificación de diligencia de embargo se realizó con arreglo a lo dispuesto en el artículo 170 de la Ley General Tributaria, en el que se indica que cada actuación de embargo se documentará en diligencia que se notificará al interesado, que decidirá si aceptarla o rehusarla, para lo cual resulta imprescindible que tenga conocimiento del acto que se le intenta notificar, a fin de evitar que el destinatario pueda alegar indefensión, regulado en el artículo 111.2 de la Ley General Tributaria, “El rechazo de la notificación realizado por el interesado o su representante implicará que se tenga por efectuada la misma”. Por otra parte, si dicho intento de notificación resulta infructuoso habrá de practicarse en el Boletín Oficial del Estado, según indica el artículo 112.2 de la Ley General Tributaria, “con indicación del obligado tributario, el procedimiento que la motiva, el órgano competente, (…)”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/7  Los documentos de notificación son generados por la Unión Temporal de Empresas (UTE) integrada por ATM Dos, S.L. y ATM Gestión Tributaria, S.L., con la que el Ayuntamiento de Griñón tiene suscrito contrato para el Servicio de Apoyo a la Recaudación Ejecutiva y Colaboración en Materia de Inspección Tributaria, en el Pliego de Cláusulas Técnicas se detalla, entre otros, lo siguiente “En todas aquellas tareas encomendadas al adjudicatario, éste deberá preparar materialmente los documentos integrantes en el expediente, así como las propuestas de resolución, de acuerdo con los modelos que se faciliten por los responsables del servicio desde el Ayuntamiento”.  Las notificaciones se facilitan a la Sociedad Estatal Correos y Telégrafos para su entrega al destinatario, por personal de dicha entidad que están obligados por la Ley 43/2010, de 30/12, de Servicio Postal Universal y del Mercado Postal, a guardar sigilo de los asuntos que conozca por razón de su trabajo y, en concreto, el artículo 7 que establece que “1. Conforme a la Ley Orgánica 15/1999, los operadores que presten servicios postales no podrían facilitar ningún dato relativo a la existencia del envío postal, a su clase, a sus circunstancias exteriores, a la identidad del remitente y del destinatario, ni a sus direcciones. 2. La obligación de protección de los datos incluirá el deber de secreto de los de carácter personal, la confidencialidad de la información transmitida o almacenada y la protección de la intimidad”. TERCERO: Con fecha 19/02/2018, la Directora de la AEPD acordó iniciar procedimiento de declaración de infracción de las Administraciones Públicas al AYUNTAMIENTO DE GRIÑÓN por la presunta comisión de una infracción del artículo 9 de la LOPD, tipificada como grave en el artículo 44.3.

1. h)de dicha Ley. Notificado el acuerdo de inicio, no se recibieron alegaciones. HECHOS PROBADOS PRIMERO: EL Ayuntamiento de Griñón notifica al denunciante una diligencia de embargo fechada el 23/05/2016 en la que se embarga parte de la devolución de la AEAT al denunciante. En el sobre figura el logo del Ayuntamiento, Recaudación Ejecutiva, el literal en mayúsculas y letra negra destacada de DILIGENCIA DE EMBARGO DEVOLUCION AEAT NOTIFICACION, y debajo el nombre y apellidos del denunciante. SEGUNDO: La notificación objeto de la denuncia, dentro de la vía ejecutiva es llevada a cabo por dos empresas contratadas al efecto. Según la denunciada, los documentos de notificación son generados por la Unión Temporal de Empresas (UTE) integrada por ATM Dos, S.L. y ATM Gestión Tributaria, S.L., con las que el Ayuntamiento de Griñón tiene suscrito contrato para el Servicio de Apoyo a la Recaudación Ejecutiva y Colaboración en Materia de Inspección Tributaria. En el Pliego de Cláusulas Técnicas se detalla, entre otros, lo siguiente “En todas aquellas tareas encomendadas al adjudicatario, éste deberá preparar materialmente los documentos integrantes en el expediente, así como las propuestas de resolución, de acuerdo con los modelos que se faciliten por los responsables del servicio desde el Ayuntamiento”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/7 TERCERO: La denunciada, según manifestó en actuaciones previas, con el envío del sobre conteniendo el literal expresado, intentaba identificar expresamente el contenido de lo que se notificaba. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
2. g)en relación con el artículo 36 de la LOPD. II Se imputa al Ayuntamiento de Griñón el incumplimiento del principio de seguridad de los datos personales que constan en sus ficheros. A este respecto, el artículo 9 de la LOPD, dispone: “1. El responsable del fichero, y, en su caso, el encargado del tratamiento, deberán adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten su alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural. 2. No se registrarán datos de carácter personal en ficheros que no reúnan las condiciones que se determinen por vía reglamentaria con respecto a su integridad y seguridad y a las de los centros de tratamiento, locales, equipos, sistemas y programas. 3. Reglamentariamente se establecerán los requisitos y condiciones que deban reunir los ficheros y las personas que intervengan en el tratamiento de los datos a que se refiere el artículo 7 de esta Ley”. El citado artículo 9 de la LOPD establece el “principio de seguridad de los datos” imponiendo la obligación de adoptar las medidas de índole técnica y organizativa que garanticen dicha seguridad, añadiendo que tales medidas tienen como finalidad evitar, entre otros aspectos, el “acceso no autorizado” por parte de terceros. Para poder delimitar cuáles son los accesos que la LOPD pretende evitar exigiendo las pertinentes medidas de seguridad, es preciso acudir a las definiciones de “fichero” y “tratamiento” contenidas en la LOPD. En lo que respecta a los ficheros el artículo 3.
3. a)los define como “todo conjunto organizado de datos de carácter personal” con independencia de la modalidad de acceso al mismo. Por su parte, la letra
4. c)del mismo artículo 3 permite considerar tratamiento de datos cualquier operación o procedimiento técnico que permita, en lo que se refiere al objeto del presente expediente, la “conservación” o “consulta” de los datos personales, tanto si las operaciones o procedimientos de acceso a los datos son automatizados como si no lo son. Para completar el sistema de protección en lo que a la seguridad afecta, el artículo 44.3.
5. h)de la LOPD tipifica como infracción grave el mantener los ficheros “...que contengan datos de carácter personal sin las debidas condiciones de seguridad C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/7 que por vía reglamentaria se determinen”. Sintetizando las previsiones legales puede afirmarse que:
6. a)Las operaciones y procedimientos técnicos automatizados o no, que permitan el acceso –la conservación o consulta- de datos personales, es un tratamiento sometido a las exigencias de la LOPD.
7. b)Los ficheros que contengan un conjunto organizado de datos de carácter personal así como el acceso a los mismos, cualquiera que sea la forma o modalidad en que se produzca, están, también, sujetos a la LOPD.
8. c)La LOPD impone al responsable del fichero la adopción de medidas de seguridad, cuyo detalle se refiere a normas reglamentarias, que eviten accesos no autorizados.
9. d)El mantenimiento de ficheros carentes de medidas de seguridad que permitan accesos o tratamientos no autorizados, cualquiera que sea la forma o modalidad de éstos, constituye una infracción tipificada como grave. Es necesario analizar las previsiones que el R. D. 1720/2007, de 21/12, por el que se aprueba el Reglamento de desarrollo de la LOPD prevé para garantizar que no se produzcan accesos no autorizados a los ficheros. El citado Reglamento define en su artículo 5.2 ñ) el “Soporte” como el “objeto físico que almacena o contiene datos o documentos, u objeto susceptible de ser tratado en un sistema de información y sobre el cual se pueden grabar y recuperar datos”. En este caso el soporte era el sobre de la notificación con el literal expresado. Por su parte, en el artículo 81.1 del mismo Reglamento se establece que “Todos los ficheros o tratamientos de datos de carácter personal deberán adoptar las medidas de seguridad calificadas de nivel básico”. Las medidas de seguridad se clasifican en atención a la naturaleza de la información tratada, esto es, en relación con la mayor o menor necesidad de garantizar la confidencialidad y la integridad de la misma. Las medidas de seguridad de nivel básico están reguladas en los artículos 89 a 94, las de nivel medio se regulan en los artículos 95 a 100 y las medidas de seguridad de nivel alto se regulan en los artículos 101 a 104. El Reglamento citado, distingue entre medidas de seguridad aplicables a ficheros y tratamientos automatizados (Capítulo III Sección 2ª del Título VIII) y las medidas de seguridad aplicables a los ficheros y tratamientos no automatizados (Capítulo IV Sección 2ª del Título VIII). Igualmente el citado Reglamento regula: “Artículo 92. Gestión de soportes y documentos. 1. Los soportes y documentos que contengan datos de carácter personal deberán permitir identificar el tipo de información que contienen, ser inventariados y solo deberán ser accesibles por el personal autorizado para ello en el documento de seguridad. Se exceptúan estas obligaciones cuando las características físicas del soporte imposibiliten su cumplimiento, quedando constancia motivada de ello en el documento de seguridad. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/7 2. La salida de soportes y documentos que contengan datos de carácter personal, incluidos los comprendidos y/o anejos a un correo electrónico, fuera de los locales bajo el control del responsable del fichero o tratamiento deberá ser autorizada por el responsable del fichero o encontrarse debidamente autorizada en el documento de seguridad. 3. En el traslado de la documentación se adoptarán las medidas dirigidas a evitar la sustracción, pérdida o acceso indebido a la información durante su transporte. 4. Siempre que vaya a desecharse cualquier documento o soporte que contenga datos de carácter personal deberá procederse a su destrucción o borrado, mediante la adopción de medidas dirigidas a evitar el acceso a la información contenida en el mismo o su recuperación posterior. 5. La identificación de los soportes que contengan datos de carácter personal que la organización considerase especialmente sensibles se podrá realizar utilizando sistemas de etiquetado comprensibles y con significado que permitan a los usuarios con acceso autorizado a los citados soportes y documentos identificar su contenido, y que dificulten la identificación para el resto de personas.” A los datos tratados en papel que se contenían en el envío- tratamiento no automatizado- se les aplica también las medidas de seguridad aplicables a los ficheros y tratamientos no automatizados, indicándose en la sección 1 “MEDIDAS DE SEGURIDAD DE NIVEL BÁSICO”, artículo 105: 1. Además de lo dispuesto en el presente capítulo, a los ficheros no automatizados les será de aplicación lo dispuesto en los capítulos I y II del presente título en lo relativo a:
10. a)Alcance.
11. b)Niveles de seguridad.
12. c)Encargado del tratamiento.
13. d)Prestaciones de servicios sin acceso a datos personales.
14. e)Delegación de autorizaciones.
15. f)Régimen de trabajo fuera de los locales del responsable del fichero o encargado del tratamiento.
16. g)Copias de trabajo de documentos.
17. h)Documento de seguridad. 2. Asimismo se les aplicará lo establecido por la sección primera del capítulo III del presente título en lo relativo a:
18. a)Funciones y obligaciones del personal.
19. b)Registro de incidencias.
20. c)Control de acceso. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/7
21. d)Gestión de soportes.” Así, el Ayuntamiento de Griñón está obligado a adoptar, de manera efectiva, las medidas técnicas y organizativas necesarias previstas para los ficheros de la naturaleza indicada, y, entre ellas, las dirigidas a impedir el acceso no autorizado por parte de terceros a los datos personales que constan en sus ficheros. Sin embargo, ha quedado acreditado que la citada entidad incumplió esta obligación, al establecer un sistema de notificaciones requerimientos en vía ejecutiva, que objetivamente indica una información de o sobre la persona a la que se dirige el escrito, como es la situación de que es sujeto de una diligencia de embargo devolución AEAT. Para concretar el contenido de lo que se notifica hubiera bastado notificación procedimiento o similar sin añadir información que cualifica al destinatario. II El artículo 44.3.
22. h)de la LOPD, considera infracción grave: “Mantener los ficheros, locales, programas o equipos que contengan datos de carácter personal sin las debidas condiciones de seguridad que por vía reglamentaria se determinen”. Dado que ha existido vulneración del “principio de seguridad de los datos”, recogido en el artículo 9 de la LOPD, se considera que el Ayuntamiento de Griñón ha incurrido en la infracción grave descrita. III El artículo 46 de la LOPD indica:”Infracciones de las Administraciones públicas”. “1. Cuando las infracciones a que se refiere el artículo 44 fuesen cometidas en ficheros de titularidad pública o en relación con tratamientos cuyos responsables lo serían de ficheros de dicha naturaleza, el órgano sancionador dictará una resolución estableciendo las medidas que procede adoptar para que cesen o se corrijan los efectos de la infracción. Esta resolución se notificará al responsable del fichero, al órgano del que dependa jerárquicamente y a los afectados si los hubiera.” Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR que el AYUNTAMIENTO DE GRIÑÓN ha infringido lo dispuesto en el artículo 9.1 de la LOPD, tipificada como grave en el artículo 44.3.
23. h)de la citada Ley Orgánica. SEGUNDO: REQUERIR al AYUNTAMIENTO DE GRIÑÓN, de acuerdo con lo establecido en el apartado 3 del artículo 46 de la LOPD, para que acredite en el plazo de un mes desde este acto de notificación las medidas de orden interno que impidan que en el futuro pueda producirse una nueva infracción del artículo 9.1 de la LOPD, para lo que se abre expediente de actuaciones previas E/02921/2018. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/7 TERCERO: NOTIFICAR la presente resolución al AYUNTAMIENTO DE GRIÑÓN. CUARTO: COMUNICAR la presente resolución al DEFENSOR DEL PUEBLO, de conformidad con lo establecido en el artículo 46.4 de la LOPD. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30/12, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22/12, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21/12. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1/10, del Procedimiento Administrativo Común de las Administraciones Públicas, se podrá interponer potestativamente recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13/07, reguladora de la Jurisdicción Contencioso-administrativa (en lo sucesivo LJCA), en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Sin embargo, el responsable del fichero de titularidad pública, de acuerdo con el artículo 44.1 de la LJCA, sólo podrá interponer directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la LJCA, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es