1/13 Procedimiento Nº AP/00018/2018 RESOLUCIÓN: R/01370/2018 En el procedimiento de Declaración de Infracción de Administraciones Públicas AP/00018/2018, instruido por la Agencia Española de Protección de Datos al AYUNTAMIENTO DE LOS ALCÁZARES, vista la denuncia presentada por A.A.A., y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fechas 21 y 23 de febrero de 2018, tuvieron entrada en esta Agencia sendos escritos de Don A.A.A. (en lo sucesivo el denunciante) poniendo de manifiesto que, a fecha 20 de febrero de 2018, en la página web del Ayuntamiento de los Alcázares (en adelante el denunciado) permanecen publicados sus datos personales en relación con una deuda de B.B.B. €, incumpliéndose de este modo la resolución dictada por la Directora de la Agencia Española de Protección de Datos, con fecha 7 de marzo de 2016, en el procedimiento de declaración de infracción de Administraciones Públicas AP/00056/2015. SEGUNDO: Consta en esta Agencia que a raíz de la denuncia presentada por el denunciante, con fecha 3 de noviembre de 2014, contra el Ayuntamiento de los Alcázares por la publicación en el Tablón de anuncios y en la página web del mismo del Acta de la Sesión Ordinaria del Pleno celebrado el 26 de mayo de 2014, en la que se recogen sus datos personales asociados al impago de varios impuestos municipales, se tramitó el procedimiento de declaración de infracción de Administraciones Públicas AP/00056/2015 en el que la Directora de la Agencia Española de Protección de Datos, con fecha 7 de marzo de 2016, resolvió: “PRIMERO: DECLARAR que el EXMO. AYUNTAMIENTO DE LOS ALCAZARES ha infringido lo dispuesto en el artículo 4.1 de la LOPD, tipificada como grave en el artículo 44.3.
- c)de la citada Ley Orgánica. SEGUNDO: REQUERIR al EXMO. AYUNTAMIENTO DE LOS ALCAZARES, de acuerdo con lo establecido en el apartado 3 del artículo 46 de la Ley 15/1999, para que acredite en el plazo de un mes desde este acto de notificación las medidas de orden interno que impidan que en el futuro pueda producirse una nueva infracción del artículo 4.1 de la LOPD, para lo que se abre expediente de actuaciones previas E/01062/2016. En concreto: - Deberá proceder a retirar de la página web el Acta de la Sesión Ordinaria del Pleno del 26 de febrero de 2014, publicando un Extracto de la misma y eliminando, en su caso, los datos referidos al denunciante. Deberá dar publicidad resumida del contenido de las sesiones plenarias y de todos los acuerdos del Pleno y de las Comisiones de Gobierno, así como de las resoluciones del Alcalde. Con carácter general, deberá proceder a anonimizar los datos personales contenidos en los citados extractos.” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/13 TERCERO: Consta que en contestación al requerimiento efectuado por esta Agencia en la resolución del AP/00056/2015, el mencionado Ayuntamiento remitió a esta Agencia escrito registrado de entrada con fecha 13 de junio de 2016 en el que se traslada que por la Junta de Gobierno Local, en sesión ordinaria, celebrada el día 31 de mayo de 2016, se aprobó la siguiente propuesta: <<PRIMERO.- Adaptar las medidas de orden interno tendentes a impedir que se pueda volver a producir nueva infracción del artículo 4.1 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, consistentes en: Retirar de la página web municipal y del Tablón de anuncios, en su caso, las Actas de las sesiones del Pleno íntegramente publicadas, al haber cumplido con la finalidad de publicidad prevista por la normativa de aplicación. Comunicar a la Secretarla General del Ayuntamiento, que conforme a lo resuelto por la Agenda Española de Protección de Datos, deberá dar publicidad resumida del contenido de las sesiones plenarias y de todos los acuerdos del Pleno y de las resoluciones dictadas por el Alcalde o Concejales Delegados, debiendo con carácter general, proceder a anonimizar los datos personales contenidos en los citados extractos. Comunicar a los responsables de los diferentes Departamentos municipales que los actos de resolución que dicten los diferentes órganos municipales, deberán limitarse a contener los datos de carácter personal estrictamente necesarios, utilizando referencias o iniciales para anonimizar los datos personales que se contengan en aquellos documentos administrativos. SEGUNDO.- Notificar el acuerdo que se adopte a la Agenda Española de Protección de Datos, al Defensor del Pueblo, así como comunicar al Departamento de Nuevas Tecnologías, a la Secretaría General y a los responsables de los diferentes Departamentos municipales a los efectos de que procedan conforme a lo resuelto.>> A la vista de las medidas comunicadas por el Ayuntamiento de Los Alcázares, con fecha 7 de julio de 2016 la Directora de la AEPD acordó el archivo de las actuaciones del expediente nº E/01062/2016. CUARTO: No obstante lo anterior, a raíz de los escritos presentados en febrero de 2018 por el denunciante comunicando que sus datos personales seguían expuestos en el Acta del Pleno del 26 de febrero de 2014 que permanecía publicada en la página web del Ayuntamiento denunciado, con fechas de 28 de febrero y 16 de marzo de 2018, se accedió desde la Subdirección General de Inspección de Datos, a la página web ***URL.1 del Ayuntamiento de los Alcázares, constatándose que en la misma aparecía publicada el Acta del Pleno celebrado el 26 de mayo de 2014, donde figuran los datos personales del denunciante en relación con el impago de varios impuestos municipales. Los datos personales del denunciante publicados en la mencionada Acta son los siguientes: nombre, apellidos y condición de vecino del municipio, relacionado con la solicitud de fraccionamiento de varios impuestos municipales impagados con expresión de las cantidades adeudadas por el denunciante. QUINTO: Con fecha 26 de marzo de 2018, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento de declaración de infracción de Administraciones Públicas al Ayuntamiento de los Alcázares por la presunta infracción C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/13 del artículo 4.1 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como grave en el artículo 44.3.
- c)de dicha norma. En el citado acuerdo de inicio de procedimiento de declaración de infracción de Administraciones Públicas, que fue notificado con fecha 10 de abril de 2018 al mencionado Ayuntamiento, se acordaba incorporar al procedimiento de declaración de administraciones públicas, a efectos probatorios, los escritos de denuncia interpuestos por el denunciante y su documentación; los documentos obtenidos y generados por los Servicios de Inspección durante la fase de investigaciones; documentación procedente del procedimiento nº AP/00056/2015 y E/01062/2016; todos ellos parte del expediente. SEXTO: Notificado el citado acuerdo de inicio de procedimiento de declaración de infracción de Administraciones Públicas, con fecha 24 de abril de 2018 el Alcalde del Ayuntamiento de los Alcázares presentó escrito de alegaciones en el que solicita el archivo del procedimiento con sustento, básicamente, en los siguientes argumentos: La resolución de archivo adoptada con fecha 7 de julio 2016 por la Directora de la AEPD en el expediente de actuaciones previas E/01062/2014, seguido a los efectos de comprobar el cumplimiento del requerimiento de medidas de orden interno efectuado al Ayuntamiento de Los Alcázares en la resolución del procedimiento de apercibimiento de referencia AP/00056/2015, evidencia que por parte del Ayuntamiento se procedió a dar respuesta al mencionado requerimiento. En la propia resolución de archivo citada consta: "(…) En el supuesto presente del examen de las medidas adoptadas por el AYUNTAMIENTO DE LOS ALCÁZARES, se constata el cumplimiento del requerimiento de la Directora acordado en la Resolución de fecha 7 de marzo de 2016.” En concreto, las medidas adoptadas que dieron lugar a la eliminación del Acta del Pleno de fecha 26 de febrero de 2014 fueron las siguientes: Con fecha 25 de enero de 2016, por el personal adscrito al Departamento de Nuevas Tecnologías, se procedió a bloquear en la página web del Ayuntamiento de Los Alcázares el Acta del Pleno de fecha 26 de febrero de 2014. 2. Con fecha 31 de mayo de 2016 la Junta de Gobierno Local aprobó retirar de la página web las Actas de las sesiones del Pleno íntegramente publicadas, dando traslado del acuerdo tanto a la Agencia Española de Protección de Datos y al Defensor del Pueblo, como a los diferentes departamentos de esta Administración que tuvieran qué proceder conforme a lo resuelto por el órgano de gobierno. - Recibido el acuerdo de inicio del procedimiento de declaración de infracción de Administraciones Públicas AP/00018/2018, se realizan las siguientes gestiones, que se acreditan documentalmente: Con fecha 11 de abril de 2018, el Técnico Auxiliar de Informática ordena al profesional que está realizando la nueva página web municipal que eliminara todas las actas de la página web, debiendo procederse a eliminar físicamente del servidor el Acta del día 26 de febrero de 2014 así como de la página web antigua que actualmente está oculta en Internet. Con fecha 13 de abril de 2018, el Técnico Auxiliar de Informática, en contestación a un Comunicado Interno del Concejal de Nuevas Tecnologías, emite C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/13 informe en el que, en síntesis, indica que desconoce el momento en el que se ha vuelto a publicar el Acta de fecha 26 de febrero de 2014 que quedó bloqueada en la página web del Ayuntamiento de Los Alcázares en fecha 25 de enero de 2016, ya que queda registro de todas las modificaciones hechas en el artículo en el que estaba publicada el Acta, guardándose sólo la fecha de la última modificación. Asimismo, adjunta captura de la página web municipal que acredita que ya no aparece publicada ninguna Acta de Pleno. Con fecha 23 de abril de 2018, la Secretaria General del Ayuntamiento emite informe poniendo de manifiesto el cumplimiento del acuerdo adoptado por la Junta de Gobierno Local celebrada el 31 de mayo de 2016, al publicarse, a partir de dicho acuerdo , en el portal de transparencia del Ayuntamiento las Actas del Pleno previamente anonimizadas para cumplir con las obligaciones de publicidad, desconociendo el error por el que se volvió a publicar el acta de fecha 26 de febrero de 2014 y el momento en que se produjo, al haber ordenado expresamente al Departamento de Nuevas Tecnologías que procediera a eliminarla, como así se constató desde el propio Departamento. - Atendido que el Ayuntamiento contrató los servicios de un profesional externo para la realización de una nueva página web y que el denunciante señala que con fecha 20 de febrero de 2018 continuaban publicados sus datos personales en la página web del Ayuntamiento de Los Alcázares en relación con una deuda de B.B.B. €, el Ayuntamiento “contempla la posibilidad de que esta circunstancia guarde relación con el hecho de que al preparar la información para traspasar los datos a la nueva página web y comprobar el link roto de la aludida Acta, se volviera a restablecer dicho link provocando su republicación, hecho que ha sido inmediatamente corregido al haberla eliminado físicamente del servidor, desapareciendo tanto en la página web actual como de la antigua que se encuentra oculta en Internet.”. SÉPTIMO: Con fecha 30 de abril de 2018 la Instructora del procedimiento levanta Diligencia en la que hace constar que con esa fecha “se incorpora al procedimiento impresión de los resultados obtenidos con motivo de los accesos efectuados en las páginas de Internet que a continuación se indican: -Se accede a la página web ***URL.2 (versión en caché de ***URL.3), constatándose que al pulsar el enlace correspondiente al Pleno del 26 de febrero del año 2014 (***URL.4) se recibe el siguiente mensaje: “Esta página no funciona. La página www.losalcazares.es no puede procesar esta solicitud ahora. HTTP ERROR 500”. (Documentos 1 al 3) - Asimismo, al visitar la página web ***URL.5 se comprueba que en apartado correspondiente a los Plenos del Año 2014 no aparece ningún enlace al Acta del Pleno celebrado el 26 de febrero del año 2014 en el Ayuntamiento de Los Alcázares. (Documentos 4 y 5)” OCTAVO: En contestación al escrito del denunciante solicitando información sobre el estado de su denuncia, con fecha 11 de mayo de 2018, se le indica que con fecha 26 de marzo de 2018 se había acordado iniciar procedimiento de declaración de infracción de Administraciones Públicas al Ayuntamiento de los Alcázares. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/13 NOVENO: Con fecha 18 de junio de 2018, la Instructora del procedimiento emitió Propuesta de Resolución, en el sentido de que por la Directora de la Agencia Española de Protección de Datos se declarase que el Ayuntamiento de Los Alcázares había infringido lo dispuesto en el artículo 4.1 de la LOPD, lo que supone una infracción tipificada como grave en el artículo 44.3.
- c)de la citada norma. Dicha propuesta de resolución fue notificada con fecha 21 de junio de 2018 al mencionado Ayuntamiento. DÉCIMO: Con fecha 6 de julio de 2019 se registra de entrada en esta Agencia escrito de alegaciones del Ayuntamiento de Los Alcázares en el que, en síntesis, arguye que no se incumplió la resolución dictada por la Directora de la AEPD con fecha 7 de marzo de 2016, ya que en cumplimiento de lo requerido en la misma se procedió a eliminar de la página web municipal el Acta de la Sesión Ordinaria en cuestión. Asimismo, se cumplió el acuerdo adoptado por la Junta de Gobierno Local de fecha 31 de mayo de 2016, consistente en publicar en el portal de transparencia municipal las actas previamente anonimizadas para cumplir con las obligaciones de publicidad cuestión. Se mantiene que la reaparición en la página web del Ayuntamiento de los datos personales del denunciante contenidos en el Acta de fecha 26 de febrero de 2014 pudiera estar relacionada con la realización de una una nueva página web municipal, situación inmediatamente corregida al eliminar dicha Acta físicamente del servidor. Finalmente, invocando el artículo 28.1 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público, se aduce la inexistencia de culpa en la conducta mostrada por el Ayuntamiento, ya que al haber actuado en todo momento con arreglo a la diligencia que le correspondía no resulta responsable de la comisión de la infracción, tratándose de un error informático que provocó la republicación de los datos, por lo que no ha existido ni intencionalidad ni concurre culpabilidad en el hecho, habiendo sido adoptadas las medidas técnicas necesarias para su inmediata corrección. HECHOS PROBADOS 1) Con posterioridad a la notificación de la resolución adoptada por la Directora de la AEPD en el procedimiento de declaración de infracción de referencia AP/00056/2015, y a fin de dar cumplimiento a lo requerido en la misma, el Ayuntamiento de Los Alcázares, con fecha 25 de enero de 2016 procedió a bloquear en su página web http://www.losalcazares.es el Acta del Pleno de fecha 26 de febrero de 2014, que aparecía publicada en la misma. 2) El Acta del Pleno del día 26 de febrero de 2014 contiene información concerniente al nombre y apellidos del denunciante (A.A.A.) asociados a su condición de vecino del municipio y a una deuda total de B.B.B. € con origen en el impago de varios impuestos municipales correspondientes a distintos ejercicios que habían sido objeto de solicitudes de fraccionamiento o aplazamiento por el denunciante. 3) Consta acreditado en el procedimiento que, al menos, desde el 20 de febrero de 2018, fecha de presentación en la AEPD de la denuncia hasta el 11 de abril de 2018, fecha en que el Ayuntamiento de Los Alcázares alega iniciar las gestiones para eliminar la publicación del Acta del Pleno del día 26 de febrero de 2018, dicho documento se mantuvo expuesto, en abierto, en la página web http://www.losalcazares.es titularidad de dicho Ayuntamiento. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/13 4) Con fechas de 28 de febrero y 16 de marzo de 2018 desde la AEPD se verificó que en la página web ***URL.1 del Ayuntamiento de los Alcázares aparecía publicada el Acta del Pleno del día 26 de febrero de 2014 con los datos personales del denunciante sin anonimizar. 5) En el informe de fecha 23 de abril de 2018, emitido por la Secretaría General del Ayuntamiento de Los Alcázares se hace constar que, tal y como se acordó en la Junta de Gobierno Local celebrada el 31 de mayo de 2016, desde esa Secretaría solo se habían remitido, para cumplir el trámite de publicidad, al portal de transparencia del Ayuntamiento (https//transparencialosalcazares.transparencialocal.gob.es/) aquellas actas en las que previamente se habían anonimizado los datos de carácter personal contenidos en las mismas, y al que se tiene acceso desde la sede electrónica y desde la propia página web. 6) Con fecha 30 de abril de 2018, desde la AEPD se comprueba que: Que en la versión en caché de ***URL.3, al pulsar el enlace correspondiente al Pleno del 26 de febrero del año 2014 ( ***URL.4) aparece el siguiente mensaje: “Esta página no funciona. La página www.losalcazares.es no puede procesar esta solicitud ahora. HTTP ERROR 500”. Que que en el apartado correspondiente a los Plenos del Año 2014 de la página web ***URL.5, no hay ningún enlace al Acta del Pleno celebrado el 26 de febrero del año 2014 en el Ayuntamiento de Los Alcázares. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
- g)en relación con el artículo 36 de la LOPD. II El artículo 1 de la LOPD dispone que: “La presente Ley Orgánica tiene por objeto garantizar y proteger, en lo que concierne al tratamiento de los datos personales, las libertades públicas y los derechos fundamentales de las personas físicas, y especialmente de su honor e intimidad personal y familiar”. La LOPD, viene a regular el derecho fundamental a la protección de datos de las personas físicas, esto es, el derecho a disponer de sus propios datos sin que puedan ser utilizados, tratados o cedidos sin su consentimiento, con la salvedad de las excepciones legalmente previstas. En cuanto al ámbito de aplicación de la citada norma, el artículo 2.1 de la misma señala: “La presente Ley Orgánica será de aplicación a los datos de carácter personal registrados en soporte físico que los haga susceptibles de tratamiento, y a toda modalidad de uso posterior de estos datos por los sectores público y privado”; definiéndose el concepto de dato de carácter personal en el apartado
- a)del artículo 3 de la LOPD, como “Cualquier información concerniente a personas físicas C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/13 identificadas o identificables”. En lo que respecta al concepto de “fichero” el artículo 3.
- b)de la LOPD lo define como “todo conjunto organizado de datos de carácter personal”, con independencia de la modalidad de acceso al mismo. El artículo 3 de la LOPD define en su letra
- c)el tratamiento de datos como aquellas “operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”. La garantía del derecho a la protección de datos, conferida por la normativa de referencia, requiere que exista una actuación que constituya un tratamiento de datos personales en el sentido expresado. En otro caso las mencionadas disposiciones no serán de aplicación El artículo 5.1.
- f)del Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal, aprobado por Real Decreto 1720/2007, de 21 de diciembre, en adelante RDLOPD, define datos de carácter personal como: “Cualquier información numérica, alfabética, gráfica, fotográfica, acústica o de cualquier otro tipo, concerniente a personas físicas identificadas o identificables”. Por su parte el artículo 3.
- d)de la LOPD define al responsable del fichero o tratamiento como la “persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento.” De lo anteriormente expuesto se desprende que el concepto de dato personal, según la definición de la LOPD, requiere la concurrencia de un doble elemento: por una parte, la existencia de una información o dato y, por otra, que dicho dato pueda vincularse a una persona física identificada o identificable. En el presente supuesto, consta probado que, al menos, entre el 20 de febrero y el 11 de abril de 2018 el Ayuntamiento de Los Alcázares publicó, en en su página web, en abierto y sin anonimizar, el Acta del Pleno celebrado el 26 de febrero de 2014, de tal modo que los datos personales del denunciante (nombre, apellidos y condición de vecino del municipio) incluidos en la misma aparecían asociados a una deuda con origen en el impago de varios impuestos municipales. III El artículo 4 de la LOPD regula el principio de calidad de datos, garantizándose, a su vez, en el apartado 1 del mismo el cumplimiento del principio de proporcionalidad en todo tratamiento de datos personales al señalar que: “1. Los datos de carácter personal sólo se podrán recoger para su tratamiento, así como someterlos a dicho tratamiento, cuando sean adecuados, pertinentes y no excesivos en relación con el ámbito y las finalidades determinadas, explícitas y legítimas para las que se hayan obtenido”. Dicho precepto establece que los datos de carácter personal sólo se podrán recoger para su tratamiento, así como someterlos a dicho tratamiento, de acuerdo con una serie de criterios, que se resumen en el principio de proporcionalidad. El citado artículo 4.1 de la LOPD consagra el “principio de pertinencia en el tratamiento de los datos de carácter personal”, que impide el tratamiento de aquellos que no sean necesarios o proporcionados a la finalidad que justifica el tratamiento, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/13 debiendo restringirse el tratamiento de los datos excesivos o bien procederse a la supresión de los mismos. En consecuencia, el tratamiento del dato ha de ser pertinente y no excesivo en relación con el fin perseguido. Únicamente pueden ser sometidos a tratamiento aquellos datos que sean estrictamente necesarios para la finalidad perseguida. Por otra parte, el cumplimiento del principio de proporcionalidad no sólo debe producirse en el ámbito de la recogida de los datos, sino asimismo de respetarse en el posterior tratamiento que se realice de los mismos. Este criterio se encuentra recogido también en el artículo 6 de la Directiva 95/46/CE, aparece también reflejado en el Convenio 108, cuyo artículo 5
- c)indica que "los datos de carácter personal que sean objeto de un tratamiento automatizado (...) serán adecuados, pertinentes y no excesivos en relación con las finalidades para las cuales se hayan registrado”. El mencionado precepto de la LOPD debe ponerse en correlación con lo previsto en el apartado 2 del mismo artículo 4 citado, según el cual: “Los datos de carácter personal objeto de tratamiento no podrán usarse para finalidades incompatibles con aquellas para las que los datos hubieran sido recogidos. No se considerará incompatible el tratamiento posterior de éstos con fines históricos, estadísticos o científicos.”. Las finalidades a las que alude este apartado 2 han de ligarse o conectarse siempre con el principio de pertinencia o limitación en la recogida de datos regulado en el artículo 4.1 de la misma Ley. Por otra parte, la Ley 7/1985, de 2 de abril, Reguladora de las Bases del Régimen Local dispone en su artículo 69.1 que “Las Corporaciones Locales facilitarán la más amplia información sobre su actividad y la participación de todos los ciudadanos en la vida local”, señalando el artículo 70.1 de esa misma norma que “Las sesiones del Pleno de las Corporaciones Locales son públicas. (…)” A su vez, el artículo 229 del Real Decreto 2568/1986, de 28 de noviembre, por el que se aprueba el Reglamento de Organización, Funcionamiento y Régimen Jurídico de las Entidades Locales, establece que las Corporaciones darán publicidad resumida del contenido de las sesiones plenarias y de todos los acuerdos del Pleno y de las Comisiones de Gobierno, así como de las resoluciones del Alcalde. Concretamente en el citado artículo dispone que: “1. Las convocatorias y órdenes del día de las sesiones del Pleno se trasmitirán a los medios de comunicación social de la localidad y se harán públicas en el Tablón de Anuncios de la entidad. 2. Sin perjuicio de lo dispuesto en el artículo 70.2 de la Ley 7/1985, de 2 de abril, la Corporación dará publicidad resumida del contenido de las sesiones plenarias y de todos los acuerdos del Pleno y de la Comisión de Gobierno, así como de las resoluciones del Alcalde y las que por su delegación dicten los delegados. 3. A tal efecto, además de la exposición en el Tablón de Anuncios de la entidad, podrán utilizarse los siguientes medios:
- a)Edición, con una periodicidad mínima trimestral, de un boletín informativo de la entidad.
- b)Publicación en los medios de comunicación social del ámbito de la entidad.” En este supuesto, consta acreditado en el procedimiento que el Ayuntamiento de Los Alcázares resulta responsable del tratamiento efectuado con los datos de carácter personal del denunciante incluidos en el Acta del Pleno del día 26 de febrero C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/13 de 2014, documento que volvió a publicarse íntegramente, en abierto y sin anonimizar en la página web titularidad de dicho Ayuntamiento ***URL.1 al menos, entre el 20 de febrero y el 11 de abril de 2018 (Hechos Probados números 2 y 3). Dicha conducta se acredita no sólo mediante los accesos efectuados por esta Agencia con fechas 28 de febrero y 16 de marzo de 2018 a la página web anteriormente indicada, sino que, además, se ve corroborada por la documentación adjuntada a las alegaciones formuladas por ese Ayuntamiento al acuerdo de inicio del presente procedimiento, que acreditan las gestiones realizadas tras recibir en abril de 2018 el acuerdo de inicio del presente procedimiento para borrar dicha Acta de la página web municipal y ocultar el menú de las Actas de dicha página. Igualmente, las alegaciones a la propuesta de resolución, en las que, básicamente, se reiteran las alegaciones ya efectuadas con anterioridad, no cuestionan los hechos probados que sustentan la comisión de la infracción descrita, sino que pretenden exonerar de responsabilidad su conducta aludiendo a la inexistencia de intencionalidad y falta de culpa por tratarse de un error informático. Sin embargo, el Ayuntamiento de Los Alcázares al llevar a cabo dicho tratamiento de datos de carácter personal del denunciante ha incumplido el principio de calidad de datos, ya que los datos de carácter personal del denunciante se han vuelto a publicar en abierto y sin anonimizar en la página web del Ayuntamiento de Los Alcázares, cuando no era necesaria la difusión a terceros de dicha información personal para dar publicidad de las actividades de la Corporación Local (sesiones plenarias) ni, tampoco, para facilitar la participación de los ciudadanos en la vida local, por lo que la publicación de esa información de carácter personal del denunciante incluida en la referida Acta resultaba excesiva y no era proporcionada a los fines a los que podía responder. Por lo tanto, dicho tratamiento ha supuesto una vulneración del principio de calidad de los datos en lo que se refiere al uso proporcional de los mismos. IV En relación con los hechos denunciados, el Ayuntamiento de Los Alcázares alega que tal y como consta en la resolución de archivo adoptada por la AEPD en el expediente de seguimiento nº E/01062/2016, tras serle notificada la resolución del procedimiento de declaración de infracción de Administraciones Publicas nº AP/00056/2015 seguido por hechos semejantes a los que ahora nos ocupan ya adoptó las medidas correctoras que le fueron requeridas en la misma a fin de corregir los efectos de la infracción. Partiendo de lo cual, dicho Ayuntamiento arguye que la situación actual deriva de un error informático que, posiblemente, se origina en los trabajos de traspaso de información de datos a la nueva página web que se efectuaron a finales de 2017, y que fue inmediatamente corregido tras recibir el acuerdo de inicio del presente procedimiento eliminando físicamente del servidor el Acta de 26 de febrero de 2014, desapareciendo de la página web actual como de la antigua que se encuentra oculta en Internet. Respecto de esta alegación conviene traer a colación lo señalado por la Audiencia Nacional en la Sentencia de fecha 19 de enero de 2015, Rec. 178,2013, en un supuesto en el que también se alegó esta circunstancia: “La existencia de un supuesto error informático, que también alega la parte recurrente en su escrito de demanda, no es suficiente para entender justificada la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/13 conducta de la recurrente y ello pues los referidos errores informáticos generan responsabilidad en quien los padece cuando producen daños a los titulares de otros bienes jurídicos, como ,en el caso presente, es el derecho a no recibir comunicaciones no deseadas (así se ha dicho por esta Sala en multitud de sentencias de entre las que cabe citar las correspondientes a los recursos 110/2013 ó 368/2012.)” Tampoco se entendió por la Audiencia Nacional en su Sentencia de fecha 27 de marzo de 2015, Rec. 72/2014, que no existiera responsabilidad en la conducta analizada por la existencia de un fallo del sistema de bloqueo. Así, en dicha Sentencia se señalaba: “Una vez constatado que la parte demandante realizó la conducta infractora que aparece descrita en la resolución recurrida, en el curso de este proceso no se ha puesto de manifiesto la concurrencia de circunstancias que permitan excluir la culpabilidad de la misma, limitándose la parte actora a alegar que se debió a un fallo del sistema de bloqueo de datos personales. Es sabido que se puede incurrir en responsabilidad por la infracción que estamos examinando tanto de manera intencionada o dolosa como por descuido, negligencia o aún a título de simple inobservancia (…) Ninguna de las circunstancias concurrentes en el caso que nos ocupa permite excluir este elemento subjetivo de la infracción. Debemos insistir en que la culpabilidad de la parte actora no puede considerarse excluida ni atenuada por el hecho de que le tratamiento de los datos del denunciante pudiese deberse a la existencia de un fallo del sistema de bloqueo de datos personales.” En este orden de ideas, la existencia, en su caso, de un error informático, no es suficiente para entender la inexistencia de responsabilidad del Ayuntamiento denunciado en la comisión de la infracción descrita, ya que este tipo de incidencias generan responsabilidad, a título de culpa, en quien los padece cuando producen daños a los titulares de otros bienes jurídicos, como en este supuesto en el que los datos de carácter personal del denunciante han vuelto a ser publicados en forma innecesaria y desproporcionada a los fines perseguidos con la publicación del Acta en cuestión en la página web del Ayuntamiento de Los Alcázares, tal y como se ha razonado en el anterior fundamento de derecho. En este caso se considera que concurre, a título de culpa, la responsabilidad a la que se refiere el artículo 28.1 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público. Dicho precepto establece que: “1. Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas, así como, cuando una Ley les reconozca capacidad de obrar, los grupos de afectados, las uniones y entidades sin personalidad jurídica y los patrimonios independientes o autónomos, que resulten responsables de los mismos a título de dolo o culpa.” Esta Agencia considera que el citado Ayuntamiento debió adoptar una conducta distinta estableciendo las medidas técnicas de seguimiento y control en orden a impedir que la realización de una nueva página web municipal pudiera afectar a la publicación, sin anonimizar, de las Actas de los Plenos expuestas por dicho medio, tal y como consta ocurrió en el caso del denunciante. Además, ese Ayuntamiento no ha probado haber realizado ninguna comprobación previa en ese sentido hasta que recibió el acuerdo de inicio del presente procedimiento. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/13 En cualquier caso, la subsanación del error informático que posibilitó la reaparción de la referida Acta en la página web titularidad del Ayuntamiento de Los Alcázares constituye una obligación que recae bajo la órbita de actuación del mismo, en tanto que responsable del tratamiento excesivo realizado con los datos personales del denunciante, de tal modo que la falta de intencionalidad no elimina la existencia de culpa por los motivos ya reseñados. De lo que se concluye que no procede declarar la inexistencia de responsabilidad en la comisión de la infracción por tratarse de un error informático inmediatamente corregido al haber sido eliminada la mencionada Acta tanto de la página web antigua como de la actual. V El artículo 44.3.
- c)de la LOPD, califica como infracción grave: “Tratar datos de carácter personal o usarlos posteriormente con conculcación de los principios y garantías establecidos en el artículo 4 de la presente Ley y las disposiciones que lo desarrollan, salvo cuando sea constitutivo de infracción muy grave” En este caso la conducta del Ayuntamiento de Los Alcázares vulnera el citado principio de calidad de datos, toda vez que en el presente procedimiento ha quedado acreditado que, con posterioridad a haber bloqueado en la página web de su titularidad el Acta de la Sesión Ordinaria del Pleno celebrado el 26 de mayo de 2014 y haber tomado las medidas correctoras de orden interno que figuran en el Antecedente de Hecho Tercero de esta resolución en cumplimiento del requerimiento que le fue efectuado por esta Agencia en la resolución del procedimiento nº AP/00056/2015, se ha producido un nuevo tratamiento excesivo, no pertinente e inadecuado de los datos personales del denunciante incluidos en la mencionada Acta al publicase la misma, en abierto, en la página web del citado Ayuntamiento en el período del año 2018 indicado en el Hecho Probado nº 3, conducta que encuentra su tipificación en el artículo 44.3.
- c)de la LOPD. VI Por último, el artículo 46 de la LOPD, “Infracciones de las Administraciones Públicas”, dispone que: «1. Cuando las infracciones a que se refiere el artículo 44 fuesen cometidas en ficheros de titularidad pública o en relación con tratamientos cuyos responsables lo serían de ficheros de dicha naturaleza, el órgano sancionador dictará una resolución estableciendo las medidas que procede adoptar para que cesen o se corrijan los efectos de la infracción. Esta resolución se notificará al responsable del fichero, al órgano del que dependa jerárquicamente y a los afectados si los hubiera. 2. El órgano sancionador podrá proponer también la iniciación de actuaciones disciplinarias, si procedieran. El procedimiento y las sanciones a aplicar serán las establecidas en la legislación sobre régimen disciplinario de las Administraciones Públicas. 3. Se deberán comunicar al órgano sancionador las resoluciones que recaigan en relación con las medidas y actuaciones a que se refieren los apartados anteriores.» 4. El Director de la Agencia comunicará al Defensor del Pueblo las actuaciones que efectúe y las resoluciones que dicte al amparo de los apartados anteriores”. En el presente supuesto, C/ Jorge Juan, 6 28001 – Madrid se estima que no procede requerir al citado www.agpd.es sedeagpd.gob.es 12/13 Ayuntamiento la adopción de medidas internas para que se corrijan los efectos de la infracción descrita, toda vez que consta que desde el Departamento de Informática del mismo se han llevado a cabo las acciones pertinentes para eliminar físicamente del servidor el Acta de la Sesión Ordinaria del Pleno del 26 de febrero de 2014, donde aparecían los datos personales del denunciante asociados a una deuda, desapareciendo tanto en la página web actual como de la antigua que se encuentra oculta en Internet. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR que el AYUNTAMIENTO DE LOS ALCAZARES ha infringido lo dispuesto en el artículo 4.1 de la LOPD, tipificada como grave en el artículo 44.3.
- c)de la citada Ley Orgánica . SEGUNDO: NOTIFICAR la presente resolución al AYUNTAMIENTO DE LOS ALCAZARES. TERCERO: COMUNICAR la presente resolución al Defensor del Pueblo, de conformidad con lo establecido en el artículo 46.4 de la LOPD. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, se podrá interponer potestativamente recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa (en lo sucesivo LJCA), en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/13 C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es