1/8 Procedimiento Nº AP/00019/2014 RESOLUCIÓN: R/02121/2014 En el procedimiento de Declaración de Infracción de Administraciones Públicas AP/00019/2014, instruido por la Agencia Española de Protección de Datos al AYUNTAMIENTO DE EL EJIDO, vista la denuncia presentada por CINCO DENUNCIANTES, y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fecha de 16 y de 19/04/2013, tiene entrada en la Agencia Española de Protección de Datos (AEPD) cinco denuncias remitidas por CINCO DENUNCIANTES, identificadas para denunciada en ANEXO GENERAL y para cada DENUNCIANTE en su anexo ordinal. DENUNCIANTE 1 denuncia que el Acta de la Sesión ***/2012 de la Junta de Gobierno Local del Ayuntamiento del Ejido celebrada el DD/MM/AA, expuesta en tablones de anuncios municipal y en la dirección de internet www................, según pudo comprobar el DD/MM/AA, figura en el punto decimo sus datos de carácter personal DNI, domicilio particular y línea de móvil que proporcionó como representante municipal en un Consejo Escolar de escuelas de el Ejido. Especifica que dichos datos se proporcionaron para el desarrollo y ejecución de sus funciones. Aporta copia del citado Acta en papel que incluye un listado de personas nombradas como representantes municipales en los Consejos Escolares de los Centros Educativos, figurando entre otros los de ella. Pese a que no aporta foto del tablón figura expuesta en la dirección web. El acto publicado viene precedido de la tramitación del expediente en el que se eleva la propuesta del Concejal Delegado de Cultura, de conformidad con el Real Decreto 486/1996 de 5/11 que regula los aspectos relacionados con los órganos de Gobierno de los Centros Docentes Públicos y Privados concertados, y aprobado por la Junta de Gobierno Local por unanimidad se publica en el Acta el citado Acuerdo de la Junta. La misma denuncia y la misma documentación con la diferencia del Centro Educativo en el que fueron propuestos para ejercer su representación han formulado los otros cuatro denunciantes, acompañando idéntica documentación. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se efectúan las siguientes investigaciones: -Se verifica, con fecha de 26/11/2013, que en la página web del Ayuntamiento de El Ejido <www.....> consta publicada el Acta de la sesión ordinaria celebrada por la Junta de Gobierno Local, el DD/MM/AA, nº ***/2012, en cuyo punto decimo se indica “ Aprobación renovación de representantes en los consejos escolares de los centros educativos del municipio” figurando los datos personales de los cinco denunciantes, constando: nombre, apellidos, NIF, domicilio particular y teléfono móvil personal, así como el partido político que les ha propuesto. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/8 -El Ayuntamiento de El Ejido ha comunicado a la Inspección de Datos, con fecha de 17/12/2013, en relación con la publicación del Acta de la sesión ordinaria celebrada por la Junta de Gobierno Local en la que constan datos personales de los denunciantes lo siguiente: -La causa de la publicación de las Actas de las Juntas de Gobierno Local en la página web oficial del Ayuntamiento, desde el año 2009, es la información que el ciudadano puede necesitar, como formularios, procedimientos, noticias de interés, etc. y todo lo que la Corporación ha estimado útil en aras de dar mayor información y transparencia entre las que se encuentran las Actas del Pleno y de la Junta de Gobierno Local. -Las Actas se publican en la página web de modo íntegro, por lo que al estar incluidos los datos de nombres, apellidos, domicilios postales y NIF en el texto del acuerdo de la referida Junta Local que nombraba representantes del Ayuntamiento en Centros Escolares del municipio, Concejales y no Concejales, al volcar el Acta en la página web aparecieron estos datos. -No tienen constancia del consentimiento de las personas que aparecen en dicha Acta para la publicación de sus datos personales y no tienen instrucciones de la Federación Española de Municipios y Provincias sobre criterios para la publicidad de las Actas. -Asimismo, indican que el Ayuntamiento ha tenido conocimiento del informe 0261/2010 de la AEPD, en mayo de 2013, en el que se determinan las cuestiones referidas a este asunto, fecha desde la cual se han dejado de publicar las Actas nuevas de las Juntas de Gobierno Local, y asimismo, en estos días se ha procedido a retirar las Actas anteriores. Se incorpora al expediente el citado informe -Finalmente comunican que la única intención del Ayuntamiento al publicar las Actas de la Junta de Gobierno en la página web ha sido la de facilitar la transparencia, desde 2009 en que se empezaron, hasta mayo de 2013 en que dejaron de publicarse, habiendo sido la presente queja la única que han tenido en la Corporación Local al respecto. TERCERO: Con fecha 7/04/2013, el Director de la Agencia Española de Protección de Datos acordó iniciar, procedimiento de declaración de infracción de las Administraciones Públicas al AYUNTAMIENTO DE EL EJIDO por una infracción del artículo 6.1, artículo 4.1 y artículo 10 de la Ley Orgánica 15/1999, de 13/12, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificadas como graves en los artículos 44.3.b), 44.3.
- c)y 44.3.d), de dicha norma. CUARTO: Notificado el acuerdo de inicio, mediante escrito de fecha 14/05/2014, la denunciada reitera lo manifestado anteriormente. QUINTO: Con fecha 23/07/2014, se emitió la siguiente propuesta de resolución: “PRIMERO: Declarar que el AYUNTAMIENTO DE EL EJIDO ha infringido lo dispuesto en el artículo 6.1 de la LOPD, tipificada como grave en el artículo 44.3.
- b)de dicha norma. SEGUNDO: Declarar el ARCHIVO de la infracción del artículo 10 de la LOPD imputado al AYUNTAMIENTO DE EL EJIDO, tipificada como grave en el artículo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/8 44.3.
- d)de dicha norma. TERCERO: Declarar ARCHIVO de la infracción del artículo 4.1 de la LOPD imputado al AYUNTAMIENTO DE EL EJIDO, tipificada como grave en el artículo 44.3.
- c)de dicha norma. CUARTO: No se Requiere al AYUNTAMIENTO DE EL EJIDO, para que adopte medidas de orden interno, ya que se subsanó quitando el Acta de la web y no publicará las Actas del Pleno que contengan datos de carácter personal. QUINTO: Comunicar la Resolución que se adopte al Defensor del Pueblo de conformidad con lo establecido en el artículo 46.4 de la Ley Orgánica 15/1999.” HECHOS PROBADOS 1) El Acta ***/2012 de la Junta de Gobierno Local de el Ejido celebrada el DD/MM/AA contiene en el orden del día en AREA DE CULTURA la aprobación del nombramiento de representantes municipales en los Consejos Escolares en los centros de Primer Ciclo y Educación Infantil. En el punto décimo se contiene que vista la propuesta del Concejal Delegado de Cultura, de conformidad con el Decreto 486/1996 de 5/11 regula aspectos relacionados con los órganos colegiados de Gobierno de los Centros Docentes Públicos y Privados concertados, la Junta de Gobierno Local acordó por unanimidad el nombramiento de los representantes municipales en los Consejos Escolares de los centros educativos del municipio figurando los distintos representantes nominados por cada formación política, conteniéndose de los elegidos, su nombre y apellidos, DNI, dirección y teléfono, entre ellos los denunciantes (1, 3 a 9). 2) El acta se hallaba expuesta en la web del Ayuntamiento de el Ejido (3 a 9, 12 a 18, 21 a 27, 30 a 36, 39 a 45, 55 a 69, 79). No consta que los denunciantes otorgaran su consentimiento para dicha publicación. 3) El Ayuntamiento reconoce que se publicó el Acta integra (79, 100). 4) El Ayuntamiento declara que quitó de la web el acta denunciada y ya no publica referencias similares en su web. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
- g)en relación con el artículo 36 de la LOPD. II La protección de datos que se reconoce en el artículo 18.4 de la CE, extiende su protección no a los datos íntimos de la persona -que se protegen en el derecho a la intimidad del artículo 18.1 de la CE - sino a los datos de carácter personal (STC C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/8 292/2000). Por tanto, la garantía de la vida privada de la persona y su reputación poseen una dimensión positiva que excede del ámbito del artículo 18.1 CE y que se traduce en un derecho al control sobre los datos. Se pretende garantizar ahora a la persona, mediante el control sobre sus datos personales, sobre su uso y destino, con el propósito de impedir su tráfico ilícito y lesivo para la dignidad del afectado, que los datos solo podrán ser tratados y cedidos con su consentimiento. Y añade la citada Sentencia que “el contenido del derecho fundamental a la protección de datos consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el Estado o un particular. Y ese derecho a consentir el conocimiento y el tratamiento, informático o no, de los datos personales, requiere como complementos indispensables, por un lado, la facultad de saber en todo momento quién dispone de esos datos personales y a qué uso los está sometiendo, y, por otro lado, el poder oponerse a esa posesión y usos. En fin, son elementos característicos de la definición constitucional del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. III El almacenamiento de los datos de los denunciantes asociado e incluido en el Acta y tratado a través de la web, constituye tratamiento automatizado de datos sin consentimiento del afectado, incluido en el artículo 6.1 de la LOPD que precisa:”El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa”. Por su parte, el apartado 2 del mencionado artículo contiene una serie de excepciones a la regla general contenida en el 6.1, estableciendo que “2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado.” El tratamiento de datos sin consentimiento de los afectados constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre (F.J. 7 primer párrafo) “… consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/8 saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...).” Son pues elementos característicos del derecho fundamental a la protección de datos personales, los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. El informe del Gabinete Jurídico de la Agencia, 0261/2010 indica que el artículo 70 de la Ley de Bases de Régimen Local, predica que son públicas las sesiones del Pleno de las Corporaciones Locales, y que no lo son las de la Junta de Gobierno Local. Concluye que las Actas de la Junta de Gobierno Local no son públicas y por tanto contraviene la normativa de protección de Datos publicar en Internet dicha Acta conteniendo datos de carácter personal. Con independencia del término sesiones, que no es el mismo que Actas, no resulta proporcionada y si excesiva la publicación del acta conteniendo los datos a nivel de detalle de domicilio y teléfonos móviles de los denunciantes, para la finalidad de su nombramiento, produciéndose un conocimiento general de sus datos personales por terceros. La publicación de nombramientos por la Junta de Gobierno local deviene de la Ley Orgánica 8/1985, de 3/07, Reguladora del Derecho a la Educación, que configura en sus Títulos III y IV los órganos de gobierno de los Centros públicos y privados concertados, entre los que se encuentran, como órganos colegiados, el Claustro de Profesores y el Consejo Escolar del Centro. El Decreto 149/2009, de 12 de mayo y el Decreto 486/1996 desarrolla sus aspectos en la CCAA de Andalucía, indicando que formará parte del Consejo Escolar una persona representante del Ayuntamiento del municipio en el que esté ubicado el centro. El Consejo Escolar se caracteriza como órgano de participación en el control y gestión de los centros públicos y concertados. En cualquier caso, no se prevé el tratamiento de los datos del nombramiento a través de la web del Ayuntamiento de los citados datos conteniendo el domicilio y su teléfono móvil. IV La infracción se halla tipificada como grave en el artículo 44.3.
- b)de dicha norma, que considera como tal “Tratar los datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo”. V Otra de las infracciones imputadas es la del artículo 10 de la LOPD que indica: “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo.” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/8 Tal obligación comporta, en lo que hace al caso, que los datos almacenados puestos de manifiesto para su nombramiento, no deban ser revelados ni dados a conocer a terceros teniendo el deber de guardarlos, obligaciones que subsistirán aún después de finalizar sus relaciones con el titular del fichero automatizado o, en su caso, con el responsable del mismo (artículo 10 citado). Este deber es una exigencia elemental y anterior al propio reconocimiento del derecho fundamental a la libertad informática a que se refiere la STC 292/2000, y por lo que ahora interesa, comporta que los datos tratados automatizadamente o no, no pueden ser conocidos por ninguna persona o entidad ajena fuera de los casos autorizados por ley, pues en eso consiste precisamente el secreto. Este deber de sigilo, como venimos declarando desde nuestra Sentencia de 14 de septiembre de 2001 (recaída en el recurso nº 196/2000) resulta esencial en las sociedades actuales cada vez más complejas, en las que los avances de la técnica sitúan a la persona en zonas de riesgo para la protección de derechos fundamentales, como la intimidad o el derecho a la protección de los datos que recoge el artículo 18.4 de la CE. En efecto, este precepto contiene un "instituto de garantía de los derechos a la intimidad y al honor y del pleno disfrute de los derechos de los ciudadanos que, además, es en sí mismo un derecho o libertad fundamental, el derecho a la libertad frente a las potenciales agresiones a la dignidad y a la libertad de la persona provenientes de un uso ilegítimo del tratamiento mecanizado de datos" (STC 292/2000). Este derecho fundamental a la protección de los datos "persigue garantizar a esa persona un poder de control sobre sus datos personales, sobre su uso y destino" (STC 292/2000) que impida que se produzcan situaciones atentatorias con la dignidad de la persona, "es decir, el poder de resguardar su vida privada de una publicidad no querida" (STC de tanta cita). Como resultado de la exposición en la web de datos se llega al conocimiento de los mismos, su relación a terceros, todos aquellos que visitaran la citada web. El artículo 4.4 del Reglamento del procedimiento para el ejercicio de la potestad sancionadora aprobado por Real Decreto 1398/1993 (REPEPOS) dispone "En defecto de regulación específica establecida en la norma correspondiente, cuando de la comisión de una infracción derive necesariamente la comisión de otra u otras, se deberá imponer únicamente la sanción correspondiente a la infracción más grave cometida". La STS de 8/03/999 (Rec. 9/1996) interpreta dicho precepto en el sentido que, "exige para la aplicación del concurso medial, una necesaria derivación de unas infracciones respecto de las demás y viceversa, por lo que es indispensable que las unas no puedan cometerse sin ejecutar las otras". Sin embargo, en el caso de autos considera la Sala que no cabe aplicar el citado precepto ni en definitiva el concurso medial, al no concurrir los presupuestos establecidos para ello, por cuanto el tratamiento de datos del afectado sin su consentimiento pudo llevarse a cabo sin necesidad de comunicar los datos del afectado asociados a una deuda inexistente al fichero Asnef.” Aplicando esta doctrina al presente caso, se trata de dos infracciones, siendo una resultado de la otra, y vehículo para su producción. Existe conexión necesaria que implica que la comisión del tratamiento a través de la web deriva sin necesidad de cumplimentar ningún otro acto, en el conocimiento de los datos secretos a terceros, es decir, una deriva en la comisión de la otra, así pues, se debe seleccionar la más grave, y siendo el tratamiento previo al secreto, se archiva la del artículo 10 de la LOPD, subsistiendo la del tratamiento, art 6 LOPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/8 VI En cuanto a la infracción del artículo 4.1 de la LOPD, que considera: “Los datos de carácter personal sólo se podrán recoger para su tratamiento, así como someterlos a dicho tratamiento, cuando sean adecuados, pertinentes y no excesivos en relación con el ámbito y las finalidades determinadas, explícitas y legítimas para las que se hayan obtenido.”, analizado ya que se infringió el consentimiento, al no existir tal ni causa legal que lo ampare, no cabe imputar la infracción por haberse tratado datos, aunque se tilden de excesivos. Considerando el tratamiento en relación con su recogida y puesta en la web, no cabe considerar además que los datos tratados sean excesivos, cuando no existe habilitación alguna para ello. Si conviene recordar que en caso de tratamiento habilitado, se ha de concentrar en los datos pertinentes. Caso de existir legitimación para el supuesto tratamiento, ni la dirección ni el teléfono móvil se han de exponer junto a sus datos concretos del nombramiento. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR que el AYUNTAMIENTO DE EL EJIDO ha infringido lo dispuesto en el artículo 6.1 de la LOPD, tipificada como grave en el artículo 44.3.
- b)de la citada Ley Orgánica. SEGUNDO: Debido a que la infracción ha sido corregida no se insta por parte de la Agencia la adopción de medida correctora alguna TERCERO: NOTIFICAR la presente resolución al AYUNTAMIENTO DE EL EJIDO mediante el envío del ANEXO GENERAL, y a DENUNCIANTE 1 indicado en el Anexo 1, con el Anexo 1, DENUNCIANTE 2 indicado en el Anexo 2 junto al Anexo 2, DENUNCIANTE 3 indicado en el Anexo 3, con el Anexo 3, DENUNCIANTE 4 indicado en el Anexo 4 junto al Anexo 4 , y DENUNCIANTE 5 indicado en el Anexo 5, con el Anexo 5. CUARTO: COMUNICAR la presente resolución al DEFENSOR DEL PUEBLO, de conformidad con lo establecido en el artículo 46.4 de la LOPD. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/8 LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, se podrá interponer potestativamente recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa (en lo sucesivo LJCA), en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Sin embargo, el responsable del fichero de titularidad pública, de acuerdo con el artículo 44.1 de la LJCA, sólo podrá interponer directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la LJCA, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es