AAPP-00019-2016

1/8 Procedimiento Nº AP/00019/2016 RESOLUCIÓN: R/02204/2016 En el procedimiento de Declaración de Infracción de Administraciones Públicas AP/00019/2016, instruido por la Agencia Española de Protección de Datos al AYUNTAMIENTO DE TRABANCA, vista la denuncia presentada por Don A.A.A., y en virtud de los siguientes ANTECEDENTES PRIMERO: Con fecha 26 de febrero de 2016, tuvo entrada en esta Agencia escrito de Don A.A.A. (en lo sucesivo el denunciante), en el que denuncia al Ayuntamiento de Trabanca por la publicación en su página web de un escrito que la Junta de Castilla y León dirigió personalmente al denunciante en el que constan sus datos personales. Los datos personales publicados son los siguientes: nombre, apellidos y domicilio particular del denunciante. Adjunto a su denuncia aportó copia del documento publicado. SEGUNDO: A la vista de los hechos denunciados se constató, mediante Diligencia de fecha 17 de marzo de 2016, que a través de la página web del Ayuntamiento de Trabanca se puede acceder al escrito remitido al denunciante. La citada documentación se encuentra en las siguientes direcciones: http://www.trabanca.....................1 http://www.trabanca.....................2 TERCERO: Con fecha 15 de abril de 2016, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento de declaración de infracción de Administraciones Públicas al Ayuntamiento de Trabanca por la presunta infracción del artículo 4.1 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como grave en el artículo 44.3.

1. c)de dicha norma. CUARTO: Notificado el citado acuerdo de inicio de procedimiento de declaración de infracción de Administraciones Públicas, en fecha 17 de mayo de 2016, el Ayuntamiento de Trabanca presentó escrito de alegaciones en el que, básicamente, manifestó lo siguiente: - Que el documento que dio origen a la denuncia ya se ha retirado de la página web. Que el documento se publicó en la creencia de que no infringía ningún precepto normativo. El documento hacía referencia a la comunicación realizada por la Junta de castilla y León al Secretario interventor interino del Ayuntamiento en el que le C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/8 - manifestaba su obligación de acudir al puesto de trabajo a prestar las funciones secretariales en Trabanca, ya que desde el 13 de junio de 2015, desde hacía más de 90 días el Secretario no atendía sus obligaciones, sin motivo justificado. El Secretario Interventor Interino el día siguiente a la toma de posesión del nuevo ayuntamiento el día 13 de junio de 2015 desapareció y no volvió a trabajar durante más de 90 días. Por ello se presentó denuncia ante el Juzgado de Guardia y se acompañó el escrito de la Junta en el que se le notificaba la obligación de asistir. El denunciante jamás ha solicitada que el documento fuera retirado de la página web ni ha realizado observación alguna sobre este asunto. El denunciante acudió a la AEPD con la intencionalidad de conseguir una sanción no una solución. Por todo ello, solicita que se proceda al archivo del expediente. QUINTO: Con fecha 19 de mayo de 2016, se acordó por la Instructora del procedimiento la apertura de un período de práctica de pruebas, en el que se dieron por reproducidos a efectos probatorios la denuncia interpuesta por Don A.A.A. y su documentación, los documentos obtenidos y generados por los Servicios de Inspección ante el Ayuntamiento de Trabanca. Asimismo, se dio por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio AP/00019/2016 presentadas por el Ayuntamiento de Trabanca, y la documentación que a ellas acompaña. SEXTO: HECHOS PROBADOS PRIMERO: Don A.A.A. denunció ante la AEPD al Ayuntamiento de Trabanca por la publicación en su página web de un escrito que la Junta de Castilla y León dirigió personalmente al denunciante en el que constan sus datos personales (folios 1-4). SEGUNDO: Con fecha 17 de marzo de 2016, la Inspección de Datos verificó que a través de la página web del Ayuntamiento de Trabanca se puede acceder al escrito remitido al denunciante. La citada documentación se encuentra en las siguientes direcciones: http://www.trabanca.....................3 http://www.trabanca.....................2 (folios 5-12) TERCERO: Los datos personales publicados son los siguientes: nombre, apellidos y domicilio particular del denunciante, y en el que se hace referencia a su incumplimiento laboral en su condición de Secretario Interventor Interino (folio 3) CUARTO: Con fecha 4 de julio de 2016, la Instructora verificó que realizando una C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/8 consulta en el buscador Google en las siguientes direcciones: 1. http://www.trabanca.....................3. Se visualiza lo siguiente: - Golpe administrativo al Ayuntamiento de Trabanca. - Denuncia contra Don A.A.A. ante el Juzgado de Instrucción de Vitigudino, de fecha 07/08/2015. - Nota de prensa. 2. http://www.trabanca.....................2 . Se visualiza el texto: Respuesta de la Junta de Castilla León: no obtuvo ningún resultado (…). (folios 23-39) QUINTO: Con fecha 6 de julio de 2016, la Instructora del procedimiento emitió Propuesta de Resolución, en el sentido de que por la Directora de la Agencia Española de Protección de Datos se declare que el AYUNTAMIENTO DE TRABANCA ha infringido lo dispuesto en el artículo 4.1 de la LOPD, lo que supone una infracción tipificada como grave en el artículo 44.3.
2. c)de la citada norma, así como que se requiera la adopción de las medidas de orden interno que impidan que en el futuro pueda producirse una nueva infracción del artículo mencionado. SEXTO: Con fecha 14 de julio de 2016, consta entregado por el Servicio de Correos en el AYUNTAMIENTO DE TRABANCA sin que se hayan recibido alegaciones a la propuesta de Resolución. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
3. g)en relación con el artículo 36 de la LOPD. II La LOPD en sus art. 1 y 2.1) establece: “La presente Ley Orgánica tiene por objeto garantizar y proteger, en lo que concierne al tratamiento de los datos personales, las libertades públicas y los derechos fundamentales de las personas físicas, y especialmente de su honor e intimidad personal y familiar.” “1. La presente Ley Orgánica será de aplicación a los datos de carácter personal registrados en soporte físico que los haga susceptibles de tratamiento, y a toda modalidad de uso posterior de estos datos por los sectores público y privado.” III C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/8 La LOPD delimita su ámbito de aplicación en el párrafo primero de su artículo 2.1, definiendo el concepto de dato de carácter personal en su artículo 3.
4. a)que define los datos de carácter personal como: “Cualquier información concerniente a personas físicas identificadas o identificables”. En similares términos se expresa en su artículo 5.
5. f)el Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de Desarrollo de la LOPD. Por su parte el artículo 3.
6. d)de la LOPD define al responsable del fichero o tratamiento como la “persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento.” A su vez, el artículo 3.
7. c)de la LOPD define el tratamiento de datos personales en los siguientes términos: “Operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias.” IV Con el fin de precisar la antijuridicidad de la infracción imputada, procede analizar, previamente, el principio del consentimiento consagrado en el artículo 6.1 de la LOPD, que dispone: “El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa”. El tratamiento de datos de carácter personal sin consentimiento de los afectados constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre, (F.J. 7 primer párrafo) “consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporciona a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...)”. Son pues elementos característicos del derecho fundamental a la protección de datos de carácter personal los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. V La LOPD, además de sentar el anterior principio de consentimiento, regula en su artículo 4 el principio de calidad de datos que debe interpretarse conjunta y sistemáticamente con el transcrito anteriormente. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/8 El artículo 4.1 de la LOPD, garantiza el cumplimiento del principio de proporcionalidad en todo tratamiento de datos personales, cuando señala que: “1. Los datos de carácter personal sólo se podrán recoger para su tratamiento, así como someterlos a dicho tratamiento, cuando sean adecuados, pertinentes y no excesivos en relación con el ámbito y las finalidades determinadas, explícitas y legítimas para las que se hayan obtenido”. El artículo 4 de la LOPD, con la denominación “Calidad de datos” es el primer precepto del título II dedicado a los “Principios de calidad de datos”, que derivan del derecho fundamental a la protección de datos. En el apartado 1 del artículo 4 de la LOPD se establece que los datos de carácter personal sólo se podrán recoger para su tratamiento, así como someterlos a dicho tratamiento, de acuerdo con una serie de criterios, que se resumen en el principio de proporcionalidad. Este artículo 4.1 de la LOPD consagra el “principio de pertinencia en el tratamiento de los datos de carácter personal”, que impide el tratamiento de aquellos que no sean necesarios o proporcionados a la finalidad que justifica el tratamiento, debiendo restringirse el tratamiento de los datos excesivos o bien procederse a la supresión de los mismos. En consecuencia, el tratamiento del dato ha de ser pertinente y no excesivo en relación con el fin perseguido. Únicamente pueden ser sometidos a tratamiento aquellos datos que sean estrictamente necesarios para la finalidad perseguida. Por otra parte, el cumplimiento del principio de proporcionalidad no sólo debe producirse en el ámbito de la recogida de los datos, también debe respetarse en el posterior tratamiento que se realice de los mismos. Este criterio, se encuentra recogido también en el artículo 6 de la Directiva 95/46/CE, aparece también reflejado en el Convenio 108, cuyo artículo 5
8. c)indica que "los datos de carácter personal que sean objeto de un tratamiento automatizado (...) serán adecuados, pertinentes y no excesivos en relación con las finalidades para las cuales se hayan registrado”. El mencionado precepto debe ponerse en correlación con lo previsto en el apartado 2 del citado artículo 4, según el cual: “Los datos de carácter personal objeto de tratamiento no podrán usarse para finalidades incompatibles con aquellas para las que los datos hubieran sido recogidos. No se considerará incompatible el tratamiento posterior de éstos con fines históricos, estadísticos o científicos.”. Las finalidades a las que alude este apartado 2 han de ligarse o conectarse siempre con el principio de pertinencia o limitación en la recogida de datos regulado en el artículo 4.1 de la misma Ley. En el presente supuesto, el Ayuntamiento de Trabanca publicó en su página web, resultando accesible a terceros no autorizados datos excesivos contenidos en varios documentos. En primer lugar, publicó un escrito que la Junta de Castilla y León dirigió personalmente al denunciante en el que constan sus datos personales; asimismo, colgó en la web un escrito de denuncia contra Don A.A.A. ante el Juzgado de Instrucción de Vitigudino, de fecha 07/08/2015, en el que se hace referencia a todos los pormenores relacionados con el incumplimiento de sus funciones, y, por último, publicó en la web una Nota de prensa del Ayuntamiento en la que se explican dichas circunstancias. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/8 Los datos personales del denunciante que aparecen publicados son los siguientes: nombre, apellidos y domicilio particular del denunciante, y en el que se hace referencia a su incumplimiento laboral en su condición de Secretario Interventor Interino del citado Ayuntamiento. Por otra parte, el Ayuntamiento de Trabanca no ha acreditado ante esta Agencia que contara con el consentimiento del denunciante para la publicación que se detalla más arriba. En consecuencia, el Ayuntamiento de Trabanca al llevar a cabo dicho tratamiento de datos de carácter personal procedió a tratar y difundir datos personales excesivos del denunciante. Por tanto, se incumplió el principio de calidad de datos con la revelación de datos personales que resultaban excesivos y no pertinentes a terceros con motivo de la publicación en cuestión, que puede calificarse como un incumplimiento de lo dispuesto en la normativa de protección de datos; quedando acreditado en el expediente que los datos personales del denunciante en poder del Ayuntamiento de Trabanca fueron difundidos sin consentimiento ni habilitación legal para ello, por lo que ha de entenderse vulnerado el artículo 4.1 de la LOPD. VI El artículo 44.3.
9. c)de la LOPD, califica como infracción grave: “Tratar datos de carácter personal o usarlos posteriormente con conculcación de los principios y garantías establecidos en el artículo 4 de la presente Ley y las disposiciones que lo desarrollan, salvo cuando sea constitutivo de infracción muy grave” En este caso la conducta del Ayuntamiento de Trabanca vulnera el citado principio de calidad de datos, toda vez que ha quedado acreditado en el presente procedimiento que se ha producido un tratamiento excesivo, no pertinente e inadecuado de los datos de los datos personales del denunciante, en concreto, con la publicación del domicilio del denunciante contenido en el documento remitido por la Junta de Castilla y León, así como los datos identificativos de nombre y apellidos contenidos en la denuncia presentada ante la Juzgado de Instrucción de Vitigudino, puesto que el resto de los datos publicados, asociados a su condición de Secretario Interventor Interino y a las referencias a su incumplimiento laboral podrían entenderse de interés general. En cualquier caso, la publicación en la página web en abierto y a la vista de cualquiera encuentra su tipificación en el artículo 44.3.
10. c)de la LOPD. VII Por último, el artículo 46 de la LOPD, “Infracciones de las Administraciones Públicas”, dispone que: «1. Cuando las infracciones a que se refiere el artículo 44 fuesen cometidas en ficheros de titularidad pública o en relación con tratamientos cuyos responsables lo serían de ficheros de dicha naturaleza, el órgano sancionador dictará una resolución estableciendo las medidas que procede adoptar para que cesen o se corrijan los efectos de la infracción. Esta resolución se notificará al responsable del fichero, al órgano del C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/8 que dependa jerárquicamente y a los afectados si los hubiera. 2. El órgano sancionador podrá proponer también la iniciación de actuaciones disciplinarias, si procedieran. El procedimiento y las sanciones a aplicar serán las establecidas en la legislación sobre régimen disciplinario de las Administraciones Públicas. 3. Se deberán comunicar al órgano sancionador las resoluciones que recaigan en relación con las medidas y actuaciones a que se refieren los apartados anteriores.» 4. El Director de la Agencia comunicará al Defensor del Pueblo las actuaciones que efectúe y las resoluciones que dicte al amparo de los apartados anteriores”. En el presente caso, procede señalar la reincidencia y falta de diligencia del Ayuntamiento de Trabanca que ya ha sido sancionado recientemente por un hecho muy similar (AP/00067/2015). Por otra parte, aunque en la actualidad no consta que la información objeto de la denuncia aparecida en la web del Ayuntamiento continúe publicada en la misma, con fecha 4 de julio de 2016, se ha podido constatar que aparece colgada en la página web del Ayuntamiento una denuncia contra Don A.A.A. ante el Juzgado de Instrucción de Vitigudino, de fecha 07/08/2015, y una Nota de prensa en la que constan el nombre y apellidos del denunciante, que deberían ser anonimizados puesto que el resto de los datos publicados, asociados a su condición de Secretario Interventor Interino y a las referencias a su incumplimiento laboral podrían entenderse de interés general . Asimismo, deberá proceder a eliminar el nombre, apellidos y DNI de los firmantes de la denuncia ante el Juzgado. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR que el AYUNTAMIENTO DE TRABANCA ha infringido lo dispuesto en el artículo 4.1 de la LOPD, tipificada como grave en el artículo 44.3.
11. c)de la citada Ley Orgánica. SEGUNDO: REQUERIR al AYUNTAMIENTO DE TRABANCA, de acuerdo con lo establecido en el apartado 3 del artículo 46 de la Ley 15/1999, para que acredite en el plazo de un mes desde este acto de notificación las medidas de orden interno que impidan que en el futuro pueda producirse una nueva infracción del artículo 4.1 de la LOPD, para lo que se abre expediente de actuaciones previas E/04768/2016; y, en particular, deberán retirar de la página web del Ayuntamiento una denuncia contra Don A.A.A. ante el Juzgado de Instrucción de Vitigudino, de fecha 07/08/2015, y una Nota de prensa en la que constan el nombre y apellidos del denunciante, que deberían ser anonimizados puesto que el resto de los datos publicados, asociados a su condición de Secretario Interventor Interino y a las referencias a su incumplimiento laboral podrían entenderse de interés general. Asimismo, deberá proceder a eliminar el nombre, apellidos y DNI de los firmantes de la denuncia ante el Juzgado. TERCERO: NOTIFICAR la presente resolución al AYUNTAMIENTO DE TRABANCA y a Don A.A.A.. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/8 CUARTO: COMUNICAR la presente resolución al Defensor del Pueblo, de conformidad con lo establecido en el artículo 46.4 de la LOPD. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, se podrá interponer potestativamente recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa (en lo sucesivo LJCA), en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Sin embargo, el responsable del fichero de titularidad pública, de acuerdo con el artículo 44.1 de la LJCA, sólo podrá interponer directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la LJCA, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es