AAPP-00027-2017

1/8 Procedimiento Nº AP/00027/2017 RESOLUCIÓN: R/00371/2018 En el procedimiento de Declaración de Infracción de Administraciones Públicas AP/00027/2017, instruido por la Agencia Española de Protección de Datos al AYUNTAMIENTO DE ***LOC.1, vistas las denuncias presentadas por y en virtud de los siguientes ANTECEDENTES PRIMERO: Entre 13/10 y el 7/11/2016 se reciben 24 DENUNCIAS (sus datos figuran en el anexo general) contra el AYUNTAMIENTO DE ***LOC.1 por exponer en su web datos de (....)que se incluyen. DENUNCIANTE 2, A.A.A., como lo son también otros denunciantes aporta impresión de la consulta (no se aprecia fecha) en GOOGLE “plan anual policía municipal ***LOC.1 2015” dando como resultado; -Un documento pdf, titulado “(...)” en dirección ***WEB.1“***PLAN.1”. - En segundo lugar del resultado aparece “(...).” -También denunciante 2 aporta como otros un link enlace web donde se contiene el documento que acaba en ***PLAN.1. - Primera hoja o portada del “(...) de trabajo 2015. A.A.A.” y hoja del pdf, 165 de 295 en la que figura el título “(...), desglosado turno de (...). El resto de denunciantes aportan todos, copias del enlace que lleva a la página y la misma documentación. Algunos denunciantes indican que el documento ha sido retirado después de la indignación que el conocimiento de la publicación ha suscitado en la plantilla SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia, 1. Se verifica, mediante acceso a través de Internet y búsqueda en Google, que en la actualidad no se tiene acceso a dicha información. 2. Con fechas 29 y 30/12/2016, se recibe respuesta del AYUNTAMIENTO DE ***LOC.1, informando de:  El (...) de Trabajo 2015 se publicó para dar cumplimiento a la Ley 19/2013, de 10/12, de Transparencia, Acceso a la Información Pública y Buen Gobierno.  Por error en la documentación enviada para su publicación, figuraban los Anexos donde se incluían los turnos de los ***EMPLEADOS.1, con su número de identificación. Esto fue publicado en enero o febrero de 2015. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/8 Al no haberse detectado que se hubieran incluido, dentro del citado Plan, los nombres y número de identificación de los Policías, éstos “permanecieron publicados hasta el 28/09/2015”, fecha en la que se tuvo conocimiento de este hecho “a través de un componente de la plantilla que había localizado la información mencionada tras una búsqueda casual en GOOGLE”  Tan pronto fueron informados y se realizaron las oportunas comprobaciones, se detecta que el documento no está publicado en la web pero se puede acceder a él a través de GOOGLE. Inmediatamente el departamento que gestiona la web del Ayuntamiento elimina el documento y cancela el enlace, lo que impide acceder a dicha información.  “Por iniciativa de esta Concejalía, a la mayor brevedad posible, el 30/09/2016 se realiza una reunión a la que se convoca a todas las secciones sindicales” y entre otras medidas se toma la del cambio de número policiales de todos los ***EMPLEADOS.1, para preservar su intimidad y subsanar el error cometido. TERCERO: Con fecha 6/09/2017, la Directora de la AEPD acordó, iniciar procedimiento de declaración de infracción de las Administraciones Públicas al AYUNTAMIENTO DE ***LOC.1 por la comisión de una infracción del artículo 10 de la Ley Orgánica 15/1999, de 13/12, de Protección de los Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como grave en el artículo 44.3.

1. d)de dicha norma. CUARTO: Notificado el citado acuerdo de inicio de procedimiento de declaración de infracción de Administraciones Públicas, en fecha 25/09/2017 se reciben alegaciones que reiteran lo manifestado. Añaden que en el momento en que se presenta la denuncia, 13/10/2016, no figuraba ya el documento en la web sino que sí que figuraba indexado en GOOGLE siendo el que se ha aportado en las denuncias. No procedería imponer medidas de cumplimiento pues la infracción está subsanada. QUINTO: Con fecha 12/01/2018 se emitió propuesta de resolución del literal: “ PRIMERO: Declarar que el AYUNTAMIENTO DE ***LOC.1 ha infringido lo dispuesto en el artículo 10 de la LOPD, tipificada como grave en el artículo 44.3.
2. d)de dicha norma. SEGUNDO: Requerir al AYUNTAMIENTO DE ***LOC.1, para que adopte las medidas de orden interno que impidan que en el futuro pueda producirse una nueva infracción del artículo 10 de la LOPD. TERCERO: Notificar la Resolución que se adopte al responsable del fichero, al órgano del que dependa jerárquicamente y a los afectados. CUARTO: Comunicar la Resolución que se adopte al DEFENSOR DEL PUEBLO de conformidad con lo establecido en el artículo 46.4 de la LOPD.” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/8 La propuesta se remitió al mismo domicilio en el que se entregó y recogió el acuerdo de inicio. HECHOS PROBADOS 1) Con fechas de entrada a partir de 13/10/2016, ***EMPLEADOS.1 del Ayuntamiento de ***LOC.1 denuncian ante esta AEPD, que el Plan (...), se halló publicado y de libre acceso en su consulta y descarga formato pdf en la web del Ayuntamiento. En dicho Plan se contienen datos de (...). 2) Esta hoja con los datos personales es aportada por denunciante 2 que manifiesta que se descargó el documento de la web del Ayuntamiento. Además, indica que haciendo una búsqueda en GOOGLE con el literal (...) aparece como primer resultado el enlace desde donde se puede descargar dicho archivo pdf, aportando impresión de la misma en la que se puede leer como referencia a cuando accedió una nota que indica “Visitaste esta página el DD/MM/AA.1. El resultado de la búsqueda en GOOGLE es un pdf titulado: (...) 3) En el momento de la denuncia, la primera en formato electrónico con entrada 13/10/2016 el denunciante indica que el listado de datos en la página web del Ayuntamiento ya no está disponible (folio 4) que se quitó cuando significaron su malestar a la entidad. (folios 3, 194). 4) Algunos diarios en páginas de la web se hacían eco el 11/10/2016 de los hechos denunciados (folios 199-202) indicando la noticia que estuvo expuesto el plan en la web hasta que fue retirado el 2/10 (no indica año). 5) La denunciada expresó que el Plan Anual con los datos se expuso de forma publica en su web desde enero-febrero 2015 (folio 208). Manifiesta que estuvo expuesto el citado Plan hasta 28/09/2015 “fecha en que tuvimos conocimiento del hecho a través de un componente de la plantilla que había localizado la información tras una búsqueda casual en GOOGLE. 6) La fecha de retirada 28/09/2015 que manifiesta la denunciada parece errónea y podría referirse a 28/09/2016 en su caso, pues la denunciada manifestó en el mismo escrito, que el 30/09/2016 se realizó una reunión a la que se convoca a todas las secciones sindicales con representación en la Policía Municipal para estudiar esa situación (folio 208) en la que se cambiaron los números de los ***EMPLEADOS.1. 7) Tras el acuerdo de inicio, por el Instructor se efectuaron consultas en GOOGLE y en la página web del a denunciada, sin hallarse datos personales de los ***EMPLEADOS.1 en el (...) 2015 ni en el de 2017 que aparece expuesto en la citada web del Ayuntamiento. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/8 FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
3. g)en relación con el artículo 36 de la LOPD. II Se imputa a la denunciada la infracción del artículo 10 de la LOPD que impone el deber de secreto en el sentido de: “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo.” El Tribunal Constitucional, en la Sentencia 292/2000, reseña que “el contenido del derecho fundamental a la protección de datos consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el Estado o un particular. Y ese derecho a consentir el conocimiento y el tratamiento, informático o no, de los datos personales, requiere como complementos indispensables, por un lado, la facultad de saber en todo momento quién dispone de esos datos personales y a qué uso los está sometiendo, y, por otro lado, el poder oponerse a esa posesión y usos.” En principio, el efecto de la publicación de los datos en una web en abierto, es según la LOPD artículo 3.
4. i)una “Cesión o comunicación de datos: toda revelación de datos realizada a una persona distinta del interesado.”, aunque jurídicamente no se puede hablar de cesión si el cesionario, las personas que ven los datos no los tratan como producto de ese acceso al conocer los datos. Por ello, se imputa la infracción del deber de secreto que el Municipio tiene sobre los datos de sus empleados, que además, en este caso eran ***EMPLEADOS.1, y que usualmente se identifican con un número (...) Igualmente, para que se produzca dicha cesión, la LOPD señala en su artículo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/8 11: “1. Los datos de carácter personal objeto del tratamiento sólo podrán ser comunicados a un tercero para el cumplimiento de fines directamente relacionados con las funciones legítimas del cedente y del cesionario con el previo consentimiento del interesado. 2. El consentimiento exigido en el apartado anterior no será preciso:
5. a)Cuando la cesión está autorizada en una ley.” La circunstancia de que los datos personales de los ***EMPLEADOS.1 se expongan en la web de la denunciada formando parte del (...) no es conforme con la LOPD al no existir norma con rango de Ley que autorice dicha cesión y como resultado su exposición. Al menos uno de los denunciantes disponía de dicho listado manifestando y el Ayuntamiento reconoce que lo expuso en su web hasta 28/09/2015. La exposición de dicho documento, al ser descargable en pdf permite su uso y guardado en cualquier caso por cualquier persona que acceda. Por otro lado, el hecho de que dicho documento hubiera podido ser indexado por el buscador se debe a que cuando figuró expuesto y durante todo su periodo no se configuró técnicamente de una manera que no permitiera su indexación por los motores de búsqueda. Esta posibilidad de exponer en la propia web documentos y que no sea posible su indexación existe, por tanto la responsabilidad de la exposición en la web propia es de la denunciada. Así, la información expuesta, los datos concretos y específicos se expusieron al conocimiento de terceros, en abierto en la web, cuando ni en abierto ni en acceso restringido con clave y contraseña para cualquier ciudadano no existe legitimación para su exposición. Si se considerara que estuvo expuesto hasta 28/09/2015, la infracción no estaría prescrita al haberse notificado el acuerdo de inicio antes de los dos años en que estaría prescrita. Se acredita la comisión de la infracción por la denunciada del artículo 10 de la LOPD por el Ayuntamiento de ***LOC.1. La infracción aparece tipificada en el artículo 44.3.
6. d)de dicha LOPD que indica: “La vulneración del deber de guardar secreto acerca del tratamiento de los datos de carácter personal al que se refiere el artículo 10 de la presente Ley. III Respecto a la alegación que con la exposición de los datos se cumplía la obligación de publicidad activa de la información llevada a cabo, se debe indicar que la publicación de Memorias, Planes o documentos similares, por el tipo de análisis que C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/8 llevan a cabo, deben salvaguardar los datos de carácter personal por la propia naturaleza del documento y la finalidad a la que atiende, no siendo propio que contengan listados de personas, aunque se pueda hacer referencia a la estructura organizativa. Sobre la publicidad activa señala la ley de transparencia en su exposición de motivos: “El capítulo II, dedicado a la publicidad activa, establece una serie de obligaciones para los sujetos incluidos en el ámbito de aplicación del título I, que habrán de difundir determinada información sin esperar una solicitud concreta de los administrados. En este punto se incluyen datos sobre información institucional, organizativa y de planificación, de relevancia jurídica y de naturaleza económica, presupuestaria y estadística. Para favorecer de forma decidida el acceso de todos a la información que se difunda se creará el Portal de la Transparencia, que incluirá, además de la información sobre la que existe una obligación de publicidad activa, aquella cuyo acceso se solicite con mayor frecuencia. El Portal será un punto de encuentro y de difusión, que muestra una nueva forma de entender el derecho de los ciudadanos a acceder a la información pública. Se prevé además en este punto que la Administración General del Estado, las Administraciones de las Comunidades Autónomas y las entidades que integran la Administración Local puedan adoptar medidas de colaboración para el cumplimiento de sus obligaciones de publicidad activa.” La publicidad activa se instrumenta a través de lo señalado en el artículo 5 y siguientes que indica: Artículo 5. “1. Los sujetos enumerados en el artículo 2.1 publicarán de forma periódica y actualizada la información cuyo conocimiento sea relevante para garantizar la transparencia de su actividad relacionada con el funcionamiento y control de la actuación pública. 2. Las obligaciones de transparencia contenidas en este capítulo se entienden sin perjuicio de la aplicación de la normativa autonómica correspondiente o de otras disposiciones específicas que prevean un régimen más amplio en materia de publicidad. 3. Serán de aplicación, en su caso, los límites al derecho de acceso a la información pública previstos en el artículo 14 y, especialmente, el derivado de la protección de datos de carácter personal, regulado en el artículo 15. A este respecto, cuando la información contuviera datos especialmente protegidos, la publicidad sólo se llevará a cabo previa disociación de los mismos. 4. La información sujeta a las obligaciones de transparencia será publicada en las correspondientes sedes electrónicas o páginas web y de una manera clara, estructurada y entendible para los interesados y, preferiblemente, en formatos reutilizables. Se establecerán los mecanismos adecuados para facilitar la accesibilidad, la interoperabilidad, la calidad y la reutilización de la información publicada así como su identificación y localización.” Teniendo en cuenta que la información proporcionada, de carácter organizativa menciona los lugares de trabajo con los datos personales y número de identificación de ***EMPLEADOS.1, esta información no es relevante para contenerse en un (...) en la web con acceso en abierto, no siendo ni necesaria ni adecuada, además de no tener interés público concreto, por tanto, la alegación no puede ser considerada. IV C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/8 El artículo 46 de la LOPD indica: “1. Cuando las infracciones a que se refiere el artículo 44 fuesen cometidas en ficheros de titularidad pública o en relación con tratamientos cuyos responsables lo serían de ficheros de dicha naturaleza, el órgano sancionador dictará una resolución estableciendo las medidas que procede adoptar para que cesen o se corrijan los efectos de la infracción. Esta resolución se notificará al responsable del fichero, al órgano del que dependa jerárquicamente y a los afectados si los hubiera. 2. El órgano sancionador podrá proponer también la iniciación de actuaciones disciplinarias, si procedieran. El procedimiento y las sanciones a aplicar serán las establecidas en la legislación sobre régimen disciplinario de las Administraciones Públicas. 3. Se deberán comunicar al órgano sancionador las resoluciones que recaigan en relación con las medidas y actuaciones a que se refieren los apartados anteriores. 4. El Director de la Agencia comunicará al Defensor del Pueblo las actuaciones que efectúe y las resoluciones que dicte al amparo de los apartados anteriores” Considerando el contexto en que se publican los datos y la naturaleza de los mismos es de esperar que la denunciada ajuste su actuación en cuanto a la publicación y acceso en la web a datos personales, sobre todo en Planes o Memorias, a los criterios señalados y reitere la adecuación de su uso a la normativa vigente entre su personal, circunstancias por las que no se impone requerimiento especifico alguno. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR que el AYUNTAMIENTO DE ***LOC.1 ha infringido lo dispuesto en el artículo 10 de la LOPD, tipificada como grave en el artículo 44.3.
7. d)de la citada Ley Orgánica. SEGUNDO: NOTIFICAR la presente resolución al AYUNTAMIENTO DE ***LOC.1 con la entrega del ANEXO GENERAL de denunciantes. TERCERO: COMUNICAR la presente resolución al DEFENSOR DEL PUEBLO, de conformidad con lo establecido en el artículo 46.4 de la LOPD. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30/12, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22/12, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21/12. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/8 Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), el responsable del fichero de titularidad pública, de acuerdo con el artículo 44.1 de la LJCA, sólo podrá interponer directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la LJCA, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es