AAPP-00028-2018

1/19 Procedimiento Nº AP/00028/2018 RESOLUCIÓN: R/01627/2018 En el procedimiento de Declaración de Infracción de Administraciones Públicas AP/00028/2018, instruido por la Agencia Española de Protección de Datos al AYUNTAMIENTO DE JEREZ DE LA FRONTERA, vista la denuncia presentada por Dña. A.A.A., y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fecha 6 de febrero de 2018, se registra de entrada en esta Agencia escrito de Dña. A.A.A. (en lo sucesivo la denunciante o Dña. A.A.A.) poniendo de manifiesto que introduciendo su nombre y apellidos en el buscador Google aparece como resultado un enlace a la página web del Excmo. Ayuntamiento de Jerez de la Frontera (en adelante Ayuntamiento de Jerez), bajo el cual hay un párrafo que se refiere a la demanda que la denunciante realizó contra dicho Ayuntamiento por despido improcedente y donde, entre otros datos, se muestra su nombre completo e indemnización a percibir. Asimismo, la denunciante indica que al abrir el documento del citado resultado en caché (versión html del archivo ***URL.1) se accede al documento completo “***DOCUMENTO.1”, donde aparece detallado su nombre completo, NIF, proceso del despido, demanda, sentencia, fallo, cantidad a percibir como indemnización. La denunciante adjunta la siguiente documentación: -

1. a)Impresión de captura de pantalla de la lista de resultados obtenidos en Internet con fecha 5 de febrero de 2018, al buscar A.A.A. a través del buscador Google. En el tercer resultado aparece la siguiente información: “***URL.1 14 feb 2017- demanda formulada por Dña. A.A.A. contra el Excmo. Ayuntamiento de Jerez de la Frontera, debo declarar y declaro la improcedencia del despido condenando al Organismo demandado a optar entre el abono de la indemnización de XXX € a la parte actora de la que debe restarle la Visitaste esta página el 5/02/18” -
2. b)Impresión de fecha 5 de febrero de 2018 de la versión html del archivo ***URL.1, correspondiente al Acta de la “***DOCUMENTO.1” del Ayuntamiento de Jerez”. En el particular 5 de la Orden del día de la citada Sesión Extraordinaria y Urgente, bajo el título “***DOCUMENTO.2 (Autos ***AUTO.1)”, se recoge el acuerdo adoptado por la Junta de Gobierno Local del Ayuntamiento de Jerez de la propuesta consistente en “Aprobar el gasto y reconocimiento de la obligación por el importe de YYY € de diferencia de indemnización y 600 € de honorarios del Sr. Graduado Social impugnante del recurso, por el despido improcedente de Dña. A.A.A. en el Ayuntamiento de Jerez”. En el cuerpo de dicho acuerdo se incluye, junto con otra información, el nombre, apellidos y NIF de la denunciante, datos personales de la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/19 misma que resultan visibles a cualquier tercero que acceda a dicha información por la vía citada. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, los Servicios de Inspección de esta Agencia tienen conocimiento de lo que sigue: 2.1- Con fecha 9 de febrero de 2018, y como resultado de la búsqueda efectuada en relación con “A.A.A.” en el buscador Google Chrome, se verifica que en el tercer lugar de la lista de resultados continúa apareciendo la misma información que se cita en la letra
3. a)del anterior antecedente de hecho. Se comprueba que desde el citado resultado sigue accediéndose a la versión html del archivo correspondiente al Acta de la “***DOCUMENTO.1”, reseñado en la letra
4. b)del anterior antecedente de hecho. En relación con este documento se constata que los particulares 5 al 16 del Orden del Día de la Sesión recogida en el Acta contienen el texto íntegro de las propuestas del Área de Gobierno de Tenencia de Alcaldía de Empleo, Recursos Humanos y Deportes del Ayuntamiento de Jerez que se aprobaron, con fecha 14 de febrero de 2017, durante la mencionada Sesión por la Junta de Gobierno Local (en adelante, JGL) de dicho Ayuntamiento. Los reseñados particulares se refieren a abonos en concepto de diferencia de indemnización por despido improcedente de un total de doce empleados, entre los que se encuentra la denunciante, que causaron baja en el Ayuntamiento de Jerez el ***FECHA.1, al haber sido incluidos en un procedimiento de despido colectivo que se vincula al particular HH del Acuerdo de la JGL de fecha ***FECHA.2. Los particulares 5 al 16 incluyen, además del nombre, apellidos y NIF del empleado despedido, la cantidad ya percibida por cada uno de ellos del Ayuntamiento en concepto de indemnización, fecha y referencia de la Sentencia dictada por el correspondiente Juzgado de lo Social de Jerez declarando improcedente el despido y fallando el total de la indemnización que le correspondía al empleado recurrente, cantidad a indemnizar una vez restada la cantidad ya percibida por el empleado despedido, número y fecha de la Sentencia dictada por el Tribunal Superior de Justicia de Andalucía (Sala de lo Social) en el recurso de suplicación interpuesto por el Ayuntamiento de Jerez contra la Sentencia de 1ª Instancia, y transcripción parcial del fallo de dicho Tribunal. Paralelamente se constata que desde el enlace [PDF] Ayuntamiento de Jerez que figura en ese mismo resultado se accede a una versión del contenido del Acta de la “Sesión Extraordinaria, Urgente y Decisoria celebrada por la Junta de Gobierno Local, el día 14 de febrero de 2017” (en adelante, Acta de la JGL de 14 de febrero de 2017) en la que los datos personales contenidos en la misma aparecen sombreados. 2.2 - Con fecha 5 de abril de 2018 se realiza nueva búsqueda a través del motor de búsqueda Google Chrome asociada al nombre y apellidos de la denunciante, constatándose que sigue apareciendo el mismo resultado vinculado al Ayuntamiento de Jerez obtenido en búsquedas anteriores. Asimismo, se comprueba que tras pulsar los enlaces incluidos en dicho resultado la información que se muestra no ha variado respecto de las visitas anteriores. Por lo cual, el Ayuntamiento de Jerez, a través de la versión en caché que se publica en la dirección web indicada, está difundiendo a terceros no interesados los datos de carácter personal contenidos en los acuerdos de abono por indemnización por despido improcedente que figuran en los particulares 5 al 16 del C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/19 Acta estudiada, ya que dicho documento resulta visible en su totalidad y sin ningún tipo de restricción a cualquier tercero usuario de Internet desde esa dirección web. 2.3- También con fecha 5 de abril de 2018 se verifica que en el portal de transparencia del Ayuntamiento de Jerez, localizable en la dirección web ***URL.2, aparece la siguiente indicación al final de la relación de Actas de la Junta de Gobierno Local que se publican en el mencionado Portal de Transparencia: “Protegemos los datos de carácter personales de nuestros ciudadanos y ciudadanas. En todos los documentos publicados en el PORTAL DE TRANSPARENCIA existe información sustituida por una franja negra (( ) en consideración a lo dispuesto en el artículo 5.3 de la Ley 19/2013, de 9 de diciembre, sobre la aplicación de los límites al derecho de acceso a la información pública previstos en el artículo 14 y especialmente el derivado de la protección de datos personales regulados en el artículo 15 de esta Ley.” Paralelamente, se constata que el Acta de la “Sesión Extraordinaria, Urgente y Decisoria celebrada por la Junta de Gobierno Local, el día 14 de febrero de 2017” del Ayuntamiento de Jerez” que se publica en el Portal de Transparencia muestra los datos personales contenidos en la misma tachados, si bien no eliminados del “pdf” publicado. Paralelamente, se observa que este documento presenta el mismo formato y contenido que el resultante al clicar el enlace [PDF] Ayuntamiento de Jerez del resultado de las búsquedas. TERCERO: Con fecha 13 de abril de 2018, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento de declaración de infracción de Administraciones Públicas al Ayuntamiento de Jerez de la Frontera por la presunta infracción del artículo 10 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como grave en el apartado
5. d)del artículo 44.3 de dicha norma. El citado acuerdo de inicio fue notificado con fecha 8 de mayo de 2018 CUARTO: Notificado el citado acuerdo de inicio de procedimiento de declaración de infracción de Administraciones Públicas, con fecha 22 de mayo de 2018 la Alcaldesa Presidenta del Ayuntamiento de Jerez presentó escrito de alegaciones solicitando el sobreseimiento del expediente sin establecer medidas ni actuación alguna al no haberse producido el incumplimiento imputado, lo que sustenta, en síntesis, en siguientes argumentos: El Acta de Junta de Gobierno Local de fecha 14 de septiembre de 2018 se publicó anonimizada en cumplimiento de lo preceptuado en la Ley de Transparencia, tal y como prueba la captura adjuntada correspondiente a la publicación de dicho documento en el Portal de Transparencia, en el que puede comprobarse que la información personal de la denunciante no es visible al estar oculta bajo una franja negra. De hecho, la propia AEPD ha reconocido que accediendo directamente a la página web del Ayuntamiento los datos de la denunciante estaban anonimizados. Alegan que realizando una maniobra informática se pudo revertir el proceso y acceder al nombre de la denunciante y demás datos protegidos. Consta en el procedimiento que después de introducir el nombre de la denunciante en el motor de búsqueda, los datos personales C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/19 mostrados sólo resultaban visibles accediendo a través del buscador, pero no directamente a través de la página web. No ha podido conocerse el motivo por el que se produjo dicha publicación de datos personales accediendo a la correspondiente página de enlace a través del buscador, pero no accediendo directamente a través del responsable del tratamiento que los "colgaba" en Internet. - Relacionando los artículos 10, 44.3.
6. d)y 46 de la LOPD con el caso que nos ocupa, se desprende que el Ayuntamiento, al publicar, a través de su página web, el Acta del Órgano Administrativo ha actuado conforme a las prescripciones legales que plasman los principios de publicidad, transparencia y también con el necesario cuidado y sigilo, dando cumplimiento al deber de secreto, de modo diligente y riguroso, y sin que su conducta merezca reproche jurídico alguno. No ha vulnerado ni el deber de secreto ni ninguno de los demás principios rectores en materia de protección de datos personales. - En cuanto al contenido y técnica ofimática de anonimización el Ayuntamiento de Jerez utiliza la herramienta gratuita FOXIT READER. Las instrucciones para anonimización (protección de datos personales) están publicadas en: http://www.jerez.es/webs_municipales/transparencia/documentacion_interna_de_tr ansparencia/transparencia_gestion_interna_ayuntamiento_de Jerez/, figurando las instrucciones de la parte ofimática en el apartado 6. - Actualmente en el Portal de Transparencia del Ayuntamiento de Jerez la mencionada Acta está publicada debidamente anonimizada mediante aplicación de técnica que no permite maniobra informática alguna de reversión. No obstante lo cual, los riesgos inherentes al proceso de anonimización efectiva se une el incesante avance de las tecnologías que permiten nuevos descubrimientos en materia de reidentificación. Por ello la anonimización debe plantearse como un proceso continuo en el que el responsable evalúa regularmente los riesgos existentes y toma medidas al respecto, conforme ha hecho el Ayuntamiento de Jerez. QUINTO: Con fecha 30 de mayo de 2018, se inició por la Instructora del procedimiento la apertura de un período de práctica de pruebas, según lo dispuesto en el artículo 77 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, en cuyo marco se acordó practicar las siguientes pruebas: -Incorporar al expediente del procedimiento arriba indicado, y por tanto dar por reproducida a efectos probatorios, la documentación recabada en las actuaciones previas de inspección que forman parte del expediente. Asimismo, se dan por reproducidas a efectos probatorios, las alegaciones al acuerdo de inicio del procedimiento AP/00028/2018 presentadas por el Ayuntamiento de Jerez de la Frontera. Todo ello con su correspondiente documentación adjunta. - Incorporar al expediente del procedimiento arriba indicado, y por tanto dar por reproducida a efectos probatorios, impresión del resultado de la información obtenida en Internet, con fecha de hoy, al realizar las búsquedas que a continuación se citan a través del buscador Google Chrome: - Impresión de resultados de la búsqueda efectuada a través del buscador Google Chrome en relación con A.A.A. y “A.A.A.” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/19 - Información resultante al clicar el enlace ***URL.1 - Información resultante al clicar el enlace ***URL.1 - Impresión de los resultados obtenidos en el portal de transparencia del Ayuntamiento de Jerez (***URL.2) en relación con la publicación del Acta de la Junta de Gobierno Local de dicho Ayuntamiento correspondiente a la “***DOCUMENTO.1.” - Impresión del resultado obtenido al acceder a la dirección web ***URL.3 SÉXTO: Con fecha 12 de junio de 2018 se registra de entrada escrito de la Alcaldesa Presidenta del Ayuntamiento de Jerez presentado en el Servicio de Correos con fecha 8 de junio de 2018, en el que propone la prueba documental consistente en incorporar al procedimiento los siguientes documentos: -Acta de la sesión extraordinaria y urgente de la Junta de Gobierno Local celebrada el 14 de febrero de 2017 anonimizada. -Comunicación del Secretario General del Pleno dirigido al Servicio de Transparencia y Administración electrónica remitiendo nuevamente el Acta de referencia anonimizada siguiendo la técnica de una macro que no permite afloramiento de datos ocultos. -Correo interno de Transparencia adjuntando enlace del archivo publicado en el Portal de Transparencia en relación con el Acta de 14 de febrero de 2017 anoniminazada aplicando la técnica que no permite, maniobra informática alguna de reversión. Asimismo propone, más documental, consistente en que se dé por reproducido a efectos probatorios impresión del resultado de la información obtenida al clicar el enlace: “Acta de Junta de Gobierno Local de 14/02/2017, correctamente anonimizada, como consecuencia del escrito de la Agencia Estatal de Protección de Datos. …: ENLACE NOVEDADES DEL PORTAL DE TRANSPARENCIA” SÉPTIMO: Con fecha 21 de junio de 2018 la Instructora del procedimiento levanta Diligencia haciendo constar que se acepta la práctica de la prueba documental propuesta por el Ayuntamiento de Jerez de la Frontera mediante escrito presentado con fecha 8 de junio de 2018, registrado de entrada en esta Agencia con fecha 12 de junio de 2016. Asimismo, se hace constar que se incorpora al procedimiento el resultado de las siguientes comprobaciones: “
7. a)Que practicada con fecha de hoy la prueba documental propuesta por el AYUNTAMIENTO DE JEREZ, se incorpora al procedimiento resultado de la información obtenida al clicar en el “Portal Transparencia>Novedades” la publicación del Acta de Junta de Gobierno Local de 14/02/2017 anteriormente descrita. Se constata que el Acta publicada incluye en cada una de sus páginas la siguiente información en un recuadro situado en el borde superior derecho: “En este documento se han tachado los datos personales protegidos de conformidad con el art. 5.3 y límites del art. 15 de la Ley 19/2013, de 9 de diciembre de Transparencia, acceso C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/19 a la información pública y buen gobierno.”, observándose también que los datos personales de la denunciante contenidos en dicho documento aparecen tachados en negro, no resultando visible al usuario dicha información de carácter personal.
8. b)Que con fecha de hoy se incorpora impresión del resultado obtenido al introducir en el buscador de Google los siguientes términos: “A.A.A.” site:jerez.es “A.A.A.” A.A.A. Se constata que en ninguna de esas búsquedas resulta accesible el resultado en caché que se indicaba en la denuncia. “ OCTAVO: Con fecha 14 de agosto de 2018, la Instructora del procedimiento emitió Propuesta de Resolución, en el sentido de que por la Directora de la Agencia Española de Protección de Datos se declare que el Ayuntamiento de Jerez de la Frontera ha infringido lo dispuesto en el artículo 10 de la LOPD, lo que supone una infracción tipificada como grave en el artículo 44.3.
9. d)de la citada norma. Dicha propuesta fue notificada con fecha 5 de septiembre de 2018. NOVENO: Con fecha 13 de septiembre de 2018, la Alcaldesa Presidenta del Ayuntamiento de Jerez presentó escrito de alegaciones a la propuesta de resolución en el que, además de reiterarse en los argumentos expuestos con anterioridad, aduce, en síntesis, lo siguiente: -Que el carácter público de las sesiones de la Junta de Gobierno Local y la forma en la que ha de interpretarse el artículo 70.1 de la LRBRL en relación con la obligación de publicidad activa es un tema que no goza de un planteamiento pacífico. El Ayuntamiento se rige por el Título X de la Ley 7/85 de las Bases de Régimen Local en cuanto a que está declarado Municipio de Gran Población, publicando en el portal de Transparencia las sesiones de la JGL en atención a las amplias funciones de naturaleza ejecutiva ostentadas por dicho órgano colegiado, que superan las meras atribuciones administrativas, intentando con ello hacer efectiva la conciliación del derecho a la información que tiene el ciudadano, la obligación de la publicidad, la transparencia y la protección de los derechos fundamentales. - Discrepa de que hasta mayo de 2018 no se hubieran adoptado las medidas necesarias para impedir que a través de su página web se difundieran a terceros no interesados los datos de carácter personal contenidos en el Acta estudiada. En ningún momento ha existido negligencia ni descuido en su conducta. La anonimización se estaba realizando desde el inicio con la herramienta gratuita FOXIT READER con el convencimiento de que era efectiva, subsanándose el error tan pronto como se conoció mediante una macro que no permitía el afloramiento de los datos ocultados. Las comprobaciones relativas a la ocultación de los datos se realizaba desde sus conocimientos de usuarios de la red, sin abarcar la consulta de formatos html ni la versión en caché del archivo. Se reitera que el acceso a dichos datos no fue a través de la página web, sino a través de un motor de búsqueda. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/19 HECHOS PROBADOS PRIMERO: Con fecha 5 de febrero de 2018 la denunciante comunica a esta Agencia que al introducir su nombre y apellidos sin comillas (A.A.A.) en el motor de búsqueda de Google Chrome, accedía a la siguiente información: - En el tercer resultado de la lista obtenida aparecía: “***URL.1 14 feb 207- demanda formulada por Dña. A.A.A. contra el Excmo. Ayuntamiento de Jerez de la Frontera, debo declarar y declaro la improcedencia del despido condenando al Organismo demandado a optar entre el abono de la indemnización de XXX € a la parte actora de la que debe restarle la Visitaste esta página el 5/02/18”. -Al clicar el citado resultado en chache (versión html del archivo ***URL.1) la denunciante accedió al Acta de la “***DOCUMENTO.1” del Ayuntamiento de Jerez” sin anonimizar, que incluía, entre otra información, el nombre, apellidos y NIF de la denunciante asociados a un proceso del despido, demanda, sentencia, fallo y cantidad a percibir por la misma como indemnización. SEGUNDO: Con fecha 9 de febrero de 2018 la AEPD reprodujo la búsqueda efectuada por la denunciante obteniendo el mismo tercer resultado que el adjuntado por ésta en su denuncia, registrada en la AEPD con fecha 6 de febrero de 2018. TERCERO: Con fecha 5 de abril de 2018 se repite la búsqueda introduciendo el nombre y apellidos de la denunciante entre comillas, apareciendo el mismo resultado que en la ocasión anterior, pero en primer lugar. CUARTO: En las búsquedas reseñadas en los dos hechos probados anteriores, se comprueba que seleccionando la versión caché del resultado obtenido se accedía a la versión html del archivo del Acta de la “***DOCUMENTO.1” sin anonimizar. En dichos accesos se constata que los particulares 5 al 16 del Orden del Día de la Sesión recogida en la mencionada Acta se refieren a abonos en concepto de diferencia de indemnización por despido improcedente de un total de doce empleados, entre los que se encuentra la denunciante, que causaron baja en el Ayuntamiento de Jerez en el año 2012 al haber sido incluidos en un procedimiento de despido colectivo. Estos particulares incluyen, además del nombre, apellidos y NIF del empleado despedido, la cantidad ya percibida por cada uno de ellos del Ayuntamiento en concepto de indemnización, fecha y referencia de la Sentencia dictada por el correspondiente Juzgado de lo Social de Jerez declarando improcedente el despido y fallando el total de la indemnización que le correspondía al empleado recurrente, cantidad a indemnizar, número y fecha de la Sentencia dictada por el Tribunal Superior de Justicia de Andalucía (Sala de lo Social) en el recurso de suplicación interpuesto por el Ayuntamiento de Jerez contra la Sentencia de 1ª Instancia, y transcripción parcial del fallo de dicho Tribunal. También se comprueba: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/19 - Que los datos de carácter personal contenidos en dichos particulares y la información asociada a los mismos está sin anonimizar. - Que el particular del Orden del día de la citada Sesión Extraordinaria y Urgente, bajo l título “***DOCUMENTO.2 (Autos ***AUTO.1)”, contiene el nombre, apellidos y NIF de la denunciante asociados a la información correspondiente al mencionado proceso de despido colectivo, demanda, sentencia, fallo y cantidad a percibir como indemnización. QUINTO: A través de los mencionados accesos de fechas 9 de febrero y 5 de abril de 2018 la AEPD se constata que clicando el enlace [PDF] Ayuntamiento de Jerez se accede al contenido de la citada Acta, apareciendo sombreados los datos personales incluidos en los reseñados particulares. SEXTO: Con fecha 5 de abril de 2018 se verifica que en el portal de transparencia del Ayuntamiento de Jerez, concretamente en la dirección web ***URL.2, se publica un listado que incluye los documentos en pdf de las Actas de la Junta de Gobierno Local del año 2017. Al pie del listado figura la siguiente información: “Protegemos los datos de carácter personales de nuestros ciudadanos y ciudadanas. En todos los documentos publicados en el PORTAL DE TRANSPARENCIA existe información sustituida por una franja negra ( ) en consideración a lo dispuesto en el artículo 5.3 de la Ley 19/2013, de 9 de diciembre, sobre la aplicación de los límites al derecho de acceso a la información pública previstos en el artículo 14 y especialmente el derivado de la protección de datos personales regulados en el artículo 15 de esta Ley.” Clicando el documento correspondiente al Acta de la “***DOCUMENTO.1” de dicho Ayuntamiento se accede a dicho documento, observándose que los datos personales contenidos en el mismo están tachados. El documento mostrado tiene el mismo formato y contenido que el obtenido al clicar los enlaces [PDF] Ayuntamiento de Jerez del resultado de las búsquedas de fechas 9 de febrero y 5 de abril de 2018. SÉPTIMO: Con fecha 21 de junio de 2018 se constata desde la AEPD que entre las novedades del portal de transparencia del Ayuntamiento de Jerez aparece publicada rectificación del Acta de la Sesión de la Junta de Gobierno Local, de carácter extraordinario y urgente, de fecha 14 de febrero de 2017 ”una vez aplicada una correcta anonimización de datos personales” . El Acta rectificada que se publica en el portal de transparencia del Ayuntamiento de Jerez web ***URL.2 incluye en el margen superior derecho de cada una de sus páginas la siguiente leyenda informativa: “En este documento se han tachado los datos personales protegidos de conformidad con el art. 5.3 y límites del art. 15 de la Ley 19/2013, de 9 de diciembre de Transparencia, acceso a la información pública y buen gobierno.”. Los datos personales contenidos en los los particulares 5 al 16 del Orden del Día de la Sesión recogida en el Acta publicada aparecen tachados en negro. OCTAVO: Con fecha 21 de junio de 2018, efectuadas tres búsquedas a través del buscador de Google Chrome de los siguientes términos “A.A.A.” site:jerez.es , C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/19 “A.A.A.” y A.A.A., no se obtiene ningún resultado de la Junta de Gobierno objeto de denuncia. asociado al Acta de la Sesión FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
10. g)en relación con el artículo 36 de la LOPD. II El artículo 3.
11. a)de la LOPD define los datos de carácter personal como: “Cualquier información concerniente a personas físicas identificadas o identificables”. Añade el artículo 5.f del Real Decreto 1720/2007 por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, que dato de carácter personal es “cualquier información numérica, alfabética, gráfica, fotográfica, acústica o de cualquier otro tipo, concerniente a personas físicas identificadas o identificables.” Por lo tanto, los nombres, apellidos y números de NIF contenidos en los particulares 5 al 16 del Orden del Día de la Sesión recogida en el Acta de la “***DOCUMENTO.1”, son datos de carácter personal que, en este caso, estaban asociados a un conjunto de información, (Hecho Probado 4) que, a su vez, también podía hacer identificable a dichas personas, todas ellas incluidas en un procedimiento de despido colectivo seguido por el Ayuntamiento de Jerez en el año 2012 y, finalmente, beneficiarias de un acuerdo de ***DOCUMENTO.2. Por su parte el artículo 3.
12. d)de la LOPD define al responsable del fichero o tratamiento como la “persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento.” A su vez, el artículo 3.
13. c)de la LOPD define el tratamiento de datos personales en los siguientes términos: “Operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias.” III Alega el Ayuntamiento denunciado que conforme lo preceptuado en la Ley de Transparencia el Acta de la JGL de fecha 14 de febrero de 2017 se publicó anonimizada. La Ley 7/1985, de 2/04, Reguladora de las Bases de Régimen Local, modificada por la Ley 57/2003, de 16/12, de medidas para la modernización del gobierno local, establece ( en adelante LRBRL), en su artículo 70.1 que las sesiones del Pleno de las Corporaciones Locales son “públicas”, salvo en aquellos asuntos que puedan afectar al derecho fundamental de los ciudadanos a que se refiere el artículo 18.1 de la Constitución, cuando así se acuerde por mayoría absoluta. Por otra parte, el apartado 2 del referido artículo 70 establece que los acuerdos que adopten las corporaciones locales se publicarán o notificarán en la forma prevista por ley. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/19 El artículo 88.1 del R.D. 2568/1986, de 28/11, del Reglamento de Organización, Funcionamiento y Régimen Jurídico de las Entidades Locales, establece el carácter público de las sesiones del Pleno, con la posibilidad de celebrar a puerta cerrada el debate y votación de aquellos asuntos que puedan afectar al derecho fundamental de los ciudadanos a que se refiere el artículo 18 de la Constitución, cuando así se acuerde por mayoría absoluta. A su vez, el artículo 229 del citado RD establece que las Corporaciones darán publicidad resumida del contenido de las sesiones plenarias y de todos los acuerdos del Pleno y de las Comisiones de Gobierno, así como de las resoluciones del Alcalde. Concretamente en el citado artículo dispone que: “1. Las convocatorias y órdenes del día de las sesiones del Pleno se trasmitirán a los medios de comunicación social de la localidad y se harán públicas en el Tablón de Anuncios de la entidad. 2. Sin perjuicio de lo dispuesto en el artículo 70.2 de la Ley 7/1985, de 2 de abril, la Corporación dará publicidad resumida del contenido de las sesiones plenarias y de todos los acuerdos del Pleno y de la Comisión de Gobierno, así como de las resoluciones del Alcalde y las que por su delegación dicten los delegados. 3. A tal efecto, además de la exposición en el Tablón de Anuncios de la entidad, podrán utilizarse los siguientes medios:
14. a)Edición, con una periodicidad mínima trimestral, de un boletín informativo de la entidad.
15. b)Publicación en los medios de comunicación social del ámbito de la entidad.” (El subrayado es de la Agencia Española de Protección de Datos) A este respecto cabe transcribir un Informe del Servicio Jurídico de esta Agencia Española de Protección de Datos que resulta muy clarificador. De entre todos se reproduce en parte el informe 43/2014: <<La cuestión de la publicidad de las actas de los Plenos de los Ayuntamientos ha sido reiteradamente estudiada por esta Agencia, como en el informe de 9 de septiembre de 2009. A esta cuestión la Agencia ha emitido diversos informes al respecto y por todos ellos cabe mencionar el informe de 20 de diciembre de 2004 que a continuación se reproduce: “Como cuestión previa, debe recordarse que el artículo 2.1 de la Ley Orgánica 15/1999 delimita en su párrafo primero su ámbito objetivo de aplicación, al disponer que “La presente Ley Orgánica será de aplicación a los datos de carácter personal registrados en soporte físico que los haga susceptibles de tratamiento, y a toda modalidad de uso posterior de estos datos por los sectores público y privado”, siendo datos de carácter personal, según el artículo 3
16. a)de la Ley, “Cualquier información concerniente a personas físicas identificadas o identificables”. De este modo, es preciso aclarar que, sin perjuicio de lo dispuesto en otras leyes, el presente informe se limitará a analizar la conformidad con lo dispuesto en la Ley Orgánica 15/1999 de la publicación de los datos de carácter personal que resulten de las mencionadas actas. Dicho lo anterior, la publicación en Internet de los datos contenidos en las actas de los Plenos y Juntas de Gobierno del Ayuntamiento constituye una cesión o comunicación de datos de carácter personal, definida por el artículo 3
17. j)de la Ley C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/19 Orgánica 15/1999 como “Toda revelación de datos realizada a una persona distinta del interesado”. En relación con las cesiones de datos, prescribe el artículo 11.1 de la Ley Orgánica que “Los datos de carácter personal objeto del tratamiento sólo podrán ser comunicados a un tercero para el cumplimiento de fines directamente relacionados con las funciones legítimas del cedente y del cesionario con el previo consentimiento del interesado”, No obstante, no será necesario el consentimiento de los afectados cuando la comunicación se encuentre amparada por una norma con rango de Ley (artículo 11.2
18. a)o cuando se refiera a datos incorporados en fuentes accesibles al público (artículo 11.2 b). A tal efecto, son fuentes accesibles al público, según el segundo inciso del artículo 3
19. j)“exclusivamente, el censo promocional, los repertorios telefónicos en los términos previstos por su normativa específica y las listas de personas pertenecientes a grupos de profesionales que contengan únicamente los datos de nombre, título, profesión, actividad, grado académico, dirección e indicación de su pertenencia al grupo. Asimismo, tienen el carácter de fuentes de acceso público, los Diarios y Boletines oficiales y los medios de comunicación”. Pues bien, respecto de la publicidad de las actividades municipales, el artículo 70 de la Ley reguladora de las Bases del Régimen Local, en la redacción dada al mismo por la Ley 57/2003, de 16 de diciembre, dispone lo siguiente: “1. Las sesiones del Pleno de las corporaciones locales son públicas. No obstante, podrán ser secretos el debate y votación de aquellos asuntos que puedan afectar al derecho fundamental de los ciudadanos a que se refiere el artículo 18.1 de la Constitución, cuando así se acuerde por mayoría absoluta. No son públicas las sesiones de la Junta de Gobierno Local. 2. Los acuerdos que adopten las corporaciones locales se publican o notifican en la forma prevista por la Ley. Las ordenanzas, incluidos el articulado de las normas de los planes urbanísticos, así como los acuerdos correspondientes a éstos cuya aprobación definitiva sea competencia de los entes locales, se publicarán en el "Boletín Oficial" de la provincia y no entrarán en vigor hasta que se haya publicado completamente su texto y haya transcurrido el plazo previsto en el artículo 65.2 salvo los presupuestos y las ordenanzas fiscales que se publican y entran en vigor en los términos establecidos en la Ley 39/1988, de 28 de diciembre, Reguladora de las Haciendas Locales. Las Administraciones públicas con competencias urbanísticas deberán tener, a disposición de los ciudadanos que lo soliciten, copias completas del planeamiento vigente en su ámbito territorial. 3. Todos los ciudadanos tienen derecho a obtener copias y certificaciones acreditativas de los acuerdos de las corporaciones locales y sus antecedentes, así como a consultar los archivos y registros en los términos que disponga la legislación de desarrollo del artículo 105, párrafo b), de la Constitución. La denegación o limitación de este derecho, en todo cuanto afecte a la seguridad y defensa del Estado, la averiguación de los delitos o la intimidad de las personas, deberá verificarse mediante resolución motivada.” Del tenor del precepto transcrito se desprende que la Ley determina la publicidad del contenido de las sesiones del Pleno, pero en ningún caso de la Junta de Gobierno, añadiendo el régimen de publicación en los Boletines Oficiales de los acuerdos adoptados. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/19 De este modo, únicamente sería conforme con lo dispuesto en la Lopd la comunicación de datos, mediante su inclusión en Internet, cuando dichos datos se refieran a actos debatidos en el Pleno de la Corporación o a disposiciones objeto de publicación en el correspondiente Boletín Oficial, dado que únicamente en estos supuestos la cesión se encontraría amparada, respectivamente, en una norma con rango de Ley o en el hecho de que los datos se encuentran incorporados a fuentes accesibles al público. En los restantes supuestos, y sin perjuicio de lo dispuesto en otras Leyes, la publicación únicamente sería posible si se contase con el consentimiento del interesado o si los datos no pudieran en ningún caso, vincularse con el propio interesado, cuestión ésta que, como se indicó, puede resultar sumamente compleja, dadas las características del Municipio en cuestión, por cuanto un número reducido de datos, incluso sin incluir los meramente identificativos del afectado, podría identificar a aquél.” En definitiva, y tomando en consideración esta conclusión la publicación a través de Internet de las actas de los plenos municipales sólo es conforme a la Lopd cuando no contienen datos de carácter personal, o cuando dichos datos se refieren a actos debatidos en el Pleno o a disposiciones objeto de publicación en el Boletín Oficial que corresponda, no así en los demás supuestos, requiriéndose el consentimiento del interesado para la cesión, salvo que se den las circunstancias previstas en el artículo 11.2.a).>> A su vez, los apartados 2 al 5 del artículo 15 de la Ley 19/2013, de 9 de diciembre, de Transparencia, acceso a la información pública y buen gobierno, en relación con la “Protección de datos personales”, establecen: “2. Con carácter general, y salvo que en el caso concreto prevalezca la protección de datos personales u otros derechos constitucionalmente protegidos sobre el interés público en la divulgación que lo impida, se concederá el acceso a información que contenga datos meramente identificativos relacionados con la organización, funcionamiento o actividad pública del órgano. 3. Cuando la información solicitada no contuviera datos especialmente protegidos, el órgano al que se dirija la solicitud concederá el acceso previa ponderación suficientemente razonada del interés público en la divulgación de la información y los derechos de los afectados cuyos datos aparezcan en la información solicitada, en particular su derecho fundamental a la protección de datos de carácter personal. Para la realización de la citada ponderación, dicho órgano tomará particularmente en consideración los siguientes criterios:
20. a)El menor perjuicio a los afectados derivado del transcurso de los plazos establecidos en el artículo 57 de la Ley 16/1985, de 25 de junio, del Patrimonio Histórico Español.
21. b)La justificación por los solicitantes de su petición en el ejercicio de un derecho o el hecho de que tengan la condición de investigadores y motiven el acceso en fines históricos, científicos o estadísticos.
22. c)El menor perjuicio de los derechos de los afectados en caso de que los documentos únicamente contuviesen datos de carácter meramente identificativo de aquéllos. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/19
23. d)La mayor garantía de los derechos de los afectados en caso de que los datos contenidos en el documento puedan afectar a su intimidad o a su seguridad, o se refieran a menores de edad. 4. No será aplicable lo establecido en los apartados anteriores si el acceso se efectúa previa disociación de los datos de carácter personal de modo que se impida la identificación de las personas afectadas. 5. La normativa de protección de datos personales será de aplicación al tratamiento posterior de los obtenidos a través del ejercicio del derecho de acceso.” En el presente supuesto, los datos personales concernientes a doce empleados a los que se acordó debían abonarse determinadas cantidades en concepto de diferencia de indemnización por despido improcedente, aparecían, sin anonimizar, en el Acta de “Sesión Extraordinaria, Urgente y Decisoria celebrada por la Junta de Gobierno Local el día 14 de febrero de 2017” publicada por el Ayuntamiento de Jerez en versión caché en la página web de su titularidad ***URL.1. Dicha información de carácter personal, accesible por terceros a través de Internet, permitía identificar plenamente a dichos empleados. Por lo que la publicación de dicha Acta requería de la previa anonimización, en forma efectiva, de los datos e informaciones a publicar que permitieran identificar o hacer identificables a las personas físicas incluidas en el Acta de la JGL en cuestión. La publicación de las Actas de la JGL no responde a un derecho de los ciudadanos al acceso a la información pública previsto en la mencionada Ley 19/2013, de 9 de diciembre, puesto que no figura entre los supuestos en que se impone tal obligación. Dicha norma diferencia entre la denominada “publicidad activa”, que regula en los artículos 5 a 11, y en la que el Ayuntamiento de Jerez encuadra la publicación del Acta de la JGL del 14 de febrero de 2017, del derecho de información pública por los ciudadanos, regulado en los artículos 17 y siguientes. El Ayuntamiento de Jerez, que es un municipio de gran población, alega que el carácter público de las sesiones de la JGL y la forma en que ha de interpretarse el artículo 70.1 de la LRBRL en relación con la obligación de publicidad activa no resultan pacíficos, mencionando en apoyo de esta manifestación lo previsto en el artículo 22.1 de la Ley 1/2014, de 24 de junio, de Transparencia Pública de Andalucía, la STC 161/2013, de 26 de septiembre, y la Resolución PA-16/2017, del Consejo de Transparencia y Protección de Datos de Andalucía. El mencionado artículo 22.1 de la Ley 1/2014, bajo la rúbrica “Transparencia del funcionamiento de los gobiernos” dispone lo siguiente: 1. El Consejo de Gobierno de la Junta de Andalucía y los órganos colegiados de gobierno de los ayuntamientos, diputaciones y mancomunidades de municipios, sin perjuicio del secreto o reserva de sus deliberaciones, harán públicos con carácter previo a la celebración de sus reuniones el orden del día previsto y, una vez celebradas, los acuerdos que se hayan aprobado, así como la información contenida en el expediente que se haya sometidos a su consideración, en los términos que se establezcan reglamentariamente.” Sin perjuicio de lo dispuesto en el precepto transcrito, conviene recordar que los apartados 2 y 3 del artículo 5 de la reseñada 19/2013, de 9 de diciembre, establecen como “Principios generales” de la publicidad activa, lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/19 “2. Las obligaciones de transparencia contenidas en este capítulo se entienden sin perjuicio de la aplicación de la normativa autonómica correspondiente o de otras disposiciones específicas que prevean un régimen más amplio en materia de publicidad. 3. Serán de aplicación, en su caso, los límites al derecho de acceso a la información pública previstos en el artículo 14 y, especialmente, el derivado de la protección de datos de carácter personal, regulado en el artículo 15. A este respecto, cuando la información contuviera datos especialmente protegidos, la publicidad sólo se llevará a cabo previa disociación de los mismos.” Por su parte, el artículo 9.3 de la citada Ley 1/2014, de 24 de junio, establece entre las normas generales de la publicidad activa lo siguiente: “3. Serán de aplicación, en su caso, los límites al derecho de acceso a la información pública previstos en la normativa básica y, especialmente, el derivado de la protección de datos de carácter personal. A ese respecto, cuando la información contuviera datos especialmente protegidos, la publicidad sólo se llevará a cabo previa disociación de los mismos.” En cuanto a la STC 161/2013, de 26 de septiembre, invocada se observa que en el fundamento Jurídico noveno de la misma consta que: “El Gobierno de Aragón no impugna la totalidad de la no publicidad de las sesiones de la junta de gobierno local, sino, exclusivamente, la prohibición del carácter público de las deliberaciones de la junta respecto de los asuntos en que actúa por delegación del pleno. De este modo, tomando en consideración que la posibilidad de delegación de las atribuciones del pleno en la junta de gobierno local queda excluida del régimen de organización de los municipios de gran población (art. 123.3 LBRL), esta impugnación solo afecta a la junta de gobierno local en la configuración legal y con las atribuciones establecidas en el art. 23 LBRL para el resto de municipios que no sean de gran población y en los que, de conformidad con el art. 20.1.
24. b)LBRL, debe existir esta junta de gobierno”. En este caso, sólo el Acta de la JGL de 14 de febrero de 2017 reflejaba los acuerdos adoptados por dicho órgano colegiado en sesión extraordinaria, urgente y decisoria, que no plenaria, sino que siendo el Ayuntamiento de Jerez un municipio de gran población no cabe la delegación de las atribuciones del pleno en la JGL. Ello sin perjuicio de las consecuencias que para la publicidad activa supone el fallo adoptado por el Tribunal Constitucional en la menciona Sentencia al decidir: “1º Declarar constitucional el artículo 70.1, párrafo segundo, de la Ley 7/1985, de 2 de abril, reguladora de las bases de régimen local, en la redacción dada por el artículo primero de la Ley 57/2003, de 16 de diciembre, de medidas para la modernización del gobierno local, siempre que se interprete en el sentido de que no se refiere a las decisiones relativas a las atribuciones delegadas por el pleno, conforme se ha expuesto en el fundamento jurídico noveno.” . En dicho fundamento Jurídico noveno se señala que “el art. 70.1, párrafo segundo, LBRL, en tanto establece que las sesiones de las juntas de Gobierno local no son públicas es conforme con el principio democrático (art. 1.1 CE) y el derecho a la participación en los asuntos públicos (art. 23.1 CE), siempre que se interprete en el sentido de que no incluye las decisiones relativas a las atribuciones delegadas por el pleno”. IV C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/19 El artículo 10 de la LOPD dispone: “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo”. Dado el contenido de este precepto, ha de entenderse que el mismo tiene como finalidad evitar que, por parte de quienes están en contacto con los datos personales almacenados en ficheros, se realicen filtraciones de los datos no consentidas por los titulares de los mismos a terceros. Este deber de secreto, que incumbe no sólo a los responsables de los ficheros sino a todos aquellos que intervengan en cualquier fase del tratamiento de los datos de carácter personal, comporta que el responsable del fichero y/o del tratamiento efectuado no pueda revelar ni dar a conocer dicha información, teniendo el “deber de guardarlos, obligaciones que subsistirán aún después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo”, de modo que los datos tratados no puedan ser conocidos por ninguna persona o entidad ajena fuera de los casos autorizados por la Ley, pues en eso consiste precisamente el deber de secreto o confidencialidad. Así el Tribunal Superior de Justicia de Madrid declaró que: “El deber de guardar secreto del artículo 10 queda definido por el carácter personal del dato integrado en el fichero, de cuyo secreto sólo tiene facultad de disposición el sujeto afectado, pues no en vano el derecho a la intimidad es un derecho individual y no colectivo. Por ello es igualmente ilícita la comunicación a cualquier tercero, con independencia de la relación que mantenga con él la persona a que se refiera la información (...)”. Este deber de sigilo resulta esencial en las sociedades actuales cada vez más complejas, en las que las personas están situadas, cada vez más, en zonas de riesgo para la protección de derechos fundamentales, como la intimidad o el derecho a la protección de los datos que recoge el artículo 18.4 de la Constitución Española. En efecto, este precepto contiene un “instituto de garantía de los derechos de los ciudadanos que, además, es en sí mismo un derecho o libertad fundamental, el derecho a la libertad frente a las potenciales agresiones a la dignidad y a la libertad de la persona provenientes de un uso ilegítimo del tratamiento mecanizado de datos” (Sentencia del Tribunal Constitucional 292/2000, de 30/11). Este derecho fundamental a la protección de datos persigue garantizar a esa persona un poder de control sobre sus datos personales, sobre su uso y destino que impida que se produzcan situaciones atentatorias con la dignidad de la persona, es decir, el poder de resguardar su vida privada de una publicidad no querida. En este sentido el deber de sigilo como señalan las SSAN, Sec. 1ª, de 14 de septiembre de 2002 (Rec.196/00), 13 de abril de 2005 (Rec. 230/2003), 18 de julio de 2007 (Rec. 377/2005 ) "es una exigencia elemental y anterior al propio reconocimiento del derecho fundamental a la libertad informática a que se refiere la STC 292/2000 (...) Este deber de sigilo resulta esencial en las sociedades actuales cada vez más complejas, en las que los avances de la técnica sitúan a la persona en zonas de riesgo para la protección de los derechos fundamentales, como la intimidad o el derecho a la protección de datos que recoge el artículo 18.4 de la CE (...)". En este caso, ese deber de secreto comporta que el Ayuntamiento de Jerez, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/19 responsable de la custodia de los datos de carácter personal de los afectados que figuraban incluidos en el Acta de la “Sesión Extraordinaria, Urgente y Decisoria celebrada por la Junta de Gobierno Local el día 14 de febrero de 2017” no pueda revelarlos a terceros, salvo con consentimiento de los mismos o en los casos autorizados por la ley (artículos 11 y 12 de la LOPD), situaciones que no consta se hayan producido en el supuesto analizado. V En el presente caso, ha quedado acreditado que el procedimiento de tachado o sombreado de los datos personales incluidos en el Acta de la JGL de 14 de febrero de 2017 inicialmente utilizado por el Ayuntamiento de Jerez para evitar la difusión de los datos personales contenidos en el referido documento, publicado en el portal de transparencia de dicho Ayuntamiento, no resultó eficaz para impedir la indexación de dicha información de carácter personal a través de motores de búsqueda, tal y como se desprende del resultado de las búsquedas efectuadas con fechas 5 y 9 de febrero y 5 de abril de 2018 a través del buscador de Google Chrome, cuyo detalle figura en los Hechos Probados 1) al 4) de este acto. El tachado o sombreado que aparecía en el documento mostrado al clicar el enlace [PDF] contenido en los resultados tercero y primero obtenidos en dichas fechas, correspondiente al Acta de la JGL de 14 de febrero de 2017 publicada en el portal de transparencia del Ayuntamiento de Jerez, ocultaba los datos de carácter personal obrantes en los particulares 5 al 16 de la misma en lugar de eliminarlos del documento. De tal forma que a través de los robots de los motores de búsqueda era posible acceder a la versión caché de la mencionada Acta, tal y como ocurrió al utilizar el buscador de Google Chrome que al rastrear el servidor donde estaba alojado el documento procedió a indexar la información de carácter personal contenida en el mismo, pudiendo de este modo accederse por terceros a la versión html del archivo en la que no estaban anonimizados los datos identificativos de un total de doce personas que habían prestado servicios en ese Ayuntamiento, entre los cuales figuraban los de la denunciante. En consecuencia, debe rechazarse que la mencionada Acta se publicara por el Ayuntamiento de Jerez correctamente anonimizada en el portal de transparencia en febrero de 2017, puesto que el mero ocultamiento, tachado o sombreado en negro de esos datos no conlleva la anonimización de los mismos, máxime cuando dicha información de carácter personal puede resultar accesible a través de los motores de búsqueda. Resulta relevante a estos efectos señalar que, con fecha 21 de junio de 2018 se verificó que entre las novedades del portal de transparencia del Ayuntamiento de Jerez aparecía publicada rectificación del Acta de la Sesión de la Junta de Gobierno Local, de carácter extraordinario y urgente, de fecha 14 de febrero de 2017 ”una vez aplicada una correcta anonimización de datos personales”. Asimismo, se observa que obra en el procedimiento un documento de fecha 14 de mayo de 2018, aportado por dicho Ayuntamiento, en el que el Secretario General del Pleno comunica a la Sra. Directora del Servicio de Transparencia y Administración Electrónica que “En relación con el escrito remitido por la Agencia Española de Protección de Datos, de fecha 8 de mayo de 2018, relativo al Procedimiento AP000282018: Acuerdo de inicio de Procedimiento de declaración de infracción de Administraciones Públicas al Ayuntamiento de Jerez, se remite nuevamente el Acta de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 17/19 Junta de Gobierno Local, de fecha 14 de febrero de 2017, anonimizada tal y como se viene haciendo en la actualidad, es decir, a través de una macro que no permite el afloramiento de los datos ocultados, al menos con los medios de los que esta Secretaría dispone”. Lo anteriormente expuesto, pone de manifiesto que la reseñada Acta no estaba correctamente anonimizada. Así, no dejó de resultar accesible en Internet el documento íntegro que se visualizaba a través del enlace ***URL.1 hasta después de que en mayo de 2018 ese Ayuntamiento anonimizó la referida Acta utilizando una macro que no permitía el afloramiento de los datos ocultados. En cualquier caso, el hecho de que la visualización de dicha información de carácter personal no se produjera accediendo directamente a la página web del Ayuntamiento, sino mediante la utilización de un motor de búsqueda, no desvirtúa las consideraciones anteriormente realizadas al igual que no enerva la responsabilidad del Ayuntamiento denunciado, a título de culpa, en la difusión de esa información objeto de publicación a terceros no interesados que podían acceder a la misma a través de esa vía. En este sentido, se incide en la condición ostentada por ese Ayuntamiento de responsable del fichero y del tratamiento realizados con la información de carácter personal recogida en la mencionada Acta de la JGL, ya que ostenta la condición de titular y responsable del portal de transparencia o página web desde la que se publicaba y difundía el Acta en cuestión. En este caso, la búsqueda de información través de un motor de búsqueda facilitaba el acceso a datos personales concernientes a terceras personas ajenas a la búsqueda efectuada, habida cuenta que sus datos identificativos continuaban almacenados en la versión cache del documento que no había sido correctamente anonimizado. Por lo cual, no fue hasta después de recibir con fecha 8 de mayo de 2018 el acuerdo de inicio del presente procedimiento, que el Ayuntamiento de Jerez procedió a adoptar las medidas necesarias para impedir que se difundieran a terceros no interesados los datos de carácter personal contenidos en los acuerdos de abono por indemnización por despido improcedente incluidos en el Acta estudiada, y publicada sin anonimizar en su página web, ya que ha quedado acreditado en el procedimiento que el contenido de dicho documento resultaba íntegramente visible mediante una simple búsqueda de los datos a través de un motor de búsqueda. Frente al alegato efectuado por el Ayuntamiento de Jerez relativo a la inexistencia de negligencia o descuido en su conducta, se considera que éste podía haber actuado de modo distinto, mostrado una mayor diligencia extendiendo las comprobaciones efectuadas a constatar si a través de los motores de búsqueda resultaba posible acceder a la información de carácter personal supuestamente anonimizada en los documentos publicados en su página web, entre ellos los acuerdos adoptados por la JGL. Dicha conducta, de la que es responsable a título de culpa el Ayuntamiento de Jerez, constituye una infracción del deber de secreto al resultar visibles para terceros los datos personales contenidos en el mencionado documento, y cuya publicación en el portal de transparencia titularidad de ese Ayuntamiento sin utilizar un procedimiento o técnica adecuados de anonimización posibilitó su difusión sin mediar C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 18/19 el consentimiento de los afectados para ello ni tratarse, tampoco, de una cesión de datos amparada por una norma con rango de ley. VI La conducta del Ayuntamiento denunciado se incardina en el artículo 44.3.
25. d)de la LOPD que indica como tal: “La vulneración del deber de guardar secreto acerca del tratamiento de los datos de carácter personal al que se refiere el artículo 10 de la presente Ley.” El hecho constatado de la revelación de los datos personales contenidos en la mencionada Acta de la JGL a través de su publicación en la página web del Ayuntamiento de Jerez sin utilizar un mecanismo adecuado de anonimización, establece la base de facto para fundamentar la vulneración del deber de secreto establecido en el artículo 10 de la LOPD. VII El artículo 46 de la LOPD, “Infracciones de las Administraciones Públicas”, dispone que: «1. Cuando las infracciones a que se refiere el artículo 44 fuesen cometidas en ficheros de titularidad pública o en relación con tratamientos cuyos responsables lo serían de ficheros de dicha naturaleza, el órgano sancionador dictará una resolución estableciendo las medidas que procede adoptar para que cesen o se corrijan los efectos de la infracción. Esta resolución se notificará al responsable del fichero, al órgano del que dependa jerárquicamente y a los afectados si los hubiera. 2. El órgano sancionador podrá proponer también la iniciación de actuaciones disciplinarias, si procedieran. El procedimiento y las sanciones a aplicar serán las establecidas en la legislación sobre régimen disciplinario de las Administraciones Públicas. 3. Se deberán comunicar al órgano sancionador las resoluciones que recaigan en relación con las medidas y actuaciones a que se refieren los apartados anteriores.» 4. El Director de la Agencia comunicará al Defensor del Pueblo las actuaciones que efectúe y las resoluciones que dicte al amparo de los apartados anteriores”. En el presente supuesto, se estima que no procede requerir al Ayuntamiento de Jerez la adopción de medidas internas para que se corrijan los efectos de la infracción descrita, toda vez que consta que ha llevado a cabo las acciones técnicas pertinentes para publicar en su portal de transparencia, debidamente anonimizada, el Acta de la Sesión Extraordinaria de la Junta de Gobierno Local, celebrada el 14 de febrero de 2017. Para ello, se ha aplicado la técnica de una macro que no permite afloramiento de datos ocultos, constatándose con fecha 21 de junio de 2018 que al clicar en el buscador de Google el nombre y apellidos de la denunciante no aparece el resultado en caché objeto de denuncia. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 19/19 PRIMERO: DECLARAR que el AYUNTAMIENTO DE JEREZ DE LA FRONTERA ha infringido lo dispuesto en el artículo 10 de la LOPD, tipificada como grave en el artículo 44.3.
26. d)de la citada Ley Orgánica. SEGUNDO: NOTIFICAR la presente resolución al AYUNTAMIENTO DE JEREZ DE LA FRONTERA TERCERO: COMUNICAR la presente resolución al Defensor del Pueblo, de conformidad con lo establecido en el artículo 46.4 de la LOPD. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 114.1
27. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de acuerdo con lo establecido en su artículo 123, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es