AAPP-00029-2017

1/9 Procedimiento Nº AP/00029/2017 RESOLUCIÓN: R/03048/2017 En el procedimiento de Declaración de Infracción de Administraciones Públicas AP/00029/2017, instruido por la Agencia Española de Protección de Datos al AYUNTAMIENTO DE ***LOCALIDAD.1, vista la denuncia presentada por D. A.A.A., y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fecha 29 de agosto de 2016 tiene entrada en esta Agencia, escrito de D. A.A.A. (en lo sucesivo el denunciante) en el que comunica que accediendo a la página de internet ***URL.1 se observa en su menú principal una pestaña que dice AJUNTAMENT DE ***LOCALIDAD.1 (en lo sucesivo el denunciado). Tecleando en dicha pestaña se accede a otra página encabezada por el título AJUNTAMENT DE ***LOCALIDAD.1 en la que aparecen iconos de todas las áreas municipales de dicho ayuntamiento. Tecleando en cualquiera de dichos iconos se accede a una nueva página encabezada por el logo oficial del Ayuntamiento de ***LOCALIDAD.1 en la que aparecen algunos datos de contacto de dicha área y un formulario de contacto en el que se solicita nombre, dirección de correo electrónico, asunto y un campo abierto para un mensaje. Dicho formulario cumplimentado no hay certeza de que se dirija a ninguna instancia del Ajuntament de ***LOCALIDAD.1 sino más bien a los responsables de la página ***URL.1 , o, al menos, esa posibilidad parece informáticamente existir. Cualquier ciudadano puede creer que se encuentra en una página perteneciente al Ayuntamiento de ***LOCALIDAD.1. A través de este procedimiento los responsables de la página ***URL.1 podrían estar obteniendo datos y circunstancias personales de ciudadanos de buena fe que creen estar manteniendo una relación con el Ayuntamiento. Anexa copia impresa de algunas pantallas del sitio ***URL.1 SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información a diversas entidades, teniendo conocimiento de que: 1. Se ha verificado por la inspección de datos que el sitio de internet ***URL.1 dispone de un enlace denominado “AJUNTAMENT DE ***LOCALIDAD.1”, el cual, si se clica con el ratón enlaza con la página ***URL.1 encabezada con el texto “***LOCALIDAD.1” y debajo el literal “Ajuntament de ***LOCALIDAD.1” la cual contiene 16 iconos con títulos que se corresponden con distintas áreas municipales (Urbanismo, Hacienda, Juventud, etc…). Pinchando en cada uno de estos iconos se enlaza con una nueva página, también encabezada con el texto “***LOCALIDAD.1” y debajo el literal correspondiente al área municipal. Esta página contiene información de contacto con el área municipal correspondiente (e-mail, dirección postal y teléfono) y un formulario electrónico de contacto en el que se solicitan los siguientes datos: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/9 Nombre, e-mail, asunto y mensaje. No consta en dichas páginas información relativa al tratamiento de datos de carácter personal. 2. Se ha requerido por la inspección de datos, a la empresa CTTIC S.C. responsable del portal ***URL.1 , información en relación con los hechos denunciados, manifestando la misma: 1. La relación existente entre CTTIC S.C. y el Ayuntamiento de ***LOCALIDAD.1 es publicitaria, es decir, el consistorio local solicita a esta empresa un apartado en el que figuren los datos de contacto de las diferentes áreas, así como información municipal correspondiente a cada apartado. Asimismo, se realiza la publicidad de este espacio a través de las redes sociales y otros canales de ***LOCALIDAD.1 Televisión. 2. Los formularios de contacto que se incluyen en la página web son un mero puente comunicativo entre el ciudadano y el área del consistorio a que se quieren dirigir. No se almacena ningún dato incluido en estos formularios por parte de la empresa CTTIC, SC, responsable de ***LOCALIDAD.1 Televisión. Los datos que se incluyen en el mismo, son íntegramente enviados al área correspondiente del consistorio local, siendo ellos los responsables de proteger la integridad de los mismos, ya que en los servidores de esta empresa no son almacenados ni tratados. 3. No existe un contrato en el que se solicite a esta entidad recabar datos de los formularios de contacto existentes en el portal ***URL.1 , ya que esta tarea no se realiza. 4. La documentación solicitada sobre la información que se facilita sobre los derechos respecto a los tratamientos de los datos de carácter personal a los interesados, debe ser requerida al Consistorio Local, ya que son los únicos que reciben esos datos pues los formularios de contacto son una mera plataforma en la que esta empresa no intercede más que poniendo en contacto a interesados y administración local. 3. Se ha requerido por la inspección de datos al denunciado información en relación con los hechos denunciados, teniendo entrada en esta Agencia con fecha 22 de marzo de 2017 en el que el representante del mismo manifiesta: 1. la relación que existe con CTTIC S.C. se basa en las facturas que presenta la misma para su pago por inserción de publicidad en la página “web" de dicha entidad, en atención a contrato menor. 2. EL responsable del fichero de las cuentas de correo que figuran es el Ayuntamiento. El portal ***URL.1 no alberga información ni ficheros procedentes de los formularios de contacto, dado que se trata de enlaces a correos electrónicos, y por tanto, la empresa no tiene acceso a dato personal alguno. TERCERO: Con fecha 3 de julio de 2017, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento de declaración de infracción de Administraciones Públicas al denunciado por la presunta infracción del artículo 5 de la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/9 Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como leve en el artículo 44.2.

1. c)de dicha norma. CUARTO: Notificado el citado acuerdo de inicio de procedimiento de declaración de infracción de Administraciones Públicas, el denunciado presentó escrito de alegaciones en el que, en síntesis, manifestaba que: <<…Tercero.- Los beneficios obtenidos por el Ayuntamiento como consecuencia de dicha omisión referida en el art. 5 de la LOPD, son nulos y el impacto negativo o perjudicial hacia los sujetos afectados es prácticamente inexistente (salvo en lo relativo a estar informados sobre dicha cuestión). Es más, si a la Agencia le parece adecuado y dadas las escasas solicitudes presentadas a través de dicho cauce, este Ayuntamiento puede mandar un correo electrónico a los interesados indicándoles la información omitida en el momento de cumplimentar el formulario, en los términos del art. 5 apartado 1 de la Ley de Protección de Datos. Cuarto.- No ha habido intencionalidad alguna por parte del Ayuntamiento en efectuar dicha omisión, sino que ésta se ha producido además de por los argumentos esgrimidos en el apartado primero, por la importante escasez de recursos humanos que sufre este Ayuntamiento así como por el elevado volumen de trabajo que en el mismo existe. Quinto.- En cualquier caso, el Ayuntamiento ya se ha puesto en contacto con la empresa citada, para que indique expresamente en la web donde solicita los datos personales que se redireccionan al Ayuntamiento, la información referida en el art. 5, apartado 1 de la citada Ley de Protección de Datos, según se puede acreditar con el acceso a la citada web…>> QUINTO: Con fecha 1/08/2017, se acordó por el Instructor del procedimiento la apertura de un período de práctica de pruebas, en el que el denunciado remitió escrito indicando: <<…consistente en dar por reproducidos los siguientes documentos que se acompañan: Modelo formulario de instancia o solicitud que desde marzo de 2017 viene empleándose por el enlace entre la página “web” de ***LOCALIDAD.1 TV con este Ayuntamiento. (A título de ejemplo se aporta el correspondiente al área de urbanismo) (…) Según el art. 5 de la Ley Orgánica 15/1999, de Protección de Datos de Carácter Personal, le informamos que los datos de este formulario se incorporarán a un fichero automatizado propiedad del Ayuntamiento de ***LOCALIDAD.1 (Valencia). La finalidad del tratamiento es atender su solicitud. Puede ejercer los derechos de acceso, rectificación, cancelación y oposición a los datos personales registrados, ante la Alcaldía Presidencia dirigiendo una solicitud al Ayuntamiento de ***LOCALIDAD.1, ***DIRECCIÓN.1 C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/9 SEXTO: Con fecha 1/09/2017 se inició el trámite de Audiencia. SÉPTIMO: Con fecha 5/10/2017, el Instructor del procedimiento emitió Propuesta de Resolución, en el sentido de que por la Directora de la Agencia Española de Protección de Datos se declare que el denunciado ha infringido lo dispuesto en el artículo 5 de la LOPD, lo que supone una infracción tipificada como leve en el artículo 44.2.
2. c)de la citada norma. Dicho documento fue recibido el 6/10/2017 por el citado ente local. HECHOS PROBADOS PRIMERO: Con fecha 29 de agosto de 2016 tiene entrada en esta Agencia, escrito del denunciante en el que comunica que accediendo a la página de internet ***URL.1 se observa en su menú principal una pestaña que dice AJUNTAMENT DE ***LOCALIDAD.1. Tecleando en dicha pestaña se accede a otra página encabezada por el título AJUNTAMENT DE ***LOCALIDAD.1 en la que aparecen iconos de todas las áreas municipales de dicho ayuntamiento. Tecleando en cualquiera de dichos iconos se accede a una nueva página encabezada por el logo oficial del Ayuntamiento de ***LOCALIDAD.1 en la que aparecen algunos datos de contacto de dicha área y un formulario de contacto en el que se solicita nombre, dirección de correo electrónico, asunto y un campo abierto para un mensaje. SEGUNDO: Se ha verificado por la inspección de datos que el sitio de internet ***URL.1 dispone de un enlace denominado “AJUNTAMENT DE ***LOCALIDAD.1”, el cual, si se clica con el ratón enlaza con la página ***URL.1 encabezada con el texto “***LOCALIDAD.1” y debajo el literal “Ajuntament de ***LOCALIDAD.1” la cual contiene 16 iconos con títulos que se corresponden con distintas áreas municipales (Urbanismo, Hacienda, Juventud, etc…). Pinchando en cada uno de estos iconos se enlaza con una nueva página, también encabezada con el texto “***LOCALIDAD.1” y debajo el literal correspondiente al área municipal. Esta página contiene información de contacto con el área municipal correspondiente (e-mail, dirección postal y teléfono) y un formulario electrónico de contacto en el que se solicitan los siguientes datos: Nombre, e-mail, asunto y mensaje. No consta en dichas páginas información relativa al tratamiento de datos de carácter personal. TERCERO: El responsable del fichero de las cuentas de correo que figuran es el Ayuntamiento. El portal ***URL.1 no alberga información ni ficheros procedentes de los formularios de contacto, dado que se trata de enlaces a correos electrónicos, y por tanto, la empresa no tiene acceso a dato personal alguno. CUARTO: Durante la tramitación del procedimiento, el denunciado ha comunicado: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/9 “…En cualquier caso, el Ayuntamiento ya se ha puesto en contacto con la empresa citada, para que indique expresamente en la web donde solicita los datos personales que se redireccionan al Ayuntamiento, la información referida en el art. 5, apartado 1 de la citada Ley de Protección de Datos, según se puede acreditar con el acceso a la citada web…” <<…consistente en dar por reproducidos los siguientes documentos que se acompañan: Modelo formulario de instancia o solicitud que desde marzo de 2017 viene empleándose por el enlace entre la página “web” de ***LOCALIDAD.1 TV con este Ayuntamiento. (A título de ejemplo se aporta el correspondiente al área de urbanismo) (…) Según el art. 5 de la Ley Orgánica 15/1999, de Protección de Datos de Carácter Personal, le informamos que los datos de este formulario se incorporarán a un fichero automatizado propiedad del Ayuntamiento de ***LOCALIDAD.1 (Valencia). La finalidad del tratamiento es atender su solicitud. Puede ejercer los derechos de acceso, rectificación, cancelación y oposición a los datos personales registrados, ante la Alcaldía Presidencia dirigiendo una solicitud al Ayuntamiento de ***LOCALIDAD.1, ***DIRECCIÓN.1 FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
3. g)en relación con el artículo 36 de la LOPD. II Se imputa al denunciado una infracción del art. 5 de la LOPD, en el que se establece lo siguiente: “1. Los interesados a los que se soliciten datos personales deberán ser previamente informados de modo expreso, preciso e inequívoco:
4. a)De la existencia de un fichero o tratamiento de datos de carácter personal, de la finalidad de la recogida de éstos y de los destinatarios de la información.
5. b)Del carácter obligatorio o facultativo de su respuesta a las preguntas que les sean planteadas.
6. c)De las consecuencias de la obtención de los datos o de la negativa a suministrarlos.
7. d)De la posibilidad de ejercitar los derechos de acceso, rectificación, cancelación y C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/9 oposición.
8. e)De la identidad y dirección del responsable del tratamiento o, en su caso, de su representante. 2. Cuando se utilicen cuestionarios u otros impresos para la recogida, figurarán en los mismos, en forma claramente legible, las advertencias a que se refiere el apartado anterior.” La obligación que impone el art. 5 es por tanto, la de informar al afectado en la recogida de datos, pues solo así queda garantizado el derecho del afectado a tener una apropiada información y a consentir o no el tratamiento, en función de aquella. Así, de acuerdo con lo establecido en el art. 5 transcrito, el denunciado debe dar a sus ciudadanos la información prevista en el art. 5.1 de la LOPD, y debe suministrarse a los mismos previamente a la solicitud de sus datos personales, y deberá ser expresa, precisa e inequívoca. La ley ha querido imponer una formalidad específica en la recogida de datos a través de cuestionarios u otros impresos que garantice el derecho a la información de los afectados. A tal efecto, impone la obligación de que la información figure en los propios cuestionarios e impresos y la refuerza exigiendo que conste de forma claramente legible. En este sentido, la Sentencia del Tribunal Constitucional 292/2000, de 30 de noviembre, que delimita el contenido esencial del derecho fundamental a la protección de los datos personales, se ha pronunciado sobre la vinculación entre el consentimiento y la finalidad para el tratamiento de los datos personales, en los siguientes términos: “el derecho a consentir la recogida y el tratamiento de los datos personales ( art. 6 LOPD) no implica en modo alguno consentir la cesión de tales datos a terceros, pues constituye una facultad específica que también forma parte del contenido del derecho fundamental a la protección de datos. Y, por tanto, la cesión de los mismos a un tercero para proceder a un tratamiento con fines distintos de los que originaron su recogida, aun cuando puedan ser compatibles con éstos (art. 4.2 LOPD), supone una nueva posesión y uso que requiere el consentimiento del interesado. Una facultad que solo cabe limitar en atención a derechos y bienes de relevancia constitucional y, por tanto, esté justificada, sea proporcionada y, además, se establezca por ley, pues el derecho fundamental a la protección de datos personales no admite otros límites. De otro lado, es evidente que el interesado debe ser informado tanto de la posibilidad de cesión de sus datos personales y sus circunstancias como del destino de éstos, pues sólo así será eficaz su derecho a consentir, en cuanto facultad esencial de su derecho a controlar y disponer de sus datos concreta. Pues en otro caso sería fácil al responsable del fichero soslayar el consentimiento del interesado mediante la genérica información de que sus datos pueden ser cedidos. De suerte que, sin la garantía que supone el derecho a una información apropiada mediante el cumplimiento de determinados requisitos legales (art. 5 LOPD) quedaría sin duda frustrado el derecho del interesado a controlar y disponer de sus datos personales, pues es claro que le impedirían ejercer otras facultades que se integran en el contenido del derecho fundamental al que estamos haciendo referencia”. La LOPD recoge las garantías precisas para el tratamiento de los datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/9 personales en lo relativo a los requisitos del consentimiento, de la información previa a este, y de las finalidades para las que los datos pueden ser recabados y tratados. La citada Sentencia del Tribunal Constitucional 292/2000, al delimitar el contenido esencial del derecho fundamental a la protección de los datos personales, ha considerado el derecho de información como un elemento indispensable del derecho fundamental a la protección de datos al declarar que “…el contenido del derecho fundamental a la protección de datos consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el Estado o un particular. Y ese derecho a consentir el conocimiento y el tratamiento, informático o no, de los datos personales, requiere como complementos indispensables, por un lado, la facultad de saber en todo momento quién dispone de esos datos personales y a qué uso los está sometiendo, y, por otro lado, el poder oponerse a esa posesión y usos. En fin, son elementos característicos de la definición constitucional del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. Y resultan indispensables para hacer efectivo ese contenido el reconocimiento del derecho a ser informado de quién posee sus datos personales y con qué fin, y, el derecho a poder oponerse a esa posesión y uso requiriendo a quien corresponda que ponga fin a la posesión y empleo de los datos. Es decir, exigiendo del titular del fichero que le informe de qué datos posee sobre su persona, accediendo a sus oportunos registros y asientos, y qué destino han tenido, lo que alcanza también a posibles cesionarios; y, en su caso, requerirle para que rectifique o los cancele”. III El artículo 44.2.
9. c)de la LOPD considera infracción leve: “el incumplimiento del deber de información al afectado acerca del tratamiento de sus datos de carácter personal cuando los datos sean recabados del propio interesado.” En el caso que nos ocupa se ha podido comprobar que el denunciado ha incumplido lo dispuesto en el art. 5.1 LOPD, en la medida en que la citada web, no disponía de la preceptiva cláusula informativa. IV Por último, el artículo 46 de la LOPD, “Infracciones de las Administraciones Públicas”, dispone que: «1. Cuando las infracciones a que se refiere el artículo 44 fuesen cometidas en C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/9 ficheros de titularidad pública o en relación con tratamientos cuyos responsables lo serían de ficheros de dicha naturaleza, el órgano sancionador dictará una resolución estableciendo las medidas que procede adoptar para que cesen o se corrijan los efectos de la infracción. Esta resolución se notificará al responsable del fichero, al órgano del que dependa jerárquicamente y a los afectados si los hubiera. 2. El órgano sancionador podrá proponer también la iniciación de actuaciones disciplinarias, si procedieran. El procedimiento y las sanciones a aplicar serán las establecidas en la legislación sobre régimen disciplinario de las Administraciones Públicas. 3. Se deberán comunicar al órgano sancionador las resoluciones que recaigan en relación con las medidas y actuaciones a que se refieren los apartados anteriores.» 4. El Director de la Agencia comunicará al Defensor del Pueblo las actuaciones que efectúe y las resoluciones que dicte al amparo de los apartados anteriores”. En el presente caso, no procede instar la adopción de medidas adicionales, al haber quedado acreditado en el transcurso del procedimiento, que el denunciado ha adoptado las medidas correctoras necesarias al haberse incorporado a la página web la cláusula informativa del art. 5 de la LOPD Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR que el AYUNTAMIENTO DE ***LOCALIDAD.1 ha infringido lo dispuesto en el artículo 5 de la LOPD, tipificada como leve en el artículo 44.2.
10. c)de la citada Ley Orgánica. SEGUNDO: NOTIFICAR ***LOCALIDAD.1. la presente resolución al AYUNTAMIENTO DE TERCERO: COMUNICAR la presente resolución al Defensor del Pueblo, de conformidad con lo establecido en el artículo 46.4 de la LOPD. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, se podrá interponer potestativamente recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/9 a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa (en lo sucesivo LJCA), en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Sin embargo, el responsable del fichero de titularidad pública, de acuerdo con el artículo 44.1 de la LJCA, sólo podrá interponer directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la LJCA, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es