AAPP-00030-2018

1/7 Procedimiento Nº AP/00030/2018 RESOLUCIÓN: R/01175/2018 En el procedimiento de Declaración de Infracción de Administraciones Públicas AP/00030/2018, instruido por la Agencia Española de Protección de Datos al GRUPO MUNICIPAL SOMOS MAJADAHONDA, vista la denuncia presentada por el AYUNTAMIENTO DE MAJADAHONDA, y por Don A.A.A., y en virtud de los siguientes ANTECEDENTES PRIMERO: Con fecha 22 de enero de 2018 tiene entrada en esta Agencia escrito presentado por el AYUNTAMIENTO DE MAJADAHONDA en el que denuncia lo siguiente: 1 El día 18 de enero de 2018 tuvieron conocimiento de que el GRUPO MUNICIPAL SOMOS MAJADAHONDA había publicado en su página web, en abierto (***URL.1), un documento de 396 páginas que contenía datos personales, tanto de trabajadores del Ayuntamiento como de vecinos del municipio de Majadahonda. 2 Los documentos publicados sobre trabajadores del Ayuntamiento incluían nombres y apellidos, puestos de trabajo, categoría profesional, antigüedad y retribuciones desglosadas, tanto básicas como complementarias. Así mismo, se publica un extenso listado con datos de ciudadanos con beneficios fiscales a efectos del impuesto de bienes inmuebles: nombre y apellidos, domicilio, DNI, motivo de concesión del beneficio (por ejemplo, ostentar la condición de familia numerosa). También se incluye un listado con datos de ciudadanos con beneficios fiscales a efectos del impuesto de vehículos de tracción mecánica: nombre y apellidos, DNI, modelo del vehículo, matrícula, motivo de concesión del beneficio, indicándose, en su caso, la condición de minusválido. 3 El GRUPO MUNICIPAL SOMOS MAJADAHONDA ha tenido acceso a estos datos en el ejercicio de sus funciones de representación política, debiendo haberlos tratado con secreto profesional, sin difundirlos en su página web. 4 Se ha desvelado el nombre y apellidos de ciertos empleados que, por motivos de seguridad, no deberían haberse facilitado, como son los Agentes de Policía Local. Por otro lado, los datos relativos a minusvalías son especialmente protegidos, de acuerdo con el artículo 7.3 de la LOPD. Se anexa, entre otros documentos, copia de todos los listados publicados. SEGUNDO: Con fecha 6 de febrero de 2018 tiene entrada en esta Agencia escrito presentado por Don A.A.A. en el que denuncia los mismos hechos. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/7 TERCERO: Tras la recepción de las denuncias, la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados (Informe E/005810/2018), teniendo conocimiento de los siguientes extremos: 1 Con fecha 12 de marzo de 2018 tiene entrada en esta Agencia escrito del GRUPO MUNICIPAL SOMOS MAJADAHONDA en el que pone de manifiesto que: 1.1. El AYUNTAMIENTO DE MAJADAHONDA había colgado en la intranet del consistorio el documento “Presupuestos 2016”, al que el grupo municipal denunciado accedió a través de dos ordenadores que SOMOS MAJADAHONDA tiene en el despacho de la primera planta del Ayuntamiento. Dichos ordenadores tienen, cada uno, una clave. El acceso se denomina “Documentación, Plenos y Comisiones Informativas”. 1.2. Los Presupuestos del año 2016 se componen de cuatro tomos con el nombre CIEHDEF-Presupuestos 2016. El Tomo I contiene 25 archivos, el Tomo II contiene 20 archivos, el Tomo III contiene 4 archivos y el Tomo IV contiene 6 archivos. Los archivos con datos personales se encontraban en el Tomo III. 1.3. De acuerdo con su programa electoral y para favorecer la participación ciudadana, durante el periodo de alegaciones previo a la aprobación final de los presupuestos se subió la documentación en bloque a su página web, tras comprobar que la misma se hallaba físicamente a disposición pública bajo demanda en los locales del Ayuntamiento. 1.4. Tanto en el año anterior como en 2018, no figuran datos personales en la documentación proporcionada por la Concejalía relativa a los presupuestos. En la documentación colgada de Presupuestos 2016 si figuran dichos datos, sin notificación previa por parte del Equipo de Gobierno de su existencia. Por esta razón, cuando subieron los documentos a su página web, ignoraban totalmente la existencia de datos personales en el Tomo III, ya que ni el Ayuntamiento informó de ello ni el grupo municipal los abrió, pues trabajaron con los archivos básicos del presupuesto. 1.5. No se estableció ninguna medida de seguridad para custodiar esta información ya que se ignoraba la existencia de datos personales y se entendía que era una documentación pública. 1.6. Una vez avisados de la existencia de un archivo con datos personales se procedió inmediatamente a bloquear el acceso a los archivos del Presupuesto 2016 en su página web y, al comprobar que no era suficiente, se procedió a eliminar totalmente el documento con una petición a los principales buscadores de Internet para eliminar la URL que daba acceso a dicha documentación, suprimiendo así todo rastro de la misma. 1.7. Con posterioridad, han contactado con una empresa externa para proceder a dar cumplimiento a la LOPD en su página web. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/7 2 Con fecha 22 de enero de 2018 figura Diligencia de Inspección para hacer constar que en esa fecha se obtiene a través de Internet copia impresa, que se adjunta, de varias informaciones relacionadas con la denuncia. En concreto, se trata de un mensaje difundido por el grupo municipal denunciado en su página web, pidiendo disculpas por la publicación de la documentación con datos de carácter personal. CUARTO: Con fecha 18 de abril de 2018, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento de declaración de infracción de Administraciones Públicas al GRUPO MUNICIPAL SOMOS MAJADAHONDA por la presunta infracción del artículo 10 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo, LOPD), tipificada como grave en el artículo 44.3.

1. d)de dicha norma. QUINTO: El artículo 85 de la Ley 39/2015, de 1 octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, expone que iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento con la imposición de la sanción que proceda. HECHOS PROBADOS PRIMERO: El GRUPO MUNICIPAL SOMOS MAJADAHONDA publicó en su página web, en abierto (***URL.1), un documento de 396 páginas que contenía datos personales, tanto de trabajadores del Ayuntamiento como de vecinos del municipio de Majadahonda. SEGUNDO: Los documentos publicados referidos a los trabajadores del Ayuntamiento, también de los Agentes de Policía Local, incluían nombres y apellidos, puestos de trabajo, categoría profesional, antigüedad y retribuciones desglosadas, tanto básicas como complementarias. Así mismo, se publica un extenso listado con datos de ciudadanos con beneficios fiscales a efectos del impuesto de bienes inmuebles: nombre y apellidos, domicilio, DNI, motivo de concesión del beneficio (por ejemplo, ostentar la condición de familia numerosa). También se incluye un listado con datos de ciudadanos con beneficios fiscales a efectos del impuesto de vehículos de tracción mecánica: nombre y apellidos, DNI, modelo del vehículo, matrícula, motivo de concesión del beneficio, indicándose, en su caso, la condición de minusválido. TERCERO: El GRUPO MUNICIPAL SOMOS MAJADAHONDA ha tenido acceso a estos datos en el ejercicio de sus funciones de representación política, debiendo haberlos tratado con secreto profesional, sin difundirlos en su página web. CUARTO: El GRUPO MUNICIPAL SOMOS MAJADAHONDA incluyó en su página web, en fecha 19 de enero de 2018, un comunicado pidiendo disculpas a toda la plantilla municipal y a todos los vecinos del Ayuntamiento de Majadahonda por la exposición del PDF con los Presupuestos de 2016 en el que había datos personales. Asumen el “gravísimo error” de no haberlos filtrado antes de subirlo a la red; añadiendo que cuando supieron del error procedieron a su retirada inmediata. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/7 FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
2. g)en relación con el artículo 36 de la LOPD. II En el acuerdo de inicio de este procedimiento, se incluía la referencia al artículo 85 de la Ley 39/2015, de 1 octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, que establece que si el infractor reconoce su responsabilidad, tras la notificación del acuerdo, se podrá resolver el procedimiento con la imposición de la sanción que proceda. En este procedimiento, el GRUPO MUNICIPAL SOMOS MAJADAHONDA reconocen que pusieron en su página web los presupuestos del año 2016 sin ninguna restricción. Asimismo, indican que en cuanto tuvieron conocimiento de la inclusión de datos personales de los trabajadores del Ayuntamiento en dichos presupuestos, retiraron la información y pidieron disculpas. III El artículo 10 de la LOPD establece: “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo.” El deber de confidencialidad obliga no sólo al responsable del fichero sino a todo aquel que intervenga en cualquier fase del tratamiento. Dado el contenido del precepto, ha de entenderse que el mismo tiene como finalidad evitar que por parte de quienes están en contacto con los datos personales almacenados en ficheros se realicen filtraciones de los datos no consentidas por los titulares de los mismos. Este deber de sigilo resulta esencial en las sociedades actuales cada vez más complejas, en las que los avances de la técnica sitúan a la persona en zonas de riesgo para la protección de derechos fundamentales, como la intimidad o el derecho a la protección de los datos que recoge el artículo 18.4 de la Constitución Española. En efecto, este precepto en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30/11, contiene un “…instituto de garantía de los derechos a la intimidad y al honor y del pleno disfrute de los derechos de los ciudadanos que, además, es en sí mismo un derecho o libertad fundamental, el derecho a la libertad frente a las potenciales agresiones a la dignidad y a la libertad de la persona provenientes de un uso ilegítimo del tratamiento mecanizado de datos”. “Este derecho fundamental a la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/7 protección de los datos persigue garantizar a esa persona un poder de control sobre sus datos personales, sobre su uso y destino” que impida que se produzcan situaciones atentatorias con la dignidad de la persona, “es decir, el poder de resguardar su vida privada de una publicidad no querida.” El deber de secreto profesional que incumbe a los responsables de los ficheros y a quienes intervienen en cualquier fase del tratamiento, recogido en el artículo 10 de la LOPD, comporta que el responsable de los datos almacenados o tratados no pueda revelar ni dar a conocer su contenido, teniendo el “deber de guardarlos, obligaciones que subsistirán aún después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo”. Este deber es una exigencia elemental y anterior al propio reconocimiento del derecho fundamental a la protección de datos a que se refiere la citada Sentencia del Tribunal Constitucional 292/2000, y por lo que ahora interesa, comporta que los datos personales no pueden ser conocidos por ninguna persona o entidad ajena fuera de los casos autorizados por la Ley, pues en eso consiste precisamente el secreto. En el presente caso, ha quedado acreditado que el GRUPO MUNICIPAL SOMOS MAJADAHONDA ha publicado en su página web documentos con datos de carácter personal de empleados públicos, sin consentimiento de los mismos. Se acredita por ello la existencia de un incumplimiento del deber de secreto, produciéndose una ausencia de confidencialidad. IV El artículo 44.3.
3. d)de la LOPD, califica como infracción grave: “La vulneración del deber de guardar secreto acerca del tratamiento de los datos de carácter personal al que se refiere el artículo 10 de la presente Ley.” De acuerdo con los fundamentos anteriores, se ha producido una vulneración del deber de secreto que procede calificar como infracción grave. Alega el GRUPO MUNICIPAL SOMOS MAJADAHONDA que desconocían que los presupuestos que les había facilitado el Ayuntamiento para el ejercicio de sus funciones políticas, incluyese datos personales, ya que los del año 2015 y los del año 2018 no los incluyen. La conducta que configura el ilícito administrativo aplicado en este caso requiere la existencia de culpa, que se concreta, por lo que ahora interesa, en la falta de diligencia observada por la denunciada para asegurarse antes de efectuar la publicación, que los documentos no contenían datos personales. En este sentido, el Tribunal Supremo viene entendiendo que existe imprudencia siempre se desatiende un deber legal de cuidado, es decir, cuando el infractor no se comporta con la diligencia exigible. En la valoración del grado de diligencia ha de ponderarse especialmente la profesionalidad o no del sujeto, y no cabe duda que, en el caso ahora examinado, ha de insistirse en el rigor y el exquisito cuidado por ajustarse a las prevenciones legales al respecto. En este sentido la STS de 5/06/1998 exige a los profesionales del sector "un deber de conocer especialmente las normas C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/7 aplicables", y en similares términos se pronuncian, entre otras, las SSTS de 2 de marzo de 1999 y 17 de septiembre de 1999. En relación a dicho asunto, aunque en materia sancionadora rige el principio de culpabilidad, tal y como con criterio general ha venido señalando la Jurisprudencia, permite la imposición de la sanción, sin duda en supuestos dolosos, y asimismo en supuestos culposos, bastando para la imposición de la sanción, la inobservancia del deber de cuidado. Falta de diligencia, que, en el presente supuesto, resulta atribuible a la denunciada, ya que debería haber extremado el cuidado a fin de evitar que se publicará sin ninguna limitación documentación con datos personales de los trabajadores del Ayuntamiento de Majadahonda. Alega, asimismo, que la infracción esta prescrita ya que la publicación se efectuó en el mes de enero de 2016; alegación que no puede ser atendida, ya que entre la documentación que acompaña a la denuncia, en los últimos folios, se aprecian los pantallazos que se han incorporado en el mes de enero de 2018, accediendo a la página web de somos Majadahonda. Por otro lado, el día 19 de enero de 2018, incluyeron en esa misma página, tras retirar la información, una nota pidiendo disculpas por lo sucedido. V El artículo 46 de la LOPD, “Infracciones de las Administraciones Públicas”, dispone: “1. Cuando las infracciones a que se refiere el artículo 44 fuesen cometidas en ficheros de titularidad pública o en relación con tratamientos cuyos responsables lo serían de ficheros de dicha naturaleza, el órgano sancionador dictará una resolución estableciendo las medidas que procede adoptar para que cesen o se corrijan los efectos de la infracción. Esta resolución se notificará al responsable del fichero, al órgano del que dependa jerárquicamente y a los afectados si los hubiera. 2. El órgano sancionador podrá proponer también la iniciación de actuaciones disciplinarias, si procedieran. El procedimiento y las sanciones a aplicar serán las establecidas en la legislación sobre régimen disciplinario de las Administraciones Públicas. 3. Se deberán comunicar al órgano sancionador las resoluciones que recaigan en relación con las medidas y actuaciones a que se refieren los apartados anteriores. 4. El Director de la Agencia comunicará al Defensor del Pueblo las actuaciones que efectúe y las resoluciones que dicte al amparo de los apartados anteriores”. En el supuesto denunciado, no es necesario requerir al GRUPO MUNICIPAL SOMOS MAJADAHONDA para que adopte las medidas necesarias para que cese la infracción, ya que ha retirado la información referida a los Presupuestos 2016, que ha sido objeto de este expediente. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/7 PRIMERO: DECLARAR que el GRUPO MUNICIPAL SOMOS MAJADAHONDA ha infringido lo dispuesto en el artículo 10 de la LOPD, infracción tipificada como grave en el artículo 44.3.
4. d)de la citada Ley Orgánica. SEGUNDO: NOTIFICAR la presente resolución al GRUPO MUNICIPAL SOMOS MAJADAHONDA. TERCERO: COMUNICAR la presente resolución al Defensor del Pueblo, de conformidad con lo establecido en el artículo 46.4 de la LOPD. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, se podrá interponer potestativamente recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa (en lo sucesivo LJCA), en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Sin embargo, el responsable del fichero de titularidad pública, de acuerdo con el artículo 44.1 de la LJCA, sólo podrá interponer directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la LJCA, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es