AAPP-00037-2017

1/14 Procedimiento Nº AP/00037/2017 RESOLUCIÓN: R/00036/2018 En el procedimiento de Declaración de Infracción de Administraciones Públicas AP/00037/2017, instruido por la Agencia Española de Protección de Datos al AYUNTAMIENTO DE ***LOCALIDAD.1, vista la denuncia presentada por Don B.B.B., y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fecha 21 de marzo de 2017 se registra de entrada en esta Agencia escrito de Don B.B.B., (en lo sucesivo el denunciante), poniendo de manifiesto que, “tras recibir una sentencia judicial por un pleito con el Ayuntamiento de ***LOCALIDAD.1, el alcalde, C.C.C., ha colocado una nota informativa con todos los datos de la sentencia en tres tablones de anuncios del municipio, y en la página de Facebook de ***LOCALIDAD.1 Organización Gubernamental, con lo que considero que se ha vulnerado mi derecho a la protección de datos. En la nota se pueden ver todos los datos del Ayuntamiento y el sello.” A efectos acreditativos, el denunciante adjunta copia de dos dicha nota informativa. fotografías de SEGUNDO: A la vista de la documentación aportada por el denunciante se comprueba que el contenido de la nota informativa emitida por el Ayuntamiento de ***LOCALIDAD.1, en cuya cabecera están impresos el escudo y los datos de contacto del mismo y en cuyo pie aparece estampado el sello del Ayuntamiento, es el siguiente: “NOTA INFORMATIVA Para general conocimiento de los vecinos de ***LOCALIDAD.1 se da noticia de que este Ayuntamiento denunció a B.B.B. (concejal del mismo) por la apropiación de leña procedente de los caminos de concentración parcelaria. Que en SENTENCIA PÚBLICA del día 19 de diciembre de 2016, se le DECLARÓ CULPABLE de un DELITO LEVE de HURTO; como RESPONSABLE del mismo, se le CONDENA a la PENA de UN MES DE MULTA, con una CUOTA DIARIA de 6 euros (180 euros), con responsabilidad penal subsidiaria de un día de privación de libertad por cada dos cuotas o infracción impagada y al ABONO de las COSTAS PROCESALES. Igualmente B.B.B. deberá INDEMNIZAR al Ayuntamiento de ***LOCALIDAD.1 en la CANTIDAD DE 18 EUROS (a razón de 2000 kilos de leña sustraídos ) “ A su vez, con fecha 28 de marzo de 2017 desde la Subdirección General de Inspección de Datos se accede a la página web https://www. A.A.A., verificándose que , con esa fecha, en la citada dirección aparece publicada una foto de la mencionada nota informativa. TERCERO: Con fecha 6 de septiembre de 2017, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento de declaración de infracción de Administraciones Públicas al Ayuntamiento de ***LOCALIDAD.1, (en lo sucesivo el Ayuntamiento denunciado), por las presuntas infracciones de los artículos 6.1 y 10 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/14 Personal (en lo sucesivo LOPD), tipificadas como infracción grave 44.3.

1. b)y 44.3.d), respectivamente, de dicha norma. en los artículos CUARTO: Notificado el citado acuerdo de inicio de procedimiento de declaración de infracción de Administraciones Públicas, en fecha 27 de septiembre de 2017 el Alcalde del Ayuntamiento denunciado presentó escrito de alegaciones en el que, en síntesis, manifestaba que: -La nota informativa recoge fielmente, y sin ningún tipo de valoración subjetiva, el fallo de la Sentencia Pública nº 40/2016, emitida por el Juzgado de Primera Instancia e Instrucción nº 1 de ***LOCALIDAD.2, por lo que nunca se ha divulgado el contenido íntegro de dicha sentencia, sino únicamente su parte dispositiva. En ningún momento la nota informativa recoge otros datos personales. -El denunciante fue llevado a juicio debido a que confesó el hurto de leña durante un Pleno Extraordinario del Ayuntamiento, por lo que como concejal electo fue denunciado por el Consistorio. De ahí que en la nota hecha pública aparezca el nombre, apellidos y puesto de concejal del denunciante, circunstancia conocida por todos los vecinos y personas vinculadas al municipio. - La presencia de vecinos del Ayuntamiento en el Pleno Municipal en el que el denunciante confesó el hurto provocó tal alarma e indignación social que se precisó comunicar las actuaciones municipales realizadas al respecto para devolver la tranquilidad vecinal. Asimismo, se estimó oportuno comunicar el fallo de la citada sentencia al tratarse de una personalidad pública que, como tal, debería haber observado un comportamiento recto y legal hacia el municipio. -La publicación del contenido del fallo de la Sentencia Pública, dado el escaso importe económico y la mínima sanción recogidos en la misma, no supone un menoscabo para la intimidad del denunciante. -Que desde mayo de 2015 el Ayuntamiento se ha caracterizado por un firme deseo de transparencia política y económica en sus actuaciones, marco en el que debe situarse la denuncia efectuada por el Consistorio contra el denunciante. En este sentido, la Diputación de Salamanca, en acto público reconoció el proyecto de transparencia del Ayuntamiento con la máxima puntuación. - El Ayuntamiento no ha tenido intención de vulnerar el derecho a la protección de datos del denunciante. QUINTO: Con fecha 29 de septiembre de 2017 se inicia por la Instructora del procedimiento período de práctica de pruebas por un plazo de 15 días, en cuyo marco se acuerda practicar las siguientes pruebas: - Incorporar al Procedimiento de declaración de Infracción de Administraciones Públicas nº AP/00037/2017, y por tanto dar por reproducida a efectos probatorios, la denuncia interpuesta por el denunciante y la documentación obtenida al acceder a Internet, consistente en impresión de varias informaciones relacionadas con la citada denuncia. Asimismo, se dan por reproducidas a efectos probatorios, las alegaciones al acuerdo de inicio del procedimiento nº AP/00037/2017 presentadas por el Ayuntamiento de ***LOCALIDAD.1. Todo ello con su correspondiente documentación adjunta. - Incorporar al reseñado procedimiento, a efectos probatorios, el resultado de la búsqueda realizada con fecha 29 de septiembre de 2017 en Internet en la página web C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/14 https://www. A.A.A.. SÉXTO: Con fecha 20 de diciembre de 2017 se accede a Internet, verificándose en la página web ***URL.1 continúa publicada la nota informativa en cuestión. que SÉPTIMO: Con fecha 22 de diciembre de 2017, la Instructora del procedimiento formula Propuesta de Resolución del procedimiento AP/00037/2017, en el sentido de que por la Directora de la Agencia Española de Protección de Datos se resolviese: - Declarar que el Ayuntamiento de ***LOCALIDAD.1 ha infringido lo dispuesto en los artículos 6.1 y 10 de la LOPD, infracciones tipificadas como graves en los artículos 44.3.
2. b)y 44.3.d), respectivamente, de dicha norma. - Requerir al Ayuntamiento de ***LOCALIDAD.1 para que adopte las medidas de orden interno que impidan que en el futuro pueda producirse una nueva infracción de los artículos 6.1 y 10 de la Ley Orgánica 15/1999. - Notificar la Resolución que se adopte al Ayuntamiento de ***LOCALIDAD.1. - Comunicar la Resolución que se adopte al Defensor del Pueblo de conformidad con lo establecido en el artículo 46.4 de la Ley Orgánica 15/1999. Dicha propuesta de resolución se notificó fecha 27 de diciembre de 2017. al mencionado Ayuntamiento con OCTAVO: Notificada la propuesta de resolución, con fecha 10 de enero de 2018 se registra de entrada escrito del Alcalde del Ayuntamiento denunciado formulando las siguientes alegaciones: “PRIMERA: que en el momento de redactar el presente escrito ya ha sido retirada la "nota informativa" con los datos del denunciante, tanto de los lugares en los que físicamente se encontraba expuesta, como de la página Web ***URL.2 SEGUNDA: que el propio denunciante, según se deduce de los términos del punto primero del acta de la sesión ordinaria celebrada por el Pleno de este Ayuntamiento el día uno de junio de 2016, del que se adjunta certificado, admite que si bien con consta en el acta, en la sesión extraordinaria del día 26 de marzo de ese mismo año reconoció que había sustraído leña. TERCERA: que conforme al artículo 229 del Real Decreto 2568/1986, de 28 de noviembre, por el que se aprueba el Reglamento de Organización, Funcionamiento y Régimen Jurídico de las Entidades Locales, y en la forma que el precepto indica, ha de darse publicidad al contenido de las sesiones plenarias. CUARTA : que si a lo indicado anteriormente, se le une la presencia de vecinos de ***LOCALIDAD.1 en las sesiones plenarias, así como el hecho de que el propio denunciante alardeaba del hurto en lugares públicos, que nos encontramos en un municipio de 74 habitantes, que la Corporación está formada por tres ediles, formando el denunciante el "grupo de la oposición", resulta muy difícil pensar que por el hecho de hacer constar su nombre y apellidos en la "nota informativa" que ha motivado la denuncia, iba a producir un mayor menoscabo de su derecho al honor ya que es público C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/14 y notorio de la persona de la que se trataba. Por todo lo anteriormente expuesto, este Ayuntamiento entiende que no se ha infringido la Ley de Protección de Datos, o si lo hubiera sido, parece evidente que resultaría aplicable el punto 5 del artículo 45 de la citada Ley Orgánica 15/1999, de 13 de diciembre.” NOVENO: Con fecha 12 de enero de 2018 se verifica que en la página web https:www. A.A.A., ya no aparece publicada la “nota informativa” emitida por el Ayuntamiento de ***LOCALIDAD.1 en la que aparecían los datos personales del denunciante asociados al contenido de un fallo judicial en el que se le condenaba por un delito leve de hurto. HECHOS PROBADOS PRIMERO: Con fecha 21 de marzo de 2017 se registra de entrada en esta Agencia denuncia de Don B.B.B., poniendo de manifiesto que, “tras recibir una sentencia judicial por un pleito con el Ayuntamiento de ***LOCALIDAD.1, el alcalde, C.C.C., ha colocado una nota informativa con todos los datos de la sentencia en tres tablones de anuncios del municipio, y en la página de Facebook de ***LOCALIDAD.1 Organización Gubernamental, con lo que considero que se ha vulnerado mi derecho a la protección de datos. En la nota se pueden ver todos los datos del Ayuntamiento y el sello. “ SEGUNDO: En una de las fotografías aportadas por el denunciante se muestra una nota informativa emitida por el Ayuntamiento de ***LOCALIDAD.1 expuesta en un Tablón de Anuncios. Dicho documento, en el que aparecían los datos de contacto y sello del citado Ayuntamiento, parece estampado al pie del documento, contenía la siguiente información: “NOTA INFORMATIVA Para general conocimiento de los vecinos de ***LOCALIDAD.1 se da noticia de que este Ayuntamiento denunció a B.B.B. (concejal del mismo) por la apropiación de leña procedente de los caminos de concentración parcelaria. Que en SENTENCIA PÚBLICA del día 19 de diciembre de 2016, se le DECLARÓ CULPABLE de un DELITO LEVE de HURTO; como RESPONSABLE del mismo, se le CONDENA a la PENA de UN MES DE MULTA, con una CUOTA DIARIA de 6 euros (180 euros), con responsabilidad penal subsidiaria de un día de privación de libertad por cada dos cuotas o infracción impagada y al ABONO de las COSTAS PROCESALES. Igualmente B.B.B. deberá INDEMINZAR al Ayuntamiento de ***LOCALIDAD.1 en la CANTIDAD DE 18 EUROS (a razón de 2000 kilos de leña sustraídos ) “ TERCERO: Con fechas 28 de marzo y 20 de diciembre de 2017 se verifica que en la página web https://www. A.A.A., aparece publicada una fotografía de la nota informativa cuyo contenido se ha transcrito en el hecho probado anterior. CUARTO: En la Sentencia dictada con fecha 29 de diciembre de 2016 por el Juzgado de 1ª Instancia e Instrucción nº 1 de ***LOCALIDAD.2, en el Juicio por Delito Leve nº 17/16, se contenía el siguiente FALLO: “CONDENO a B.B.B. como autor responsable de un delito leve de hurto, ya definido, a C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/14 la pena de un mes de multa, con una cuota diaria de seis euros, con responsabilidad personal subsidiaria de un día de privación de libertad por cada dos cuotas o fracción impagadas y al abono de las costas procesales. Igualmente B.B.B. deberá indemnizar al Ayuntamiento de ***LOCALIDAD.1 en la cantidad de 18 euros.” FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
3. g)en relación con el artículo 36 de la LOPD. II El artículo 1 de la LOPD dispone: “La presente Ley Orgánica tiene por objeto garantizar y proteger, en lo que concierne al tratamiento de los datos personales, las libertades públicas y los derechos fundamentales de las personas físicas, y especialmente de su honor e intimidad personal y familiar”. En cuanto al ámbito de aplicación de la citada norma, el artículo 2.1 de la misma señala que “La presente Ley Orgánica será de aplicación a los datos de carácter personal registrados en soporte físico que los haga susceptibles de tratamiento, y a toda modalidad de uso posterior de estos datos por los sectores público y privado”; definiéndose el concepto de dato de carácter personal en el artículo 3.
4. a)de la citada LOPD como “Cualquier información concerniente a personas físicas identificadas o identificables”, añadiendo el apartado 1.
5. f)del artículo 5 del Reglamento de desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21 de diciembre (RLOPD), que dato de carácter personal es “cualquier información numérica, alfabética, gráfica, fotográfica, acústica o de cualquier otro tipo concerniente a personas físicas identificadas o identificables”. A su vez, el artículo 3.
6. d)de la LOPD define al responsable del fichero o tratamiento como la “persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento.” Por otra parte, la aplicabilidad de la normativa de protección de datos de carácter personal, de acuerdo con lo indicado en el citado artículo 2.1 de la LOPD, requiere que dichos datos aparezcan registrados en un soporte físico que los haga susceptibles de tratamiento. El artículo 3 de la LOPD define en su letra
7. c)el tratamiento de datos como aquellas “operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”. Por tanto, la garantía del derecho a la protección de datos conferida por la normativa de referencia requiere que exista una actuación que constituya un tratamiento de datos personales en el sentido expresado. De acuerdo con aquella definición de tratamiento de datos personales, la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/14 publicación de datos personales en los Tablones de Anuncios y la incorporación a una página web de un archivo en el que se contienen datos personales puede considerarse un tratamiento incluido en el ámbito de aplicación de la normativa citada, debiendo analizarse en cada caso si este tratamiento se efectúa sobre información concerniente a personas físicas identificadas o identificables. En la línea indicada se pronuncia la Sentencia de la Audiencia Nacional de 17/03/2007, Recurso 621/2004, cuando en su Fundamento de Derecho Cuarto señala que “…un sitio Web exige siempre cualquiera que sea su finalidad una organización o estructura que permita el acceso a la información en él contenida por terceros. Cumpliría así la primera de las exigencias de un fichero, la estructural u organizativa. Pero es que además, y esto es obvio, el sitio Web XXXXXXX contuvo datos de carácter personal, precisamente los referidos al denunciante, que fueron difundidos a través de dicho sitio, lo que supone tratamiento…si hubo tratamiento de datos de carácter personal consistente en la incorporación y difusión de éstos desde una estructura organizada (fichero) como era el sitio Web, es indudable que el régimen de protección contenido en la Ley Orgánica 15/1999 es plenamente aplicable, sin que altere la anterior conclusión el hecho de los datos tratados se refieran a una sola persona pues la ley no exige en ningún caso la existencia de una pluralidad de personas afectadas para que podamos hablar de tratamiento y fichero…” y, continúa, citando la sentencia del Tribunal de Justicia de la Unión Europea, de 06/11/2003, caso Linqvist. Asunto C-101/01, que señalaba “Por tanto, procede responder a la primera cuestión que la conducta que consiste en hacer referencia, en una página web, a diversas personas y en identificarlas por su nombre o por otros medios, como su número de teléfono o información relativa a sus condiciones de trabajo y a sus aficiones, constituye un “tratamiento total o parcialmente automatizado de datos personales” en el sentido del artículo 9 3, apartado1 de la Directiva 95/46.” En el presente supuesto, considerando que la nota informativa publicada por el Ayuntamiento denunciado contiene información relativa al nombre, apellidos y condición de concejal del denunciante, debe concluirse la existencia de datos de carácter personal y la plena aplicabilidad de los principios y garantías expuestos en la normativa de protección de datos de carácter personal. III El tratamiento de los datos personales analizado se materializa en la inclusión por parte del Ayuntamiento denunciado del nombre, apellidos y condición de concejal del denunciante en la nota informativa que el citado Ayuntamiento publicó a través de los tablones de anuncios del municipio y mediante su incorporación a la página web www.https://www. A.A.A. con la finalidad de comunicar a los vecinos que, a raíz de la denuncia efectuada contra el denunciante por la apropiación de leña, se había dictado Sentencia declarándole culpable de un delito de hurto por el que se le condenaba a la pena e indemnización que se reseñaban en la nota informativa. La incorporación, mantenimiento y difusión, por parte del citado Ayuntamiento, de la información de carácter personal del denunciante contenida en la reseñada nota informativa constituye un tratamiento de datos de carácter personal que ha de contar con el consentimiento inequívoco del afectado. Por ello, procede analizar el marco normativo aplicable al tratamiento de los datos de carácter personal, considerando la naturaleza de los datos sometidos a tratamiento. En orden a precisar el alcance antijurídico de los referidos hechos, procede analizar, en primer lugar, el principio de consentimiento consagrado en el artículo 6 de la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/14 LOPD, referido a todo tipo de datos personales, cuyo apartado 1 dispone lo siguiente: “El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa”. Por su parte, el apartado 2 del mencionado artículo contiene una serie de excepciones a la regla general contenida en aquel apartado 1, estableciendo que: “No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado”. El artículo 3 de la LOPD define en su apartado
8. h)como “Consentimiento del interesado” a: “Toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen.” La LOPD no requiere, por lo tanto, que el consentimiento se preste por escrito o con formalidades determinadas, pero sí exige que el consentimiento de los afectados sea “inequívoco”. Por otra parte, corresponde siempre al responsable del tratamiento comprobar que tiene el consentimiento del afectado cuando realiza algún tratamiento con los datos personales de éste. A este respecto, la Audiencia Nacional, en sentencia de fecha 31/05/2006 señaló lo siguiente: “Por otra parte es el responsable del tratamiento (por todas, sentencia de esta Sala de 25 de octubre de 2002 Rec. 185/2001) a quien corresponde asegurarse de que aquel a quien se solicita el consentimiento, efectivamente lo da, y que esa persona que está dando el consentimiento es efectivamente el titular de esos datos personales, debiendo conservar la prueba del cumplimiento de la obligación a disposición de la Administración, encargada de velar por el cumplimiento de la ley”. En el presente caso, consta probado que el Ayuntamiento denunciado es responsable del tratamiento consistente en la incorporación de los datos de carácter personal del denunciante contenidos en la nota informativa publicada en los tablones de anuncios del Ayuntamiento y en su página web de Facebook. De hecho, el Alcalde del Ayuntamiento de ***LOCALIDAD.1 ha reconocido, en sus alegaciones al acuerdo de inicio, tanto la publicación de la citada nota informativa como que en la misma aparecían incluidos el nombre, apellidos y puesto de Concejal del denunciante. En relación con este particular, aunque se ignore el momento exacto en el que el Ayuntamiento citado comenzó a tratar los datos personales del denunciante en la forma descrita, de la documentación obrante en el procedimiento se desprende que el tratamiento inconsentido de los datos personales del denunciante estaba produciéndose desde el 14 de marzo de 2017, fecha en la que el afectado suscribió la denuncia que daba cuenta de los hechos objeto de análisis, y ha continuado produciéndose, al menos en lo que respecta a su difusión vía web, hasta el 20 de diciembre de 2017, fecha en la que se constató que la nota informativa en cuestión continuaba publicada en la página web https://www. A.A.A.. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/14 Para que el tratamiento de los datos del denunciante realizado por dicho Ayuntamiento resultara conforme con los preceptos de la LOPD, hubiera debido concurrir alguno de los supuestos contemplados en el artículo 6 de la LOPD. Sin embargo, el Ayuntamiento denunciado no ha acreditado mediante ningún medio de prueba que el denunciante le hubiera otorgado con anterioridad a los hechos estudiados su consentimiento inequívoco para poder tratar y difundir sus datos personales en una nota informativa que los vinculaba al fallo judicial que lo declaraba autor responsable de un delito leve de hurto. Por lo que ante la falta de acreditación del consentimiento inequívoco del denunciante para el tratamiento de datos personales realizado, y ante la ausencia de cobertura legal que amparase el mismo, al no concurrir ninguno de los supuestos del artículo 6.2 de la LOPD que permiten excepcionar la obtención del consentimiento, cabe concluir que la actuación analizada constituye una vulneración al repetido artículo 6.1 de la LOPD por parte del Ayuntamiento de ***LOCALIDAD.1. Asimismo, en el supuesto examinado, tampoco consta que el reseñado Ayuntamiento haya realizado actividad alguna tendente a asegurarse que los datos se utilizaran con el consentimiento del denunciante, resultando, por tanto, evidente la existencia de, al menos, una falta de la diligencia debida en los hechos imputados plenamente imputable a dicho Ayuntamiento, que trató los datos del afectado sin su consentimiento. IV Por otra parte, debe señalarse que el principio de publicidad de las actuaciones judiciales se encuentra consagrado, en cuanto a las sentencias, por los artículos 205.6, 232, 235, 235 bis, 235 ter y 266 de la Ley Orgánica del Poder Judicial. En concreto, en el artículo 235 bis se dispone, por lo que aquí interesa en relación con la alegación del Ayuntamiento denunciado de que la Sentencia es pública, que: “Artículo 235 bis. Sin perjuicio de lo establecido en el párrafo segundo del apartado 1 del artículo 236 quinquies y de las restricciones que, en su caso, pudieran establecerse en las leyes procesales, el acceso al texto de las sentencias, o a determinados extremos de las mismas, o a otras resoluciones dictadas en el seno del proceso, sólo podrá llevarse a cabo previa disociación de los datos de carácter personal que los mismos contuvieran y con pleno respeto al derecho a la intimidad, a los derechos de las personas que requieran un especial deber de tutela o a la garantía del anonimato de las víctimas o perjudicados, cuando proceda. En todo caso se adoptarán las medidas necesarias para evitar que las sentencias y el resto de resoluciones dictadas en el seno del proceso puedan ser usadas con fines contrarios a las leyes.” La publicidad a la que se refieren dichos preceptos tiene por objeto asegurar el pleno desenvolvimiento del derecho de las partes a obtener la tutela efectiva de los jueces y Tribunales en el ejercicio de sus derechos, sin que en ningún modo pueda producírseles indefensión, consagrado por el artículo 24.1 de la Constitución. Por ello, no puede ampararse en un precepto cuyo fundamento es la salvaguarda de los derechos de los ciudadanos, la realización de otras actividades que pueden producir una merma de otros derechos fundamentales, como en este caso, el derecho a la protección de datos personales. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/14 La colisión entre la publicidad de las sentencias y el derecho a la intimidad de las personas ya ha sido, por otra parte, analizado por el Pleno del Consejo General del Poder Judicial, disponiendo en el Acuerdo de 18 de junio de 1997, por el que se modifica el Reglamento número 5/1995, de 7 de junio, regulador de los aspectos accesorios de las actuaciones judiciales, como apartado 3 del nuevo artículo 5 bis del Reglamento, que “En el tratamiento y difusión de las resoluciones judiciales se procurará la supresión de los datos de identificación para asegurar en todo momento la protección del honor e intimidad personal y familiar”. Esta cuestión ha sido también abordada en la STS (Sala de lo Contencioso Administrativo, Sección 1º), de 3 de marzo de 1995, cuyo Fundamento de Derecho Quinto señala que: “La publicidad procesal, en su vertiente de derecho a la información y de acceso a las sentencias ya depositadas, requiere, como hemos anticipado, por parte de quien la invoca y ejercita, la concurrencia de la condición de «interesado», sin que, hemos también de apresurarnos a esta precisión, la expresión «cualquier interesado» empleada por el art. 266.1 respecto a las sentencias, añada matiz alguno ampliatorio al básico concepto de interesado, por tratarse de mera enunciación reduplicativa y quizás dirigida a no constreñirla a quienes han sido partes o intervenido de cualquier forma (testigos, peritos, etc.) en el proceso al que la sentencia o sentencias han puesto fin. Pues bien, el interés legítimo que es exigible en el caso, sólo puede reconocerse en quien, persona física o jurídica, manifiesta y acredita, al menos «prima facie», ante el órgano judicial, una conexión de carácter concreto y singular bien con el objeto mismo del proceso -y, por ende, de la sentencia que lo finalizó en la instancia-, bien con alguno de los actos procesales a través de los que aquél se ha desarrollado y que están documentados en autos, conexión que, por otra parte, se halla sujeta a dos condicionamientos:
9. a)que no afecte a derechos fundamentales de las partes procesales o de quienes de algún modo hayan intervenido en el proceso, para salvaguardar esencialmente el derecho a la privacidad e intimidad personal y familiar, el honor y el derecho a la propia imagen que eventualmente pudiera afectar a aquellas personas; y
10. b)que si la información es utilizada, como actividad mediadora, para satisfacer derechos o intereses de terceras personas, y en consecuencia adquiere, como es el caso, un aspecto de globalidad o generalidad por relación no a un concreto proceso, tal interés se mantenga en el propio ámbito del ordenamiento jurídico y de sus aplicadores, con carácter generalizado, pues otra cosa sería tanto como hacer partícipe o colaborador al órgano judicial en tareas o actividades que, por muy lícitas que sean, extravasan su función jurisdiccional...” En congruencia con dicho criterio jurisprudencial, la publicidad de información referida al fallo dictado en la sentencia de fecha 19 de septiembre de 2016 a través de la nota informativa expuesta en los tablones de anuncios y la página web de Facebook del Ayuntamiento, asociándola al nombre y apellidos del denunciante como autor del delito leve señalado en la parte dispositiva a la que se refiere la mencionada sentencia, no cumple los condicionamientos expuestos y supone una vulneración de la LOPD. Por otra parte, el Ayuntamiento denunciado en sus alegaciones a la propuesta de resolución, a fin de justificar que no se ha infringido la normativa de protección de datos, aduce que debe darse publicidad al contenido de las sesiones plenarias conforme a lo dispuesto en el artículo 229 del Reglamento de Organización, Funcionamiento y Régimen Jurídico de las Entidades Locales, aprobado por Real C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/14 Decreto 2568/1986, de 28 de noviembre. Dicho artículo, en relación con la “Información y participación ciudadana, establece lo siguiente: “1. Las convocatorias y órdenes del día de las sesiones del Pleno se transmitirán a los medios de comunicación social de la localidad y se harán públicas en el Tablón de Anuncios de la entidad. 2. Sin perjuicio de lo dispuesto en el artículo 70.2 de la Ley 7/1985, de 2 de abril, la Corporación dará publicidad resumida del contenido de las sesiones plenarias y de todos los acuerdos del Pleno y de la Comisión de Gobierno, así como de las resoluciones del Alcalde y las que por su delegación dicten los Delegados. 3. A tal efecto, además de la exposición en el Tablón de Anuncios de la entidad, podrán utilizarse los siguientes medios:
11. a)Edición, con una periodicidad mínima trimestral, de un Boletín informativo de la entidad.
12. b)Publicación en los medios de comunicación social del ámbito de la entidad.” Atendido que la “nota informativa” con datos de carácter personal del denunciante difundida en los Tablones de Anuncios y en la Página de Facebook del Ayuntamiento denunciado no contiene ninguna referencia a la celebración de las sesiones ordinaria y extraordinaria celebradas, respectivamente, los días 29 de enero y 23 de marzo de 2016, por el Pleno del Ayuntamiento de ***LOCALIDAD.1, conforme prueba la transcripción de la misma que figura en el Hecho Probado Segundo de esta resolución, se considera que el artículo artículo 229 del Reglamento invocado no resulta de aplicación al caso analizado, en el que el tratamiento de datos realizado se vincula a la publicidad de una actuación judicial. Asimismo, resulta conveniente destacar que en la Sentencia dictada con fecha 19 de diciembre de 2016 por el Juzgado de 1ª Instancia e Instrucción nº 1 de ***LOCALIDAD.2, en el Juicio por Delito Leve nº 17/16, no aparece ninguna mención a la nía condición de concejal del denunciante en ese Ayuntamiento. V El artículo 44.3.
13. b)de la LOPD considera infracción grave: “
14. b)Tratar los datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo.” En este caso, el Ayuntamiento de ***LOCALIDAD.1 ha incurrido en la infracción descrita al vulnerar el principio del consentimiento consagrado en el artículo 6.1 de la LOPD, toda vez que ha quedado acreditado que trató los datos personales del denunciante sin su consentimiento al publicar, tanto en los tablones de anuncios del Ayuntamiento como en Internet a través de su página web de Facebook, la nota informativa ya citada sin anonimizar los datos identificativos del afectado que se asociaban a la información objeto de comunicación, conducta que encuentra su tipificación en el artículo 44.3.
15. b)de la citada Ley Orgánica. VI En segundo lugar, el presente procedimiento tiene por objeto determinar las responsabilidades que se derivan de la revelación a terceros de los datos personales del denunciante que resultan de la divulgación a través de Internet () y de los tablones de anuncios del Ayuntamiento de la nota informativa objeto de difusión por esos medios. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/14 El artículo 10 de la LOPD dispone lo siguiente: “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo”. Dicho precepto contiene una regla que afecta a la confidencialidad como parte de la seguridad de los datos de carácter personal, tratando de salvaguardar el derecho de las personas a mantener la privacidad de tales datos y, en definitiva, el poder de control o disposición sobre los mismos. El deber de secreto trata de salvaguardar o tutelar el derecho de las personas a mantener la privacidad de sus datos de carácter personal y en definitiva el poder de control o disposición sobre sus datos. Este deber de secreto está lógicamente relacionado con el secreto profesional. Según el ATC de 11 de diciembre de 1989 "el secreto profesional se entiende como la sustracción al conocimiento ajeno, justificada por razón de una actividad, de datos o informaciones obtenidas que conciernen a la vida privada de las personas". El deber de secreto en el tratamiento de datos personales, tiene la misma fundamentación jurídica, pero se refiere al ámbito estricto del tratamiento de los datos personales, para que el responsable del fichero y, cualquier persona que intervenga en el tratamiento, esté obligado a mantener la confidencialidad de los datos personales”. Por lo que ahora interesa, dicho deber de confidencialidad, comporta que los datos tratados no pueden ser conocidos por ninguna persona o entidad ajena fuera de los casos autorizados por la Ley, pues en eso consiste precisamente el secreto. En este sentido el deber de sigilo como señalan las SSAN, Sec. 1ª, de 14 de septiembre de 2002 (Rec.196/00), 13 de abril de 2005 (Rec. 230/2003), 18 de julio de 2007 (Rec. 377/2005 ) "es una exigencia elemental y anterior al propio reconocimiento del derecho fundamental a la libertad informática a que se refiere la STC 292/2000 (...) Este deber de sigilo resulta esencial en las sociedades actuales cada vez más complejas, en las que los avances de la técnica sitúan a la persona en zonas de riesgo para la protección de los derechos fundamentales, como la intimidad o el derecho a la protección de datos que recoge el artículo 18.4 de la CE (...)". En el presente caso, a través de los accesos efectuados a la página web de Facebook del Ayuntamiento denunciado ha quedado acreditada la difusión de la nota informativa en la que se recogen datos personales del denunciante asociados al fallo de la sentencia sobre la que dicha nota informa. Asimismo, el denunciante aportó una fotografía en la que dicha nota aparecía expuesta en un tablón de anuncios. Es decir, el Ayuntamiento denunciado vulneró este deber de confidencialidad en relación con los datos personales del denunciante contenidos en la nota informativa que se difundió sin restricción de acceso a terceros no interesados. Esta información no puede ser facilitada a terceros, salvo consentimiento del afectado o que exista una habilitación legal que permita su comunicación, circunstancias que el mencionado Ayuntamiento no ha acreditado concurran en este supuesto. Los hechos expuestos vulneran lo dispuesto en el artículo 10 de la LOPD, siendo responsable de ello el propio Ayuntamiento que divulgo esa información de carácter personal en la forma descrita, toda vez que sobre el mismo recae el deber de secreto que impone el mencionado precepto como entidad responsable de la custodia de los datos en cuestión. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/14 En consecuencia, dicho Ayuntamiento incumplió el deber de secreto al revelar datos personales del afectado a terceros no interesados sin consentimiento ni habilitación legal para ello, por lo que ha de entenderse vulnerado el deber de secreto que impone el artículo 10 de la LOPD. VII La vulneración del deber de secreto aparece tipificada como infracción grave en el artículo 44.3.
16. d)de la LOPD. En este precepto se establece lo siguiente: “
17. d)La vulneración del deber de guardar secreto acerca del tratamiento de los datos de carácter personal al que se refiere el artículo 10 de la presente Ley”. En el presente caso, está acreditado que por parte del Ayuntamiento de ***LOCALIDAD.1 se ha vulnerado el deber de secreto garantizado en el artículo 10 de la LOPD, al haber posibilitado, sin que dispusiera del consentimiento inequívoco del afectado para ello, que terceras personas no interesadas tuviesen acceso a datos personales del denunciante mediante la divulgación de los mismos a través de la publicación y difusión de la nota informativa en los medios anteriormente descritos. Lo que establece la base de facto para fundamentar la imputación de la infracción del artículo 10 de la LOPD. A tenor de lo cual, se concluye que la conducta imputada a dicha entidad se ajusta a la tipificación prevista en el 44.3.
18. d)de la LOPD. VIII El artículo 43 de la LOPD, bajo la rúbrica “Responsables”, dispone: “1. Los responsables de los ficheros y los encargados de los tratamientos estarán sujetos al régimen sancionador establecido en la presente Ley. 2. Cuando se trate de ficheros de titularidad pública se estará, en cuanto al procedimiento y a las sanciones, a lo dispuesto en los artículos 46 y 48 de la presente Ley”. El artículo 45.5 de la LOPD, bajo la rúbrica “Tipo de sanciones”, dispone: “5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
19. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
20. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
21. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
22. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
23. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente”. A su vez, el artículo 46 de la LOPD, “Infracciones de las Administraciones Públicas”, dispone: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/14 “1. Cuando las infracciones a que se refiere el artículo 44 fuesen cometidas en ficheros de titularidad pública o en relación con tratamientos cuyos responsables lo serían de ficheros de dicha naturaleza, el órgano sancionador dictará una resolución estableciendo las medidas que procede adoptar para que cesen o se corrijan los efectos de la infracción. Esta resolución se notificará al responsable del fichero, al órgano del que dependa jerárquicamente y a los afectados si los hubiera. 2. El órgano sancionador podrá proponer también la iniciación de actuaciones disciplinarias, si procedieran. El procedimiento y las sanciones a aplicar serán las establecidas en la legislación sobre régimen disciplinario de las Administraciones Públicas. 3. Se deberán comunicar al órgano sancionador las resoluciones que recaigan en relación con las medidas y actuaciones a que se refieren los apartados anteriores. 4. El Director de la Agencia comunicará al Defensor del Pueblo las actuaciones que efectúe y las resoluciones que dicte al amparo de los apartados anteriores”. Al contestar la propuesta de resolución, el Ayuntamiento denunciado considera que de haber existido infracción a la normativa de protección de datos resultaría de aplicación lo dispuesto en el artículo 45.5 de la LOPD. Dicha pretensión debe ser rechazada, ya que el responsable del tratamiento efectuado con los datos del denunciante ha sido una Administración Pública, motivo por el cual se ha tramitado, en virtud de lo dispuesto en el citado artículo 43.2 de la LOPD, un procedimiento de declaración de Infracción de Administraciones Públicas al Ayuntamiento de ***LOCALIDAD.1, que ha de resolverse por el órgano sancionador con arreglo a lo establecido en el artículo 46.1 de la LOPD transcrito, precepto en el que no se contempla la imposición de sanciones de multa ni, tampoco, se establece la posibilidad de aplicar los criterios de minoración cualificada de la sanción de multa previstos en el artículo 45.5 de la LOPD cuando se tramita un Procedimiento Sancionador. Sentado lo anterior, en este caso concreto, se valora que el Ayuntamiento denunciado, tras recibir la propuesta de resolución del presente procedimiento, ha comunicado a esta Agencia que había procedido a retirar la nota informativa en cuestión de los lugares en los que se encontraba expuesta (tablones de anuncios del municipio y página web https:www. A.A.A.), por lo que corregida la actuación infractora en la forma descrita no se requiere la adopción de medidas complementarias asociadas a este supuesto. Ello sin perjuicio de que el Ayuntamiento de ***LOCALIDAD.1 pueda adoptar las medidas que considere oportunas para evitar que, en el futuro, puedan repetirse hechos semejantes a los que constituyen la base de facto de las infracciones que han originado la tramitación del procedimiento. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR que el AYUNTAMIENTO DE ***LOCALIDAD.1 ha infringido lo dispuesto en los artículos 6.1 y 10 de la LOPD, tipificadas, respectivamente, como infracción grave en los artículos 44.3.
24. b)y 44.3.
25. d)de dicha norma. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/14 SEGUNDO: NOTIFICAR ***LOCALIDAD.1. la presente resolución al AYUNTAMIENTO DE TERCERO: COMUNICAR la presente resolución al Defensor del Pueblo, de conformidad con lo establecido en el artículo 46.4 de la LOPD. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, se podrá interponer potestativamente recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa (en lo sucesivo LJCA), en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Sin embargo, el responsable del fichero de titularidad pública, de acuerdo con el artículo 44.1 de la LJCA, sólo podrá interponer directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la LJCA, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es