1/6 Procedimiento Nº AP/00048/2017 RESOLUCIÓN: R/03116/2017 En el procedimiento de Declaración de Infracción de Administraciones Públicas AP/00048/2017, instruido por la Agencia Española de Protección de Datos al AYUNTAMIENTO DE ***LOCALIDAD.1 , Sevilla y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fecha 4 de mayo de 2017, tuvo entrada en esta Agencia un escrito remitido por D. A.A.A. (en lo sucesivo el denunciante) en el que declara que el Ayuntamiento de ***LOCALIDAD.1 , Sevilla, ha publicado en su web, en abierto, la relación de los beneficiarios de salarios sociales incluyendo los datos de nombre, apellidos y tipo de contrato social concedido, sin contar con el consentimiento de los interesados. La Inspección de Datos ha constatado, con fecha de 12 de mayo de 2017, que en la cuenta de facebook del Ayuntamiento de ***LOCALIDAD.1 se publica una nota con el título de: “EL AYUNTAMIENTO REALIZA 20 NUEVOS CONTRATOS SOCIALES”. Un enlace en esta nota permite acceder a la página web del Ayuntamiento, a la siguiente dirección: ***URL.1 En la información publicada en la página web municipal consta un enlace denominado “selección de los trabajadores” que permite acceder a los nombres de las personas que han sido contratadas a través del Plan de Urgencia Municipal abril 2017. El listado con los datos de los trabajadores resulta accesible a través de la dirección: ***URL.2 SEGUNDO: Con fecha 6 de octubre de 2017, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento de declaración de infracción de Administraciones Públicas al AYUNTAMIENTO DE ***LOCALIDAD.1 por la presunta infracción del artículo 10 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como grave en el artículo 44.3.
- d)de dicha norma. TERCERO: Notificado el citado acuerdo de inicio de procedimiento de declaración de infracción de Administraciones Públicas, con fecha 2 de noviembre de 2017, el AYUNTAMIENTO DE ***LOCALIDAD.1 presentó escrito de alegaciones en el que, en síntesis, manifestaba que: “…Este Ayuntamiento contaba con el consentimiento de los interesados para publicar dichos datos, dándose así cumplimiento a lo dispuesto por los artículos 5, 6, 11 y C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/6 concordantes de la Ley Orgánica 15/1999, de 13 de diciembre. En ese supuesto, no ha sido infringido el deber de secreto. Se acompaña como doc. núm. 1 escrito suscrito por los interesados en los que manifiestan que prestaron el consentimiento a este Ayuntamiento para proceder a la publicación de los datos”. Aporta el Ayuntamiento un documento con las firmas de los beneficiarios de los salarios sociales incluidos en la relación del Plan de Urgencia Municipal abril 2017 objeto de la presente denuncia, con el encabezado siguiente: “En ***LOCALIDAD.1 , a 31 de octubre de 2017 Los abajo firmantes manifiestan que con carácter previo a la publicidad que el Excmo. Ayuntamiento de ***LOCALIDAD.1 (Sevilla) ha dado a las contrataciones efectuadas en el marco del Plan de Urgencia Municipal 2017, tanto a través del Portal de Facebook del Ayuntamiento, como a través de la página web Municipal (en las que aparece nombre, apellidos y duración del contrato), hemos sido informados de los derechos contemplados en el artículo 5 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, prestando nuestro consentimiento al tratamiento, cesión y publicación de los datos en aquellos portales, circunstancia de la que ahora se deja debidamente cuenta por escrito, ratificándonos en el consentimiento entonces otorgado”. HECHOS PROBADOS PRIMERO: Con fecha 4 de mayo de 2017, se ha denunciado que el Ayuntamiento de ***LOCALIDAD.1 , Sevilla, ha publicado en su página web, en abierto, la relación de los beneficiarios de salarios sociales incluyendo los datos de nombre, apellidos y tipo de contrato social concedido, sin contar con el consentimiento de los interesados SEGUNDO: La Inspección de Datos ha constatado que, con fecha de 12 de mayo de 2017, en la cuenta de facebook del Ayuntamiento de ***LOCALIDAD.1 se publica una nota con el título de: “EL AYUNTAMIENTO REALIZA 20 NUEVOS CONTRATOS SOCIALES”. Un enlace en esta nota permite acceder a la página web del Ayuntamiento, a la siguiente dirección: ***URL.1 En la información publicada en la página web municipal consta un enlace denominado “selección de los trabajadores” que permite acceder a los nombres de las personas que han sido contratadas a través del Plan de Urgencia Municipal abril 2017. El listado con los datos de los trabajadores y tipo de contrato social concedido, resulta accesible a través de la dirección: ***URL.2 TERCERO: El 2 de noviembre de 2017, el Ayuntamiento de ***LOCALIDAD.1 ha presentado un documento fechado el 31 de octubre de 2017 con las firmas de los beneficiarios de los salarios sociales incluidos en la relación del Plan de Urgencia Municipal abril 2017 objeto de la presente denuncia. En él los firmantes manifiestan que fueron informados de los derechos del artículo 5 de la LOPD y prestaron su consentimiento al tratamiento, cesión y publicación de sus datos personales en la página C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/6 web municipal y en el portal de Facebook, todo ello previo a la publicidad que el Ayuntamiento de ***LOCALIDAD.1 ha realizado. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
- g)en relación con el artículo 36 de la LOPD. II El artículo 2.1 de la LOPD define su ámbito de aplicación: “1. La presente Ley Orgánica será de aplicación a los datos de carácter personal registrados en soporte físico que los haga susceptibles de tratamiento, y a toda modalidad de uso posterior de estos datos por los sectores público y privado…” El artículo 3 de la LOPD define en su apartado
- c)como “Tratamiento de datos: Operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias.” Asimismo, dicho artículo 3 define en su apartado
- b)como “Fichero: Todo conjunto organizado de datos de carácter personal, cualquiera que fuere la forma o modalidad de su creación, almacenamiento, organización y acceso.” En el presente caso, ha quedado acreditado que se publicaron los datos de carácter personal de los beneficiarios de salarios sociales en la página web del Ayuntamiento de ***LOCALIDAD.1 . La Sentencia de la Audiencia Nacional de 17/03/2007, Recurso 621/2004 señala en su Fundamento de Derecho Cuarto que “…un sitio Web exige siempre cualquiera que sea su finalidad una organización o estructura que permita el acceso a la información en él contenida por terceros. Cumpliría así la primera de las exigencias de un fichero, la estructural u organizativa. Pero es que además, y esto es obvio, el sitio Web XXXXXXX contuvo datos de carácter personal, precisamente los referidos al denunciante, que fueron difundidos a través de dicho sitio, lo que supone tratamiento… si hubo tratamiento de datos de carácter personal consistente en la incorporación y difusión de éstos desde una estructura organizada (fichero) como era el sitio Web, es indudable que el régimen de protección contenido en la Ley Orgánica 15/1999 es plenamente aplicable, sin que altere la anterior conclusión el hecho de los datos tratados se refieran a una sola persona pues la ley no exige en ningún caso la existencia de una pluralidad de personas afectadas para que podamos hablar de tratamiento y fichero…” y, continúa, citando la sentencia del Tribunal de Justicia de la Unión Europea, de 06/11/2003, caso Linqvist. Asunto C-101/01, que señalaba “Por tanto, procede responder a la primera cuestión que la conducta que consiste en hacer referencia, en C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/6 una página web, a diversas personas y en identificarlas por su nombre o por otros medios, como su número de teléfono o información relativa a sus condiciones de trabajo y a sus aficiones, constituye un “tratamiento total o parcialmente automatizado de datos personales” en el sentido del artículo 93, apartado 1 de la Directiva 95/46.” Por tanto, para el caso del actual procedimiento, se realizó un tratamiento con los datos personales de los beneficiarios de salarios sociales, al incluirlos en la página web del Ayuntamiento. III El artículo 10 de la LOPD establece: “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aún después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo”. El deber de secreto profesional que incumbe a los responsables de los ficheros y a todos aquellos que intervengan en cualquier fase del tratamiento de los datos de carácter personal, recogido en el artículo 10 de la LOPD, comporta su obligación de no revelar ni dar a conocer su contenido, así como “deber de guardarlos”. Continúa dicho artículo añadiendo: “obligaciones que subsistirán aún después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo”. Este deber es una exigencia elemental y anterior al propio reconocimiento del derecho fundamental a la libertad informática, a que se refiere la Sentencia del Tribunal Constitucional 292/2000, de 30 de noviembre, y por lo que ahora interesa, comporta que los datos tratados no pueden ser conocidos por ninguna persona o entidad ajena fuera de los casos autorizados por la Ley, pues en eso consiste, precisamente, el secreto. Este deber de sigilo resulta esencial en la sociedad contemporánea, cada vez más compleja, en las que los avances de la técnica sitúan a la persona en zonas de riesgo para la protección de los derechos fundamentales, como el derecho a la protección de los datos personales, que recoge el artículo 18.4 de la Constitución Española. En efecto, este precepto contiene un “instituto de garantía de los derechos de los ciudadanos que, además, es en sí mismo un derecho o libertad fundamental, el derecho a la libertad frente a las potenciales agresiones a la dignidad y a la libertad de la persona provenientes de un uso ilegítimo del tratamiento mecanizado de datos” (Sentencia del Tribunal Constitucional 292/2000). Este derecho fundamental a la protección de datos persigue garantizar a la persona un poder de control sobre sus datos personales, sobre su uso y destino que impida que se produzcan situaciones atentatorias de la dignidad de la persona. En este caso concreto, se han publicado los datos personales de los beneficiarios de salarios sociales por parte del Ayuntamiento de ***LOCALIDAD.1 . Se trata de valorar si se ha vulnerado el principio del deber de secreto, consagrado en el artículo 10 de la LOPD, que obliga al responsable del fichero y a quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal. En este caso ha quedado acreditado que en la página web del Ayuntamiento denunciado se publicaron los datos de carácter personal de las 20 personas incluidas en el Plan de Urgencia Municipal Abril 2017. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/6 El Ayuntamiento ha presentado alegaciones al acuerdo de inicio en las que aporta un documento con las firmas de los beneficiarios de los salarios sociales incluidos en la relación del Plan de Urgencia Municipal abril 2017 objeto de la presente denuncia. El documento está fechado el 31 de octubre de 2017, y en él los firmantes manifiestan que fueron informados de los derechos del artículo 5 de la LOPD y prestaron su consentimiento al tratamiento, cesión y publicación de sus datos personales en la página web municipal y en el portal de Facebook, todo ello previo a la publicidad que el Ayuntamiento de ***LOCALIDAD.1 ha realizado. Aporta por tanto el Ayuntamiento el consentimiento por escrito de cada una de las personas afectadas por la publicidad de sus datos personales en la página web del Ayuntamiento. En este caso no es posible imputar la vulneración del deber de guardar secreto al Ayuntamiento denunciado toda vez que ha quedado acreditado que disponía del consentimiento previo de cada una de las personas para la difusión de sus datos personales asociados a su condición de beneficiarios de un salario social. Sin embargo hay que reseñar que en un caso como el presente, en el que se cuenta con el consentimiento de los afectados, la publicidad de los datos personales puede resultar excesiva, resultando más apropiado habilitar un sistema que permita dar publicidad a las actuaciones municipales sin necesidad de exponer, en internet, sin restricciones de acceso, los datos de personas en una situación de necesidad social. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: ARCHIVAR las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución al Ayuntamiento de ***LOCALIDAD.1 , Sevilla. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, se podrá interponer potestativamente recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/6 recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa (en lo sucesivo LJCA), en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Sin embargo, el responsable del fichero de titularidad pública, de acuerdo con el artículo 44.1 de la LJCA, sólo podrá interponer directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la LJCA, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es