AAPP-00057-2017

1/6 Procedimiento Nº AP/00057/2017 RESOLUCIÓN: R/03508/2017 En el procedimiento de Declaración de Infracción de Administraciones Públicas AP/00057/2017, instruido por la Agencia Española de Protección de Datos a la entidad AYUNTAMIENTO DE ***LOC.1, vista la denuncia presentada por Dª. A.A.A., y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fecha 21 de julio de 2017, tuvo entrada en esta Agencia un escrito remitido por Dª. A.A.A. (en lo sucesivo la denunciante) en el que declara que el día 7 de julio de 2017 presentó en la localidad de ***LOC.2, perteneciente al Ayuntamiento de ***LOC.1, Burgos, una solicitud relativa a la retirada de mobiliario urbano y que ese mismo día esa solicitud se expuso en el tablón de edictos de dicha localidad. Declara también que el día 10 de julio presentó, en el Ayuntamiento de ***LOC.1, un escrito solicitando información sobre la legalidad de esa actuación. Ese mismo día se retiró la solicitud del tablón de edictos sin que se le haya dado respuesta sobre ese proceder. Adjunta a su escrito constancia de la presentación de la solicitud en la localidad de ***LOC.2, constancia de su exposición en el tablón de edictos de esa localidad por medio de fotografías en las que aparece colocado el escrito y constancia también de la presentación, en el Ayuntamiento de ***LOC.1, del escrito solicitando información sobre la legalidad de esa exposición pública de su solicitud. SEGUNDO: Con fecha 2 de noviembre de 2017, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento de declaración de infracción de Administraciones Públicas al AYUNTAMIENTO DE ***LOC.1 por la presunta infracción del artículo 10 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como grave en el artículo 44.3.

1. d)de dicha norma. TERCERO: Notificado el citado acuerdo de inicio de procedimiento de declaración de infracción de Administraciones Públicas, la alcaldesa del AYUNTAMIENTO DE ***LOC.1 presentó escrito de alegaciones en el que, en síntesis, manifestaba que: remite la declaración realizada ante la Guardia Civil el día 25 de julio de 2017 respecto de los hechos aquí denunciados, y envía también la contestación remitida a la denunciante el día 7 de agosto de 2017 respecto de la legalidad de la exposición pública de su escrito, en el que le informa sobre las competencias entre el Ayuntamiento y la Junta Vecinal y sobre su derecho a la protección de datos. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/6 CUARTO: Con fecha 13 de diciembre de 2017, el Instructor del procedimiento emitió Propuesta de Resolución, en el sentido de que por la Directora de la Agencia Española de Protección de Datos se declare que el AYUNTAMIENTO DE ***LOC.1 ha infringido lo dispuesto en el artículo 10 de la LOPD, lo que supone una infracción tipificada como grave en el artículo 44.3.
2. d)de la citada norma, así como que se requiera la adopción de las medidas de orden interno que impidan que en el futuro pueda producirse una nueva infracción del artículo 10 de la mencionada Ley. HECHOS PROBADOS PRIMERO: La denunciante ha comunicado el día 21 de julio de 2017 a esta Agencia de Protección de Datos que el día 7 de julio de 2017 presentó en la localidad de ***LOC.2, perteneciente al Ayuntamiento de ***LOC.1, Burgos, una solicitud relativa a la retirada de mobiliario urbano y que ese mismo día esa solicitud se expuso en el tablón de edictos de dicha localidad. Aporta constancia de la presentación del escrito y de su exposición pública en el tablón de edictos del Ayuntamiento. SEGUNDO: Declara la denunciante que el día 10 de julio presentó, en el Ayuntamiento de ***LOC.1, un escrito solicitando información sobre la legalidad de esa actuación. Ese mismo día se retiró la solicitud del tablón de edictos sin que se le haya dado respuesta sobre ese proceder. Aporta constancia de la presentación de este escrito en el Ayuntamiento. TERCERO: La alcaldesa de ***LOC.1 ha aportado, un acta de manifestación del día 25 de julio de 2017 ante el puesto de Guardia Civil de ***LOC.3, Burgos, respecto de los hechos aquí denunciados. Aporta también escrito de respuesta a la denunciante del día 7 de agosto de 2017 respecto de la legalidad de la exposición pública de su solicitud, en el que le informa sobre las competencias entre el Ayuntamiento y la Junta Vecinal y sobre su derecho a la protección de datos. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
3. g)en relación con el artículo 36 de la LOPD. II El artículo 2.1 de la LOPD define su ámbito de aplicación: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/6 “1. La presente Ley Orgánica será de aplicación a los datos de carácter personal registrados en soporte físico que los haga susceptibles de tratamiento, y a toda modalidad de uso posterior de estos datos por los sectores público y privado…” El artículo 3 de la LOPD define en su apartado
4. c)como “Tratamiento de datos: Operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias.” Asimismo, dicho artículo 3 define en su apartado
5. b)como “Fichero: Todo conjunto organizado de datos de carácter personal, cualquiera que fuere la forma o modalidad de su creación, almacenamiento, organización y acceso.” En el presente caso, ha quedado acreditado que se publicaron los datos de carácter personal de la denunciante en el tablón de anuncios de la localidad de ***LOC.2, sin su consentimiento. III El artículo 10 de la LOPD establece: “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aún después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo”. El deber de secreto profesional que incumbe a los responsables de los ficheros y a todos aquellos que intervengan en cualquier fase del tratamiento de los datos de carácter personal, recogido en el artículo 10 de la LOPD, comporta su obligación de no revelar ni dar a conocer su contenido, así como “deber de guardarlos”. Continúa dicho artículo añadiendo: “obligaciones que subsistirán aún después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo”. Este deber es una exigencia elemental y anterior al propio reconocimiento del derecho fundamental a la libertad informática, a que se refiere la Sentencia del Tribunal Constitucional 292/2000, de 30 de noviembre, y por lo que ahora interesa, comporta que los datos tratados no pueden ser conocidos por ninguna persona o entidad ajena fuera de los casos autorizados por la Ley, pues en eso consiste, precisamente, el secreto. Este deber de sigilo resulta esencial en la sociedad contemporánea, cada vez más compleja, en las que los avances de la técnica sitúan a la persona en zonas de riesgo para la protección de los derechos fundamentales, como el derecho a la protección de los datos personales, que recoge el artículo 18.4 de la Constitución Española. En efecto, este precepto contiene un “instituto de garantía de los derechos de los ciudadanos que, además, es en sí mismo un derecho o libertad fundamental, el derecho a la libertad frente a las potenciales agresiones a la dignidad y a la libertad de la persona provenientes de un uso ilegítimo del tratamiento mecanizado de datos” (Sentencia del Tribunal Constitucional 292/2000). Este derecho fundamental a la protección de datos persigue garantizar a la persona un poder de control sobre sus datos personales, sobre su uso y destino que impida que se produzcan situaciones atentatorias de la dignidad de la persona. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/6 En este caso concreto, se han difundido datos personales de la denunciante por parte del Ayuntamiento de ***LOC.1, Burgos. Se trata de valorar si se ha vulnerado el principio del deber de secreto, consagrado en el artículo 10 de la LOPD, que obliga al responsable del fichero y a quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal. En este caso ha quedado acreditado que en el tablón de anuncios de la localidad de ***LOC.2, perteneciente al Ayuntamiento de ***LOC.1, Burgos, se publicaron los datos de carácter personal de la denunciante, al exponer su solicitud respecto de determinado mobiliario urbano. La alcaldesa del Ayuntamiento de ***LOC.1, ha aportado en las alegaciones al acuerdo de inicio del presente procedimiento de Declaración de Infracción, un acta de manifestación del día 25 de julio de 2017 ante el puesto de Guardia Civil de ***LOC.3, Burgos, respecto de los hechos aquí denunciados. Aporta también escrito de respuesta a la denunciante del día 7 de agosto de 2017 respecto de la legalidad de la exposición pública de su solicitud, en el que le informa sobre las competencias entre el Ayuntamiento y la Junta Vecinal y sobre su derecho a la protección de datos. En la declaración ante la Guardia Civil la alcaldesa de ***LOC.1 expone que no había tenido constancia de la exposición pública de la solicitud hasta que la denunciante presentó su escrito solicitando información sobre la legalidad del hecho. Que llamó a la alcaldesa de ***LOC.2 y le informó de que estaba cometiendo una infracción a la Ley de protección de datos, quien le comunicó que iba a quitarlo y que después la alcaldesa de ***LOC.1 llamó a la denunciante para comunicárselo. Expone también que aún no ha contestado el escrito del día 10 de julio pero que su intención es hacerlo. Por otra parte, con relación a las medidas a adoptar en un caso como el presente, hay que tener en cuenta que en el tratamiento de datos personales se debe comprobar que se dispone del consentimiento inequívoco de los afectados, previo al tratamiento de datos que se desee realizar. Además podría también informarse a todo el personal del procedimiento a adoptar para evitar casos como el presente, y que se documente esta acción informativa y quede constancia de la incidencia ocurrida y de las medidas adoptadas al respecto. IV La conducta de la denunciada se incardina en el artículo 44.3.
6. d)de la LOPD que indica como tal: “La vulneración del deber de guardar secreto acerca del tratamiento de los datos de carácter personal al que se refiere el artículo 10 de la presente Ley.” De acuerdo con los fundamentos anteriores, hay que entender que por parte del Ayuntamiento de ***LOC.1, se ha producido una vulneración del deber de secreto, dado que se han difundido los datos de carácter personal concernientes a la denunciante, y que procede calificar la infracción como infracción grave. El hecho constatado de la difusión de datos personales fuera del ámbito de los C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/6 afectados, establece la base de facto para fundamentar la imputación de la infracción del artículo 10 de la LOPD. V Por último, el artículo 46 de la LOPD, “Infracciones de las Administraciones Públicas”, dispone que: “1. Cuando las infracciones a que se refiere el artículo 44 fuesen cometidas en ficheros de titularidad pública o en relación con tratamientos cuyos responsables lo serían de ficheros de dicha naturaleza, el órgano sancionador dictará una resolución estableciendo las medidas que procede adoptar para que cesen o se corrijan los efectos de la infracción. Esta resolución se notificará al responsable del fichero, al órgano del que dependa jerárquicamente y a los afectados si los hubiera. 2. El órgano sancionador podrá proponer también la iniciación de actuaciones disciplinarias, si procedieran. El procedimiento y las sanciones a aplicar serán las establecidas en la legislación sobre régimen disciplinario de las Administraciones Públicas. 3. Se deberán comunicar al órgano sancionador las resoluciones que recaigan en relación con las medidas y actuaciones a que se refieren los apartados anteriores.» 4. El Director de la Agencia comunicará al Defensor del Pueblo las actuaciones que efectúe y las resoluciones que dicte al amparo de los apartados anteriores”. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR que el AYUNTAMIENTO DE ***LOC.1 ha infringido lo dispuesto en el artículo 10 de la LOPD, tipificada como grave en el artículo 44.3.
7. d)de la citada Ley Orgánica. SEGUNDO: NO REQUERIR la adopción de una concreta medida correctora, toda vez que ya se han hecho las apreciaciones pertinentes. TERCERO: NOTIFICAR la presente resolución al AYUNTAMIENTO DE ***LOC.1. CUARTO: COMUNICAR la presente resolución al Defensor del Pueblo, de conformidad con lo establecido en el artículo 46.4 de la LOPD. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/6 Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, se podrá interponer potestativamente recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa (en lo sucesivo LJCA), en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Sin embargo, el responsable del fichero de titularidad pública, de acuerdo con el artículo 44.1 de la LJCA, sólo podrá interponer directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la LJCA, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es