AAPP-00061-2016

1/15 Procedimiento Nº AP/00061/2016 RESOLUCIÓN: R/00692/2017 En el procedimiento de Declaración de Infracción de Administraciones Públicas AP/00061/2016, instruido por la Agencia Española de Protección de Datos al AYUNTAMIENTO DE LAS REGUERAS, vista la denuncia presentada por A.A.A., y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fecha 15 de enero de 2016, tuvo entrada en esta Agencia escrito remitido por Don A.A.A. (en lo sucesivo el denunciante), en el que denunciaba que el Ayuntamiento de Las Regueras había publicado en su página web (http://www.lasregueras.es.............), en abierto y a la vista de cualquiera, el Acta de la Sesión Ordinaria de la Junta de Gobierno Local de DD de MM de AA, en la que constan sus datos personales, en concreto nombre y apellidos, y su domicilio, indicando que éste es en el pueblo de ***LOCALIDAD.1, y que en la medida que en el mismo no hay más de XXXX habitantes, es plenamente identificable. En el referenciado acta se hacía mención al Sr. A.A.A. como solicitante de la reposición de unas .......... instaladas por el Ayuntamiento, y que habían sido arrancadas por actos vandálicos, y donde se le comunica que las citadas ..... serán repuestas a su lugar cuando las disponibilidades de personal lo permitan, al margen de su real eficacia para el fin a que se destinan, ya que no gozan de gran aceptación entre la población del concejo. Para acreditar los hechos denunciados, junto con su denuncia aporta la siguiente documentación:  Relación en papel de las Juntas de Gobierno celebradas en el año AA en el Ayuntamiento de Las Regueras, entre las que consta la celebrada el DD de MM (www.lasregueras.es.............).  Copias de las Actas de la sesiones ordinarias de la Junta de Gobierno Local del Ayuntamiento de Las Regueras del día DD1 de MM1 de AA1 y del DD de MM de AA, donde aparece su nombre, apellidos y domicilio; solicitando en la primera, una licencia municipal de obras, y en la segunda, la reposición de las .........., instaladas por el Ayuntamiento en ***LOCALIDAD.1 en el año 2011. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia tuvo conocimiento de los siguientes extremos: 1. Mediante diligencia de fecha 16/2/2016 se comprueba que aparecen publicadas en la web del AYUNTAMIENTO las actas de la Junta de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/15 Gobierno Local. 2. Mediante diligencia de fecha 14/7/2016 se ha podido comprobar que la información que manifiesta el denunciante efectivamente se encuentra publicada en la web del AYUNTAMIENTO. 3. Solicitada información al AYUNTAMIENTO, el mismo manifiesta: a. Que no cuenta con consentimiento del denunciante para la exposición pública de sus datos personales. b. Al no indicarse en el escrito de la Agencia cuál es la publicación realizada por el AYUNTAMIENTO referida al afectado, que es objeto de la denuncia, tras las oportunas comprobaciones entiende el AYUNTAMIENTO que se trata de la publicación en la web municipal del siguiente acuerdo de la Junta de Gobierno de fecha 24/09/2015: -“D. A.A.A., con domicilio en ***LOCALIDAD.1, solicita (23/09/2015) la reposición de las .......... instaladas por el Ayuntamiento en ***LOCALIDAD.1 en el año 2011, arrancadas por actos vandálicos. Se acuerda comunicar al solicitante que las citadas ..... serán repuestas a su lugar cuando las disponibilidades de personal lo permitan, al margen de su real eficacia para el fin a que se destinan, ya que no gozan de gran aceptación entre la población del Concejo según la información de que se dispone”. c. Señala el AYUNTAMIENTO que la mención al domicilio del interesado sólo alude a la población de residencia sin mayor detalle, lo que conduce a considerar que la información publicada es meramente nominativa (nombre y apellidos) con referencia sólo genérica a su residencia, sin revelación de otros datos identificativos del afectado, ni mucho menos de otra información relativa a la intimidad de éste, dado el contenido claramente genérico y administrativo de la información relativa a una cuestión de gestión vial, que se limita a consignar el hecho del ejercicio del derecho de petición de un ciudadano y de la contestación municipal. d. El artículo 70.2 de la LBRL establece que los acuerdos que adopten las corporaciones locales se publican o notifican en la forma prevista por la Ley; el artículo 113 del Reglamento de Organización, Funcionamiento y Régimen Jurídico de las Entidades Locales (en adelante ROE) establece que las sesiones de la Comisión de Gobierno no serán públicas, sin perjuicio de la publicidad y comunicación a las Administraciones Estatal y Autonómica de los acuerdos adoptados; y el artículo 229 del mismo Reglamento determina que, sin C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/15 perjuicio de lo dispuesto en el artículo 70.2 de la LBRL, la Corporación dará publicidad resumida del contenido de las sesiones plenarias y de todos los acuerdos del Pleno y de la Comisión de Gobierno. Por tal motivo, el AYUNTAMIENTO considera que la publicación objeto de la denuncia se ha realizado en el ejercicio de las competencias municipales recogidas en los preceptos señalados, por lo que se solicita que aquélla sea archivada. e. Asimismo invoca los artículos 5 y 15 de la Ley 19/2013, de 9 de diciembre, de transparencia, acceso a la información pública y buen gobierno (LTBG) Manifiesta el AYUNTAMIENTO que, de los preceptos de la LTBG reseñados parece deducirse que, en relación con la publicidad activa, sólo cuando se traten datos especialmente protegidos (los del art. 7 LOPD) ha de llevarse a cabo la operación de disociación, y que además, la publicación se hará en las sedes electrónicas o páginas web y de una manera clara, estructurada y entendible para los interesados y, preferiblemente, en formatos reutilizables. En relación con la publicidad pasiva, aun no siendo el objeto de la denuncia, pero debido a lo revelador de su regulación en la LTBG respecto a los datos de carácter personal, parece deducirse que, previa la oportuna ponderación (con el tiempo podrá conocerse doctrina y jurisprudencia aclaratoria de tan compleja operación depositada en los gestores públicos) podrá darse acceso a los solicitantes de información cuando ésta no contuviera datos especialmente protegidos (los del art. 7 de la LOPD), lo que incide en la línea apuntada de distinción en cuanto a su protección y disociación entre datos especialmente protegidos y el resto de los datos de carácter personal. f. En prevención de que, pese a las explicaciones y argumentaciones realizadas por el AYUNTAMIENTO, la AEPD concluyese que se ha producido algún incumplimiento de lo establecido en la LOPD, se procederá cautelarmente a la eliminación en la página web municipal de la publicación del acuerdo de la Junta de Gobierno objeto de la denuncia. 4. Mediante diligencia de fecha 4/11/2015 se ha podido comprobar que: a. En la dirección http://www.lasregueras.es............. ya no aparecen enlaces a las actas de la Junta de Gobierno de los años 2014 y 2015. b. Sin embargo, el acta de la Junta de Gobierno en la que aparece el denunciante sigue estando accesible a través de la dirección http://www.lasregueras.es.............1 en la que sigue C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/15 apareciendo el denunciante.” TERCERO: Con fecha 05/12/2016, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento de declaración de infracción de Administraciones Públicas al Ayuntamiento de las Regueras con arreglo a lo dispuesto en el artículo 46 de LOPD, por la presunta infracción de los artículos 6.1 y 10 de la citada Ley Orgánica, tipificadas como graves en los artículos 44.3.

1. b)y 44.3.d), respectivamente; así como incorporar al citado procedimiento, a efectos probatorios la denuncia interpuesta por el denunciante y su documentación, los documentos obtenidos y generados por los Servicios de Inspección durante la fase de investigaciones, así como el informe de actuaciones previas de Inspección. Acuerdo de inicio que fue notificado al referido Ayuntamiento el día 13/12/2016. CUARTO: Mediante escrito fechado el 14 de diciembre de 2016, y con entrada en esta Agencia el día 22/12/2016, el Ayuntamiento de la Regueras reitera lo ya manifestado, añadiendo: “…, ya se ha producido a la eliminación en la página web municipal de la publicación de los acuerdos de la Junta de Gobierno objeto de la denuncia, y de cuantos otros acuerdos pudieran incidir en supuestos similares al que es objeto del expediente instruido por la AEPD. Tras la advertencia de AEPD relativa a la URL a través de la cual aún se podía acceder al documento PDF alojado en el servidor del Consorcio Asturiano de Servicios Tecnológicos se ha procedido a la eliminación de dicho documento publicado en la plataforma al que se enlazaba desde la página web municipal. Al no contar este Ayuntamiento con personal técnico informático específico se ha cometido el error de no eliminar el documento PDF al cual se enlazaba desde el a página web, por ello, se está trabajando con el citado consorcio para recibir instrucciones precisas y proceder la eliminación definitiva de todos los documentos de la plataforma que previamente han sido eliminados de la web municipal, tarea que sin duda supondrá un gran esfuerzo de tiempo y dedicación por parte del personal municipal, pero que conscientes de su necesidad se llevará a cabo lo antes posible”. QUINTO: Mediante diligencia de 16 de enero de 2017 se comprueba por parte de esta Agencia, que en el enlace http://www.lasregueras.es.............1, ya no consta el acta de la Junta de Gobierno donde aparecía el denunciante. SEXTO: Con fecha 30 de enero de 2017 se emitió propuesta del literal “Que por la Directora de la Agencia Española de Protección de Datos se declare la infracción del AYUNTAMIENTO DE LAS REGUERAS del artículo 6.1 de la LOPD, tipificada como grave en el 44.3.
2. b)de dicha Ley Orgánica, y la comisión de la infracción del artículo 10 de la LOPD tipificada como grave en el artículo 44.3.
3. d)de dicha LOPD. SÉPTIMO: En el plazo otorgado, no se recibieron alegaciones. OCTAVO: A fecha 08/03/2017, en la web institucional del AYUNTAMIENTO DE LAS REGUERAS se comprueba que han sido eliminadas de la misma las actas de la Junta de Gobierno de los años 2014, 2015 y las de los primeros meses del año 2016, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/15 constando publicado el primer acta de la sesión extraordinaria de la Junta de Gobierno Local del AYUNTAMIENTO DE LAS REGUERAS del día 27 de mayo de 2016; no obstante lo anterior, en el referido acta, y en todas las publicadas con posterioridad, consta el siguiente encabezado: “En cumplimiento de lo dispuesto en el artículo 229 del Real decreto 2568/1987, de 28 de noviembre, por el que se aprueba el Reglamento de Organización, Funcionamiento y Régimen Jurídico de las Entidades Locales, se procede a dar publicidad resumida, y conforme a lo dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, del contenido debidamente disociado de los acuerdos de la Junta de Gobierno”. HECHOS PROBADOS PRIMERO: Que el Ayuntamiento de las Regueras publicó en su web (http://www.lasregueras.es/), el acta de la Junta de Gobierno de fecha 24/09/2015, donde se hacía constar el nombre y apellidos del denunciante. y que su domicilio estaba en ***LOCALIDAD.1, mencionándole como solicitante de la reposición de unas .......... instaladas por el Ayuntamiento, y que habían sido arrancadas por actos vandálicos, y donde se le comunica que las citadas ..... serán repuestas a su lugar cuando las disponibilidades de personal lo permitan, al margen de su real eficacia para el fin a que se destinan, ya que no gozan de gran aceptación entre la población del concejo. SEGUNDO: A fecha de la presente resolución, en la web del Ayuntamiento de las Regueras, las actas de su Junta de Gobierno de los años 2014 y 2015 han sido eliminadas, y por lo tanto, las actas origen de la controversia ya no son públicas. TERCERO: En la actualidad, el AYUNTAMIENTO DE LAS REGUERAS publica en su web institucional un resumen (publicidad resumida) del contenido de las sesiones de sus Juntas de Gobierno, de acuerdo a lo establecido en el artículo 229 del Reglamento de Organización, Funcionamiento y Régimen Jurídico de las Entidades Locales, aprobado por RD 2568/1986, de 28 de noviembre. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
4. g)en relación con el artículo 36 de la LOPD. II El artículo 3.
5. a)de la LOPD define los datos de carácter personal como: ”Cualquier información concerniente a personas físicas identificadas o identificables”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/15 Añade el artículo 5.f del Real Decreto 1720/2007 por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, que dato de carácter personal es “cualquier información numérica, alfabética, gráfica, fotográfica, acústica o de cualquier otro tipo, concerniente a personas físicas identificadas o identificables.” Por lo tanto, los datos personales del denunciante recogidos en las Actas de la Junta de Gobierno Local, son datos personales del mismo. Por su parte el artículo 3.
6. c)de la LOPD define el tratamiento de datos personales en los siguientes términos: “Operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias.” A su vez, el artículo 3.
7. d)de la LOPD define al responsable del fichero o tratamiento como la “persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento.” III El artículo 6.1 de la LOPD dispone: “El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa”. Por su parte, el apartado 2 del mencionado artículo contiene una serie de excepciones a la regla general contenida en aquel apartado 1, estableciendo que: “No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado.” El artículo 3 de la LOPD define en su apartado
8. h)como “Consentimiento del interesado” a: “Toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen.” La LOPD no requiere, por lo tanto, que el consentimiento se preste por escrito o con formalidades determinadas, pero sí exige que el consentimiento de los afectados sea “inequívoco”. Es por ello que el tratamiento de datos de carácter personal tiene que contar con el consentimiento del afectado o, en su defecto, entre otros supuestos, debe acreditarse que los datos provienen de fuentes accesibles al público, que existe una ley que ampara ese tratamiento o una relación contractual o negocial entre el titular de los datos y el responsable del tratamiento que sea necesaria para el mantenimiento del contrato. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/15 Por otra parte, corresponde siempre al responsable del tratamiento comprobar que tiene el consentimiento del afectado cuando realiza algún tratamiento con los datos personales de éste, así, en este sentido la Audiencia Nacional, en sentencia de fecha 31 de mayo de 2006 señalaba: “Por otra parte es el responsable del tratamiento (por todas, sentencia de esta Sala de 25 de octubre de 2002 Rec. 185/2001) a quien corresponde asegurarse de que aquel a quien se solicita el consentimiento, efectivamente lo da, y que esa persona que está dando el consentimiento es efectivamente el titular de esos datos personales, debiendo conservar la prueba del cumplimiento de la obligación a disposición de la Administración, encargada de velar por el cumplimiento de la ley”. Por tanto corresponde al Ayuntamiento de Las Regueras, acreditar que contaba con ese consentimiento inequívoco del afectado. Por su parte, la Ley de Bases de Régimen Local, Ley 7/1985 de 2 de abril, señala en su artículo 70, apartado primero: “Las sesiones del Pleno de las corporaciones locales son públicas. No obstante, podrán ser secretos el debate y votación de aquellos asuntos que puedan afectar al derecho fundamental de los ciudadanos a que se refiere el artículo 18.1 de la Constitución, cuando así se acuerde por mayoría absoluta. No son públicas las sesiones de la Junta de Gobierno Local”. Y en su apartado segundo: “Los acuerdos que adopten las corporaciones locales se publican o notifican en la forma prevista por la Ley”. El artículo 113 del ROF y RJEL dispone en su apartado primero letra “b”: “
9. b)Las sesiones de la Comisión de Gobierno no serán públicas, sin perjuicio de la publicidad y comunicación a las Administraciones Estatal y Autonómica de los acuerdos adoptados. El artículo 88.1 del R.D. 2568/1986, de 28 de noviembre, del Reglamento de Organización, Funcionamiento y Régimen Jurídico de las Entidades Locales, establece el carácter público de las sesiones del Pleno, con la posibilidad de celebrar a puerta cerrada el debate y votación de aquellos asuntos que puedan afectar al derecho fundamental de los ciudadanos a que se refiere el artículo 18 de la Constitución, cuando así se acuerde por mayoría absoluta. A su vez, el artículo 229 del RD 2568/1986 establece que las Corporaciones darán publicidad resumida del contenido de las sesiones plenarias y de todos los acuerdos del Pleno y de las Comisiones de Gobierno, así como de las resoluciones del Alcalde. Concretamente en el citado artículo dispone que: “1. Las convocatorias y órdenes del día de las sesiones del Pleno se trasmitirán a los medios de comunicación social de la localidad y se harán públicas en el Tablón de Anuncios de la entidad. 2. Sin perjuicio de lo dispuesto en el artículo 70.2 de la Ley 7/1985, de 2 de abril, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/15 la Corporación dará publicidad resumida del contenido de las sesiones plenarias y de todos los acuerdos del Pleno y de la Comisión de Gobierno, así como de las resoluciones del Alcalde y las que por su delegación dicten los delegados. 3. A tal efecto, además de la exposición en el Tablón de Anuncios de la entidad, podrán utilizarse los siguientes medios:
10. a)Edición, con una periodicidad mínima trimestral, de un boletín informativo de la entidad.
11. b)Publicación en los medios de comunicación social del ámbito de la entidad.” (El subrayado es de la Agencia Española de Protección de Datos) En cuanto al tratamiento automatizado, la cuestión del tratamiento de datos en un medio automatizado como es la web, fue objeto de análisis por el Tribunal de Justicia de la Unión Europea, en la sentencia de 6 de noviembre de 2003 (caso LINDQVIST. Asunto C-101/01), señalando en lo que aquí interesa: "El concepto de «datos personales» que emplea el artículo 3, apartado 1, de la Directiva 95/46 comprende, con arreglo a la definición que figura en el artículo 2, letra a), de dicha Directiva «toda información sobre una persona física identificada o identificable». Este concepto incluye, sin duda, el nombre de una persona junto a su número de teléfono o a otra información relativa a sus condiciones de trabajo o a sus aficiones. En cuanto al concepto de «tratamiento» de dichos datos que utiliza el artículo 3, apartado 1, de la Directiva 95/46, éste comprende, con arreglo a la definición del artículo 2, letra b, de dicha Directiva, «cualquier operación o conjunto de operaciones, efectuadas o no mediante procedimientos automatizados, y aplicadas a datos personales». Esta última disposición enumera varios ejemplos de tales operaciones, entre las que figura la comunicación por transmisión, la difusión o cualquier otra forma que facilite el acceso a los datos. De ello se deriva que la conducta que consiste en hacer referencia, en una página web, a datos personales debe considerarse un tratamiento de esta índole. Queda por determinar si dicho tratamiento está «parcial o totalmente automatizado». A este respecto, es preciso observar que difundir información en una página web implica, de acuerdo con los procedimientos técnicos e informáticos que se aplican actualmente, publicar dicha página en un servidor, así como realizar las operaciones necesarias para que resulte accesible a las personas que están conectadas a Internet. Estas operaciones se efectúan, al menos en parte, de manera automatizada.” Por tanto, la conducta que consiste en hacer referencia, en una página web, a una o diversas personas, identificándolas por su nombre o por otros medios, o pudiendo ser identificable, constituye un tratamiento automatizado de datos personales. El Ayuntamiento trató el dato del denunciante en su página web sin existir habilitación legal para dicha exposición, pues por Ley, no siendo públicas las sesiones, no ha de ser pública la exposición que contenga dichos datos, suponiendo además una indebida divulgación sin que criterios de relevancia o transparencia prevalezcan. La proporcionalidad del tratamiento ante una mera petición de reposición de mobiliario C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/15 urbano, no justifica tampoco bajo la pretendida transparencia, la exposición de los datos. Pero tampoco se ha acreditado que contara con el consentimiento del afectado para la publicación en cuestión; de hecho, manifiesta que no contaba con él, como así exige el precitado artículo 6.1; acreditándose pues, una infracción al mismo. IV La vulneración del artículo 6 de la LOPD, se tipifica como infracción grave en el artículo 44.3 letra “b”, que señala: “3. Son infracciones graves:
12. b)Tratar datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo”. V El artículo 10 de la LOPD que se considera infringido dispone "El responsable del fichero y quienes intervengan en cualquier fase de tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aún después de finalizar sus relaciones con el titular del fichero, o, en su caso, con el responsable del mismo". El artículo 10 de la LOPD contiene una regla que afecta a la confidencialidad como parte de la seguridad de los datos de carácter personal, tratando de salvaguardar el derecho de las personas a mantener la privacidad de tales datos y, en definitiva, el poder de control o disposición sobre los mismos. El deber de secreto trata de salvaguardar o tutelar el derecho de las personas a mantener la privacidad de sus datos de carácter personal y en definitiva el poder de control o disposición sobre sus datos. Este deber de secreto está lógicamente relacionado con el secreto profesional. Según el ATC de 11 de diciembre de 1989 "el secreto profesional se entiende como la sustracción al conocimiento ajeno, justificada por razón de una actividad, de datos o informaciones obtenidas que conciernen a la vida privada de las personas". El deber de secreto en el tratamiento de datos personales, tiene la misma fundamentación jurídica, pero se refiere al ámbito estricto del tratamiento de los datos personales, para que el responsable del fichero y, cualquier persona que intervenga en el tratamiento, esté obligado a mantener la confidencialidad de los datos personales”. En este sentido el deber de sigilo como señalan las SSAN, Sec. 1ª, de 14 de septiembre de 2002 (Rec.196/00), 13 de abril de 2005 (Rec. 230/2003), 18 de julio de 2007 (Rec. 377/2005 ) "es una exigencia elemental y anterior al propio reconocimiento del derecho fundamental a la libertad informática a que se refiere la STC 292/2000 (...) Este deber de sigilo resulta esencial en las sociedades actuales cada vez más complejas, en las que los avances de la técnica sitúan a la persona en zonas de riesgo para la protección de los derechos fundamentales, como la intimidad o el derecho a la protección de datos que recoge el artículo 18.4 de la CE (...)". El citado artículo 10 regula de forma individualizada el deber de secreto de quienes tratan datos personales, dentro del título dedicado a los principios de protección C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/15 de datos, lo que refleja la gran importancia que el legislador atribuye al mismo. Este deber de secreto pretende que los datos personales no puedan conocerse por terceros, salvo de acuerdo con lo dispuesto en otros preceptos de la LOPD, como por ejemplo el artículo 11 (comunicación de datos). Por esta Agencia Española de Protección de Datos se comprobó que en la página web del Ayuntamiento, en el apartado “Juntas de Gobierno 2015”, se encontraban publicadas las actas del referido año, y en concreto la de fecha 24/09/2015, de la que se obtuvo copia el día 07/06/2016 como así consta en el expediente. En el presente caso, ha quedado acreditado en el expediente, la difusión a través de la página web del Ayuntamiento de Las Regueras, del Acta de la Junta de Gobierno Local de fecha 24/09/2015, en la que se recoge datos personales del denunciante, y donde se hacía constar, que el Sr. A.A.A. solicitaba la reposición de las .......... instaladas por el Ayuntamiento. En la denuncia se aportaba también copia de la referida Acta. El Ayuntamiento denunciado no ha acreditado que contara con el consentimiento del afectado para la publicación que se detalla en los puntos anteriores; de hecho, manifiesta que no contaba con él. Por tanto, se incumplió el deber de secreto con la revelación de datos personales a terceros con motivo de la publicación en cuestión, que puede calificarse como un incumplimiento de lo dispuesto en la normativa de protección de datos; quedando acreditado en el presente expediente que datos personales del denunciante fueron difundidos sin consentimiento ni habilitación legal para ello, por lo que ha de entenderse vulnerado el deber de secreto que impone el artículo 10 de la LOPD. VI El Ayuntamiento de Las Regueras alega que tiene habilitación legal para “la publicación objeto de la denuncia, y que lo ha realizado en el ejercicio de sus competencias, y ello virtud de los 70 de la Ley de Bases de Régimen Local, y artículos 113 y 229 del Reglamento de Organización, Funcionamiento y Régimen Jurídico de las Entidades Locales,. A este respecto cabe transcribir un Informe del Servicio Jurídico de esta Agencia Española de Protección de Datos que resulta muy clarificador. De entre todos se reproduce en parte el informe 43/2014: <<La cuestión de la publicidad de las actas de los Plenos de los Ayuntamientos ha sido reiteradamente estudiada por esta Agencia, como en el informe de 9 de septiembre de 2009. A esta cuestión la Agencia ha emitido diversos informes al respecto y por todos ellos cabe mencionar el informe de 20 de diciembre de 2004 que a continuación se reproduce: “Como cuestión previa, debe recordarse que el artículo 2.1 de la Ley Orgánica 15/1999 delimita en su párrafo primero su ámbito objetivo de aplicación, al disponer que “La presente Ley Orgánica será de aplicación a los datos de carácter personal registrados en soporte físico que los haga susceptibles de tratamiento, y a toda modalidad de uso posterior de estos datos por los sectores público y privado”, siendo datos de carácter personal, según el artículo 3
13. a)de la Ley, “Cualquier información C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/15 concerniente a personas físicas identificadas o identificables”. De este modo, es preciso aclarar que, sin perjuicio de lo dispuesto en otras leyes, el presente informe se limitará a analizar la conformidad con lo dispuesto en la Ley Orgánica 15/1999 de la publicación de los datos de carácter personal que resulten de las mencionadas actas. Dicho lo anterior, la publicación en Internet de los datos contenidos en las actas de los Plenos y Juntas de Gobierno del Ayuntamiento constituye una cesión o comunicación de datos de carácter personal, definida por el artículo 3
14. j)de la Ley Orgánica 15/1999 como “Toda revelación de datos realizada a una persona distinta del interesado”. En relación con las cesiones de datos, prescribe el artículo 11.1 de la Ley Orgánica que “Los datos de carácter personal objeto del tratamiento sólo podrán ser comunicados a un tercero para el cumplimiento de fines directamente relacionados con las funciones legítimas del cedente y del cesionario con el previo consentimiento del interesado”, No obstante, no será necesario el consentimiento de los afectados cuando la comunicación se encuentre amparada por una norma con rango de Ley (artículo 11.2
15. a)o cuando se refiera a datos incorporados en fuentes accesibles al público (artículo 11.2 b). A tal efecto, son fuentes accesibles al público, según el segundo inciso del artículo 3
16. j)“exclusivamente, el censo promocional, los repertorios telefónicos en los términos previstos por su normativa específica y las listas de personas pertenecientes a grupos de profesionales que contengan únicamente los datos de nombre, título, profesión, actividad, grado académico, dirección e indicación de su pertenencia al grupo. Asimismo, tienen el carácter de fuentes de acceso público, los Diarios y Boletines oficiales y los medios de comunicación”. Pues bien, respecto de la publicidad de las actividades municipales, el artículo 70 de la Ley reguladora de las Bases del Régimen Local, en la redacción dada al mismo por la Ley 57/2003, de 16 de diciembre, dispone lo siguiente: “1. Las sesiones del Pleno de las corporaciones locales son públicas. No obstante, podrán ser secretos el debate y votación de aquellos asuntos que puedan afectar al derecho fundamental de los ciudadanos a que se refiere el artículo 18.1 de la Constitución, cuando así se acuerde por mayoría absoluta. No son públicas las sesiones de la Junta de Gobierno Local. 2. Los acuerdos que adopten las corporaciones locales se publican o notifican en la forma prevista por la Ley. Las ordenanzas, incluidos el articulado de las normas de los planes urbanísticos, así como los acuerdos correspondientes a éstos cuya aprobación definitiva sea competencia de los entes locales, se publicarán en el "Boletín Oficial" de la provincia y no entrarán en vigor hasta que se haya publicado completamente su texto y haya transcurrido el plazo previsto en el artículo 65.2 salvo los presupuestos y las ordenanzas fiscales que se publican y entran en vigor en los términos establecidos en la Ley 39/1988, de 28 de diciembre, Reguladora de las Haciendas Locales. Las Administraciones públicas con competencias urbanísticas deberán tener, a disposición de los ciudadanos que lo soliciten, copias completas del planeamiento vigente en su ámbito territorial. 3. Todos los ciudadanos tienen derecho a obtener copias y certificaciones acreditativas de los acuerdos de las corporaciones locales y sus antecedentes, así como C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/15 a consultar los archivos y registros en los términos que disponga la legislación de desarrollo del artículo 105, párrafo b), de la Constitución. La denegación o limitación de este derecho, en todo cuanto afecte a la seguridad y defensa del Estado, la averiguación de los delitos o la intimidad de las personas, deberá verificarse mediante resolución motivada.” Del tenor del precepto transcrito se desprende que la Ley determina la publicidad del contenido de las sesiones del Pleno, pero en ningún caso de la Junta de Gobierno, añadiendo el régimen de publicación en los Boletines Oficiales de los acuerdos adoptados. De este modo, únicamente sería conforme con lo dispuesto en la Ley Orgánica 15/1999 la comunicación de datos, mediante su inclusión en Internet, cuando dichos datos se refieran a actos debatidos en el Pleno de la Corporación o a disposiciones objeto de publicación en el correspondiente Boletín Oficial, dado que únicamente en estos supuestos la cesión se encontraría amparada, respectivamente, en una norma con rango de Ley o en el hecho de que los datos se encuentran incorporados a fuentes accesibles al público. En los restantes supuestos, y sin perjuicio de lo dispuesto en otras Leyes, la publicación únicamente sería posible si se contase con el consentimiento del interesado o si los datos no pudieran en ningún caso, vincularse con el propio interesado, cuestión ésta que, como se indicó, puede resultar sumamente compleja, dadas las características del Municipio en cuestión, por cuanto un número reducido de datos, incluso sin incluir los meramente identificativos del afectado, podría identificar a aquél.” En definitiva, y tomando en consideración esta conclusión la publicación a través de Internet de las actas de los plenos municipales sólo es conforme a la Ley 15/1999 cuando no contienen datos de carácter personal, o cuando dichos datos se refieren a actos debatidos en el Pleno o a disposiciones objeto de publicación en el Boletín Oficial que corresponda, no así en los demás supuestos, requiriéndose el consentimiento del interesado para la cesión, salvo que se den las circunstancias previstas en el artículo 11.2.a).>> El Ayuntamiento puede, en consecuencia, publicar de forma resumida el contenido de las sesiones y acuerdos del Pleno y las Comisiones, pero sin incluir más datos de los que sean adecuados, pertinentes y excesivos en relación con la finalidad pretendida. Así, no deriva de la obligación que vincula a las Corporaciones Locales de dar a conocer su actividad o de la actividad de control político de los grupos municipales, habilitación alguna para la divulgación incondicional de los datos personales y sus concretas circunstancias personales, cuya identidad no ostenta una relevancia que lo haga necesario. En este caso se trata de una mera propuesta o solicitud de reposición de mobiliario urbano. Por otra parte en relación a la alegada habilitación por parte de la Ley 19/2013, de 9 de diciembre, de transparencia, acceso a la información pública y buen gobierno, donde invoca los artículos 5 y 15 de la misma, manifestar que en este caso, con la publicación denunciada se produce una divulgación de datos personales por una administración pública que, por una parte, no está prevista entre la información sujeta a obligación de transparencia, y por tanto no está legitimada por la citada Ley de transparencia, y por otra parte como ya se ha visto, está limitada por la Ley C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/15 de Bases del Régimen Local donde se determina que las Juntas de Gobierno Local no son públicas. La publicación de los datos constatados en el presente procedimiento supone una indebida divulgación de los datos de carácter personal del Sr. A.A.A. VII La conducta del Ayuntamiento denunciado se incardina en el artículo 44.3.
17. d)de la LOPD que indica como tal: “La vulneración del deber de guardar secreto acerca del tratamiento de los datos de carácter personal al que se refiere el artículo 10 de la presente Ley.” El hecho constatado de la difusión de datos personales fuera del ámbito de los afectados, establece la base de facto para fundamentar la imputación de la infracción del artículo 10 de la LOPD. VIII El extinto artículo 4.4 del Reglamento de Procedimiento para el ejercicio de la potestad sancionadora, aprobado por Real Decreto 1398/1993, de 4 de agosto, contemplaba como concurso medial, lo siguiente: “En defecto de regulación específica establecida en la norma correspondiente, cuando de la comisión de una infracción derive necesariamente la comisión de otra u otras, se deberá imponer únicamente la sanción correspondiente a la infracción más grave cometida”. En el mismo sentido se pronuncia la hoy vigente Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público, que dispone en su artículo 29 relativo al principio de proporcionalidad, en su apartado quinto: “Cuando de la comisión de una infracción derive necesariamente la comisión de otra u otras, se deberá imponer únicamente la sanción correspondiente a la infracción más grave cometida”. En este supuesto concreto, el secreto llega a producirse porque se exponen los datos en un medio automatizado en el que se tratan, y se aprecia que al menos en este tipo de supuestos, es indefectible que el secreto se revela por el tratamiento que tiene lugar antes, siendo el secreto otra consecuencia del citado tratamiento llevado a cabo antes, de modo que si no hubiera habido tratamiento en dicha web, no se habría vulnerado el secreto. En este caso, dado que existe una dependencia absoluta de la infracción del deber de secreto, se debería imponer solo la sanción más grave. Al ser ambas de tipo grave, se estima que la primigenia del tratamiento absorbería en su caso a la segunda. Todo ello, pese a que el literal se refiere no a la comisión de las infracciones, sino a la imposición de la sanción, supuesto que para las Administraciones Públicas no tiene carácter sancionatorio sino declarativo. IX C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/15 Por último, el artículo 46 de la LOPD, “Infracciones de las Administraciones Públicas”, dispone que: «1. Cuando las infracciones a que se refiere el artículo 44 fuesen cometidas en ficheros de titularidad pública o en relación con tratamientos cuyos responsables lo serían de ficheros de dicha naturaleza, el órgano sancionador dictará una resolución estableciendo las medidas que procede adoptar para que cesen o se corrijan los efectos de la infracción. Esta resolución se notificará al responsable del fichero, al órgano del que dependa jerárquicamente y a los afectados si los hubiera. 2. El órgano sancionador podrá proponer también la iniciación de actuaciones disciplinarias, si procedieran. El procedimiento y las sanciones a aplicar serán las establecidas en la legislación sobre régimen disciplinario de las Administraciones Públicas. 3. Se deberán comunicar al órgano sancionador las resoluciones que recaigan en relación con las medidas y actuaciones a que se refieren los apartados anteriores.» 4. El Director de la Agencia comunicará al Defensor del Pueblo las actuaciones que efectúe y las resoluciones que dicte al amparo de los apartados anteriores”. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: Declarar que el AYUNTAMIENTO DE LAS REGUERAS ha infringido lo dispuesto en el artículo 6.1 de la LOPD, tipificado como grave en el artículo 44.3.
18. b)de dicha norma. SEGUNDO: Declarar que el AYUNTAMIENTO DE LAS REGUERAS ha infringido lo dispuesto en el artículo 10 de la LOPD, tipificado como grave en el artículo 44.3.
19. d)de dicha norma. TERCERO: En la medida que por parte de esta Agencia de Protección de Datos se ha comprobado que las actas de las sesiones de las Juntas de Gobierno del Ayuntamiento de las Regueras origen de la controversia, así como todas las publicadas en los años 2014, 2015 y primeros meses del año 2016, han sido eliminadas de su web institucional; y en la actualidad el referido Ayuntamiento se ajusta a la normativa vigente, en cuanto a dar una publicidad resumida del contenido (debidamente disociado) de sus Juntas de Gobierno, no se considera por parte de esta Agencia requerir ninguna medida adicional a adoptar. TERCERO: NOTIFICAR la presente resolución al AYUNTAMIENTO DE LAS REGUERAS. CUARTO: COMUNICAR la presente resolución al Defensor del Pueblo, de conformidad con lo establecido en el artículo 46.4 de la LOPD. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/15 pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 44.1 de Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa (en lo sucesivo LJCA), se podrá interponer recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la LJCA, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es