1/7 Procedimiento Nº AP/00067/2015 RESOLUCIÓN: R/00092/2016 En el procedimiento de Declaración de Infracción de Administraciones Públicas AP/00067/2015, instruido por la Agencia Española de Protección de Datos al EXCMO. AYUNTAMIENTO DE TRABANCA, vista la denuncia presentada por Don A.A.A., y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fecha 23 de diciembre de 2014, tuvo entrada en esta Agencia escrito de Don A.A.A. (en lo sucesivo el denunciante) en el que denuncia al AYUNTAMIENTO DE TRABANCA por la publicación en su página web de escritos del denunciante de impugnación de los presupuestos municipales y sentencias judiciales. Los datos personales publicados son los siguientes: nombre, apellidos y domicilio particular del denunciante. Adjunto a su denuncia aportó copia de los documentos publicados y de una sentencia en la que consta citado como testigo en su condición de exalcalde en un procedimiento de requerimiento de embargo al citado Ayuntamiento. SEGUNDO: A la vista de los hechos denunciados, se constató mediante Diligencias de fecha 20 de enero y 19 de febrero de 2015, que a través de la página web del Ayuntamiento de Trabanca se puede acceder a la reclamación formulada por el denunciante así como a la respuesta dada a la misma. La citada documentación se encuentra en las siguientes direcciones: https://............ https://............1 TERCERO: Con fecha 17 de noviembre de 2015, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento de declaración de infracción de Administraciones Públicas al AYUNTAMIENTO DE TRABANCA por la presunta infracción del artículo 4.1 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como grave en el 44.3.
- c)de dicha norma. CUARTO: Notificado el citado acuerdo de inicio de procedimiento de declaración de infracción de Administraciones Públicas, con fecha 23 de noviembre de 2015, según consta en el Acuse emitido, el Ayuntamiento de Trabanca no ha presentado alegaciones al Acuerdo de Inicio. Por su parte, Don A.A.A. remitió escrito, con fecha 4 de diciembre de 2015, en C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/7 el que solicitaba personarse como interesado en el procedimiento. QUINTO: El artículo 13.2 del Real Decreto 1398/1993, de 4 de agosto, por el que se aprueba el Reglamento del procedimiento para el ejercicio de la potestad sancionadora, señala que: “El acuerdo de iniciación se comunicará al instructor, con traslado de cuantas actuaciones existan al respecto, y se notificará al denunciante, en su caso, y a los interesados, entendiendo en todo caso por tal al inculpado. En la notificación se advertirá a los interesados que, de no efectuar alegaciones sobre el contenido de la iniciación del procedimiento en el plazo previsto en el artículo 16.1, la iniciación podrá ser considerada propuesta de resolución cuando contenga un pronunciamiento preciso acerca de la responsabilidad imputada, con los efectos previstos en los artículos 18 y 19 del Reglamento.” HECHOS PROBADOS PRIMERO: Don A.A.A. denunció ante la AEPD al Ayuntamiento de Trabanca por la publicación en su página web de varios escritos del denunciante referidos a la impugnación de los presupuestos municipales y de una sentencia en la que consta citado como testigo en su condición de exalcalde en un procedimiento de requerimiento de embargo al citado Ayuntamiento (folios 1-22). SEGUNDO: Con fechas 20 de enero y 19 de febrero de 2015, la Inspección de Datos verificó que a través de la página web del Ayuntamiento de Trabanca se puede acceder a la reclamación formulada por el denunciante así como a la respuesta dada a la misma. La citada documentación se encuentra en las siguientes direcciones: https://............ https://............1 (folios 23-30) TERCERO: Los datos personales del denunciante que aparecen publicados son los siguientes: nombre, apellidos y domicilio particular del denunciante, asociados a la citación como testigo en su condición de exalcalde en un procedimiento de requerimiento de embargo al citado Ayuntamiento (folios 19, 25 y 29) CUARTO: Con fecha 18 de enero de 2016, la Instructora verificó que realizando una consulta en el buscador Google en las siguientes direcciones: https://............ https://............1, se visualiza el texto: no obtuvo ningún resultado (…). (folios 40-42) FUNDAMENTOS DE DERECHO C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/7 I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
- g)en relación con el artículo 36 de la LOPD. II La LOPD en sus art. 1 y 2.1) establece: “La presente Ley Orgánica tiene por objeto garantizar y proteger, en lo que concierne al tratamiento de los datos personales, las libertades públicas y los derechos fundamentales de las personas físicas, y especialmente de su honor e intimidad personal y familiar.” “1. La presente Ley Orgánica será de aplicación a los datos de carácter personal registrados en soporte físico que los haga susceptibles de tratamiento, y a toda modalidad de uso posterior de estos datos por los sectores público y privado.” III La LOPD delimita su ámbito de aplicación en el párrafo primero de su artículo 2.1, definiendo el concepto de dato de carácter personal en su artículo 3.
- a)que define los datos de carácter personal como: “Cualquier información concerniente a personas físicas identificadas o identificables”. En similares términos se expresa en su artículo 5.
- f)el Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de Desarrollo de la LOPD. Por su parte el artículo 3.
- d)de la LOPD define al responsable del fichero o tratamiento como la “persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento.” A su vez, el artículo 3.
- c)de la LOPD define el tratamiento de datos personales en los siguientes términos: “Operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias.” IV Con el fin de precisar la antijuridicidad de la infracción imputada, procede analizar, previamente, el principio del consentimiento consagrado en el artículo 6.1 de la LOPD, que dispone: “El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa”. El tratamiento de datos de carácter personal sin consentimiento de los afectados constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre, (F.J. 7 primer párrafo) “consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporciona a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/7 también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...)”. Son pues elementos característicos del derecho fundamental a la protección de datos de carácter personal los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. V La LOPD, además de sentar el anterior principio de consentimiento, regula en su artículo 4 el principio de calidad de datos que debe interpretarse conjunta y sistemáticamente con el transcrito anteriormente. El artículo 4.1 de la LOPD, garantiza el cumplimiento del principio de proporcionalidad en todo tratamiento de datos personales, cuando señala que: “1. Los datos de carácter personal sólo se podrán recoger para su tratamiento, así como someterlos a dicho tratamiento, cuando sean adecuados, pertinentes y no excesivos en relación con el ámbito y las finalidades determinadas, explícitas y legítimas para las que se hayan obtenido”. El artículo 4 de la LOPD, con la denominación “Calidad de datos” es el primer precepto del título II dedicado a los “Principios de calidad de datos”, que derivan del derecho fundamental a la protección de datos. En el apartado 1 del artículo 4 de la LOPD se establece que los datos de carácter personal sólo se podrán recoger para su tratamiento, así como someterlos a dicho tratamiento, de acuerdo con una serie de criterios, que se resumen en el principio de proporcionalidad. Este artículo 4.1 de la LOPD consagra el “principio de pertinencia en el tratamiento de los datos de carácter personal”, que impide el tratamiento de aquellos que no sean necesarios o proporcionados a la finalidad que justifica el tratamiento, debiendo restringirse el tratamiento de los datos excesivos o bien procederse a la supresión de los mismos. En consecuencia, el tratamiento del dato ha de ser pertinente y no excesivo en relación con el fin perseguido. Únicamente pueden ser sometidos a tratamiento aquellos datos que sean estrictamente necesarios para la finalidad perseguida. Por otra parte, el cumplimiento del principio de proporcionalidad no sólo debe producirse en el ámbito de la recogida de los datos, también debe respetarse en el posterior tratamiento que se realice de los mismos. Este criterio, se encuentra recogido también en el artículo 6 de la Directiva 95/46/CE, aparece también reflejado en el Convenio 108, cuyo artículo 5
- c)indica que "los datos de carácter personal que sean objeto de un tratamiento automatizado (...) serán adecuados, pertinentes y no excesivos en relación con las finalidades para las cuales se hayan registrado”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/7 El mencionado precepto debe ponerse en correlación con lo previsto en el apartado 2 del citado artículo 4, según el cual: “Los datos de carácter personal objeto de tratamiento no podrán usarse para finalidades incompatibles con aquellas para las que los datos hubieran sido recogidos. No se considerará incompatible el tratamiento posterior de éstos con fines históricos, estadísticos o científicos.”. Las finalidades a las que alude este apartado 2 han de ligarse o conectarse siempre con el principio de pertinencia o limitación en la recogida de datos regulado en el artículo 4.1 de la misma Ley. En el presente supuesto el Ayuntamiento de Trabanca publicó en su página web, resultando accesible a terceros no autorizados datos excesivos contenidos en una reclamación formulada por el denunciante así como a la respuesta dada a la misma, referida a la impugnación de los presupuestos municipales y una sentencia en la que consta citado como testigo en su condición de exalcalde en un procedimiento de requerimiento de embargo al citado Ayuntamiento. Los datos personales del denunciante que aparecen publicados son los siguientes: nombre, apellidos y domicilio particular del denunciante, asociados a la citación como testigo en su condición de exalcalde en un procedimiento de requerimiento de embargo al citado Ayuntamiento Por otra parte, el Ayuntamiento de Trabanca no ha acreditado ante esta Agencia que contara con el consentimiento del denunciante para la publicación que se detalla más arriba. En consecuencia, el Ayuntamiento de Trabanca al llevar a cabo dicho tratamiento de datos de carácter personal procedió a difundir los datos personales del denunciante. Por tanto, se incumplió el principio de calidad de datos con la revelación de datos personales que resultaban excesivos y no pertinentes a terceros con motivo de la publicación en cuestión, que puede calificarse como un incumplimiento de lo dispuesto en la normativa de protección de datos; quedando acreditado en el expediente que los datos personales del denunciante en poder del Ayuntamiento de Trabanca fueron difundidos sin consentimiento ni habilitación legal para ello, por lo que ha de entenderse vulnerado el artículo 4.1 de la LOPD. VI El artículo 44.3.
- c)de la LOPD, califica como infracción grave: “Tratar datos de carácter personal o usarlos posteriormente con conculcación de los principios y garantías establecidos en el artículo 4 de la presente Ley y las disposiciones que lo desarrollan, salvo cuando sea constitutivo de infracción muy grave” En este caso la conducta del Ayuntamiento de Trabanca vulnera el citado principio de calidad de datos, toda vez que ha quedado acreditado en el presente procedimiento que se ha producido un tratamiento excesivo, no pertinente e inadecuado de los datos de los datos personales del denunciante, en concreto con la publicación del domicilio del denunciante, puesto que el resto de los datos publicados, asociados a su relación como ex alcalde del municipio y relacionados con la impugnación de los presupuestos municipales, podrían entenderse de interés general. En cualquier caso, la publicación en la página web en abierto y a la vista de cualquiera encuentra su C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/7 tipificación en el artículo 44.3.
- c)de la LOPD. VII Por último, el artículo 46 de la LOPD, “Infracciones de las Administraciones Públicas”, dispone que: «1. Cuando las infracciones a que se refiere el artículo 44 fuesen cometidas en ficheros de titularidad pública o en relación con tratamientos cuyos responsables lo serían de ficheros de dicha naturaleza, el órgano sancionador dictará una resolución estableciendo las medidas que procede adoptar para que cesen o se corrijan los efectos de la infracción. Esta resolución se notificará al responsable del fichero, al órgano del que dependa jerárquicamente y a los afectados si los hubiera. 2. El órgano sancionador podrá proponer también la iniciación de actuaciones disciplinarias, si procedieran. El procedimiento y las sanciones a aplicar serán las establecidas en la legislación sobre régimen disciplinario de las Administraciones Públicas. 3. Se deberán comunicar al órgano sancionador las resoluciones que recaigan en relación con las medidas y actuaciones a que se refieren los apartados anteriores.» 4. El Director de la Agencia comunicará al Defensor del Pueblo las actuaciones que efectúe y las resoluciones que dicte al amparo de los apartados anteriores”. En el presente caso no se propone ninguna medida correctora dado que en la actualidad no consta que la información objeto de la denuncia, aparecida en la web del Ayuntamiento continúe publicada en la misma. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR que el AYUNTAMIENTO DE TRABANCA ha infringido lo dispuesto en el artículo 4.1 de la LOPD, tipificada como grave en el artículo 44.3.
- c)de la citada Ley Orgánica. TERCERO: NOTIFICAR la presente resolución al EXCMO. AYUNTAMIENTO DE TRABANCA y a Don A.A.A. CUARTO: COMUNICAR la presente resolución al Defensor del Pueblo, de conformidad con lo establecido en el artículo 46.4 de la LOPD. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/7 Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, se podrá interponer potestativamente recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa (en lo sucesivo LJCA), en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Sin embargo, el responsable del fichero de titularidad pública, de acuerdo con el artículo 44.1 de la LJCA, sólo podrá interponer directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la LJCA, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es