AAPP-00068-2016

1/7 Procedimiento Nº AP/00068/2016 RESOLUCIÓN: R/00646/2017 En el procedimiento de Declaración de Infracción de Administraciones Públicas AP/00068/2016, instruido por la Agencia Española de Protección de Datos al AYUNTAMIENTO DE UTRERA, vista la denuncia presentada por Don A.A.A., y en virtud de los siguientes ANTECEDENTES PRIMERO: Con fecha 29 de agosto de 2016, tiene entrada en esta Agencia un escrito remitido por Don A.A.A., en el que señala lo siguiente: 1. Las Actas de las Juntas de Gobierno Local del Ayuntamiento de Utrera recogen datos personales. 2. El Acta de la Sesión Ordinaria, celebrada por la Junta de Gobierno Local, el día 22 de julio de 2016, en su Punto 5º.- (Expte. ****/2016).- recoge la Propuesta de la Teniente de Alcalde del Área de Recursos Humanos y Desarrollo Estratégico, relativa a la “Autorización de los servicios extraordinarios de Bomberos y Policía Local por un importe total de 40.657.82.-” En dicha propuesta constan los nombres y apellidos de los funcionarios de carrera del Ayuntamiento que van a percibir ciertas cantidades dinerarias en concepto de servicios extraordinarios realizados. 3. Las Actas de la Junta de Gobierno se publican en la página web del Ayuntamiento sin restricciones de acceso. 4. En fecha 29 de julio de 2016, el denunciante, como Delegado de personal de CSIF y el Delegado de USO, presentó un escrito dirigido al Ayuntamiento de Utrera solicitando la eliminación de los datos personales de los funcionarios de la Policía Local y Bomberos, de las actas de las Juntas de Gobierno Local ya que se publican sin restricciones y estiman que no es necesario y debe primar el derecho a la protección de datos de carácter personal en lugar del derecho a la información pública. 5. Denuncian que no solo no les contestan, sino que el Ayuntamiento de Utrera publica en su web el Acta de la sesión ordinaria celebrada por la Junta de Gobierno Local el día 19 de agosto de 2016, incluyendo la Propuesta del Alcalde-Presidente Accidental, relativa a “Autorizar los servicios extraordinarios correspondientes al mes de noviembre de 2015 de la Delegación de Seguridad Ciudadana del Servicio de Extinción de Incendios-Bomberos como Policía Local”, volviéndose a publicar los nombres y apellidos de los trabajadores. SEGUNDO: Con fecha 17 de enero de 2017, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento de declaración de infracción de Administraciones Públicas al AYUNTAMIENTO DE UTRERA, por la presunta infracción del artículo 10 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como grave en el artículo 44.3.

1. d)de dicha norma. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/7 TERCERO: Con fecha 23 de enero de 2017, se procedió a la notificación del acuerdo de inicio al denunciado, según consta en el acuse emitido por el Servicio de Correos Notificado el acuerdo de inicio al denunciado, el Ayuntamiento de Utrera no ha presentado alegaciones al respecto. CUARTO: El artículo 64.2.
2. f)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Pública, señala lo siguiente: “2. El acuerdo de iniciación deberá contener al menos:
3. f)Indicación del derecho a formular alegaciones y a la audiencia en el procedimiento y de los plazos para su ejercicio, así como indicación de que, en caso de no efectuar alegaciones en el plazo previsto sobre el contenido del acuerdo de iniciación, éste podrá ser considerado propuesta de resolución cuando contenga un pronunciamiento preciso acerca de la responsabilidad imputada.”. HECHOS PROBADOS PRIMERO: Don A.A.A. denunció ante esta AEPD que el Ayuntamiento de Utrera colgó en su página web, en abierto y a la vista de cualquiera el Acta de la Sesión Ordinaria de la Junta de Gobierno Local de 22 de julio de 2016, en la cual recoge la Propuesta de la Teniente de Alcalde del Área de Recursos Humanos y Desarrollo Estratégico, relativa a la “Autorización de los servicios extraordinarios de Bomberos y Policía Local por un importe total de 40.657.82.-” En dicha propuesta constan los nombres y apellidos de los funcionarios de carrera del Ayuntamiento que van a percibir ciertas cantidades dinerarias en concepto de servicios extraordinarios realizados. SEGUNDO: Con fecha 26 de octubre de 2016, la Inspección de Datos comprobó, mediante diligencia, que continuaba colgada el Acta mencionada en la página web del Ayuntamiento de Utrera, en la dirección: http://www.utrera.org/...................html http://www.utrera.org/..................1.pdf TERCERO: En fecha 29 de julio de 2016, el denunciante presentó un escrito dirigido al Ayuntamiento de Utrera solicitando la eliminación de los datos personales de los funcionarios de la Policía Local y Bomberos de las actas de las Juntas de Gobierno Local, ya que se publican sin restricciones y estiman que no es necesario y debe primar el derecho a la protección de datos de carácter personal en lugar del derecho a la información pública. CUARTO: El Ayuntamiento de Utrera publica en su web el Acta de la sesión ordinaria C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/7 celebrada por la Junta de Gobierno Local el día 19 de agosto de 2016, incluyendo la Propuesta del Alcalde-Presidente Accidental, relativa a “Autorizar los servicios extraordinarios correspondientes al mes de noviembre de 2015 de la Delegación de Seguridad Ciudadana del Servicio de Extinción de Incendios-Bomberos como Policía Local”, volviéndose a publicar los nombres y apellidos de los trabajadores. QUINTO: Los datos personales publicados son los siguientes: nombre, apellidos y cuerpo al que pertenece, asociados a la cantidad económica percibida en concepto de “gratificación extraordinaria. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
4. g)en relación con el artículo 36 de la LOPD. II El artículo 64.2.
5. f)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Pública, prevé la posibilidad de que el acuerdo de iniciación puede ser considerado propuesta de resolución De conformidad con lo expuesto, el acuerdo de iniciación correctamente notificado podrá ser considerado directamente propuesta de resolución cuando contenga un pronunciamiento preciso a cerca de la responsabilidad imputada. Para ello son necesarios varios requisitos: • Que dicha posibilidad sea advertida expresamente al posible sancionado en la notificación del acuerdo de inicio del procedimiento. • Que el acuerdo de iniciación cumpla todas las exigencias que sobre el contenido se exigen en el apartado primero del citado artículo. • Que el sancionado no presente alegaciones en plazo sobre el contenido de la iniciación. En el presente caso, se han observado las prescripciones citadas al respecto, por lo que es conforme a derecho considerar el citado acuerdo de iniciación como propuesta de resolución. III La LOPD en sus art. 1 y 2.1) establece: “La presente Ley Orgánica tiene por objeto garantizar y proteger, en lo que concierne al tratamiento de los datos personales, las libertades públicas y los derechos fundamentales de las personas físicas, y especialmente de su honor e intimidad C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/7 personal y familiar.” “1. La presente Ley Orgánica será de aplicación a los datos de carácter personal registrados en soporte físico que los haga susceptibles de tratamiento, y a toda modalidad de uso posterior de estos datos por los sectores público y privado.” IV La LOPD delimita su ámbito de aplicación en el párrafo primero de su artículo 2.1, definiendo el concepto de dato de carácter personal en su artículo 3.
6. a)que define los datos de carácter personal como: “Cualquier información concerniente a personas físicas identificadas o identificables”. En similares términos se expresa en su artículo 5.
7. f)el Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de Desarrollo de la LOPD. Por su parte el artículo 3.
8. d)de la LOPD define al responsable del fichero o tratamiento como la “persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento.” A su vez, el artículo 3.
9. c)de la LOPD define el tratamiento de datos personales en los siguientes términos: “Operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias.” V Se propone sancionar al Ayuntamiento de Utrera por la infracción del artículo 10 de la LOPD que dispone lo siguiente: “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo.” El deber de secreto tiene como finalidad evitar que, por parte de quienes están en contacto con los datos personales almacenados en ficheros, se realicen filtraciones de los datos no consentidas por los titulares de los mismos. Así, el Tribunal Superior de Justicia de Madrid declaró: “El deber de guardar secreto del artículo 10 queda definido por el carácter personal del dato integrado en el fichero, de cuyo secreto sólo tiene facultad de disposición el sujeto afectado, pues no en vano el derecho a la intimidad es un derecho individual y no colectivo. Por ello es igualmente ilícita la comunicación a cualquier tercero, con independencia de la relación que mantenga con él la persona a que se refiera la información (...)”. El Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el sujeto infractor no se comporta con la diligencia exigible. En el presente caso, el Ayuntamiento de Utrera había publicado en su página web en abierto y a la vista de cualquiera las Actas de la Sesión Ordinaria de la Junta de Gobierno Local de 22 de julio y de 19 de agosto de 2016, en las que constan, entre otros, los datos personales de policías locales y bomberos. En concreto: nombre y apellidos asociados a la cantidad económica percibida en concepto de “gratificación policía local”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/7 Por otra parte, el Ayuntamiento de Utrera no ha acreditado ante esta Agencia que contara con su consentimiento para la publicación que se detalla más arriba. En consecuencia, el Ayuntamiento de Utrera al llevar a cabo dicho tratamiento de datos de carácter personal procedió a difundir sus datos personales. Por tanto, se incumplió el deber de secreto con la revelación de datos personales a terceros con motivo de la publicación en cuestión, que puede calificarse como un incumplimiento de lo dispuesto en la normativa de protección de datos; quedando acreditado en el expediente que los datos personales de varias personas fueron difundidos por el Ayuntamiento de Utrera sin consentimiento ni habilitación legal para ello, por lo que ha de entenderse vulnerado el deber de secreto que impone el artículo 10 de la LOPD. VI La Ley 7/1985, de 2 de abril, Reguladora de las Bases del Régimen Local dispone en su artículo 69 que las Corporaciones Locales facilitarán la más amplia información sobre su actividad y la participación de todos los ciudadanos en la vida local, señalando el artículo 70 que las sesiones del Pleno de las Corporaciones Locales serán públicas. A su vez, el artículo 229 del RD 2568/1986 establece que las Corporaciones darán publicidad resumida del contenido de las sesiones plenarias y de todos los acuerdos del Pleno y de las Comisiones de Gobierno, así como de las resoluciones del Alcalde. Concretamente en el citado artículo dispone que: “1. Las convocatorias y órdenes del día de las sesiones del Pleno se trasmitirán a los medios de comunicación social de la localidad y se harán públicas en el Tablón de Anuncios de la entidad. 2. Sin perjuicio de lo dispuesto en el artículo 70.2 de la Ley 7/1985, de 2 de abril, la Corporación dará publicidad resumida del contenido de las sesiones plenarias y de todos los acuerdos del Pleno y de la Comisión de Gobierno, así como de las resoluciones del Alcalde y las que por su delegación dicten los delegados. 3. A tal efecto, además de la exposición en el Tablón de Anuncios de la entidad, podrán utilizarse los siguientes medios:
10. a)Edición, con una periodicidad mínima trimestral, de un boletín informativo de la entidad.
11. b)Publicación en los medios de comunicación social del ámbito de la entidad.” Sin embargo, en el presente caso, el citado Ayuntamiento no dio una publicidad resumida de la Sesión Plenaria, sino que dio una publicidad completa de las Actas de la Sesión Ordinaria de la Junta de Gobierno Local de 22 de julio y de 19 de agosto de 2016, en las que constan, entre otros, los datos personales de numeroso personal del Cuerpo de Policía Local y Bomberos. En concreto: nombre y apellidos, asociados a la cantidad económica percibida en concepto de “gratificación policía local”. Además, dicha publicidad sobrepasó los límites del Tablón de Anuncios del Ayuntamiento o de los boletines informativos de la entidad y o de los medios de comunicación social del ámbito C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/7 de la entidad, ya que lo publicó en su página web y a la vista de cualquiera. VII El artículo 44.3.
12. d)de la LOPD, califica como infracción grave: “La vulneración del deber de guardar secreto acerca del tratamiento de los datos de carácter personal al que se refiere el artículo 10 de la presente Ley”. De acuerdo con los fundamentos anteriores, hay que entender que por parte del Ayuntamiento de Utrera se ha producido una vulneración del deber de secreto, dado que la información difundida contiene datos de carácter personal concerniente al denunciante y otras personas, y que procede calificar la infracción como infracción grave. VII Por último, el artículo 46 de la LOPD, “Infracciones de las Administraciones Públicas”, dispone que: «1. Cuando las infracciones a que se refiere el artículo 44 fuesen cometidas en ficheros de titularidad pública o en relación con tratamientos cuyos responsables lo serían de ficheros de dicha naturaleza, el órgano sancionador dictará una resolución estableciendo las medidas que procede adoptar para que cesen o se corrijan los efectos de la infracción. Esta resolución se notificará al responsable del fichero, al órgano del que dependa jerárquicamente y a los afectados si los hubiera. 2. El órgano sancionador podrá proponer también la iniciación de actuaciones disciplinarias, si procedieran. El procedimiento y las sanciones a aplicar serán las establecidas en la legislación sobre régimen disciplinario de las Administraciones Públicas. 3. Se deberán comunicar al órgano sancionador las resoluciones que recaigan en relación con las medidas y actuaciones a que se refieren los apartados anteriores.» 4. El Director de la Agencia comunicará al Defensor del Pueblo las actuaciones que efectúe y las resoluciones que dicte al amparo de los apartados anteriores”. En el presente caso se propone como medida correctora que se retire la información de los policías y bomberos de la web del Ayuntamiento y que cuando se publiquen Actas de las Juntas de Gobierno se limite la publicidad de los datos personales. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR que el AYUNTAMIENTO DE UTRERA ha infringido lo dispuesto el artículo 10 de la LOPD, lo que supone una infracción tipificada como grave en el artículo 44.3.
13. d)de la citada norma. SEGUNDO: REQUERIR al AYUNTAMIENTO DE UTRERA, de acuerdo con lo establecido en el apartado 3 del artículo 46 de la Ley 15/1999, para que acredite en el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/7 plazo de un mes desde este acto de notificación las medidas de orden interno que impidan que en el futuro pueda producirse una nueva infracción del artículo 10 de la LOPD, para lo que se abre expediente de actuaciones previas E/1248/2017. TERCERO: NOTIFICAR la presente resolución al AYUNTAMIENTO DE UTRERA. CUARTO: COMUNICAR la presente resolución al Defensor del Pueblo, de conformidad con lo establecido en el artículo 46.4 de la LOPD. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, se podrá interponer potestativamente recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa (en lo sucesivo LJCA), en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Sin embargo, el responsable del fichero de titularidad pública, de acuerdo con el artículo 44.1 de la LJCA, sólo podrá interponer directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la LJCA, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es