AAPP-00074-2017

1/11 Procedimiento Nº AP/00074/2017 RESOLUCIÓN: R/00754/2018 En el procedimiento de Declaración de Infracción de Administraciones Públicas AP/00074/2017, instruido por la Agencia Española de Protección de Datos al AYUNTAMIENTO DE SANLUCAR LA MAYOR, vista la denuncia presentada por la DIRECCIÓN GENERAL DE LA GUARDIA CIVIL, y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fecha 1 de septiembre de 2017 tiene entrada en esta Agencia un escrito de la DIRECCIÓN GENERAL DE LA GUARDIA CIVIL en el que se pone de manifiesto lo siguiente: Con fecha 15 de julio de 2017 una Patrulla de Seguridad Ciudadana encuentra en la vía pública, concretamente en la calle Artesanía, en el Polígono Industrial PISA de Mairena del Aljarafe (Sevilla), documentación relativa reclamaciones ante la Junta de Andalucía por ciudadanos identificados de la localidad de Carrión de los Céspedes (Sevilla), las cuales están tramitadas por el Punto de Servicio 104 de la localidad de Sanlúcar La Mayor y recepcionadas por el Área de Consumo del Ayuntamiento de dicha localidad. Se anexan varios originales hallados por agentes de la Guardia Civil, todos ellos correspondientes a reclamaciones interpuestas por ciudadanos en el año 2009. SEGUNDO: Tras la recepción de la denuncia, la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados (Informe E/05325/2017), teniendo conocimiento de los siguientes extremos: Con fecha 30 de octubre de 2017 se recibe en esta Agencia escrito del AYUNTAMIENTO DE SANLÚCAR LA MAYOR, en el que se pone de manifiesto que: 1. En el mes de junio de 2014 el equipo de gobierno llegó a un acuerdo de prueba del servicio de recogida y destrucción de documentación con una empresa. 2. Dicha colaboración continuó sin que se firmase ningún contrato hasta el mes de mayo de 2017, momento en que la empresa comunicó a ese Ayuntamiento el cese de su actividad por motivos económicos, según consta en el correo electrónico que se adjunta. 3. Desde ese momento, la destrucción del papel se está llevando a cabo en trituradoras ubicadas en los diferentes Departamentos, retirado posteriormente por la Delegación de Obras y Servicios y llevado a contenedores de papel de la Mancomunidad del Guadalquivir. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/11 4. Se anexa copia de las normas en materia de seguridad comunicadas a los empleados del Ayuntamiento. 5. Se adjunta un informe elaborado por el Jefe de Área técnica de la Mancomunidad del Guadalquivir, en el que consta lo siguiente con relación al procedimiento de recogida de papel: 5.1. La recogida selectiva se realiza llevando a cabo el vaciado de los contenedores específicos ubicados en la vía pública, siendo ejecutadas estas actividades directamente por la Mancomunidad del Guadalquivir con sus propios medios. 5.2. Estos residuos, recogidos por la Mancomunidad, son transportados, hasta la fecha, a la Planta de Recuperación de papel-cartón de SAYCA NATUR, S.L., sita en el Polígono Industrial La Red, en Alcalá de Guadaira (Sevilla). 6. Se adjunta Informe técnico de Consumo del AYUNTAMIENTO DE SANLÚCAR LA MAYOR, en el que figura, entre otros, que: 6.1. Se desconocen los motivos por los que dicha documentación se encontraba en la vía pública en el Polígono Industrial de Aljarafe, motivo por el que se ha solicitado información a todos los implicados en el procedimiento, cuyos pasos son los siguientes: 6.1.1. Los documentos que contienen datos de carácter personal se almacenan siempre en los armarios y archivadores establecidos al efecto, los cuales disponen de los oportunos mecanismos de cierre. Mientras la documentación se encuentra sin archivar en los dispositivos de almacenamiento previstos, el trabajador/a que se encuentra a cargo de la misma es quien custodia e impide en todo momento que se pueda acceder a la misma por persona no autorizada, guardando los documentos con datos personales protegidos en un lugar no visible a terceros. 6.1.2. Revisada la documentación que se ha remitido, se comprueba que es del año 2009, perteneciendo la misma a expedientes eliminados en el año 2017, siendo el procedimiento que se sigue a dichos efectos, el siguiente: 6.1.2.1. El Departamento cada año procede a la destrucción de las copias o reproducciones desechadas, tales como, reclamaciones, copia de facturas, copias de DNI, etc., siempre de fecha superior a cinco años, utilizando a tal efecto una destructora de papel, excepto, las que por su tamaño no sean admitidas por la destructora, las cuales se destruyen a mano. 6.1.2.2. Una vez destruidas, se almacenan en cajas de cartón y se ponen en contacto con el Encargado de Obras y Servicios del Ayuntamiento para que envíe operarios municipales para retirar las mismas. 6.2. Dicha Entidad no encuentra explicación lógica que permita establecer los hechos causantes de que dicha documentación se encontrara en la vía C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/11 pública de Mairena del Aljarafe, a unos 20 Km. de Sanlúcar La Mayor, y sin destruir, dado que el procedimiento seguido para su destrucción es el establecido en el Documento de Seguridad. TERCERO: De acuerdo con lo dispuesto en el art. 126 del Reglamento de Desarrollo de la LOPD, aprobado por RD 1720/2007 (en lo sucesivo, RLOPD), al haberse apreciado la existencia de indicios susceptibles de motivar la imputación de una infracción, procede la apertura del presente procedimiento de infracción de las Administraciones públicas. Dichos indicios consisten en la aparición de documentación con datos de carácter personal en la vía pública, lo que puede suponer una omisión del deber de adoptar o de observar las medidas técnicas y organizativas que garanticen las seguridad de dichos datos, evitando su sustracción, pérdida o acceso indebido, hechos que motivan el inicio del presente procedimiento de infracción de las Administraciones públicas. CUARTO: Con fecha 4 de diciembre de 2017, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento de declaración de infracción de Administraciones Públicas al AYUNTAMIENTO DE SANLUCAR LA MAYOR por la presunta infracción del artículo 9.1 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo, LOPD), en relación con el artículo 92.4 del RLOPD, tipificada como grave en el artículo 44.3.

1. h)de la citada Ley Orgánica. QUINTO: Notificado el citado acuerdo de inicio de procedimiento de declaración de infracción de Administraciones Públicas, en fecha 26 de diciembre de 2017, el AYUNTAMIENTO DE SANLUCAR LA MAYOR presentó escrito de alegaciones en el que, en síntesis, manifestaba que la documentación objeto de la presente denuncia consiste en reclamaciones que no llegaron a ser tramitadas por el Ayuntamiento, motivo por el cual no formaron parte de ningún expediente, siendo el procedimiento en esos casos el de archivar la reclamación y posteriormente destruirla. Afirma que la O.I.M.C. de Sanlúcar la Mayor es la única oficina de atención al consumidor en el Aljarafe sevillano, razón por la cual se produce la acumulación de gran cantidad de documentos. Manifiesta que cada año se procede al expurgo y destrucción física de las copias o reproducciones que carecen de relevancia y de valor administrativo, probatorio o constitutivo o extintivo de derechos y que no hayan desarrollado ni se prevé que vayan a desarrollar valores históricos, utilizándose a tal efecto una destructora de papel, o, cuando por su tamaño y textura no sea viable, destruyéndose manualmente. Desde junio de 2017 la documentación destruida se deposita en los contenedores facilitados por la Mancomunidad del Guadalquivir, que se ocupa de recogerlo con sus propios medios. Reitera que no encuentra explicación al hecho de que la documentación se encontrara sin destruir en la vía pública, salvo que, por error, los operarios retiraran, junto con las cajas de documentos triturados, la de documentos sin destruir, que estaba situada al lado de la trituradora, estando ambas cerradas. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/11 SEXTO: Con fecha 22 de enero de 2018 se acordó por el Instructor del procedimiento la apertura de un período de práctica de pruebas, teniéndose por incorporadas las actuaciones previas de investigación, E/05325/2017, y dándose por reproducidas las alegaciones al acuerdo de inicio presentadas por el AYUNTAMIENTO DE SANLÚCAR LA MAYOR. SÉPTIMO: Con fecha 26 de febrero de 2018, el Instructor del procedimiento emitió Propuesta de Resolución, en el sentido de que por la Directora de la Agencia Española de Protección de Datos se declare que el AYUNTAMIENTO DE SAN LUCAR LA MAYOR ha infringido lo dispuesto en el artículo 9.1 de la LOPD, en relación con el artículo 92.4 del RLOPD, lo que supone una infracción tipificada como grave en el artículo 44.3.
2. h)de la citada norma, así como que se requiera la adopción de las medidas de orden interno que impidan que en el futuro pueda producirse una nueva infracción del artículo 9.1 de la mencionada Ley. OCTAVO: Con fecha de entrada en esta Agencia 16 de abril de 2018, el AYUNTAMIENTO DE SANLUCAR LA MAYOR realizó alegaciones frente a la citada propuesta de resolución en las que reitera parte de las alegaciones ya efectuadas y comunica lo siguiente: 1. Han atendido en tiempo y forma el requerimiento efectuado por la AEPD tras la denuncia de la Guardia Civil, remitiendo toda la información solicitada. 2. Se ha tratado de una pérdida accidental y puntual, sin que hayan tenido constancia de otras incidencias en materia de protección de datos. 3. La documentación apareció en Mairena del Aljarafe, población en la que tenía el domicilio social la empresa que hasta mayo de 2017 les prestaba el servicio de recogida y destrucción de la documentación. 4. Tras la comunicación de los hechos denunciados por parte de la AEPD, han procedido a verificar la aplicación de las medidas de seguridad implantadas y comprobar si éstas son adecuadas para hacer frente a los riesgos detectados, procediendo, en caso contrario, a la implantación de nuevas medidas técnicas y organizativas. De dicha verificación se desprende que los tratamientos realizados entrañan un escaso nivel de riesgo, tanto por la naturaleza de los mismos, como por el alcance del tratamiento y por su contexto y finalidad. 5. El Ayuntamiento denunciado considera que no se ha infringido la LOPD, al haberse adoptado las medidas necesarias para garantizar la seguridad de los datos, no habiéndose dado ninguna incidencia en los 25 años que el servicio lleva en funcionamiento, tramitándose más de 200 reclamaciones al año. 6. El Ayuntamiento ha adoptado las siguientes medidas para evitar que los hechos se repitan en el futuro: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/11 1. Informar nuevamente a todas las áreas municipales que tienen acceso a datos personales de su obligación de destrucción de los documentos de manera que no puedan ser recuperados, así como de identificar las cajas en las que se deposita documentación destruida a efectos de evitar posibles errores en la retirada de las mismas. 2. Encomendar al área de medioambiente la solicitud de presupuestos a empresas especializadas en destrucción confidencial de archivos al objeto de contratar dichos servicios. 3. Incluir en los Presupuestos para el ejercicio 2018 las partidas necesarias para dotar de trituradoras de papel a aquellos departamentos que carecen de ellas o que tienen pero están obsoletas. 4. Iniciar las gestiones para la revisión de las medidas de seguridad para la adaptación a las disposiciones establecidas en el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos. Aportan documentación acreditativa de la adopción de dichas medidas. 7. Por todo lo anterior, solicita que finalice el procedimiento con archivo de las actuaciones. HECHOS PROBADOS PRIMERO: Con fecha 15 de julio de 2017, una Patrulla de Seguridad Ciudadana encuentra en la vía pública, concretamente en la calle Artesanía, en el Polígono Industrial PISA de Mairena del Aljarafe (Sevilla), documentación relativa a reclamaciones ante la Junta de Andalucía por ciudadanos identificados de la localidad de Carrión de los Céspedes (Sevilla), las cuales están tramitadas por el Punto de Servicio 104 de la localidad de Sanlúcar La Mayor y recepcionadas por el Área de Consumo del Ayuntamiento de dicha localidad. SEGUNDO: En el mes de junio de 2014, el AYUNTAMIENTO DE SANLÚCAR LA MAYOR llegó a un acuerdo de prueba del servicio de recogida y destrucción de documentación con una empresa, colaboración que continuó sin que se firmase ningún contrato hasta el mes de mayo de 2017, momento en que la empresa comunicó al Ayuntamiento el cese de su actividad por motivos económicos. TERCERO: A partir del mes de junio de 2017, la documentación objeto de expurgo es destruida en el propio Ayuntamiento, utilizándose una destructora de papel o, cuando no es posible, destruyéndose manualmente. Posteriormente, la documentación destruida se deposita en los contenedores facilitados por la Mancomunidad del Guadalquivir. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/11 CUARTO: El AYUNTAMIENTO DE SANLÚCAR LA MAYOR ha adoptado las siguientes medidas para evitar que vuelvan a producirse los hechos denunciados: 1. Informar nuevamente a todas las áreas municipales que tienen acceso a datos personales de su obligación de destrucción de los documentos de manera que no puedan ser recuperados, así como de identificar las cajas en las que se deposita documentación destruida a efectos de evitar posibles errores en la retirada de las mismas. 2. Encomendar al área de medioambiente la solicitud de presupuestos a empresas especializadas en destrucción confidencial de archivos al objeto de contratar dichos servicios. 3. Incluir en los Presupuestos para el ejercicio 2018 las partidas necesarias para dotar de trituradoras de papel a aquellos departamentos que carecen de ellas o que tienen pero están obsoletas. 4. Iniciar las gestiones para la revisión de las medidas de seguridad para la adaptación a las disposiciones establecidas en el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
3. g)en relación con el artículo 36 de la LOPD. II El artículo 1 de la LOPD dispone que “la presente Ley Orgánica tiene por objeto garantizar y proteger, en lo que concierne al tratamiento de los datos personales, las libertades públicas y los derechos fundamentales de las personas físicas, y especialmente de su honor e intimidad personal y familiar”. En cuanto al ámbito de aplicación de la citada norma el artículo 2.1 establece que “La presente Ley Orgánica será de aplicación a los datos de carácter personal registrados en soporte físico que los haga susceptibles de tratamiento y a toda modalidad de uso posterior de estos datos por los sectores públicos y privados”. III El Titulo VII sobre “Infracciones y sanciones”, en el artículo 43.1 de la LOPD establece que “1. Los responsables de los ficheros y los encargados de los C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/11 tratamientos estarán sujetos al régimen sancionador establecido en la presente Ley.” El artículo 3.
4. d)de la LOPD define como responsable del fichero o tratamiento a la: “persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento”. En el presente supuesto está acreditado que el AYUNTAMIENTO DE SANLÚCAR LA MAYOR es responsable del tratamiento efectuado con los datos de carácter personal que obran en las reclamaciones tramitadas por éste, toda vez que decide sobre la finalidad, contenido y uso de la información contenida en los mismos. IV El artículo 7 del Convenio Nº 108 del Consejo de Europa, para la protección de las personas con respecto al tratamiento automatizado de datos de carácter personal, establece: “Seguridad de los datos: Se tomarán medidas de seguridad apropiadas para la protección de datos de carácter personal registrados en ficheros automatizados contra la destrucción accidental o no autorizada, o la pérdida accidental, así como contra el acceso, la modificación o la difusión no autorizados”. El artículo 17.1 de la Directiva 95/46/CE, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, establece: “Seguridad del tratamiento: 1. Los Estados miembros establecerán la obligación del responsable del tratamiento de aplicar las medidas técnicas y de organización adecuadas, para la protección de los datos personales contra la destrucción, accidental o ilícita, la pérdida accidental y contra la alteración, la difusión o el acceso no autorizados, en particular cuando el tratamiento incluya la transmisión de datos dentro de una red, y contra cualquier otro tratamiento ilícito de datos personales. Dichas medidas deberán garantizar, habida cuenta de los conocimientos técnicos existentes y del coste de su aplicación, un nivel de seguridad apropiado en relación con los riesgos que presente el tratamiento y con la naturaleza de los datos que deban protegerse”. La LOPD traspuso al ordenamiento interno el contenido de la Directiva 95/46/CE y, en su artículo 9, bajo la rúbrica “Seguridad de los datos”, dispone: “1. El responsable del fichero, y, en su caso, el encargado del tratamiento, deberán adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten su alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural. 2. No se registrarán datos de carácter personal en ficheros que no reúnan las condiciones que se determinen por vía reglamentaria con respecto a su integridad y C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/11 seguridad y a las de los centros de tratamiento, locales, equipos, sistemas y programas. 3. Reglamentariamente se establecerán los requisitos y condiciones que deban reunir los ficheros y las personas que intervengan en el tratamiento de los datos a que se refiere el artículo 7 de esta Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal.” El citado artículo 9 de la LOPD establece el “principio de seguridad de los datos” imponiendo la obligación de adoptar las medidas de índole técnica y organizativa que garanticen aquella, añadiendo que tales medidas tienen como finalidad evitar, entre otros aspectos, el “acceso no autorizado” por parte de terceros. Sintetizando las previsiones legales puede afirmarse que:
5. a)Las operaciones y procedimientos técnicos automatizados o no, que permitan el acceso –la comunicación o consulta- de datos personales, es un tratamiento sometido a las exigencias de la LOPD.
6. b)Los ficheros que contengan un conjunto organizado de datos de carácter personal así como el acceso a los mismos, cualquiera que sea la forma o modalidad en que se produzca están, también, sujetos a la LOPD.
7. c)La LOPD impone al responsable del fichero la adopción de medidas de seguridad, cuyo detalle se remite a normas reglamentarias (Título VIII RLOPD).
8. d)El mantenimiento de ficheros -cualquiera que sea la forma o modalidad de éstos-, programas o equipos carentes de las medidas de seguridad que impidan accesos o tratamientos no autorizados constituye una infracción tipificada como grave en el artículo 44.3.
9. h)de la citada Ley. El RLOPD define en su artículo 5.2.ñ) el “Soporte” como el “objeto físico que almacena o contiene datos o documentos, u objeto susceptible de ser tratado en un sistema de información y sobre el cual se pueden grabar y recuperar datos”. El Título VIII “De las medidas de seguridad en el tratamiento de datos de carácter personal” del RLOPD se refiere a las medidas de seguridad que deben implementarse en los ficheros y tratamientos automatizados o no automatizados. El artículo 79 del RLOPD, en relación con el alcance de las medidas de seguridad en el tratamiento de datos de carácter personal, dispone que: “Los responsables de los tratamientos o los ficheros y los encargados del tratamiento deberán implantar las medidas de seguridad con arreglo a lo dispuesto en este Título, con independencia de cuál sea su sistema de tratamiento.” El artículo 81.1 del mismo reglamento en cuanto a la “Aplicación de los niveles de seguridad” establece que “1. Todos los ficheros o tratamientos de datos de carácter personal deberán adoptar las medidas de seguridad calificadas de nivel básico”. En el presente supuesto, la infracción en materia de seguridad de datos recogida en el artículo 9 de la LOPD se vincula al presunto incumplimiento por parte del AYUNTAMIENTO DE SANLÚCAR LA MAYOR de lo dispuesto en el artículo 92.4, el cual establece lo siguiente: “Artículo 92. Gestión de soportes y documentos. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/11 “4. Siempre que vaya a desecharse cualquier documento o soporte que contenga datos de carácter personal deberá procederse a su destrucción o borrado, mediante la adopción de medidas dirigidas a evitar el acceso a la información contenida en el mismo o su recuperación posterior.”. El AYUNTAMIENTO DE SANLÚCAR LA MAYOR debió, por ello, adoptar las medidas necesarias para impedir cualquier recuperación posterior de la información que contenían los documentos encontrados. Tales medidas no fueron adoptadas totalmente en el presente caso. Prueba de ello es el hecho de que la documentación fue encontrada por la patrulla denunciante en la calle Artesanía, en el Polígono Industrial PISA de Mairena del Aljarafe (Sevilla). Esta necesidad de especial diligencia en la custodia de la documentación por el responsable del tratamiento ha sido puesta de relieve por la Audiencia Nacional, en su Sentencia de 11 de diciembre de 2008 (recurso 36/08), fundamento cuarto: “Como ha dicho esta Sala en múltiples sentencias…se impone, en consecuencia, una obligación de resultado, consistente en que se adopten las medidas necesarias para evitar que los datos se pierdan, extravíen o acaben en manos de terceros…la recurrente es, por disposición legal una deudora de seguridad en materia de datos, y por tanto debe dar una explicación adecuada y razonable de cómo los datos han ido a parar a un lugar en el que son susceptibles de recuperación por parte de terceros, siendo insuficiente con acreditar que adopta una serie de medidas, pues es también responsable de que las mismas se cumplan y se ejecuten con rigor”. En el presente caso, y teniendo en cuenta la documentación encontrada, ha quedado acreditado que el AYUNTAMIENTO DE SANLÚCAR LA MAYOR no ejecutó las medidas de índole técnica y organizativas necesarias que garantizasen la seguridad de los datos de carácter personal de sus ficheros, de manera que se evitase el acceso no autorizado a los datos de los mismos. Aplicando la anterior doctrina, la Audiencia Nacional, en varias sentencias, entre otras las de fechas 14 de febrero y 20 de septiembre de 2002 y 13 de abril de 2005, exige a las entidades que operan en el mercado de datos una especial diligencia a la hora de llevar a cabo el uso o tratamiento de tales datos o su cesión a terceros, visto que se trata de la protección de un derecho fundamental de las personas a las que se refieren los datos, por lo que los depositarios de éstos deben ser especialmente diligentes y cuidadosos a la hora de realizar operaciones con los mismos y deben optar siempre por la interpretación más favorable a la protección de los bienes jurídicos protegidos por la norma. V El artículo 44.3.
10. h)de la LOPD, considera infracción grave: “Mantener los ficheros, locales, programas o equipos que contengan datos de carácter personal sin las debidas condiciones de seguridad que por vía reglamentaria se determinen.” Dado que ha existido una vulneración en las medidas de seguridad por parte C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/11 del AYUNTAMIENTO DE SANLÚCAR LA MAYOR se considera que ha incurrido en la infracción grave descrita. Se observa que por parte del Ayuntamiento denunciado se han dado pasos encaminados a reforzar el procedimiento de destrucción de documentación con datos de carácter personal, adoptándose medidas de seguridad necesarias para evitar el acceso a la información contenida en la misma o su recuperación posterior, para el cumplimiento del principio de seguridad de los datos consagrado en el artículo 9 de la LOPD. VI El artículo 46 de la LOPD, “Infracciones de las Administraciones Públicas”, dispone: “1. Cuando las infracciones a que se refiere el artículo 44 fuesen cometidas en ficheros de titularidad pública o en relación con tratamientos cuyos responsables lo serían de ficheros de dicha naturaleza, el órgano sancionador dictará una resolución estableciendo las medidas que procede adoptar para que cesen o se corrijan los efectos de la infracción. Esta resolución se notificará al responsable del fichero, al órgano del que dependa jerárquicamente y a los afectados si los hubiera. 2. El órgano sancionador podrá proponer también la iniciación de actuaciones disciplinarias, si procedieran. El procedimiento y las sanciones a aplicar serán las establecidas en la legislación sobre régimen disciplinario de las Administraciones Públicas. 3. Se deberán comunicar al órgano sancionador las resoluciones que recaigan en relación con las medidas y actuaciones a que se refieren los apartados anteriores. 4. El Director de la Agencia comunicará al Defensor del Pueblo las actuaciones que efectúe y las resoluciones que dicte al amparo de los apartados anteriores”. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR que el AYUNTAMIENTO DE SANLÚCAR LA MAYOR ha infringido lo dispuesto en el artículo 9.1 de la LOPD, en relación con el artículo 92.4 del RLOPD, tipificada como grave en el artículo 44.3.
11. h)de dicha norma. SEGUNDO: NO REQUERIR la adopción de medidas correctoras, toda vez que se ha acreditado que ya han sido adoptadas las medidas de orden interno que impidan que en el futuro pueda producirse una nueva infracción de dicho artículo. TERCERO: NOTIFICAR la presente resolución al AYUNTAMIENTO DE SANLÚCAR LA MAYOR. CUARTO: COMUNICAR la presente resolución al Defensor del Pueblo, de conformidad con lo establecido en el artículo 46.4 de la LOPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/11 De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, se podrá interponer potestativamente recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa (en lo sucesivo LJCA), en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Sin embargo, el responsable del fichero de titularidad pública, de acuerdo con el artículo 44.1 de la LJCA, sólo podrá interponer directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la LJCA, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es