1/8 Expediente N.º: EXP202103906 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes: HECHOS PRIMERO: Don A.A.A. (en adelante, la parte reclamante), con fecha 11 de septiembre de 2021, interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra el CABILDO INSULAR DE LANZAROTE con NIF P3500002E (en adelante, la parte reclamada) Los motivos en que basa la reclamación son los siguientes: El CABILDO INSULAR DE LANZAROTE vulneró la normativa de protección de datos al publicar la Resolución de la Adjudicación provisional de una subvención: "Concesión directa de una subvención al sector del taxi para minimizar los efectos de la crisis producida por el COVID-19", de fecha 3 de septiembre de 2021. Según afirma, en los citados listados constan datos sensibles que sugieren que algunos de los solicitantes no están al corriente con las obligaciones establecidas por diferentes administraciones. A su vez, indica que los citados datos puede que no sean veraces y que se puede notificar individualmente a cada persona. - Documentación relevante aportada por la parte reclamante: Bases reguladoras en el BOP N.º 24, del 24 de febrero de 2021 Listado de solicitudes con derecho a subsanación de defectos de X de mayo de 2021 donde figura la parte reclamante Resolución de adjudicación provisional de X/X/2021 con el listado de solicitudes estimadas, desestimadas y desistidas. En la web de la parte reclamada www.cabildodelanzarote.com se comprueba mediante una búsqueda que se han publicado la convocatoria de la subvención y la adjudicación provisional. Esta búsqueda se incorpora a este expediente. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 9 de noviembre de 2021, como consta en el acuse de recibo que obra en el expediente. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/8 No se ha recibido respuesta a este escrito de traslado. TERCERO: Con fecha 11 de diciembre de 2021, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: Realizado requerimiento de información a la parte reclamada con fecha de 10 de febrero de 2022; se recibe en esta Agencia escrito de respuesta de 21 de febrero de 2022 aportando documentación y manifestando, en síntesis, lo siguiente: 1. Cumpliendo con lo regulado en el artículo 9.2 y 9.3 de la Ley 38/2003, de 17 de noviembre, General de Subvenciones, el Cabildo Insular de Lanzarote aprobó las normas que establecen las bases reguladoras de concesión de la subvención, las cuales fueron publicadas el 1 de marzo de 2021 en el Boletín Oficial de Canarias número 41. Aporta el link de publicación de las “Bases reguladoras y convocatoria para la concesión directa de una subvención al sector del taxi para minimizar los efectos de la crisis producida por el Covid-19”http://www.gobiernodecanarias.org/boc/2021/041/024.html. Acompañan copia del Anuncio de las citadas Bases publicadas en el Tablón de Anuncios de la Sede Electrónica de este Cabildo Insular. 2. Para acreditar el medio de notificación se atiende a lo establecido en la base reguladora de la subvención, la cual establece que la notificación a los interesados de cualquier acto o trámite y resoluciones de procedimiento, se llevaría a cabo mediante su publicación en el tablón de anuncios de la sede electrónica del Cabildo Insular de Lanzarote, así como en la página web institucional, de conformidad con lo establecido en el apartado
- b)del artículo 45.1 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas. Los términos de la base que hacen referencia a la notificación establecen: “Octava.- Medios de comunicación. La notificación a los interesados de cualquier acto o trámite y resoluciones del procedimiento se llevará a cabo mediante su publicación en el tablón de anuncios de la sede electrónica del Cabildo Insular de Lanzarote, así como en la página web institucional, de conformidad con lo establecido en el apartado
- b)del artículo 45.1 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas”. 3. El reclamante manifiesta que el Cabildo Insular de Lanzarote incumplió la normativa de protección de datos entre otras cuestiones porque la resolución de la Adjudicación provisional debería haberse notificado individualmente a cada persona. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/8 Cuestión que no comparte la entidad reclamada, ya que el Decreto 36/2009, de 31 de marzo, por el que se establece el régimen general de subvenciones de la Comunidad Autónoma de Canarias, regula en su artículo 16.4 que la resolución provisional deberá notificarse a los interesados en la forma que establezca la convocatoria. Hay que indicar que el cabildo Insular de Lanzarote procedió a la notificación a través de publicación porque así se reguló en el término octavo de la base reguladora de la subvención. Se copia el sentido literal del artículo 16.4 del Decreto 36/2009, de 31 de marzo, por el que se establece el régimen general de subvenciones de la Comunidad Autónoma de Canarias; “(…) La resolución provisional deberá notificarse a los interesados en la forma que establezca la convocatoria”. 4. Consecuentemente, el reclamante manifiesta que en la resolución provisional “constan datos sensibles que sugieren que algunos de los solicitantes no están al corriente con las obligaciones establecidas por diferentes administraciones”. Siendo preciso destacar que el listado provisional indica los motivos de la desestimación, señalando las cláusulas de la base de la subvención que no cumple, cuyo tenor literal es el siguiente: “No cumple la cláusula cuarta y quinta “Obligaciones de los beneficiarios” puntos 2 y 5, de las bases reguladoras y convocatoria de subvenciones”. Se hace preciso destacar que los puntos de incumplimiento se indican conforme al término Quinto de la base de la subvención cuyo tenor literal es el siguiente: “Quinta.- Obligaciones de los beneficiarios Los beneficiarios deberán reunir los siguientes requisitos específicos 1. No concurrir en ninguna de las circunstancias establecidas en los apartados 2 y 3 del artículo 13 de la LGS. 2. Hallarse al corriente de sus obligaciones tributarias y con la Seguridad Social. 3. Hallarse al corriente de pago de obligaciones por reintegro de subvenciones con el Cabildo Insular o, en caso de existir deudas, estuvieran aplazadas, fraccionadas o se hubiera acordado su suspensión con ocasión de la impugnación de la correspondiente resolución de reintegro. 4. No estar incurso en procedimientos de cobro por vía de apremio de deudas contraídas con el Cabildo Insular de Lanzarote o sus Organismos Autónomos. 5. No tener sanciones pecuniarias pendientes de pago por infracciones previstas en la Ley 13/2007, de 17 de mayo, de Ordenación del Transporte por Carretera de Canarias, así como, las que recojan las ordenanzas reguladoras del servicio, de acuerdo con la legislación de régimen local”. Asimismo, en el artículo 24.4 de la Ley 38/2003, de 17 de noviembre, General de Subvenciones establece que: “El órgano instructor, a la vista del expediente y del informe del órgano colegiado, formulará la propuesta de resolución provisional, debidamente motivada, que deberá notificarse a los interesados en la forma que establezca la convocatoria, y se concederá un plazo de 10 días para presentar alegaciones”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/8 5. No se puede compartir que el Cabildo Insular de Lanzarote incumpliera la normativa en vigor en protección de datos ya que las notificaciones se realizaron siguiendo el procedimiento regulado en la base de las subvenciones las cuales fueron debidamente publicadas, y en amparo de la Ley 38/2003, de 17 de noviembre, General de Subvenciones y del Decreto 36/2009, de 31 de marzo, por el que se establece el régimen general de subvenciones de la Comunidad Autónoma de Canarias. De igual modo, se hace preciso destacar que el acto administrativo de adjudicación provisional se publicó en virtud de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de datos y garantía de los derechos digitales, donde se identificó el nombre y apellido de los afectados y cuatro cifras numéricas del documento nacional de identidad. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con las funciones que el artículo 57.1 a),
- f)y
- h)del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) confiere a cada autoridad de control y según lo dispuesto en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Principios relativos al tratamiento La letra
- c)del artículo 5.1 del RGPD propugna: "1. Los datos personales serán: (…)
- c)adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados («minimización de datos»)." El artículo 5 del RGPD se refiere a los principios generales para el tratamiento de datos. En su apartado
- c)se hace referencia al principio de minimización de datos. Si examinamos la definición podemos deducir que solo se pueden recabar los datos personales que se vayan a tratar, es decir, aquellos que sean estrictamente necesarios para el tratamiento; que solo podrán ser recogidos cuando vayan a ser C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/8 tratados y que solo podrán ser utilizados para la finalidad para la que fueron recogidos, pero no con ningún otro objetivo o finalidad. En este mismo sentido el Considerando 39 señala que: “
(39)Todo tratamiento de datos personales debe ser lícito y leal. Para las personas físicas debe quedar totalmente claro que se están recogiendo, utilizando, consultando o tratando de otra manera datos personales que les conciernen, así como la medida en que dichos datos son o serán tratados. El principio de transparencia exige que toda información y comunicación relativa al tratamiento de dichos datos sea fácilmente accesible y fácil de entender, y que se utilice un lenguaje sencillo y claro. Dicho principio se refiere en particular a la información de los interesados sobre la identidad del responsable del tratamiento y los fines del mismo y a la información añadida para garantizar un tratamiento leal y transparente con respecto a las personas físicas afectadas y a su derecho a obtener confirmación y comunicación de los datos personales que les conciernan que sean objeto de tratamiento. Las personas físicas deben tener conocimiento de los riesgos, las normas, las salvaguardias y los derechos relativos al tratamiento de datos personales, así como del modo de hacer valer sus derechos en relación con el tratamiento. En particular, los fines específicos del tratamiento de los datos personales deben ser explícitos y legítimos, y deben determinarse en el momento de su recogida. Los datos personales deben ser adecuados, pertinentes y limitados a lo necesario para los fines para los que sean tratados. Ello requiere, en particular, garantizar que se limite a un mínimo estricto su plazo de conservación. Los datos personales solo deben tratarse si la finalidad del tratamiento no pudiera lograrse razonablemente por otros medios. Para garantizar que los datos personales no se conservan más tiempo del necesario, el responsable del tratamiento ha de establecer plazos para su supresión o revisión periódica. Deben tomarse todas las medidas razonables para garantizar que se rectifiquen o supriman los datos personales que sean inexactos. Los datos personales deben tratarse de un modo que garantice una seguridad y confidencialidad adecuadas de los datos personales, inclusive para impedir el acceso o uso no autorizados de dichos datos y del equipo utilizado en el tratamiento”. Sobre el principio de necesidad de tratamiento de datos de carácter personal cabe decir que cualquier tratamiento de datos implica per se y de partida, la restricción del derecho fundamental, al producirse la recogida y disposición de los mismos por parte del responsable. personales. Según la jurisprudencia, por la afectación que el tratamiento de datos personales supone para una serie de derechos fundamentales, la limitación del derecho fundamental a la protección de datos personales debe ser la estrictamente necesaria. Ello implica que, si la consecución de los fines previstos puede realizarse sin tratamiento de datos personales, será preferible esta vía y supondrá que no es necesario llevar a cabo tratamiento alguno de datos, lo que supondrá que tal derecho, con las limitaciones que suponen, no estaría en liza al no haber datos. La recogida, almacenamiento y uso constituye per se una limitación del derecho de protección de datos que debe cumplir con la normativa. Ello requiere en primer lugar analizar y asegurar que la recogida de datos sea necesaria para la finalidad establecida o pretendida y que sea proporcional Esta necesidad debe estar justificada en la documentación de cumplimiento que el responsable debe disponer de acuerdo con el artículo 5.2. del RGPD. La necesidad debe versar de si se tratan datos personales sobre la base de una evidencia objetiva, según los fines ha de determinar, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/8 si se precisan ineludiblemente esos datos personales o si la finalidad se puede cumplir sin tratar esos datos personales. La prueba de necesidad del tratamiento para cualquier limitación del ejercicio de derechos a la protección de datos personales ha de ser estricta, debiendo tratarse los mismos solo en los casos estrictamente necesarios, ya que, en principio, cualquier operación de tratamiento de datos (como la recogida, el almacenamiento, el uso, la divulgación de datos) establecida por la legislación limita el derecho a la protección de datos personales, independientemente de que esa limitación pueda estar justificada. Las categorías de los datos seleccionados para su tratamiento deben ser los estrictamente necesarios para lograr el objetivo declarado y el responsable del tratamiento debe limitar estrictamente la recogida de datos a aquella información que esté directamente relacionada con el fin específico que se intenta alcanzar. La reclamación se concreta en que la parte reclamada vulneró la normativa de protección de datos al publicar la Resolución de la Adjudicación provisional de una subvención: "Concesión directa de una subvención al sector del taxi para minimizar los efectos de la crisis producida por el COVID-19", de fecha 3 de septiembre de 2021, ya que, en los citados listados constan datos sensibles que sugieren que algunos de los solicitantes no están al corriente con las obligaciones establecidas por diferentes administraciones. A su vez, indica que los citados datos puede que no sean veraces y que se puede notificar individualmente a cada persona. En primer lugar, hemos de examinar si la resolución referida a las subvenciones concedidas al sector del taxi se podía notificar individualmente a cada solicitante o a todos a través del Boletín Oficial de la Provincia. El artículo 45 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas establece lo siguiente: “1. Los actos administrativos serán objeto de publicación cuando así lo establezcan las normas reguladoras de cada procedimiento o cuando lo aconsejen razones de interés público apreciadas por el órgano competente. En todo caso, los actos administrativos serán objeto de publicación, surtiendo ésta los efectos de la notificación, en los siguientes casos:
- a)Cuando el acto tenga por destinatario a una pluralidad indeterminada de personas o cuando la Administración estime que la notificación efectuada a un solo interesado es insuficiente para garantizar la notificación a todos, siendo, en este último caso, adicional a la individualmente realizada.
- b)Cuando se trate de actos integrantes de un procedimiento selectivo o de concurrencia competitiva de cualquier tipo. En este caso, la convocatoria del procedimiento deberá indicar el medio donde se efectuarán las sucesivas publicaciones, careciendo de validez las que se lleven a cabo en lugares distintos. 2. La publicación de un acto deberá contener los mismos elementos que el artículo 40.2 exige respecto de las notificaciones. Será también aplicable a la publicación lo establecido en el apartado 3 del mismo artículo. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/8 En los supuestos de publicaciones de actos que contengan elementos comunes, podrán publicarse de forma conjunta los aspectos coincidentes, especificándose solamente los aspectos individuales de cada acto. 3. La publicación de los actos se realizará en el diario oficial que corresponda, según cual sea la Administración de la que proceda el acto a notificar. 4. Sin perjuicio de lo dispuesto en el artículo 44, la publicación de actos y comunicaciones que, por disposición legal o reglamentaria deba practicarse en tablón de anuncios o edictos, se entenderá cumplida por su publicación en el Diario oficial correspondiente.” Como se ha señalado en los Hechos de forma pormenorizada, la normativa de las subvenciones habilita a esa forma de notificación y publicación de las mismas. Por otro lado, la Disposición adicional séptima de la LOPDGDD establece lo siguiente: “1. Cuando sea necesaria la publicación de un acto administrativo que contuviese datos personales del afectado, se identificará al mismo mediante su nombre y apellidos, añadiendo cuatro cifras numéricas aleatorias del documento nacional de identidad, número de identidad de extranjero, pasaporte o documento equivalente. Cuando la publicación se refiera a una pluralidad de afectados estas cifras aleatorias deberán alternarse. Cuando se trate de la notificación por medio de anuncios, particularmente en los supuestos a los que se refiere el artículo 44 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, se identificará al afectado exclusivamente mediante el número completo de su documento nacional de identidad, número de identidad de extranjero, pasaporte o documento equivalente. Cuando el afectado careciera de cualquiera de los documentos mencionados en los dos párrafos anteriores, se identificará al afectado únicamente mediante su nombre y apellidos. En ningún caso debe publicarse el nombre y apellidos de manera conjunta con el número completo del documento nacional de identidad, número de identidad de extranjero, pasaporte o documento equivalente. 2. A fin de prevenir riesgos para víctimas de violencia de género, el Gobierno impulsará la elaboración de un protocolo de colaboración que defina procedimientos seguros de publicación y notificación de actos administrativos, con la participación de los órganos con competencia en la materia.” La infracción se produciría por haber publicado datos de forma innecesaria, lo que no se ha producido (en las solicitudes no admitidas se indicaba el motivo y la posibilidad de subsanarlo, sin que se incluyeran datos de categorías especiales), o por haberlos publicado sin cumplir las exigencias recogidas en la LOPDGDD, lo que tampoco se produjo. Si los datos publicados no responden de forma veraz a la situación del reclamante porque no tuviese ninguna deuda con otras administraciones, por ejemplo, durante el periodo de subsanación podría acreditar el hecho controvertido, rectificándose en los listados posteriores. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/8 Por tanto, no se ha acreditado el incumplimiento del principio referido. III Conclusión Por lo tanto, en base a lo indicado en los párrafos anteriores, no se han encontrado evidencias que acrediten la existencia de infracción en el ámbito competencial de la Agencia Española de Protección de Datos. Así pues, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a A.A.A. y CABILDO INSULAR DE LANZAROTE. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
- c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 940-110422 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es