AI-00179-2023

1/8  Expediente N.º: EXP202303976 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 14 de febrero de 2023, A.A.A. presentó reclamación con número de registro de entrada REGAGE23e00009375353 ante la Agencia Española de Protección de Datos contra B.B.B. ***PARTIDO. 1 (en adelante, Grupo Independiente) con NIF ***NIF.1, en el ***AYUNTAMIENTO.1, y “aquellos que pudieran resultar responsables”. Los motivos en que basa la reclamación son los siguientes: - La reclamante, (…), manifiesta que el único concejal y (...) del ***PARTIDO.1 ha difundido datos relativos a su empadronamiento sin su consentimiento. - En particular, el Grupo Independiente elaboró y se publicó una nota de prensa bajo el nombre de “***NOTA.1", en la que se acusa a la misma de haberse empadronado fraudulentamente en el municipio de ******LOCALIDAD.1 para poder optar a la alcaldía en las próximas elecciones municipales, empadronándose en su centro de trabajo (…), no siendo cierto que viva en este lugar ni en ***AYUNTAMIENTO.1. - La publicación fue realizada con fecha de 5 de febrero de 2023 en un blog titularidad del Grupo Independiente (***URL.1), el 6 de febrero se publicó en el perfil de Facebook del Grupo Independiente; y el 7 de febrero en el grupo privado de Facebook denominado “***GRUPO.1”. - La reclamante manifiesta que tal publicación fue remitida a los medios de comunicación, si bien no indica a cuáles y dice aportar acreditación de ello en el documento 3, sin que se acompañe documento 3 alguno a su reclamación. Junto a la notificación la reclamante dice aportar 3 documentos, si bien solo se aportan los siguientes dos documentos: - Publicación de la nota de prensa en el perfil de Facebook del Grupo Independiente. Publicación de la nota de prensa en el blog del Grupo Independiente. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/8 Pese a no haberse aportado por la reclamante ni la publicación en el grupo privado de Facebook ni la realizada en prensa a la que se hace referencia como documento 3, esta Agencia ha realizado una búsqueda en internet, recogiendo ambas como evidencia y uniéndolas al expediente, habiendo encontrado únicamente la publicación en un medio de comunicación, (…). SEGUNDO: Tras solicitar y recibir comunicación de la Agencia Tributaria acerca del NIF y domicilio del Grupo Independiente a la que se refiere la reclamación con fecha de 27 de marzo de 2023, de conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación tanto al citado Grupo Independiente como al Ayuntamiento para que ambas entidades procediesen a su análisis e informasen a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado realizado al Ayuntamiento, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 04 de abril de 2023, como consta en el acuse de recibo que obra en el expediente. El traslado realizado al Grupo Independiente, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP) mediante correo postal certificado, fue devuelto por “ausente” el 27 de abril de 2023, tras dos intentos de notificación, y no retirado en oficina tras recibir el aviso de Correos. No se ha recibido respuesta por parte del Ayuntamiento ni por el Grupo Independiente. TERCERO: Con fecha 14 de mayo de 2023, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por transcurso del plazo máximo de 3 meses desde la presentación de la misma. CUARTO: No obstante, del análisis de las evidencias recogidas por esta Agencia y los documentos aportados por la reclamante, cabe destacar lo siguiente: - - Que en ninguna de las 3 publicaciones realizadas por el Grupo Independiente se ha publicado el domicilio y municipio en el que presuntamente reside la reclamante con su familia, puesto que las notas de prensa dicen expresamente que el nombre de ese otro municipio “se omite por respeto pero se sabe”, siendo la noticia publicada en el diario digital de “toledodiario.es” la que indica de qué municipio se trata. Que en ninguna de estas publicaciones se indica tampoco que se haya tenido conocimiento del reciente empadronamiento de la misma en ******LOCALIDAD.1” del ***AYUNTAMIENTO.1, porque se haya podido acceder de alguna forma a los datos del padrón municipal del Ayuntamiento. Expresamente se hace constar que esta información se ha conocido porque la misma ha hecho público que reside en otro municipio (…) en múltiples ocasiones, así como que “nos lo ha contado su entorno, que aquí todo se sabe”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/8 - La nota de prensa publicada en “toledodiario.es” se hace eco de la publicación de la nota de prensa por el Grupo Independiente y manifiesta que éste ha solicitado al ***AYUNTAMIENTO.1 que abra expediente informativo por empadronamiento falso, al objeto de comprobar que la candidata no vive en dicho domicilio. Se comprueba que el Grupo Independiente ha publicado en su perfil y grupo privado esta misma solicitud de inicio de expediente informativo para que el Ayuntamiento investigue esta cuestión. No concurriendo evidencia alguna de que el Grupo Independiente o sus miembros accedieran a los datos del padrón municipal del Ayuntamiento, al objeto de conocer y divulgar ilícitamente los datos personales del domicilio de la reclamante. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con las funciones que el artículo 57.1 a),

1. f)y
2. h)del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) confiere a cada autoridad de control y según lo dispuesto en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Cuestiones previas De acuerdo con lo previsto en el artículo 4.2 del RGPD, que dispone lo siguiente, se entiende por datos personales: 1) «datos personales»: toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona.” La reclamante imputa al (…) del Grupo Independiente que ha publicado la nota de prensa en los 3 medios antedichos la comisión de lo que podrían considerarse como C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/8 dos infracciones administrativas del actual RGPD. Se refiere en su reclamación a la “la difusión no autorizada de sus datos personales” y por el “manejo no autorizado de los mismos”, puesto que la información de empadronamiento solo obra en poder del Ayuntamiento, acusándole por tanto de haber obtenido sus datos (domicilio) del padrón municipal. Procede analizar si con las evidencias que se deducen del expediente, podemos iniciar procedimiento sancionador por la posible comisión de estas dos posibles infracciones administrativas. Ahora bien, cabe aclarar que mientras que la primera de ellas (difusión no autorizada) podría imputarse frente al mencionado (...) del Grupo Independiente, la segunda se imputaría, en su caso, frente al propio Ayuntamiento por no haber adoptado medidas de seguridad que impidan el presunto acceso no autorizado al padrón por parte de dicho concejal. A continuación, analizamos los motivos por los que se entiende que no se ha acreditado la comisión de ninguna de estas dos infracciones. III Sobre la presunta vulneración de confidencialidad de los datos La letra
3. f)del artículo 5.1 del RGPD propugna la necesidad de respetar el Principio de confidencialidad de los datos personales, disponiendo lo siguiente: "1. Los datos personales serán: (…)
4. f)tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»)." Ahora bien, la infracción de este principio requiere que se haya producido un tratamiento no autorizado o ilícito de datos personales, lo que supone la concurrencia de dos requisitos: - Primero es necesario que se trate de datos personales. Pese a que no consta que se haya divulgado el domicilio exacto de la misma, sino únicamente el municipio y lo que podría ser la dirección aproximada de ésta, que es “***LOCALIDAD.1” del ***AYUNTAMIENTO.1, podría entenderse que se ha proporcionado un dato personal de la reclamante, puesto que se trata de una información sobre una persona física “identificable”. Toda vez que, pese a que no se indica la calle y número en la que se ha empadronado la reclamante, esta información permite a los vecinos del municipio y a cualquiera que se informe al respecto, conocer el domicilio exacto al que se refieren, en la medida en que se manifiesta que solo hay una farmacia en dicha urbanización. - Pero en segundo lugar, también se requiere que la difusión de este dato personal sea un “tratamiento no autorizado o ilícito” a los efectos regulados en la normativa. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/8 Esto es, debe haberse producido una violación de seguridad de los datos personales, en el sentido expresado en el artículo 4 apartado 12 del RGPD que las define, de un modo amplio, como “todas aquellas violaciones de la seguridad que ocasionen la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos.” En el supuesto presente, analizados los datos concretos que se han divulgado y el contexto en el que se producen, se entiende que no concurre este requisito, pues tal y como considera la jurisprudencia de nuestro Tribunal Constitucional y Tribunal de Justicia de la Unión Europea (TJUE), la difusión no sería ilícita si se trata de un hecho noticiable de una persona de interés general, puesto que el derecho a la información y a la libertad de expresión de las opiniones políticas justifican en este caso que el dato del reciente empadronamiento en el centro de trabajo de la reclamante en época preelectoral se de a conocer. Nuestro Tribunal Constitucional, en su STC 58/2018 de 4 de junio, afirma que las autoridades públicas, los funcionarios públicos y los personajes públicos o dedicados a actividades que conllevan notoriedad pública “aceptan voluntariamente el riesgo de que sus derechos subjetivos de personalidad resulten afectados por críticas, opiniones o revelaciones adversas y, por tanto, el derecho de información alcanza, en relación con ellos, su máximo nivel de eficacia legitimadora, en cuanto que su vida y conducta moral participan del interés general con una mayor intensidad que la de aquellas personas privadas que, sin vocación de proyección pública, se ven circunstancialmente involucradas en asuntos de trascendencia pública, a las cuales hay que, por consiguiente, reconocer un ámbito superior de privacidad, que impide conceder trascendencia general a hechos o conductas que la tendrían de ser referidos a personajes públicos". La STJUE (Sala Segunda) de 14 de febrero de 2019, en el asunto C 345/17, Sergejs Buivids hace mención a diversos criterios para ponderar entre el derecho al respeto de la intimidad y el derecho a la libertad de expresión, entre los cuales se encuentran “la contribución a un debate de interés general, la notoriedad de la persona afectada, el objeto del reportaje, el comportamiento anterior del interesado, el contenido, la forma y las repercusiones de la publicación, la forma y las circunstancias en las que se obtuvo información y su veracidad (véase, en este sentido, la sentencia del TEDH de 27 de junio de 2017, Satakunnan Markkinapörssi Oy y Satamedia Oy c. Finlandia, CE:ECHR:2017:0627JUD000093113, apartado 165)”. De tal forma, que para que un asunto sea considerado de interés general, de relevancia pública, lo serán no sólo por la persona que intervenga, sino también por la materia a la que se refiere. Y en el supuesto presente, a la vista de las circunstancias concurrentes (empadronamiento de la reclamante en su centro de trabajo del domicilio, siendo el empadronamiento en un municipio, condición para poder presentarse C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/8 como candidata en las elecciones municipales), y considerando además que no se publicó su dirección de residencia exacta, ni el municipio donde presuntamente reside en realidad, cabe considerar sin duda que la publicación no fue un tratamiento no autorizado o ilícito que justifique el inicio de expediente sancionador por cometer una infracción del artículo 5.1.
5. f)del RGPD. A mayor abundamiento, el hecho de que el Grupo Independiente haya solicitado el inicio de un expediente informativo para investigar dónde está empadronada la reclamante, refuerza el hecho de que su finalidad última era ejercer el derecho a la información, constatando un hecho noticiable de interés para todos los votantes del municipio. III Sobre la presunta falta de medidas de seguridad del tratamiento En segundo lugar, se plantea por la reclamante que se ha producido un “manejo no autorizado” al accederse indebidamente a sus datos a través del padrón municipal, lo que en términos de la protección de datos implicaría la posible comisión de una infracción de lo previsto en el artículo 32 del RGPD por el Ayuntamiento, puesto que supondría que éste no ha cumplido con su responsabilidad de prever medidas de seguridad que impidieran accesos o manejos no autorizados de los datos contenidos en su padrón municipal. El Artículo 32 sobre “Seguridad del tratamiento” del RGPD establece lo siguiente: "1. Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, que en su caso incluya, entre otros:
6. a)la seudonimización y el cifrado de datos personales;
7. b)la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento;
8. c)la capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente físico o técnico;
9. d)un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento. 2. Al evaluar la adecuación del nivel de seguridad se tendrán particularmente en cuenta los riesgos que presente el tratamiento de datos, en particular como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos. 3. La adhesión a un código de conducta aprobado a tenor del artículo 40 o a un mecanismo de certificación aprobado a tenor del artículo 42 podrá servir de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/8 elemento para demostrar el cumplimiento de los requisitos establecidos en el apartado 1 del presente artículo. 4. El responsable y el encargado del tratamiento tomarán medidas para garantizar que cualquier persona que actúe bajo la autoridad del responsable o del encargado y tenga acceso a datos personales solo pueda tratar dichos datos siguiendo instrucciones del responsable, salvo que esté obligada a ello en virtud del Derecho de la Unión o de los Estados miembros." No obstante, no consta acreditación alguna de que se haya producido un acceso al padrón municipal por parte del (...) del Grupo Independiente o cualquier otra persona. De los antecedentes obrantes en el expediente no cabe deducir que el citado (...) haya accedido a los datos del padrón, no habiéndose presentado prueba alguna que sustente esta imputación. Este hecho acreditativo de su responsabilidad tampoco puede deducirse del tenor literal de las noticias publicadas, en las que no se hace referencia a que el reclamado haya obtenido este dato del padrón municipal, lo que es coherente con el hecho de haber iniciado un expediente informativo ante el Ayuntamiento para investigar las circunstancias del empadronamiento. Más bien al contrario, concurren indicios que sustentan la afirmación realizada por el reclamado respecto a que el cambio de empadronamiento fuera un hecho conocido por diversos habitantes del pueblo que conocían a la reclamante, (…), puesto que ***AYUNTAMIENTO.1 es un municipio de XXXX habitantes según el último padrón publicado de acuerdo con el Instituto Nacional de Estadística, en el que la reclamante puede ser conocida a causa de su negocio. V Conclusión Por lo tanto, en base a lo indicado en los párrafos anteriores, no se han encontrado evidencias que acrediten la existencia de infracción en el ámbito competencial de la Agencia Española de Protección de Datos. Todo ello sin perjuicio de las posibles actuaciones posteriores que esta Agencia pudiera llevar a cabo, aplicando los poderes de investigación y correctivos que ostenta. Así pues, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a ***AYUNTAMIENTO.1, al GRUPO INDEPENDIENTE (…) y a la parte reclamante. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
10. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/8 Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 940-301023 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es