AI-00396-2024

1/8  Expediente N.º: EXP202409251 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 29 de mayo de 2024, se presentó reclamación ante la Agencia Española de Protección de Datos contra AYUNTAMIENTO DE COLLADO VILLALBA con NIF P2804700I (en adelante, la parte reclamada o el Ayuntamiento). Los motivos en que basa la reclamación son los siguientes: La parte reclamante manifiesta que el Ayuntamiento ha publicado en su página web sus datos personales (nombre, apellidos, DNI, teléfono privado y dirección de correo electrónico). Asimismo, declara que el ***PUESTO.1 ha revelado su dirección de correo electrónico al enviar emails en copia abierta con distintas personas. En relación con la primera parte de la reclamación, aporta una URL que reenvía a la página web del Ayuntamiento, concretamente al ***CLUB.1, donde figuran los siguientes datos personales: ***PUESTO.1 A.A.A.; “DNI del ***PUESTO.1: ***NIF.1”; “teléfono del ***PUESTO.1 ***TELÉFONO.1”; “email del ***PUESTO.1 ***EMAIL.1”. Asimismo, aporta copias de tres correos electrónicos relacionados con la segunda parte de la reclamación: - Correo electrónico de fecha 3 de abril de 2024 enviado por ***EMAIL.2, ***PUESTO.1, a ***EMAIL.3, con copia a ***EMAIL.4, ***EMAIL.5 y a ***EMAIL.6. El asunto es ***ASUNTO.1, e informa a la parte reclamante sobre trámites administrativos relacionados con la documentación necesaria para ***ASUNTO.1. - Correo electrónico de fecha 8 de abril de 2024 enviado por ***EMAIL.2 a ***EMAIL.7, ***EMAIL.8, ***EMAIL.3, y ***EMAIL.4, con copia a ***EMAIL.9. Como asunto ***ASUNTO.2. En el contenido del correo se informa de que se envía un informe jurídico, para conocimiento de los destinatarios, en relación con (…). - Correo electrónico de fecha 12 de abril de 2024 enviado por ***EMAIL.2 a ***EMAIL.7, ***EMAIL.8, y a ***EMAIL.3, y en copia a ***EMAIL.4. El asunto del correo es ***ASUNTO.3 y en el contenido del correo se informa de que el (…) (….). Asimismo, se informa a la parte reclamante de que se C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/8 van a llevar a cabo (…). A pie de firma consta el nombre y cargo del ***PUESTO.1 SEGUNDO: En fecha 19 de junio de 2024, por la Subdirección General de Inspección de Datos se accede al enlace aportado por la parte reclamante, al acceder se obtiene una captura de pantalla de la publicación en la página web, coincidente con la aportada por este, y que contiene publicado los mismos datos: “A.A.A.”, “DNI del ***PUESTO.1: ***NIF.1”, “teléfono del ***PUESTO.1: ***TELÉFONO.1”, “email del ***PUESTO.1: ***EMAIL.1” TERCERO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación al Ayuntamiento, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. La notificación del traslado de la reclamación, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue realizada en fecha 25 de junio de 2024 como consta en el acuse de recibo que obra en el expediente. Con fecha 15 de julio de 2024 se recibe en esta Agencia escrito de respuesta indicando, en síntesis, que: “El reclamante es (…) y está adscrito al grupo ***GRUPO.1”. “Con ocasión de diversas controversias que mantenía el reclamante con el resto de miembros del grupo municipal al que está adscrito, el ***PUESTO.1 remitió a estos dos correos electrónicos a las direcciones que habían autorizado para ello, en el entendimiento de que estos correos tienen la naturaleza de correos conocidos por el resto de miembros del grupo municipal, por lo que, precisamente, para evitar susceptibilidades y en un ejercicio de transparencia, se optó por no enviarlo con copia oculta. Así, las “distintas personas” a las que se refiere la parte reclamante son los otros/as concejales de su mismo grupo municipal y, en copia, la alcaldesa - presidenta del Ayuntamiento. En otro de los correos figura en copia un concejal miembro del equipo de Gobierno del área de Secretaría”. “Respecto de la anonimización de datos personales en la web, la publicación de la imagen es como cargo público y, además, es de carácter voluntario, y respecto del nombre lo es igualmente en función de su actuación como cargo público municipal y junto con el teléfono y la dirección de correo electrónico, lo es en función de su cargo como ***PUESTO.1 (…), por lo que tampoco se está produciendo ninguna revelación indebida de datos personales”. “El representante del Ayuntamiento manifiesta que se han realizado búsquedas de los datos personales del reclamante en la página web del Ayuntamiento y de los correos enviados por el ***PUESTO.1, sin que se hayan encontrado más datos que los mencionados”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/8 “No consideran que se haya producido ninguna violación de la normativa aplicable y, por consiguiente, no han adoptado ninguna decisión, más allá de recordar al personal municipal las recomendaciones generales de enviar correos dirigidos a múltiples destinatarios en copia oculta de la anonimización de datos personales en la página web”. CUARTO: Con fecha 29 de agosto de 2024, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada. QUINTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos:  Con fecha 22 de octubre de 2024, se comprueba que, al acceder al enlace facilitado por la parte reclamante en su reclamación, se comprueba que constan publicados los siguientes datos: ***PUESTO.1 “A.A.A.”, teléfono del ***PUESTO.1 ***TELÉFONO.1; email del ***PUESTO.1 ***EMAIL.1. No se localizó la publicación de los datos relativos al DNI.  Con fecha 16 de diciembre de 2024, se solicitó por la Subdirección General de Inspección de Datos al Ayuntamiento, documentación acreditativa del consentimiento otorgado por la parte reclamante para recibir notificaciones y comunicaciones para el ejercicio del cargo de concejal, en la dirección de correo electrónico ***EMAIL.3. Con fecha 13 de enero de 2025 tuvo entrada en la Agencia escrito de respuesta, adjuntando el documento de autorización, de fecha 27 de marzo de 2024, firmado por la parte reclamante en el que se autoriza expresamente el tratamiento de la dirección de correo electrónico, ***EMAIL.3 así como a la dirección de correo electrónico oficial establecida por el Ayuntamiento, para recibir notificaciones y comunicaciones relacionadas con el cargo de concejal.  Con fecha 27 de febrero y 13 de marzo de 2025, se solicitó por la inspección de datos a la parte reclamada información sobre la finalidad para la que se publicó el número de DNI de la parte reclamante en la página web del Ayuntamiento, y la base legal en la que se amparaba dicho tratamiento, resultando en ambos casos expirada la notificación por caducidad, al superarse el plazo establecido para la comparecencia. FUNDAMENTOS DE DERECHO I Competencia C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/8 De acuerdo con las funciones que el artículo 57.1 a),

1. f)y
2. h)del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) confiere a cada autoridad de control y según lo dispuesto en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Minimización de datos La letra
3. c)del artículo 5.1 del RGPD propugna: "1. Los datos personales serán: (…)
4. c)adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados («minimización de datos»);" De acuerdo con este principio, solo se deben solicitar, tratar y conservar aquellos datos personales estrictamente necesarios para la finalidad para la que se recaban y deben ser adecuados, pertinentes y limitados. En el presente caso consta que en la página web del Ayuntamiento se publicaron datos personales de la parte reclamante. El objeto de la reclamación es por la publicación, en la página del Ayuntamiento de datos relacionados con el cargo que desempeña como ***PUESTO.1 en ***CLUB.1. En concreto se publicaron el nombre y apellidos, DNI, email y teléfono. El email que figura en la página web del club (…), ***EMAIL.1, se trata de una dirección de correo electrónico que no contiene datos relacionados con el titular de la cuenta, el cual es un correo del club al que tiene acceso en su condición de ***PUESTO.1. En relación con la publicación del número del DNI de la parte reclamante, se ha comprobado que tal dato no figura en la actualidad publicado en la página web del Ayuntamiento. Al respecto, la sentencia del Tribunal de Justicia de la Unión Europea, (STJUE) de 26/09/2024, en el asunto C-768/2021, señala: “37 A este respecto, ha de señalarse que el RGPD deja a la autoridad de control un margen de apreciación en cuanto a la manera en que debe subsanar la deficiencia constatada, puesto que el artículo 58, apartado 2, del mismo confiere a dicha C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/8 autoridad la facultad de adoptar diversas medidas correctoras. Así, el Tribunal de Justicia ya ha declarado que la elección del medio adecuado y necesario corresponde a la autoridad de control, que debe realizar tal elección tomando en consideración todas las circunstancias del caso concreto y cumpliendo con toda la diligencia requerida su misión consistente en velar por el pleno respeto del RGPD (véase, en este sentido, la sentencia de 16 de julio de 2020, Facebook Ireland y Schrems, C311/18, EU:C:2020:559, apartado 112). 38 Sin embargo, este margen de apreciación está limitado por la necesidad de garantizar un nivel coherente y elevado de protección de los datos personales mediante una aplicación rigurosa de las normas, como se desprende de los considerandos 7 y 10 del RGPD 39 Por lo que se refiere, más concretamente, a las multas administrativas contempladas en el artículo 58, apartado 2, letra i), del RGPD, del artículo 83, apartado 2, de este Reglamento resulta que aquellas se imponen, según las características propias de cada caso, con carácter adicional o en sustitución de las demás medidas previstas en el citado artículo 58, apartado 2. Además, ese mismo artículo 83, apartado 2, precisa que, al decidir la imposición de una multa administrativa y su cuantía en cada caso individual, la autoridad de control debe tener debidamente en cuenta los elementos que figuran en las letras
5. a)a
6. k)de esta disposición, como la naturaleza, la gravedad y la duración de la infracción” (…) “41 En consecuencia, no puede deducirse ni del artículo 58, apartado 2, del RGPD ni del artículo 83 de este la existencia de una obligación a cargo de la autoridad de control de adoptar, en todos los casos, cuando constate una violación de la seguridad de datos personales, una medida correctora, en particular una multa administrativa, siendo su obligación, en tales circunstancias, reaccionar adecuadamente para subsanar la deficiencia constatada. (…) En estas circunstancias, como señaló el Abogado General en el punto 81 de sus conclusiones, el autor de una reclamación cuyos derechos han sido vulnerados no dispone de un derecho subjetivo a que la autoridad de control imponga una multa administrativa al responsable del tratamiento. (…) 43 A este respecto, no se excluye que, con carácter excepcional y habida cuenta de las circunstancias particulares del caso concreto, la autoridad de control pueda abstenerse de adoptar una medida correctora aunque se haya constatado una violación de la seguridad de datos personales. Tal puede ser el caso, en particular, cuando la violación constatada no haya persistido, por ejemplo cuando el responsable del tratamiento, que, en principio, había aplicado medidas técnicas y organizativas apropiadas en el sentido del artículo 24 del RGPD, haya adoptado, tan pronto como haya tenido conocimiento de dicha violación, las medidas adecuadas y necesarias para que la violación finalice y no vuelva a producirse, habida cuenta de las obligaciones que le incumben, en particular, en virtud de los artículos 5, apartado 2, y 24 del mencionado Reglamento. 44 La interpretación según la cual la autoridad de control, cuando constata una violación de la seguridad de datos personales, no está obligada a adoptar en todos los casos una medida correctora con arreglo al artículo 58, apartado 2, del RGPD se ve C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/8 corroborada por los objetivos perseguidos por este artículo 58, apartado 2, y por el artículo 83 de dicho Reglamento, respectivamente. 45 Por lo que respecta al objetivo perseguido por el artículo 58, apartado 2, del RGPD, del considerando 129 de este se desprende que esta disposición tiene por objeto garantizar la conformidad del tratamiento de datos personales con dicho Reglamento y la regularización de las situaciones de incumplimiento de este para que se ajusten al Derecho de la Unión, mediante la intervención de las autoridades de control nacionales (sentencia de 14 de marzo de 2024, Újpesti Polgármesteri Hivatal, C46/23, EU:C:2024:239, apartado 40). 46 De lo anterior se infiere que la adopción de una medida correctora puede, con carácter excepcional y habida cuenta de las circunstancias particulares del caso concreto, no imponerse, siempre que la situación de infracción del RGPD ya haya sido subsanada y que se garantice la conformidad de los tratamientos de datos personales con dicho Reglamento por su responsable y que tal abstención de la autoridad de control no menoscabe la exigencia de una aplicación rigurosa de las normas, tal como se ha recordado en el apartado 38 de la presente sentencia”. El TJUE incide, por tanto, en el margen de apreciación que tienen las autoridades de control para, en el ejercicio de sus funciones, desarrollar y optar entre los poderes atribuidos por el artículo 58 del RGPD, teniendo en cuenta las circunstancias del caso concreto, así como velando por el pleno respeto del RGPD. La consigna que debe regir siempre la actuación de una autoridad de control es asegurar un nivel alto de protección de los datos personales. Así, cabe que, aun cuando se hubiera constatado o se tuvieran indicios de que se ha producido una vulneración en materia de protección de datos, las autoridades de control se abstengan de ejercitar sus poderes correctivos cuando esta presunta infracción hubiera sido subsanada y se garantice la conformidad de los tratamientos de datos personales con el RGPD. Lo señalado por el TJUE en la sentencia antes citada, refuerza la idea de proporcionalidad de actuación de las autoridades de control que se recoge, con anterioridad a que fuera dictada la mencionada sentencia, en los artículos 65.4 y 65.6 de la LOPDGDD, por los que se permite a la AEPD, en atención a las circunstancias del caso concreto, la inadmisión a trámite o el archivo de reclamaciones, cuando, tras el traslado de las mismas al responsable del tratamiento, este demostrara haber adoptado medidas para el cumplimiento de la normativa aplicable. En el caso que nos ocupa, 19 de junio de 2024, se comprobó que, al acceder al enlace facilitado por la parte reclamante en su reclamación, se comprobó que constaba publicado el número de DNI de la parte reclamante. No obstante, a 22 de octubre de 2024 ese dato ya no se encontraba publicado. Por tanto, de conformidad con la STJUE de 24 de septiembre de 2024, en el asunto C768/2021 y atendiendo a las singulares circunstancias que conforman este caso, en particular, la especial diligencia del responsable para asegurar el cumplimiento de la normativa de protección de datos, así como la desaparición de las circunstancias que C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/8 fueron objeto de investigación, esta Agencia considera que no procede el despliegue de sus poderes correctivos previstos en el artículo 58 del RGPD. Todo ello sin perjuicio de las posibles actuaciones posteriores que esta Agencia pudiera llevar a cabo, aplicando los poderes de investigación y correctivos que ostenta. III Integridad y confidencialidad La letra
7. f)del artículo 5.1 del RGPD propugna: "1. Los datos personales serán: (…)
8. f)tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»)." En este sentido el considerando