1/7 Expediente N.º: EXP202416764 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: La Agencia Española de Protección de Datos ha tenido conocimiento a través de una denuncia de ciertos hechos que podrían vulnerar la legislación en materia de protección de datos. Con fecha 29 de noviembre de 2024, la Directora de la Agencia Española de Protección de Datos instó a la Subdirección General de Inspección de Datos (SGID) a iniciar las actuaciones previas de investigación a las que se refiere el artículo 67 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD) para investigar las implicaciones desde la perspectiva de protección de datos derivadas de la publicación de la constitución de las Juntas Electorales de Zona, en 2023 y 2024 en el Boletín Oficial de la Provincia de ***PROVINCIA.1. SEGUNDO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: - Se ha verificado por esta Inspección que en el Boletín Oficial de la Provincia de ***PROVINCIA.1 número XX publicado el día ***FECHA.1 se publicaron las actas de constitución de la Junta Electoral Provincial de ***PROVINCIA.1 y las Juntas Electorales de Zona (JEZ) de (…), las cuales incluyen el nombramiento de los miembros que constituyen las correspondientes Juntas Electorales, de quienes se publicaron el nombre y apellidos y puesto judicial. Las publicaciones correspondientes a las JEZ de ***LOCALIDAD.1, ***LOCALIDAD.2, ***LOCALIDAD.3 publicaron además de los citados datos, el número de DNI de cada uno de los miembros. (el subrayado es de la AEPD) - También se ha verificado que en el Boletín Oficial de la Provincia de ***PROVINCIA.1 número XX publicado el día ***FECHA.2 se publicaron las actas de constitución de la JEP de ***PROVINCIA.1 y las JEZ para las elecciones europeas de (…), las cuales incluyen el nombramiento de los miembros que constituyen las correspondientes Juntas Electorales, de quienes se publica el nombre y apellidos y puesto judicial. Las publicaciones correspondientes a las JEZ C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/7 de ***LOCALIDAD.1, ***LOCALIDAD.2, ***LOCALIDAD.3, publicaron además de los citados datos, el número de DNI de cada uno de los miembros. (el subrayado es de la AEPD) - Según consta en la Ley Orgánica 5/1985, de 19 de junio, del Régimen Electoral General (LOREG) las Juntas Electorales de Zona se constituyen inicialmente con los Vocales judiciales el tercer día siguiente a la convocatoria de elecciones (art. 14.1) y su mandato concluye cien días después de las elecciones (art. 15.2). Si durante este período se convocasen otras elecciones, la competencia de las Juntas se entenderá prorrogada hasta cien días después de la celebración de aquéllas. (el subrayado es de la AEPD) Las elecciones municipales para las que se constituyeron la JEP de ***PROVINCIA.1 y las JEZ tuvieron lugar el día ***FECHA.3, por lo que dichas juntas concluyeron su mandato transcurridos 100 días desde esta fecha. Las elecciones europeas para las que se constituyeron la JEP de ***PROVINCIA.1 y las JEZ tuvieron lugar el día ***FECHA.4, por lo que dichas juntas concluyeron su mandato transcurridos 100 días desde esta fecha. - Con fecha 4/9/2025 se solicitó por la Inspección de Datos a la Junta Electoral Central, como órgano permanente e la Administración Electoral, la aportación de información en relación con los hechos reclamados, teniendo entrada con fecha 3/10/2025 escrito de respuesta en el que el ***PUESTO.1 pone de manifiesto lo siguiente: - Son las respectivas Juntas Electorales Provinciales y de Zona las encargadas de publicar la composición inicial de las citadas Juntas, careciendo la Junta Electoral Central de funciones supervisión sobre los nombramientos y su publicación. - Asimismo, la Junta Electoral Central carece de competencia para ordenar la modificación de los datos publicados en los Boletines Oficiales de la Provincia. - Habiendo concluido el mandato de las Juntas Electorales Provinciales y de Zona de conformidad con el artículo 15.2 de la LOREG, y no siendo posible trasladar el requerimiento de información al no estar constituidas, esta Junta ha procedido a recabar informe de los correspondientes secretarios a fin de que aporten la información disponible solicitada. Aportan copia de los informes recibidos. Respecto al informe emitido por ***PUESTO.2 de la Administración de Justicia del Tribunal de Instancia de ***LOCALIDAD.3, se pone de manifiesto lo siguiente: Se informa de que consultado el expediente se comprueba que en el acta de constitución definitiva de la Junta Electoral de Zona se incluían los DNI de los componentes de esta, siendo dicha acta la que se remitió al Boletín Oficial de la Provincia no constando en el expediente el pdf enviado, por lo que no se puede concretar si por error se envió sin anonimizar los DNI de los vocales. (el subrayado es de la AEPD) Respecto al informe emitido por ***PUESTO.3 de ***LOCALIDAD.1, se pone de manifiesto lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/7 En la Junta Electoral de Zona de ***LOCALIDAD.1, en las elecciones locales de 2023 y europeas de 2024, en cumplimiento de lo dispuesto en el artículo 14 Ley Orgánica 5/1985 de 19 de junio del Régimen Electoral General se redactó Acta de Constitución de esta con la identificación de todos los vocales que la componían. Posteriormente se procedió a su remisión al Boletín Oficial de la Provincia para que procediera a su publicación, sin que se haya comunicado hasta la fecha de hoy incidencia o error alguno en la elaboración de dicha acta y sin ser competencia de la JEZ determinar el contenido de lo que será publicado en el BOP. (el subrayado es de la AEPD) Respecto al informe emitido por ***PUESTO.4 de la Administración de Justicia, (…) de la Junta Electoral de Zona de ***LOCALIDAD.2, se pone de manifiesto lo siguiente: Informa de que, efectivamente, en la publicación en el Boletín Oficial de la Provincia de ***PROVINCIA.1 de los días ***FECHA.1 y ***FECHA.2 del acta inicial de constitución de dicha Junta Electoral con los vocales judiciales, de los días 7 de abril de 2.023 y 19 de abril de 2.024, respectivamente, se incluyó el DNI de éstos y de (…), lo que debió producirse por un evidente error involuntario, que se tendrá muy en cuenta para evitarlo en sucesivas convocatorias electorales. (el subrayado es de la AEPD) FUNDAMENTOS DE DERECHO I Competencia De acuerdo con las funciones que el artículo 57.1 a),
- f)y
- h)del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) confiere a cada autoridad de control y según lo dispuesto en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Minimización de datos La letra
- c)del artículo 5.1 del RGPD propugna: "1. Los datos personales serán: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/7 (…)
- c)adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados («minimización de datos»);" III Conclusión De conformidad con lo dispuesto en la Ley Orgánica 5/1985, de 19 de junio, del Régimen Electoral General (LOREG), la publicación de los nombramientos de los miembros de las Juntas Electorales de Zona responde al principio de publicidad de los actos administrativos, sin que dicha norma establezca un catálogo concreto de datos personales que deban ser objeto de publicación. No obstante, esta práctica debe interpretarse conforme al marco normativo en materia de protección de datos personales, en particular el RGPD, cuyo artículo 5.1.
- c)consagra el principio de minimización de datos, conforme al cual los datos personales deberán ser adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados, así como la Ley Orgánica 3/2018, de Protección de Datos Personales y garantía de los derechos digitales. Asimismo, el artículo 15 de la Ley 19/2013, de transparencia, acceso a la información pública y buen gobierno, establece la necesidad de ponderar la publicidad de la información con la protección de los datos personales, especialmente cuando estos no sean estrictamente necesarios para la finalidad de transparencia perseguida. En consecuencia, la práctica administrativa consolidada limita la publicación de los nombramientos a los datos identificativos básicos, nombre y apellidos y cargo, por ser los estrictamente necesarios para garantizar la transparencia y la identificación del órgano, sin incurrir en un tratamiento excesivo de datos personales. En el presente caso existe evidencia documental que, en los anuncios de constitución de las Juntas Electorales de Zona, publicados en 2023 y 2024 en el Boletín Oficial de la Provincia de ***PROVINCIA.1, correspondientes a las Juntas Electorales de Zona de ***LOCALIDAD.1, ***LOCALIDAD.2 y ***LOCALIDAD.3, constaban los números de los documentos de identidad completos de los componentes, además del nombre, apellidos y puesto judicial. Tal proceder no resulta conforme con el principio de minimización de datos, en la medida en que implica la difusión de información personal excesiva y no estrictamente necesaria para la finalidad perseguida. No obstante, dichas circunstancias han sido debidamente subsanadas, procediéndose a la adecuación de las publicaciones a los principios de minimización de datos y proporcionalidad exigibles en la materia, lo que pone de manifiesto la diligencia del responsable en la atención del requerimiento, así como su voluntad de colaboración con la autoridad competente, lo cual se refleja en el hecho, entre otros, en que habiendo concluido el mandato de las referidas Juntas Electorales de Zona, de conformidad con lo dispuesto en el artículo 15.2 de la LOREG, y no siendo posible dirigir el requerimiento de información a las mismas por no encontrarse constituidas, se ha procedido a recabar informe de los correspondientes Secretarios, por parte de la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/7 Junta Electoral Central, como órgano permanente e la Administración Electoral, a fin de que aporten la información disponible en relación con los hechos objeto de análisis. Asimismo, consta que la incidencia tuvo su origen en una actuación involuntaria, circunstancia que ha sido expresamente reconocida y que se tendrá especialmente en cuenta a fin de evitar su reiteración en futuras convocatorias, habiéndose adoptado al efecto las medidas oportunas. A este respecto, cabe citar la Sentencia del Tribunal de Justicia de la Unión Europea (TJUE) de 24 de septiembre de 2024, dictada en el asunto C-768/2021, analiza un supuesto de brecha de datos personales en el que una autoridad de control (el Comisionado para la Protección de Datos y la Libertad de Información del Estado Federado de Hesse, Alemania) decidió no imponer sanción atendiendo a las circunstancias del caso concreto. En dicha sentencia se afirma lo siguiente: “37 A este respecto, ha de señalarse que el RGPD deja a la autoridad de control un margen de apreciación en cuanto a la manera en que debe subsanar la deficiencia constatada, puesto que el artículo 58, apartado 2, del mismo confiere a dicha autoridad la facultad de adoptar diversas medidas correctoras. Así, el Tribunal de Justicia ya ha declarado que la elección del medio adecuado y necesario corresponde a la autoridad de control, que debe realizar tal elección tomando en consideración todas las circunstancias del caso concreto y cumpliendo con toda la diligencia requerida su misión consistente en velar por el pleno respeto del RGPD (véase, en este sentido, la sentencia de 16 de julio de 2020, Facebook Ireland y Schrems, C 311/18, EU:C:2020:559, apartado 112). 38 Sin embargo, este margen de apreciación está limitado por la necesidad de garantizar un nivel coherente y elevado de protección de los datos personales mediante una aplicación rigurosa de las normas, como se desprende de los considerandos 7 y 10 del RGPD. (…) 41 En consecuencia, no puede deducirse ni del artículo 58, apartado 2, del RGPD ni del artículo 83 de este la existencia de una obligación a cargo de la autoridad de control de adoptar, en todos los casos, cuando constate una violación de la seguridad de datos personales, una medida correctora, en particular una multa administrativa, siendo su obligación, en tales circunstancias, reaccionar adecuadamente para subsanar la deficiencia constatada. (…) En estas circunstancias, como señaló el Abogado General en el punto 81 de sus conclusiones, el autor de una reclamación cuyos derechos han sido vulnerados no dispone de un derecho subjetivo a que la autoridad de control imponga una multa administrativa al responsable del tratamiento. (…) 43 A este respecto, no se excluye que, con carácter excepcional y habida cuenta de las circunstancias particulares del caso concreto, la autoridad de control pueda abstenerse de adoptar una medida correctora aunque se haya constatado una violación de la seguridad de datos personales. Tal puede ser el caso, en particular, cuando la violación constatada no haya persistido, por ejemplo cuando el responsable del tratamiento, que, en principio, había aplicado medidas técnicas y organizativas apropiadas en el sentido del artículo 24 del RGPD, haya adoptado, tan pronto como haya tenido conocimiento de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/7 dicha violación, las medidas adecuadas y necesarias para que la violación finalice y no vuelva a producirse, habida cuenta de las obligaciones que le incumben, en particular, en virtud de los artículos 5, apartado 2, y 24 del mencionado Reglamento. 44 La interpretación según la cual la autoridad de control, cuando constata una violación de la seguridad de datos personales, no está obligada a adoptar en todos los casos una medida correctora con arreglo al artículo 58, apartado 2, del RGPD se ve corroborada por los objetivos perseguidos por este artículo 58, apartado 2, y por el artículo 83 de dicho Reglamento, respectivamente. 45 Por lo que respecta al objetivo perseguido por el artículo 58, apartado 2, del RGPD, del considerando 129 de este se desprende que esta disposición tiene por objeto garantizar la conformidad del tratamiento de datos personales con dicho Reglamento y la regularización de las situaciones de incumplimiento de este para que se ajusten al Derecho de la Unión, mediante la intervención de las autoridades de control nacionales (sentencia de 14 de marzo de 2024, Újpesti Polgármesteri Hivatal, C 46/23, EU:C:2024:239, apartado 40). 46 De lo anterior se infiere que la adopción de una medida correctora puede, con carácter excepcional y habida cuenta de las circunstancias particulares del caso concreto, no imponerse, siempre que la situación de infracción del RGPD ya haya sido subsanada y que se garantice la conformidad de los tratamientos de datos personales con dicho Reglamento por su responsable y que tal abstención de la autoridad de control no menoscabe la exigencia de una aplicación rigurosa de las normas, tal como se ha recordado en el apartado 38 de la presente sentencia.” El TJUE reconoce en esta sentencia el margen de apreciación que tienen las autoridades de control para, en el ejercicio de sus funciones, desarrollar y optar entre los poderes atribuidos por el artículo 58 del RGPD, teniendo en cuenta las circunstancias del caso concreto y velando por el pleno respeto del RGPD. La consigna que debe regir siempre la actuación de una autoridad de control es asegurar un nivel alto de protección de los datos personales. Así, cabe que, aun cuando se hubiera constatado o se tuvieran indicios de que se ha producido una vulneración en materia de protección de datos, las autoridades de control se abstengan de ejercitar sus poderes correctivos cuando esta presunta infracción hubiera sido subsanada y se garantice la conformidad de los tratamientos de datos personales con el RGPD. Lo señalado por el TJUE en la sentencia antes citada, refuerza la idea de proporcionalidad de actuación de las autoridades de control que se recoge, con anterioridad a que fuera dictada la mencionada sentencia, en los artículos 65.4 y 65.6 de la LOPDGDD, por los que se permite a la AEPD, en atención a las circunstancias del caso concreto, la inadmisión a trámite o el archivo de reclamaciones, cuando, tras el traslado de las mismas al responsable del tratamiento, este demostrara haber adoptado medidas para el cumplimiento de la normativa aplicable. En consecuencia, de conformidad con la STJUE de 24 de septiembre de 2024, en el asunto C-768/2021 y atendiendo a las singulares circunstancias que conforman este caso, esta Agencia considera que, de forma excepcional, no procede el despliegue de sus poderes correctivos previstos en el artículo 58 del RGPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/7 Todo ello sin perjuicio de las posibles actuaciones posteriores que esta Agencia pudiera llevar a cabo, aplicando los poderes de investigación y correctivos que ostenta. De acuerdo con lo señalado, por la Presidencia de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a JUNTA ELECTORAL DE ZONA ***LOCALIDAD.1, JUNTA ELECTORAL DE ZONA ***LOCALIDAD.2 y JUNTA ELECTORAL DE ZONA ***LOCALIDAD.3. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública. La publicación se realizará una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
- c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 940-101025 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es