1/17 Procedimiento Nº: E/02877/2019 940-0419 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 15 de marzo de 2019, la Directora de la Agencia Española de Protección de Datos acordó iniciar actuaciones previas de investigación para determinar la adecuación del tratamiento de datos de la Base de datos Nacional de Subvenciones a la normativa de protección de datos, al haber tenido conocimiento de que a través del buscador habilitado en la propia web, señalando como criterio de búsqueda “violencia de género”, se pueden encontrar publicados los datos de personas físicas. Se ha producido en dos casos: Cabildo Insular de ***LOCALIDAD.1 (***URL.1) y de la Diputación de ***LOCALIDAD.2 (***URL.2). Asimismo, en atención a la naturaleza de los derechos afectados y con el fin de asegurar la eficacia de la Resolución que pudiera recaer, de conformidad con lo establecido en el artículo 69.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), la Directora acordó, como medida provisional para salvaguardar el derecho fundamental a la protección de datos de los interesados y sin que esto suponga un menoscabo del principio de transparencia que debe informar toda actividad pública, el bloqueo cautelar de todos los datos personales que puedan asociarse al tipo de subvenciones recibidas por personas físicas afectadas por violencia de género, de modo que se impida que sus datos sean accesibles por terceros, en un plazo de quince días hábiles. Esta medida provisional se adopta para un período de 12 meses, que coincide con el tiempo máximo de duración de las Actuaciones Previas de Investigación, salvo que circunstancias sobrevenidas o que no hayan sido tenidas en cuenta en este acto impliquen su alzamiento o modificación. SEGUNDO: Con fecha 19 de marzo de 2019, la Subdirección General de Inspección de Datos requirió al Cabildo Insular de ***LOCALIDAD.1 que informara de las cuestiones siguientes: 1. Contenido de la información facilitada por el Cabildo Insular de ***LOCALIDAD.1 para su incorporación a la BDNS, especialmente la relativa a los beneficiarios personas físicas. 2. Detalle sobre el procedimiento que sigue el Cabildo Insular de ***LOCALIDAD.1 para la recopilación de esta información y su traslado a la BDNS, con indicación del modo de envío de la información y los plazos establecidos para ello. Deberán indicarse, asimismo, las unidades administrativas responsables de estas acciones. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/17 3. Mecanismo utilizado por ese Cabildo para marcar la información destinada a la BDNS que no deberá ser objeto de publicación en el Portal de Trasparencia del SNPS. 4. Detalle de toda la información facilitada a la BDNS por ese Cabildo Insular en relación con la convocatoria de subvenciones a la que se refiere la información visible en el Portal de Trasparencia del SNPS, en la dirección web ***URL.1. Dado que esta subvención iba dirigida a mujeres víctimas de violencia de género, deberá detallar el mecanismo empleado en este caso concreto para indicar/marcar que no se podía dar publicidad a los datos personales de las beneficiarias de estas ayudas. 5. Informe a esta Agencia si por parte de ese Cabildo Insular se procede a dar publicidad por cualquier otro canal a las que subvenciones que gestiona (boletines oficiales, página web, tablones de anuncios en oficinas, u otros). De ser así, deberá facilitar a esta Agencia el detalle de toda la información publicada en relación con la convocatoria a la que se refiere el apartado 4 anterior, con indicación del medio empleado para su divulgación. Deberá indicar, asimismo, si esa misma información es facilitada a terceros distintos a la BDNS (otras entidades, terceros que concurren a la convocatoria, u otros) y los motivos que justifican dicha cesión de información, en su caso. El Delegado de Protección de Datos del Cabildo Insular de ***LOCALIDAD.1 informó que el responsable de las ayudas publicadas en el Instituto Insular de Atención Social y Socio-Sanitaria creado el 18 de diciembre de 1998, que fue quien convocó las ayudas económicas individuales destinadas a víctimas de violencia de género 2016. TERCERO: Con fecha 19 de marzo se solicitó información a la Diputación Provincial de ***LOCALIDAD.2 de lo siguiente: 1. Contenido de la información facilitada por la Diputación Provincial de ***LOCALIDAD.2 para su incorporación a la BDNS, especialmente la relativa a los beneficiarios personas físicas. 2. Detalle sobre el procedimiento que sigue la Diputación Provincial de ***LOCALIDAD.2 para la recopilación de esta información y su traslado a la BDNS, con indicación del modo de envío de la información y los plazos establecidos para ello. Deberán indicarse, asimismo, las unidades administrativas responsables de estas acciones. 3. Mecanismo utilizado por esa Diputación Provincial de ***LOCALIDAD.2 para marcar la información destinada a la BDNS que no deberá ser objeto de publicación en el Portal de Trasparencia del SNPS. 4. Detalle de toda la información facilitada a la BDNS por la Diputación Provincial de ***LOCALIDAD.2 en relación con la convocatoria de subvenciones a la que se refiere la información visible en el Portal de Trasparencia del SNPS, en la dirección web ***URL.2. Dado que esta subvención iba dirigida a mujeres víctimas de violencia de género, deberá detallar el mecanismo empleado en este caso concreto para indicar/marcar que C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/17 no se podía dar publicidad a los datos personales de las beneficiarias de estas ayudas. 5. Informe a esta Agencia si por parte de esa Diputación se procede a dar publicidad por cualquier otro canal a las que subvenciones que gestiona (boletines oficiales, página web, tablones de anuncios en oficinas, u otros). De ser así, deberá facilitar a esta Agencia el detalle de toda la información publicada en relación con la convocatoria a la que se refiere el apartado 4 anterior, con indicación del medio empleado para su divulgación. Deberá indicar, asimismo, si esa misma información es facilitada a terceros distintos a la BDNS (otras entidades, terceros que concurren a la convocatoria, u otros) y los motivos que justifican dicha cesión de información, en su caso. La Diputación de ***LOCALIDAD.2 presentó escrito indicando que los beneficiarios de las subvenciones que según las bases de la convocatoria asignan van dirigidas a los ayuntamientos como beneficiarios. Son los Ayuntamientos los que adjudican las subvenciones a las personas físicas. CUARTO: La Subdirección General de Inspección de Datos se dirigió, con fecha 21 de marzo de 2019, a la Intervención General de la Administración de Estado, solicitando información de los siguientes extremos: 1. Contenido de la información facilitada por las entidades convocantes de ayudas y subvenciones públicas para su incorporación a la BDNS, especialmente la relativa a los beneficiarios personas físicas. 2. Detalle sobre el procedimiento que siguen las entidades convocantes de ayudas y subvenciones públicas para el suministro de esta información y su traslado a la BDNS, con indicación del modo de envío de la información y los plazos establecidos para ello. 3. Mecanismo utilizado por la IGAE y que pone a disposición de las entidades suministradoras de la información a la que se refieren las actuaciones para marcar la información destinada a la BDNS que no deberá ser objeto de publicación en el Portal de Trasparencia del SNPS. Deberá detallarse, asimismo, el procedimiento que sigue la IGAE para impedir, con carácter general, la publicación de los datos personales a que se refiere el apartado 1.4 del documento titulado “FAQS BDNS, respuestas a preguntas frecuentes” y en, su caso, a los relativos a personas víctimas de violencia de género a las que se haya otorgado alguna subvención. 4. Detalle sobre el procedimiento que sigue la Intervención General de la Administración del Estado para verificar que los datos facilitados por las administraciones, organismos y entidades informantes cumplen las especificaciones recogidas en la Ley General de Subvenciones y en las Instrucciones dictadas para facilitar su cumplimiento. 5. Informe a esta Agencia si se han realizado auditorías con la finalidad de detectar posibles inclusiones en la BDNS, cuando opera como sistema nacional de publicidad de las subvenciones, de datos personales referidos a beneficiarios víctimas de violencia de género, terrorismo, o cualquier otra información que pudiera vulnerar la intimidad de dichos beneficiarios. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/17 6. Detalle de toda la información facilitada a la BDNS por el Cabildo Insular en relación con la convocatoria de subvenciones a la que se refiere la información visible en el Portal de Trasparencia del SNPS, en la dirección web ***URL.1; así como la aportada por la Diputación Provincial de ***LOCALIDAD.2, Ayuntamiento de ***LOCALIDAD.3, accesible a través de la URL ***URL.2. Dado que estas subvenciones iban dirigidas a mujeres víctimas de violencia de género, deberá detallar el mecanismo empleado en estos casos concretos por las entidades citadas para indicar/marcar que no se podía dar publicidad a los datos personales de las beneficiarias de estas ayudas. 7. Informe a esta Agencia sobre las medidas adoptadas o que tiene previsto adoptar para el cumplimiento de lo dispuesto en la disposición adicional séptima, “Identificación de los interesados en las notificaciones por medio de anuncios y publicaciones de actos administrativos”, de la LOPDGDD. La Intervención General de la Administración de Estado nos informó de la secuencia de actuaciones proseguidas hasta la resolución de las incidencias advertidas. Se pusieron en contacto de forma urgente con el Cabildo Insular y el Administrador Institucional de ***LOCALIDAD.3. En el plazo de cuatro días se habían subsanado ambos problemas. Asimismo, se efectuó un repaso del Portal de ayudas por si hubiese alguna información publicada erróneamente y no se encontró ninguna incidencia. También se ha habilitado a dos personas de la IGAE para que puedan omitir cautelarmente cualquier información que pueda afectar a personas sometidas a protección especial, para que los órganos competentes puedan reforzar las medidas oportunas. La IGAE dio respuesta a nuestras cuestiones, señalando lo siguiente: 1. Contenido de la información facilitada por las entidades convocantes de ayudas y subvenciones públicas para su incorporación a la BDNS, especialmente la relativa a los beneficiarios personas físicas. La información suministrada por los órganos convocantes se recoge en el documento de “Entidades y atributos de datos a utilizar de acuerdo con lo establecido en el punto 3º de la Resolución de 9 de diciembre 2015 de la Intervención General de las Administración del Estado por la que se regula el contenido y periodicidad de la información a suministrar a la nueva Base de Datos Nacional de Subvenciones”; en concreto, la información especial relativa a los beneficiarios personas físicas se recoge en el apartado (H): • País que expide el identificador. • NIF o equivalente • Nombre • Primer apellido • Segundo apellido • Domicilio: País, Dirección, código postal, Municipio, Provincia. • Naturaleza jurídica (persona física/persona jurídica) • Tipo de beneficiario: Gran empresa, PYME o Persona física con actividad económica, Persona física sin actividad económica o Persona jurídica sin actividad económica) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/17 • Región: NUTS (solo si Gran empresa y PYME o PF con actividad) • Sectores económicos de actividad (solo si GE y PYME o PF con actividad) 2. Detalle sobre el procedimiento que siguen las entidades convocantes de ayudas y subvenciones públicas para el suministro de esta información y su traslado a la BDNS, con indicación del modo de envío de la información y los plazos establecidos para ello. La Resolución de 9 de diciembre de 2015, de la Intervención General de la Administración del Estado, por la que se regula el contenido y periodicidad de la información a suministrar a la nueva Base de Datos Nacional de Subvenciones, establece: “Cuarto. Periodicidad del envío de información. 1. A efectos de dar cumplimiento a lo previsto en los artículos 17.3.b, 20.8.a y 23.2 de la Ley 38/2003, los Órganos Gestores deberán remitir la información correspondiente a la convocatoria de cada subvención una vez concluido el proceso de tramitación de la convocatoria e inmediatamente antes de su publicación en el diario oficial correspondiente. En aquellas subvenciones o ayudas públicas en las que no sea preceptiva la convocatoria, se remitirá la información a incluir en la BDNS inmediatamente después de que se publique la disposición reguladora, si se trata de subvenciones o ayudas con destinatarios indeterminados, o en el momento de la concesión, en el resto de los casos. 2. La información relativa al resto de entidades de información se remitirá de forma continuada a medida que se vayan produciendo los hechos registrables; en cualquier caso, debe aportarse antes de que finalice el mes natural siguiente al de su producción. Quinto. Mecanismos de remisión de información. Los Órganos Gestores remitirán a la BDNS la información definida en esta Resolución. La IGAE habilitará dos mecanismos de remisión de información:
- a)A través de una aplicación web.
- b)A través de servicios web, definidos en ***URL.3.” Además de los medios señalados en la Resolución de 9 de diciembre, desde 2017 existe la posibilidad de registro de información a través de unas plantillas Excel, para cargas masivas de datos, desarrollada para aquellos órganos que no disponen de posibilidades técnicas de conexión M2M. En el Real Decreto 130/2018, de 8 de marzo, por el que se regula la Base de Datos Nacional de Subvenciones y la publicidad de las subvenciones y demás ayudas públicas, estos contenidos aparecen también recogidos en el artículo 5: Artículo 5. Procedimiento para el suministro de información. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/17 1. El suministro de información se realizará a través del sistema de información que determine la Intervención General de la Administración del Estado, utilizando un certificado electrónico reconocido de acuerdo con lo previsto en la normativa europea y española en materia de identificación electrónica y servicios de confianza para las transacciones electrónicas, y de acuerdo con las especificaciones y formato que se establezcan en cumplimiento de lo previsto en este real decreto, en colaboración, en todo caso, con las Administraciones públicas y entidades afectadas. 2. La información correspondiente a subvenciones y ayudas públicas se suministrará en los siguientes plazos:
- a)La información inicial de cada nueva línea de subvención o ayuda pública se suministrará a la BDNS en los términos establecidos en el artículo 6.
- b)El resto de la información, referida a la concesión, pago y, en su caso, la referida al procedimiento de reintegro y procedimiento sancionador, se irá suministrando de forma continuada a medida que se vayan produciendo los hechos registrables; en cualquier caso, debe aportarse antes de que finalice el mes siguiente al de su producción. …” 3. Mecanismo utilizado por la IGAE y que pone a disposición de las entidades suministradoras de la información a la que se refieren las actuaciones para marcar la información destinada a la BDNS que no deberá ser objeto de publicación en el Portal de Transparencia del SNPS. Deberá detallarse, asimismo, el procedimiento que sigue la IGAE para impedir, con carácter general, la publicación de los datos personales a que se refiere el apartado 1.4 del documento titulado “FAQS BDNS, respuestas a preguntas frecuentes” y en, su caso, a los relativos a personas víctimas de violencia de género a las que se haya otorgado alguna subvención. El mecanismo que utilizan los órganos suministradores a la hora de registrar una convocatoria es activar un campo binario (SI/NO) que indica si las concesiones de una convocatoria deberán o no ser publicadas. Esta activación se puede hacer en el momento del registro inicial de la convocatoria o en cualquier otro momento posterior. Una vez que el órgano convocante señala una convocatoria como “no publicable”, el sistema de la BDNS se encarga de seleccionar las concesiones que pueden o no ser publicadas, y sólo traspasa al SNPSAP las concesiones de las convocatorias publicables. En este punto es conveniente precisar, a la vista del contenido del FAQ, que a partir del problema detectado en la convocatoria de ***LOCALIDAD.3 se ha procedido a corregir el sistema para que no se publique la información de ninguna persona física, ni siquiera aunque conste como ejerciente de una actividad económica. Además, próximamente haremos efectiva la previsión contenida en el artículo 7.8 del Real Decreto 130/2019, de forma que sólo aparecerán publicadas las concesiones a personas físicas otorgadas desde 2018; esta medida contribuirá también a minimizar el riesgo analizado. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/17 4. Detalle sobre el procedimiento que sigue la Intervención General de la Administración del Estado para verificar que los datos facilitados por las administraciones, organismos y entidades informantes cumplen las especificaciones recogidas en la Ley General de Subvenciones y en las Instrucciones dictadas para facilitar su cumplimiento. Es conveniente indicar con carácter previo que en el ámbito de la BDNS, la IGAE no verifica que las subvenciones registradas cumplan con todas las especificaciones recogidas en la LGS y, por tanto, no verifica la adecuación de cada subvención al régimen jurídico establecido en la Ley. De hecho, la finalidad fundamental de la BDNS es participar en la lucha contra el fraude de subvenciones y, por tanto, en su contenido debe incluirse la información de todas las subvenciones concedidas, sean o no lícitas, aspecto que procede valorar a los órganos de control que, para ello, pueden solicitar el acceso a su contenido. Centrándonos, pues, en las labores de verificación que realiza la IGAE en su tarea de Administración de la BDNS, procede citar nuevamente la Resolución de 9 de diciembre de 2015, de la Intervención General de la Administración del Estado, por la que se regula el contenido y periodicidad de la información a suministrar a la nueva Base de Datos Nacional de Subvenciones; su Instrucción Sexta establece: “Sexto. Control de calidad. 1. La información suministrada por los Órganos Gestores será sometida a los controles de calidad previos que defina la IGAE antes de ser incorporada a la BDNS. El Administrador de la BDNS también efectuará controles de calidad a posteriori, que podrán dar lugar a solicitar al órgano remitente u obligado la corrección de los errores detectados. En todo caso la corrección de errores será responsabilidad del órgano propietario de la información. 2. Los derechos de rectificación y cancelación a los que hace referencia el artículo 16 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal se ejercerán ante el órgano propietario de la información.” La IGAE efectúa con carácter permanente y continuo controles de calidad, tanto durante la carga como con posterioridad, mediante procedimientos de muestreo o selectivos según el objeto de análisis. Los defectos de calidad detectados son puestos en conocimiento inmediato del Administrador Institucional del órgano responsable, para que proceda a su subsanación. 5. Informe a esta Agencia si se han realizado auditorías con la finalidad de detectar posibles inclusiones en la BDNS, cuando opera como sistema nacional de publicidad de las subvenciones, de datos personales referidos a beneficiarios víctimas de violencia de género, terrorismo, o cualquier otra información que pudiera vulnerar la intimidad de dichos beneficiarios. Respecto a la violencia de género y, en general para los datos especialmente protegidos, se vigila el régimen de publicidad cuando se registran las convocatorias (a priori), dentro del examen genérico dedicado a cada una de ellas. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/17 Para el futuro, se está diseñando un sistema de alertas basado en un tesauro de términos críticos, que proporcione un aviso en el momento del registro de la convocatoria. 6. Detalle de toda la información facilitada a la BDNS por el Cabildo Insular en relación con la convocatoria de subvenciones a la que se refiere la información visible en el Portal de Transparencia del SNPS, en la dirección web ***URL.1; así como la aportada por la Diputación Provincial de ***LOCALIDAD.2, Ayuntamiento de ***LOCALIDAD.3, accesible a través de la URL ***URL.2. Originariamente, ambas Instituciones suministraron la información que ya hemos señalado en el punto 1 de este cuestionario. Con motivo de la inminente entrada en vigor del RD 130/2019, y específicamente su artículo 7.5.b, se ha circularizado a 43 órganos gestores con convocatorias cuya denominación incluye los términos “violencia” o “terrorismo”, instando su revisión y la supresión de la información sobre concesiones en BDNS en su caso. En el momento de cerrar este escrito aún restan algunas Administraciones por concluir con el proceso, entre ellas, el Cabildo Insular de ***LOCALIDAD.1. 7. Informe a esta Agencia sobre las medidas adoptadas o que tiene previsto adoptar para el cumplimiento de lo dispuesto en la disposición adicional séptima, “Identificación de los interesados en las notificaciones por medio de anuncio y publicaciones de actos administrativos”, de la LOPDGDD. A partir del día 04/04/2019, el Sistema Nacional de Publicidad de Subvenciones y Ayudas Públicas ha procedido a anonimizar los DNI, los NIE, los pasaportes y los documentos equivalentes de las personas físicas (DA 7ª de la L.O. 3/2018). El criterio aplicado es el que ha difundido la Agencia Española de Protección de Datos en su Nota sobre ORIENTACIÓN PARA LA APLICACIÓN PROVISIONAL DE LA DISPOSICIÓN ADICIONAL SÉPTIMA DE LA LOPDGDD. Este criterio se aplica a la información suministrada acerca de concesiones y de ayudas de Estado en el Portal del Sistema Nacional de Publicidad de Subvenciones y Ayudas Públicas. Además, se ha hecho extensivo a los microportales proporcionados desde la BDNS a diferentes Administraciones Públicas, para que cumplan con sus obligaciones de transparencia. FUNDAMENTOS DE DERECHO I De acuerdo con los poderes de investigación y correctivos que el artículo 58 del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) otorga a cada autoridad de control, y según lo dispuesto en el artículo 47 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/17 resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. II La Ley 38/2003, de 17 de noviembre, General de Subvenciones, establece lo siguiente en su artículo 8 referido a los principios generales: “1. Los órganos de las Administraciones públicas o cualesquiera entes que propongan el establecimiento de subvenciones, con carácter previo, deberán concretar en un plan estratégico de subvenciones los objetivos y efectos que se pretenden con su aplicación, el plazo necesario para su consecución, los costes previsibles y sus fuentes de financiación, supeditándose en todo caso al cumplimiento de los objetivos de estabilidad presupuestaria. 2. Cuando los objetivos que se pretenden conseguir afecten al mercado, su orientación debe dirigirse a corregir fallos claramente identificados y sus efectos deben ser mínimamente distorsionadores. 3. La gestión de las subvenciones a que se refiere esta ley se realizará de acuerdo con los siguientes principios:
- a)Publicidad, transparencia, concurrencia, objetividad, igualdad y no discriminación.
- b)Eficacia en el cumplimiento de los objetivos fijados por la Administración otorgante.
- c)Eficiencia en la asignación y utilización de los recursos públicos.” El artículo 18 de la misma norma, regula la publicidad de las subvenciones, señalando: “1. La Base de Datos Nacional de Subvenciones operará como sistema nacional de publicidad de subvenciones. 2. A tales efectos, las administraciones concedentes deberán remitir a la Base de Datos Nacional de Subvenciones información sobre las convocatorias y las resoluciones de concesión recaídas en los términos establecidos en el artículo 20. 3. Los beneficiarios deberán dar publicidad de las subvenciones y ayudas percibidas en los términos y condiciones establecidos en la Ley 19/2013, de 9 de diciembre, de transparencia, acceso a la información pública y buen gobierno. En el caso de que se haga uso de la previsión contenida en el artículo 5.4 de la citada Ley, la Base de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/17 Datos Nacional de Subvenciones servirá de medio electrónico para el cumplimiento de las obligaciones de publicidad.” (el subrayado y negrilla es de la AEPD) El artículo 20 de la misma Ley desarrolla esta base de datos: “1. La Base de Datos Nacional de Subvenciones tiene por finalidades promover la transparencia, servir como instrumento para la planificación de las políticas públicas, mejorar la gestión y colaborar en la lucha contra el fraude de subvenciones y ayudas públicas. 2. La Base de Datos recogerá información de las subvenciones; reglamentariamente podrá establecerse la inclusión de otras ayudas cuando su registro contribuya a los fines de la Base de Datos, al cumplimiento de las exigencias de la Unión Europea o a la coordinación de las políticas de cooperación internacional y demás políticas públicas de fomento. El contenido de la Base de Datos incluirá, al menos, referencia a las bases reguladoras de la subvención, convocatoria, programa y crédito presupuestario al que se imputan, objeto o finalidad de la subvención, identificación de los beneficiarios, importe de las subvenciones otorgadas y efectivamente percibidas, resoluciones de reintegros y sanciones impuestas…. 3. La Intervención General de la Administración del Estado es el órgano responsable de la administración y custodia de la BDNS y adoptará las medidas necesarias para garantizar la confidencialidad y seguridad de la información. 4. Estarán obligados a suministrar información las administraciones, organismos y entidades contemplados en el artículo 3; los consorcios, mancomunidades u otras personificaciones públicas creadas por varias Administraciones Públicas regulados en el artículo 5; las entidades que según ésta u otras leyes deban suministrar información a la base de datos y los organismos que reglamentariamente se determinen en relación a la gestión de fondos de la Unión Europea y otras ayudas públicas. Serán responsables de suministrar la información de forma exacta, completa, en plazo y respetando el modo de envío establecido:
- a)En el sector público estatal, los titulares de los órganos, organismos y demás entidades que concedan las subvenciones y ayudas contempladas en la Base de Datos.
- b)En las Comunidades Autónomas, la Intervención General de la Comunidad Autónoma u órgano que designe la propia Comunidad Autónoma.
- c)En las Entidades Locales, la Intervención u órgano que designe la propia Entidad Local… C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/17 La cesión de datos de carácter personal que, en virtud de los párrafos precedentes, debe efectuarse a la Intervención General de la Administración del Estado no requerirá el consentimiento del afectado. En este ámbito no será de aplicación lo dispuesto en el apartado 1 del artículo 21 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal. 8. En aplicación de los principios recogidos en la Ley 19/2013, de 9 de diciembre, de transparencia, acceso a la información pública y buen gobierno, la BDNS operará como sistema nacional de publicidad de las subvenciones. A tales efectos, y para garantizar el derecho de los ciudadanos a conocer todas las subvenciones convocadas en cada momento y para contribuir a los principios de publicidad y transparencia, la Intervención General de la Administración del Estado publicará en su página web los siguientes contenidos:
- a)las convocatorias de subvenciones; a tales efectos, en todas las convocatorias sujetas a esta Ley, las administraciones concedentes comunicarán a la Base de Datos Nacional de Subvenciones el texto de la convocatoria y la información requerida por la Base de Datos. La BDNS dará traslado al diario oficial correspondiente del extracto de la convocatoria, para su publicación, que tendrá carácter gratuito. La convocatoria de una subvención sin seguir el procedimiento indicado será causa de anulabilidad de la convocatoria.
- b)las subvenciones concedidas; para su publicación, las administraciones concedentes deberán remitir a la Base de Datos Nacional de Subvenciones las subvenciones concedidas con indicación según cada caso, de la convocatoria, el programa y crédito presupuestario al que se imputen, beneficiario, cantidad concedida y objetivo o finalidad de la subvención con expresión de los distintos programas o proyectos subvencionados. Igualmente deberá informarse, cuando corresponda, sobre el compromiso asumido por los miembros contemplados en el apartado 2 y en el segundo párrafo del apartado 3 del artículo 11 y, en caso de subvenciones plurianuales, sobre la distribución por anualidades. No serán publicadas las subvenciones concedidas cuando la publicación de los datos del beneficiario en razón del objeto de la subvención pueda ser contraria al respeto y salvaguarda del honor, a la intimidad personal o familiar de las personas físicas en virtud de lo establecido en la Ley Orgánica 1/1982, de 5 de mayo, de protección civil del derecho al honor, a la intimidad personal y familiar y a la propia imagen, y haya sido previsto en su normati va reguladora. El tratamiento de los datos de carácter personal sólo podrá efectuarse si es necesario para la satisfacción del interés legítimo perseguido por el responsable del tratamiento o por el tercero o terceros a los que se comuniquen los datos, siempre que no prevalezca el interés o los derechos y libertades fundamentales del interesado que requieran protección con arreglo al artículo 1.1 de la Directiva 95/46/CE.
- c)La información que publiquen las entidades sin ánimo de lucro utilizando la BDNS como medio electrónico previsto en el segundo párrafo del artículo 5.4 de la Ley 19/2013, de 9 de diciembre, de transparencia, acceso a la información pública y buen gobierno. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/17 Los responsables de suministrar la información conforme al apartado 4 de este artículo deberán comunicar a la BDNS la información necesaria para dar cumplimiento a lo previsto en este apartado. 10. La Intervención General de la Administración del Estado dictará las Instrucciones oportunas para concretar los datos y documentos integrantes de la Base de Datos Nacional de Subvenciones, los plazos y procedimientos de remisión de la información, incluidos los electrónicos, así como la información que sea objeto de publicación para conocimiento general y el plazo de su publicación, que se fijarán de modo que se promueva el ejercicio de sus derechos por parte de los interesados. III La intervención General de la Administración del Estado dictó las instrucciones para llevar a la práctica lo establecido legalmente. En ellas se establece lo siguiente: 1.4 Publicidad de datos personales ¿Existe alguna restricción que afecte a la publicación de las subvenciones? Sí. De acuerdo con el artículo 20.8.
- b)de la LGS no serán publicadas las concesiones cuando por razón del objeto de la subvención, pueda ser contraria al respeto y salvaguarda del honor, a la intimidad personal o familiar de las personas físicas, de acuerdo con lo establecido en la Ley Orgánica 1/1982. Corresponde al órgano convocante indicar las convocatorias cuyas concesiones no deben ser públicas por este motivo. No obstante, aun cuando la convocatoria se registre con la condición de “concesiones no publicables”, sí se harán públicas en todo caso las concesiones otorgadas en estas convocatorias a: ‐ Personas físicas que ejercen actividad económica. ‐ Personas jurídicas. Igualmente serán públicas todas las concesiones realizadas bajo convocatorias de Ayudas de Estado. Hay que señalar que esta restricción se aplica al Portal de Transparencia del SNPS, pero no a la BDNS. Los datos de la BDNS son datos reservados, no de difusión pública, y el acceso a tales datos está restringido por la ley. En cualquier caso, hay que indicar que la publicidad de las subvenciones concedidas está totalmente amparada por la ley (art. 8.1.c Ley 19/2013 y art. 20.8 Ley 38/2003) y ha sido refrendada en múltiples ocasiones por la AEPD, especialmente en el caso de subvenciones de concurrencia competitiva (ver Informe AEPD 0178/2014 para el caso de becas; o SAN de 26/04/2012 sobre subvenciones de concurrencia competitiva); en estos casos prima el interés general sobre el particular a la hora de decidir sobre la publicación de las subvenciones concedidas. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/17 Sólo cabría plantear determinadas excepciones: ‐ El caso de datos especialmente protegidos (art. 5.3 Ley 19/2013). Estos datos son los enumerados en el art. 7 de la LO 15/1999. ‐ El caso particular de determinados interesados que se encuentren en una situación de protección especial (víctimas de violencia de género o el sujeto a una amenaza terrorista, por ejemplo). ‐ El caso de información que se encuentre dentro de los límites previstos en el art. 14 de la Ley 19/2013. No obstante lo anterior, la forma en la que se ofrecen los datos sobre concesiones a personas físicas en el SNPS hace que estos no sean indexables por robots y buscadores como Google, Bing, Yahoo, etc., lo que garantiza los derechos de todos: los de privacidad, y los de transparencia. IV Por lo tanto, se ha acreditado que la BDNS tiene una finalidad de dar publicidad a las subvenciones concedidas por las distintas Administraciones se ha producido un error al aparecer los datos personales de dos afectadas que debían estar anonimizados. La BDNS incluye información sobre ayudas y subvenciones públicas que facilitan los órganos gestores de las subvenciones. Una vez que el órgano convocante señala una convocatoria como “no publicable”, el sistema de la BDNS se encarga de seleccionar las concesiones que pueden o no ser publicadas, y sólo traspasa al SNPSAP las concesiones de las convocatorias publicables. En este punto es conveniente precisar lo que ha hecho la IGAE a partir del problema detectado en la convocatoria de ***LOCALIDAD.3, procediendo a corregir el sistema para que no se publique la información de ninguna persona física, ni siquiera aunque conste como ejerciente de una actividad económica. Esto es, como consecuencia de la detección de estos dos errores se ha fortalecido el sistema, evitando la publicación de información de personas físicas. Además, próximamente harán efectiva la previsión contenida en el artículo 7.8 del Real Decreto 130/2019, de forma que sólo aparecerán publicadas las concesiones a personas físicas otorgadas desde 2018; esta medida contribuirá también a minimizar el riesgo analizado. Asimismo, se está diseñando un sistema de alertas basado en un tesauro de términos críticos, que proporcione un aviso en el momento del registro de la convocatoria. El artículo 5 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/17 que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos, RGPD) establece lo siguiente: 1. Los datos personales serán:
- a)tratados de manera lícita, leal y transparente en relación con el interesado («licitud, lealtad y transparencia»);
- b)recogidos con fines determinados, explícitos y legítimos, y no serán tratados ulteriormente de manera incompatible con dichos fines; de acuerdo con el artículo 89, apartado 1, el tratamiento ulterior de los datos personales con fines de archivo en interés público, fines de investigación científica e histórica o fines estadísticos no se considerará incompatible con los fines iniciales («limitación de la finalidad»);
- c)adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados («minimización de datos»);
- d)exactos y, si fuera necesario, actualizados; se adoptarán todas las medidas razonables para que se supriman o rectifiquen sin dilación los datos personales que sean inexactos con respecto a los fines para los que se tratan («exactitud»);
- e)mantenidos de forma que se permita la identificación de los interesados durante no más tiempo del necesario para los fines del tratamiento de los datos personales; los datos personales podrán conservarse durante períodos más largos siempre que se traten exclusivamente con fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos, de conformidad con el artículo 89, apartado 1, sin perjuicio de la aplicación de las medidas técnicas y organizativas apropiadas que impone el presente Reglamento a fin de proteger los derechos y libertades del interesado («limitación del plazo de conservación»);
- f)tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad») …. La actuación investigada no se adecuaría a lo dispuesto en el artículo 5, en sus apartados a, c y f del RGPD. No obstante lo anterior, el hecho constatado no se puede desvincular de los cientos de miles de datos publicados que si cumplen la normativa de protección de datos; que se trata de un error puntual que fue subsanado de manera inmediata al tener conocimiento de ello actuación, reforzando las medidas que ya existían para evitar que se produjese una situación como la ya corregida; mejorando las auditorías, dejando de publicar datos personales de personas físicas, y desarrollando la normativa sobre este supuesto. Todo lo señalado se concreta en que se ha tratado de un error puntual y excepcional, corregido de forma inmediata, fruto de un error puntual y que ha servido C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/17 para verificar el sistema de publicaciones y reforzar todas las medidas normativas y de auditoría para evitar que se vuelva a producir. En relación con la excepcionalidad de un hecho que infringe la normativa de protección de datos, pero tiene ese carácter, la Audiencia Nacional estimó el Recurso interpuesto contra una sanción impuesta por la Agencia Española de Protección de Datos, en Sentencia de fecha 23 de diciembre de 2013 (Recurso C-A 341/2012), indicando lo siguiente: “Los hechos por los que fue impuesta la multa aquí recurrida se contraen a que, en fecha 5 de enero de 2011, una persona (que luego formuló denuncia ante la Agencia de Protección de Datos), había recibido en su cuenta de correo electrónico una póliza de seguro, acompañada de las condiciones particulares, a nombre de un tercero y expedida por MAPFRE. Y así, por ello, la Agencia de Protección de Datos consideró infringido el artículo 10 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, por contravención del deber del secreto y de adecuada custodia de los datos de carácter personal, dado que los datos de aquel tercero llegaron a conocimiento del denunciante. En impugnación de la resolución antedicha, la parte recurrente indica que el envío de una póliza de seguros referente a tercero, en el correo electrónico del denunciante, se debió un error involuntario en el proceso de mecanización del dato de la dirección de aquél en el momento de dar cumplimiento a su solicitud de remisión de un duplicado de su póliza de seguro. En concreto indica que se produjo una mera equivocación puntual y aislada por parte de la tramitadora que gestionó aquella solicitud de duplicado de póliza. Y dice que dicho error no produjo perjuicio alguno ni al denunciante ni al tomador de la póliza ni tampoco beneficio a MAPFRE.” (…) Añadiendo, a su vez, en su Fundamento de Derecho Cuarto lo siguiente: “En un caso similar al suscitado en el presente recurso, en el que hemos de poner en relación la concurrencia de un error humano, concreto y aislado, y el principio de culpabilidad (aun a título de “simple inobservancia”) se ha pronunciado esta Sala en su Sentencia de 14 de diciembre de 2006 (autos de recurso 136/2005). En dicha Sentencia decíamos que: «La resolución del presente recurso pasa por recordar, en primer lugar, que la culpabilidad es un elemento indispensable para la sanción que se le ha impuesto a la actora, tal como lo prescribe el artículo 1301.1 de la Ley 30/1.992 de 26 de noviembre, que establece que sólo pueden ser sancionados por hechos constitutivos de infracción administrativa los responsables de los mismos, aún a título de simple inobservancia. Se ha de hacer hincapié en que esa simple inobservancia no puede ser entendida que en el derecho administrativo sancionador rija la responsabilidad C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/17 objetiva. Efectivamente, en materia sancionadora rige el principio de culpabilidad (SSTC 15/1999, de 4 de julio; 76/1990, de 26 de abril; y 246/1991, de 19 de diciembre), lo que significa que ha de concurrir alguna clase de dolo o culpa. Como dice la sentencia del Tribunal Supremo de 23 de enero de 1998, “…puede hablarse de una decidida línea jurisprudencial que rechaza en el ámbito sancionador de la Administración la responsabilidad objetiva, exigiéndose la concurrencia de dolo o culpa, en línea con la interpretación de la STC 76/1990, de 26 de abril, al señalar que el principio de culpabilidad puede inferirse de los principios de legalidad y prohibición de exceso (artículo 25 de la Constitución) o de las exigencias inherentes al Estado de Derecho”. En esta misma línea, el Tribunal Supremo considera que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el sujeto infractor no se comporta con la diligencia exigible. Y el grado de diligencia exigible habrá de determinarse en cada caso en atención a las circunstancias concurrentes, tales como el especial valor del bien jurídico protegido, la profesionalidad exigible al infractor, etc. Pues bien, la aplicación de la citada Doctrina al específico y singular caso enjuiciado en este procedimiento ha llevado a esta Sala a concluir que en la referida conducta de la actora reseñada en los hechos probados de la resolución originaria impugnada no concurre el citado elemento de culpabilidad a la hora de determinar si la misma ha incurrido en una falta del deber de secreto del artículo 10 de la Ley Orgánica 15/1999 que se le imputa, pues así se ha de entender cuando dicha recurrente incurre en el mero error de enviar al domicilio de un cliente el contrato suscrito con otro cliente, sin que se aprecie culpa, incluso en ese grado mínimo previsto en la referida Ley 30/1992, en lo que se refiere al dato esencial de revelar a un tercero los datos personales que la misma trata en sus ficheros de ese cliente titular de dicho contrato que ni siquiera fue quien la denunció, sino aquel otro, y, como arriba se ha expuesto, por otras razones. En consecuencia, no se aprecia falta de diligencia en la recurrente en lo que respecta a la conducta imputada de incumplimiento del deber de secreto, dado que sólo incurrió en ese error de enviar el contrato de un cliente a un domicilio que no era el suyo». La cuestión, pues, ha de resolverse conforme a los principios propios del derecho punitivo dado que el mero error humano no puede dar lugar, por sí mismo (y sobre todo cuando se produce con carácter aislado), a la atribución de consecuencias sancionadoras; pues, de hacerse así, se incurriría en un sistema de responsabilidad objetiva vedado por nuestro orden constitucional.(…) Esta conclusión resulta, a juicio de la Sala, contraria al principio de presunción de inocencia…y del principio de culpabilidad, lo que nos lleva a la estimación del presente recurso y a la anulación del acto impugnado.” Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/17 SEGUNDO: NOTIFICAR la presente resolución a la Intervención General de la Administración de Estado. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
- c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es