PS-00009-2022

1/19  Expediente N.º: EXP202102056 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: A.A.A. (en adelante, la parte reclamante) con fecha 27 de julio de 2021 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra el CABILDO INSULAR DE EL HIERRO con NIF P3800003J (en adelante, la parte reclamada/ el CABILDO). Los motivos en que basa la reclamación son los siguientes: La dirección web en cuestión es: ***URL.1 El documento es un acta de un pleno del Cabildo Insular de El Hierro de 2007, en el que se trató el asunto "INFORME - PROPUESTA DE RESOLUCIÓN DEL CABILDO INSULAR DE EL HIERRO EN EL EXPEDIENTE DE SEGREGACIÓN DE EL PINAR". El documento contiene un anexo con el título de: "ALEGACIONES EXPEDIENTE DE SEGREGACIÓN DE EL PINAR", en el que se incluyen numerosos datos personales. SEGUNDO: Al objeto de comprobar la existencia de los hechos denunciados, en septiembre de 2021, se realiza una búsqueda en Google por el nombre y apellidos del reclamante, el primer resultado que aparece indexado en el buscador es “INFORME PROPUESTA DE RESOLUCIÓN DEL CABILDO INSULAR DE EL HIERRO EN EL EXPEDIENTE DE SEGREGACIÓN DE EL PINAR"; el pantallazo de la búsqueda realizada se encuentra incorporado al expediente. Accediendo al enlace de ese primer resultado se accede al acta de un pleno extraordinario del Cabildo Insular de El Hierro de 2007, en el que se trató el asunto "INFORME - PROPUESTA DE RESOLUCIÓN DEL CABILDO INSULAR DE EL HIERRO EN EL EXPEDIENTE DE SEGREGACIÓN DE EL PINAR". El documento contiene un anexo con el título de: "ALEGACIONES EXPEDIENTE DE SEGREGACIÓN DE EL PINAR", en el que se incluyen numerosos datos personales. El acta se encuentra incorporado al expediente. TERCERO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada, el CABILDO, para que procediese a su análisis e informase a esta Agencia en el plazo C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/19 de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 23/09/2021 como consta en el acuse de recibo que obra en el expediente. Con fecha 23/09/2021 el Delegado de Protección de Datos del CABILDO presenta escrito dirigido a la AEPD en la que comunica que ha recibido el siguiente mail de la AEPD: “Con fecha 17/09/2021, al responsable de tratamiento “CABILDO DE EL HIERRO” se le ha remitido una notificación desde la AEPD por NOTIFIC@, lo cual pone en su conocimiento en su condición de Delgado/a de Protección de Datos de esta entidad” y pregunta ¿cómo puede conocer qué responsable ha recibido la notificación o a qué notificación se refiere? Porque en el mail no se indica ninguna información adicional. Al respecto hay que señalar, en primer lugar, que el aviso a la dirección de correo electrónico informándole de la puesta a disposición de una notificación en la sede electrónica de la Administración correspondiente o en la dirección electrónica habilitada única es una obligación de las Administraciones Públicas, conforme a lo establecido en el artículo 41.6. de la Ley 39/2015, de 1 de octubre, de Procedimiento Administrativo Común, que establece que: “6. Con independencia de que la notificación se realice en papel o por medios electrónicos, las Administraciones Públicas enviarán un aviso al dispositivo electrónico y/o a la dirección de correo electrónico del interesado que éste haya comunicado, informándole de la puesta a disposición de una notificación en la sede electrónica de la Administración u Organismo correspondiente o en la dirección electrónica habilitada única. La falta de práctica de este aviso no impedirá que la notificación sea considerada plenamente válida”. Y en segundo lugar, hay que señalar que la notificación se envió al CABILDO DE EL HIERRO y se refería al requerimiento de información sobre la reclamación presentada por la parte reclamante. Atendiendo al citado escrito con fecha 29/10/2021 se remite al DPD del CABILDO escrito de “Solicitud de documentación adicional”, que fue recogido en fecha 02/11/2021 como consta en el acuse de recibo que obra en el expediente. Sin que a fecha de admisión a trámite de la reclamación presentada se hubiera recibido respuesta ni al escrito de traslado ni al de solicitud de información adicional. CUARTO: Con fecha 23 de diciembre de 2021, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/19 QUINTO: Con fecha 02/03/2022 se realiza una búsqueda en Google por el nombre y apellidos del reclamante, ya no aparece indexado en el buscador el “INFORME PROPUESTA DE RESOLUCIÓN DEL CABILDO INSULAR DE EL HIERRO EN EL EXPEDIENTE DE SEGREGACIÓN DE EL PINAR". Asimismo, se comprueba que al tratar de acceder a la URL en la que supuestamente figuraban los datos objeto de la reclamación formulada,: ***URL.1, da un error, indicando la no disponibilidad de la información contenida en la página web con lo que ya no se puede acceder al documento que contiene el acta del pleno extraordinario del Cabildo Insular de El Hierro de 2007, en el que se trató el asunto "INFORME PROPUESTA DE RESOLUCIÓN DEL CABILDO INSULAR DE EL HIERRO EN EL EXPEDIENTE DE SEGREGACIÓN DE EL PINAR" Estos pantallazos se encuentran incorporados al expediente mediante diligencia. SEXTO: Con fecha 17 de marzo de 2022, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, por la presuntas infracciones del Artículo 5.1.

1. f)del RGPD, tipificada en el Artículo 83.5 del RGPD y del Artículo 32 del RGPD, tipificada en el Artículo 83.4 del RGPD. SÉPTIMO: Con fecha 4 de julio de 2022 se formuló propuesta de resolución, proponiendo que por la Directora de la Agencia Española de Protección de Datos se sancione con tres apercibimientos por cada una de las infracciones imputadas al CABILDO DE EL HIERRO con NIF P3800003J: - Apercibimiento por una infracción del Artículo 5.1.
2. f)del RGPD, tipificada en el Artículo 83.5 del RGPD. - Apercibimiento, por una infracción del Artículo 30 del RGPD, tipificada en el Artículo 83.4 del RGPD. - Apercibimiento, por una infracción del Artículo 32 del RGPD, tipificada en el Artículo 83.4 del RGPD. Y, asimismo, se propuso que por la Directora de la Agencia Española de Protección de Datos se imponga al CABILDO INSULAR DE EL HIERRO, con NIF P3800003J, la adopción de medidas para la adecuación de sus tratamientos de datos personales a las exigencias de la normativa de protección de datos, en concreto, la realización de los Análisis de riesgos, de la adopción de las medidas de seguridad derivadas de los mismos, la elaboración de un registro de actividades de tratamiento y la publicación del inventario del Registro de actividades de tratamiento de los que es responsable el CABILDO, así como la aportación de medios acreditativos del cumplimiento de lo requerido, en virtud de lo establecido en el artículo 58.2 del RGPD. Para dictar dicha propuesta de resolución se tuvo en cuenta que notificado el acuerdo de inicio, el 25/04/2022 la parte reclamada presentó, escrito en el que, en síntesis, manifestaba que acusaba recibo del escrito remitido por la Agencia Española de Protección de Datos, en relación con la incoación de procedimiento sancionador por reclamación formulada por Don A.A.A., N.º XXXXXXXXX (escrito de traslado de la reclamación), por el que se solicita se analice y se remita la información que se indica a continuación: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/19 “En relación con el punto 1.- Descripción detallada de los hechos: El CABILDO hace constar que con fecha 18 de octubre de 2006 se inician los trámites necesarios en las diferentes administraciones para el inicio de la segregación y constitución del nuevo municipio de El Pinar, en la Isla de El Hierro, conforme al Real Decreto 1690/1986, de 11 de Julio, por el que se aprueba el Reglamento de Población y Demarcación Territorial de las Entidades Locales. Tras superar los diferentes procesos y requisitos de diversa índole (administrativos, económicos, populares…), el día 17 de abril del año 2007 se aprueba por Pleno Extraordinario del Pleno del Cabildo Insular la propuesta de segregación y constitución del municipio de El Pinar; realizándose la publicación del Acta de dicho pleno en el portal de transparencia (en ese momento portal general) del Cabildo de El Hierro. Respecto a los puntos 2 a 5.- En cuanto a las causas del incidente y la información sobre los afectados: Recuerda el CABILDO que en aquel entonces no había ninguna normativa de carácter insular o autonómico respecto de esta cuestión, por lo que era de aplicación la Ley 15/1999, de 13 de diciembre, relativa a la protección de datos de carácter personal. Que no se ha publicado información relacionada sobre la ideología, religión ni creencias del afectado. Asimismo, indica el CABILDO que la comunicación de los datos entre administraciones y a un tercero no necesitaba del consentimiento del afectado ya que estos datos tenían por objeto el tratamiento con fines estadísticos para una cuestión de interés público, conforme al artículo 11 apartado E) de la citada norma. Y es que este trámite de audiencia era necesario conforme al artículo 84 de la ya derogada Ley 30/1992, de Régimen Jurídico de las Administraciones Publicas y del Procedimiento Administrativo común, que establece que “antes de la redacción de la propuesta de resolución se deberá dar trámite de audiencia a los interesados para que pudieran poner de manifiesto las alegaciones, informaciones y datos necesarios o relativos para el expediente.” Indica también el CABILDO, que el desfase entre la información publicada en el 2007 y las exigencias normativas requeridas posteriormente afecta a 3996 personas residentes en el municipio segregado e interesados extra municipales, cuyos datos publicados son de carácter personal, por los cuales los afectados pueden ver afectados su derecho a la intimidad, privacidad o inviolabilidad del domicilio, entre otros. Y que es desfase ha sido provocado no por la mala praxis o error en derecho de nuestra corporación, si no por la ausencia (justificada, pues no había norma imperativa que regulara esta función) en aquel entonces de un sistema de transparencia y protección de los datos personales tan eficaz y riguroso como el que existe en la actualidad. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/19 Por lo que se refiere a los puntos 7 y 8.- Sobre el requerimiento de remisión de las medidas de seguridad de los datos y de la Copia del Registro de Actividad de los tratamientos: Sostiene el CABILDO que el requisito de transparencia y protección de datos no se consolida como obligación de la administración hasta bien pasada la fecha del incidente, por lo que no contamos con informes sobre las medidas de seguridad de los tratamientos, de la documentación acreditativa del Análisis de Riesgos o del Registro de Actividad de los tratamientos donde se produjo el incidente. No es hasta 2019, en concordancia con las obligaciones impuestas en la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales, cuando se crea un área específica para el correcto tratamiento y defensa de los derechos personales y de la transparencia administrativa exigida a esta corporación. 9 y 10.- Por último, sobre la notificación a los afectados y a la Agencia Española de Protección de Datos de este incidente recalcamos que: Esta controversia asume relevancia 14 años después ante la ausencia en aquel entonces de normativa insular, autonómico, nacional o europea sobre la protección de datos de carácter personal que conocemos hoy en día, pero que en ningún momento se llevó a cabo con intenciones de menoscabo o con fines per judicativos para el interesado. Al contrario, desde esta corporación resulto necesaria la publicación de dichos datos para la puesta en conjunto de la opinión pública y del consenso y causas de esta, entre la población, para poder llevar a cabo una transformación de esta envergadura a nivel insular. Por el largo periodo transcurrido y la diferente evolución normativa en la materia adoptada en los últimos 14 años, esta violación de seguridad no se ha puesto de manifiesto ni se ha comunicado (al desconocerse la misma) hasta el día de la recepción de esta notificación. 6 y 11.- Por ello, para corregir y preservar el derecho a la intimidad y protección de datos de los afectados, por el Cabildo de El Hierro se ha procedido a la eliminación del Acta publicada y a su rectificación, en la que no se incluirá ningún dato cuya exposición pública pueda comprometer los derechos de los afectados. Además, se tratará de revisar los documentos publicados por esta Corporación que incluyan datos de esta índole, y proceder a su corrección en el sentido indicado”. Estas manifestaciones fueron debidamente contestadas en la propuesta de resolución. OCTAVO: Notificada la citada propuesta de resolución conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP) y transcurrido el plazo otorgado para la formulación de alegaciones, se ha constatado que no se ha recibido alegación alguna por la parte reclamada. HECHOS PROBADOS C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/19 PRIMERO: A.A.A. (en adelante, la parte reclamante) con fecha 27 de julio de 2021 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra el CABILDO INSULAR DE EL HIERRO con NIF P3800003J (en adelante, la parte reclamada/ el CABILDO). Los motivos en que basa la reclamación son los siguientes: La dirección web en cuestión es: ***URL.1 El documento es un acta de un pleno del Cabildo Insular de El Hierro de 2007, en el que se trató el asunto "INFORME - PROPUESTA DE RESOLUCIÓN DEL CABILDO INSULAR DE EL HIERRO EN EL EXPEDIENTE DE SEGREGACIÓN DE EL PINAR". El documento contiene un anexo con el título de: "ALEGACIONES EXPEDIENTE DE SEGREGACIÓN DE EL PINAR", en el que se incluyen numerosos datos personales. SEGUNDO: En septiembre de 2021, se realiza una búsqueda en Google por el nombre y apellidos del reclamante, el primer resultado que aparece indexado en el buscador es “INFORME - PROPUESTA DE RESOLUCIÓN DEL CABILDO INSULAR DE EL HIERRO EN EL EXPEDIENTE DE SEGREGACIÓN DE EL PINAR"; el pantallazo de la búsqueda realizada se encuentra incorporado al expediente. Accediendo al enlace de ese primer resultado se accede al acta de un pleno extraordinario del Cabildo Insular de El Hierro de 2007, en el que se trató el asunto "INFORME - PROPUESTA DE RESOLUCIÓN DEL CABILDO INSULAR DE EL HIERRO EN EL EXPEDIENTE DE SEGREGACIÓN DE EL PINAR". El documento contiene un anexo con el título de: "ALEGACIONES EXPEDIENTE DE SEGREGACIÓN DE EL PINAR", en el que se incluyen numerosos datos personales. El acta se encuentra incorporado al expediente. TERCERO: Con fecha 02/03/2022 se realiza una búsqueda en Google por el nombre y apellidos del reclamante, ya no aparece indexado en el buscador el “INFORME PROPUESTA DE RESOLUCIÓN DEL CABILDO INSULAR DE EL HIERRO EN EL EXPEDIENTE DE SEGREGACIÓN DE EL PINAR". Asimismo, se comprueba que al tratar de acceder a la URL en la que supuestamente figuraban los datos objeto de la reclamación formulada,: ***URL.1, da un error, indicando la no disponibilidad de la información contenida en la página web con lo que ya no se puede acceder al documento que contiene el acta del pleno extraordinario del Cabildo Insular de El Hierro de 2007, en el que se trató el asunto "INFORME PROPUESTA DE RESOLUCIÓN DEL CABILDO INSULAR DE EL HIERRO EN EL EXPEDIENTE DE SEGREGACIÓN DE EL PINAR" CUARTO: El CABILDO en su escrito de fecha 25/04/2022 manifiesta que no cuenta con informes sobre las medidas de seguridad de los tratamientos, de la documentación acreditativa del Análisis de Riesgos o del Registro de Actividad de los tratamientos donde se produjo el incidente. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/19 FUNDAMENTOS DE DERECHO I De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos.” II El 25/04/2022, la reclamada, presentó escrito en relación al “Acuerdo iniciación de procedimiento sancionador: Reclamación contra el Cabildo de El Hierro por vulneración de datos personales” que contiene la respuesta al traslado de la reclamación presentada por el reclamante, y cuyo contenido va a ser tratado como alegaciones al acuerdo de inicio. En respuesta a las alegaciones presentadas por la entidad reclamada se debe señalar lo siguiente: En relación con el punto 1.- Descripción detallada de los hechos por los que se origina la reclamación; estos no son otros que la segregación y constitución del nuevo municipio de El Espina en la Isla de El Hierro, cuyos trámites se inician el 18/10/2006 y finalizan con su aprobación por Pleno Extraordinario del Cabildo Insular de 17/04/2007 y su publicación en el portal de transparencia del Cabildo. A esta descripción que realiza el CABILDO, sólo cabe añadir que la publicación del Acta del Pleno y de los Anexos donde se contienen los datos personales que han dado lugar a la tramitación del presente procedimiento sancionador se mantuvo en el portal de transparencia desde 2007 hasta 2021. Hay señalar que el portal de transparencia tiene por finalidad promover la transparencia de la actividad pública, velar por el cumplimiento de las obligaciones de publicidad, salvaguardar el ejercicio de derecho de acceso a la información pública y garantizar la observancia de las disposiciones de buen gobierno; cumplidas estas finalidades se debería haber actuado sobre los datos personales publicados al objeto de minimizarlos y que solo permanecieran accesibles durante el tiempo necesario para los fines del tratamiento, como se exige en el artículo 5 apartados
3. c)[“principio de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/19 minimización de datos] y
4. e)[principio de limitación del plazo de conservación] del RGPD. Correspondiendo al CABILDO, como responsable, adaptar el tratamiento que supone la publicación de sus actos en su perfil de transparencia, a la nueva normativa de protección de datos. Respecto a los puntos 2 a 5.- En cuanto a las causas del incidente y la información sobre los afectados: Recuerda el CABILDO que en aquel entonces no había ninguna normativa de carácter insular o autonómico respecto de esta cuestión, por lo que era de aplicación la Ley 15/1999, de 13 de diciembre, relativa a la protección de datos de carácter personal. Que no se ha publicado información relacionada sobre la ideología, religión ni creencias del afectado. Y que la comunicación de los datos entre administraciones y a un tercero no necesitaba del consentimiento del afectado ya que estos datos tenían por objeto el tratamiento con fines estadísticos para una cuestión de interés público, conforme al artículo 11 apartado E) de la citada norma. Y es que este trámite de audiencia era necesario conforme al artículo 84 de la ya derogada Ley 30/1992, de Régimen Jurídico de las Administraciones Publicas y del Procedimiento Administrativo común, que establece que “antes de la redacción de la propuesta de resolución se deberá dar trámite de audiencia a los interesados para que pudieran poner de manifiesto las alegaciones, informaciones y datos necesarios o relativos para el expediente.” Indica también el CABILDO, que el desfase entre la información publicada en el 2007 y las exigencias normativas requeridas posteriormente afecta a 3996 personas residentes en el municipio segregado e interesados extramunicipales, cuyos datos publicados son de carácter personal, por los cuales los afectados pueden ver afectados su derecho a la intimidad, privacidad o inviolabilidad del domicilio, entre otros. Y que es desfase ha sido provocado no por la mala praxis o error en derecho de nuestra corporación, si no por la ausencia (justificada, pues no había norma imperativa que regulara esta función) en aquel entonces de un sistema de transparencia y protección de los datos personales tan eficaz y riguroso como el que existe en la actualidad. Respecto a que en aquel entonces no había ninguna normativa de carácter insular o autonómico respecto de esta cuestión, por lo que era de aplicación la Ley 15/1999, de 13 de diciembre, y a que el desfase entre la información publicada y las exigencias normativas requeridas posteriormente; hay que señalar que el Considerando 171 del RGPD establece la obligación de que “Todo tratamiento ya iniciado en la fecha de aplicación del presente Reglamento debe ajustarse al presente Reglamento en el plazo de dos años a partir de la fecha de su entrada en vigor” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/19 Previéndose en el artículo 99 del RGPD que “1. El presente Reglamento entrará en vigor a los veinte días de su publicación en el Diario Oficial de la Unión Europea. [El RGPD se publicó en el DOUE L119, de 4 de mayo de 2016]. 2. Será aplicable a partir del 25 de mayo de 2018. El presente Reglamento será obligatorio en todos sus elementos y directamente aplicable en cada Estado miembro”. Teniendo en cuenta que como viene destacando reiteradamente el Gabinete Jurídico de la AEPD, en las distintas consulta sometidas a su informe (valgan por todas Informes N/REF: 0004/2022; 0089/2020) “el cambio de paradigma que ha supuesto la plena aplicación del Reglamento (UE) 2016/679 del Parlamento Europeo y el Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de sus datos personales y a la libre circulación de estos datos (RGPD), en cuanto basado en el principio de “accountability” o responsabilidad proactiva, tal y como se recoge en la Exposición de motivos de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD): “la mayor novedad que presenta el Reglamento (UE) 2016/679 es la evolución de un modelo basado, fundamentalmente, en el control del cumplimiento a otro que descansa en el principio de responsabilidad activa, lo que exige una previa valoración por el responsable o por el encargado del tratamiento del riesgo que pudiera generar el tratamiento de los datos de carácter personal para, a partir de dicha valoración, adoptar las medidas que procedan”. En consecuencia, en virtud de dicho principio, el responsable del tratamiento deberá aplicar medidas técnicas y organizativas apropiadas a fin de garantizar y poder demostrar que el tratamiento es conforme con el Reglamento.” Previéndose en el Considerando 39 que: “(…) Los datos personales deben ser adecuados, pertinentes y limitados a lo necesario para los fines para los que sean tratados. Ello requiere, en particular, garantizar que se limite a un mínimo estricto su plazo de conservación. Los datos personales solo deben tratarse si la finalidad del tratamiento no pudiera lograrse razonablemente por otros medios. Para garantizar que los datos personales no se conservan más tiempo del necesario, el responsable del tratamiento ha de establecer plazos para su supresión o revisión periódica”. Por lo que el CABILDO debió adaptar, en el citado período, el tratamiento que supone la publicación de sus actos en su perfil de transparencia, a la nueva normativa de protección de datos, previendo un plazo para la supresión o revisión periódica de los datos publicados. Por lo que se refiere a los puntos 7 y 8.- Sobre el requerimiento de remisión de las medidas de seguridad de los datos y de la Copia del Registro de Actividad de los tratamientos: Sostiene el CABILDO que el requisito de transparencia y protección de datos no se consolidó como obligación de la administración hasta bien pasada la fecha del incidente, por lo que no contamos con informes sobre las medidas de seguridad de los tratamientos, de la documentación acreditativa del Análisis de Riesgos o del Registro C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/19 de Actividad de los tratamientos donde se produjo el incidente. No es hasta 2019, en concordancia con las obligaciones impuestas en la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales, cuando se crea un área específica para el correcto tratamiento y defensa de los derechos personales y de la transparencia administrativa exigida a esta corporación. Como ya se ha indicado anteriormente “el cambio de paradigma que ha supuesto la plena aplicación del Reglamento (UE) 2016/679 del Parlamento Europeo y el Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de sus datos personales y a la libre circulación de estos datos (RGPD), en cuanto basado en el principio de “accountability” o responsabilidad proactiva, tal y como se recoge en la Exposición de motivos de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD): “la mayor novedad que presenta el Reglamento (UE) 2016/679 es la evolución de un modelo basado, fundamentalmente, en el control del cumplimiento a otro que descansa en el principio de responsabilidad activa, lo que exige una previa valoración por el responsable o por el encargado del tratamiento del riesgo que pudiera generar el tratamiento de los datos de carácter personal para, a partir de dicha valoración, adoptar las medidas que procedan”. En consecuencia, en virtud de dicho principio, el responsable del tratamiento deberá aplicar medidas técnicas y organizativas apropiadas a fin de garantizar y poder demostrar que el tratamiento es conforme con el Reglamento.” Sin que pueda excusarse para no establecer tales medidas y para no contar con informes sobre las medidas de seguridad de los tratamientos, de la documentación acreditativa del Análisis de Riesgos o del Registro de Actividad de los tratamientos donde se produjo el incidente en que el requisito de transparencia y protección de datos no se consolidó como obligación de la administración hasta bien pasada la fecha del incidente 9 y 10.- Por último, sobre la notificación a los afectados y a la Agencia Española de Protección de Datos de este incidente recalcamos que: Alega el CABILDO que esta controversia asume relevancia 14 años después ante la ausencia en aquel entonces de normativa insular, autonómico, nacional o europea sobre la protección de datos de carácter personal que conocemos hoy en día, pero que en ningún momento se llevó a cabo con intenciones de menoscabo o con fines per judicativos para el interesado. Al contrario, desde esta corporación resulto necesaria la publicación de dichos datos para la puesta en conjunto de la opinión pública y del consenso y causas de esta, entre la población, para poder llevar a cabo una transformación de esta envergadura a nivel insular. Por el largo periodo transcurrido y la diferente evolución normativa en la materia adoptada en los últimos 14 años, esta violación de seguridad no se ha puesto de manifiesto ni se ha comunicado (al desconocerse la misma) hasta el día de la recepción de esta notificación. Como ya ha quedado acreditado, en la contestación a las anteriores alegaciones, no se cuestiona el hecho de la necesidad de la publicación de esos datos sino la falta de adaptación de la publicación a los nuevos requisitos exigidos por la normativa de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/19 protección de datos, que como responsable tendría que haber llevado a cabo el CABILDO. 6 y 11.- Por ello, para corregir y preservar el derecho a la intimidad y protección de datos de los afectados, por el Cabildo de El Hierro se ha procedido a la eliminación del Acta publicada y a su rectificación, en la que no se incluirá ningún dato cuya exposición pública pueda comprometer los derechos de los afectados. Además, se tratará de revisar los documentos publicados por esta Corporación que incluyan datos de esta índole, y proceder a su corrección en el sentido indicado En relación con la alegación referida a los puntos 6 y 11 señalar que se considera positiva la adopción de las medidas de eliminación del Acta publicada y a su rectificación, en la que no se incluirá ningún dato cuya exposición pública pueda comprometer los derechos de los afectados. Asimismo, también se considera positivo que se proceda a revisar los documentos publicados por esta Corporación que incluyan datos de esta índole, y proceder a su corrección en el sentido indicado. Al considerar que esas medidas contribuyen a limitar o evitar que los derechos de los afectados pueden resultar vulnerados por la exposición pública de sus datos. Si bien se considera necesario que el CABILDO adopte las decisiones adecuadas para acreditar las medidas de seguridad, los Análisis de Riesgos o el Registro de Actividades de los tratamientos de los que es responsable. III Los hechos denunciados se concretan en que a través del portal de transparencia del CABILDO, se permitía acceder a los datos de la parte reclamante y del resto de los vecinos de El Pinar de El Hierro, que hicieron alegaciones en el expediente de segregación de El Pinar, contenidos en el acta del pleno extraordinario del Cabildo Insular de El Hierro de 2007, en el que se trató el asunto "INFORME - PROPUESTA DE RESOLUCIÓN DEL CABILDO INSULAR DE EL HIERRO EN EL EXPEDIENTE DE SEGREGACIÓN DE EL PINAR", vulnerando el principio de confidencialidad. Dicho tratamiento podría ser constitutivo de una infracción del artículo 5 del RGPD, Principios relativos al tratamiento, que establece que: “1. Los datos personales serán: (…)
5. f)tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/19 (…)” La documentación obrante en el expediente ofrece indicios evidentes de que la parte reclamada vulneró el artículo 5.1.
6. f)del RGPD, principios relativos al tratamiento, al permitir a terceros, a través de la página del portal de transparencia del CABILDO el acceso a datos de carácter personal de los vecinos que presentaron alegaciones en el procedimiento de segregación de El Pinar de El Hierro, y ello a pesar del tiempo transcurrido desde la tramitación del citado procedimiento hasta la presentación de la reclamación, más de catorce años, sin que exista constancia de que se hayan adoptado medidas de seguridad adecuadas para evitar el acceso de terceros, a tales datos. IV El artículo 30 del RGPD establece la obligación de que los responsables lleven “un registro de las actividades de tratamiento efectuadas bajo su responsabilidad”. Previéndose en el considerando 82 del RGPD que “Para demostrar la conformidad con el presente Reglamento, el responsable o el encargado del tratamiento debe mantener registros de las actividades de tratamiento bajo su responsabilidad”. Y estableciéndose en el artículo 31.2 de la LOPDGDD que “Los sujetos enumerados en el artículo 77.1 de esta ley orgánica harán público un inventario de sus actividades de tratamiento accesible por medios electrónicos en el que constará la información establecida en el artículo 30 del Reglamento (UE) 2016/679 y su base legal”. Como se recoge en el hecho probado cuarto de esta resolución el CABILDO en su escrito de 25/04/2022 manifiesta que no cuenta con informes sobre las medidas de seguridad de los tratamientos, de la documentación acreditativa del Análisis de Riesgos o del Registro de Actividad de los tratamientos donde se produjo el incidente. El no contar con un registro de actividades de tratamiento de las que es responsable supone una vulneración del artículo 30 del RGPD, y el no tener publicado el Inventario de actividades de tratamiento supone una vulneración del artículo 31.2 de la LOPDGDD. V Establece el artículo 32 del RGPD, seguridad del tratamiento, lo siguiente: 1. Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, que en su caso incluya, entre otros: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/19
7. a)la seudonimización y el cifrado de datos personales;
8. b)la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento;
9. c)la capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente físico o técnico;
10. d)un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento. 2. Al evaluar la adecuación del nivel de seguridad se tendrán particularmente en cuenta los riesgos que presente el tratamiento de datos, en particular como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos (El subrayado es de la AEPD). El considerando 75 del RGPD enumera una serie de factores o supuestos asociados a riesgos para las garantías de los derechos y libertades de los interesados: “Los riesgos para los derechos y libertades de las personas físicas, de gravedad y probabilidad variables, pueden deberse al tratamiento de datos que pudieran provocar daños y perjuicios físicos, materiales o inmateriales, en particular en los casos en los que el tratamiento pueda dar lugar a problemas de discriminación, usurpación de identidad o fraude, pérdidas financieras, daño para la reputación, pérdida de confidencialidad de datos sujetos al secreto profesional, reversión no autorizada de la seudonimización o cualquier otro perjuicio económico o social significativo; en los casos en los que se prive a los interesados de sus derechos y libertades o se les impida ejercer el control sobre sus datos personales; en los casos en los que los datos personales tratados revelen el origen étnico o racial, las opiniones políticas, la religión o creencias filosóficas, la militancia en sindicatos y el tratamiento de datos genéticos, datos relativos a la salud o datos sobre la vida sexual, o las condenas e infracciones penales o medidas de seguridad conexas; en los casos en los que se evalúen aspectos personales, en particular el análisis o la predicción de aspectos referidos al rendimiento en el trabajo, situación económica, salud, preferencias o intereses personales, fiabilidad o comportamiento, situación o movimientos, con el fin de crear o utilizar perfiles personales; en los casos en los que se traten datos personales de personas vulnerables, en particular niños; o en los casos en los que el tratamiento implique una gran cantidad de datos personales y afecte a un gran número de interesados.” Los hechos puestos de manifiesto suponen la no acreditación de medidas técnicas y organizativas adecuadas, al revelar información y datos de carácter personal a terceros, con la consiguiente falta de diligencia por el responsable; toda vez que no se ha acreditado que la parte reclamada hubiera adoptado alguna medida para garantizar C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/19 la anonimización de la información que conteniendo datos personales se encontraba alojada en su portal de transparencia, con la finalidad de cumplir con la normativa en materia de protección de datos. VI Establece el artículo 4.12 del RGPD que se considera “violación de la seguridad de los datos personales: toda violación de la seguridad que ocasione la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos.” De la documentación obrante en el expediente se ofrecen indicios evidentes de que el reclamado ha vulnerado el artículo 32 del RGPD, al producirse una brecha de seguridad, al permitir a cualquier tercero, entre ellos el reclamante, el acceso, a través del portal de transparencia del CABILDO, al acta de la sesión extraordinaria, revelando información y datos de carácter personal de las personas que habían realizado alegaciones. Hay que señalar que el RGPD en el citado precepto no establece un listado de las medidas de seguridad que sean de aplicación de acuerdo con los datos que son objeto de tratamiento, sino que establece que el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas que sean adecuadas al riesgo que conlleve el tratamiento, teniendo en cuenta el estado de la técnica, los costes de aplicación, la naturaleza, alcance, contexto y finalidades del tratamiento, los riesgos de probabilidad y gravedad para los derechos y libertades de las personas interesadas. En todo caso, al evaluar la adecuación del nivel de seguridad se tendrán particularmente en cuenta los riesgos que presente el tratamiento de datos, como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos y que pudieran ocasionar daños y perjuicios físicos, materiales o inmateriales. En este mismo sentido el considerando 83 del RGPD señala que: “