1/10 Expediente N.º: EXP202212244 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: D. A.A.A. (en adelante, la parte reclamante), en fecha 19 de septiembre de 2022, interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra el AYUNTAMIENTO DE LOS LLANOS DE ARIDANE, con NIF P3802400F (en adelante, la parte reclamada). Los motivos en que basa la reclamación son los siguientes: En fecha 13 de mayo de 2022, fue dictada por la parte reclamada Resolución de la Alcaldesa-Presidenta del Ayuntamiento de los Llanos de Aridane, “de aprobación de la Oferta de Empleo Público para el ejercicio 2022 (estabilización), posteriormente rectificada en anuncio “de rectificación de la Oferta de Empleo Público para el ejercicio 2022 (estabilización), publicado en el BOP, número 64, de 30 de mayo de 2022. Dicha resolución motivó la interposición de recurso contencioso-administrativo por parte del reclamante, en fecha 14 de julio de 2022. La parte reclamada en cumplimiento del artículo 49 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso Administrativa, notificó la resolución por la que se acordaba la remisión del expediente al Juzgado, a cuantos aparecían como interesados en él, emplazándoles para que pudieran personarse como demandados en el plazo de nueve días. La parte reclamante considera que la citada notificación vulnera la normativa de protección de datos, ya que se reveló la identidad de la persona que había interpuesto el recurso. En este sentido, indica que se incorporaron datos excesivos, ya que únicamente se tenía que haber facilitado el número del Juzgado y Procedimiento. Junto a la reclamación aporta copia de la notificación emitida, en fecha 12 de septiembre de 2022, por la parte reclamada, mediante la cual se adjuntaba el oficio del Juzgado de lo Contencioso- Administrativo nº X, de Santa Cruz de Tenerife, en el que se dispone la remisión a ese Juzgado del expediente administrativo de aprobación del Plan de estabilización del Ayuntamiento, con traslado de la demanda. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/10 de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP) mediante notificación electrónica, no fue recogido por el responsable, dentro del plazo de puesta a disposición, entendiéndose rechazada conforme a lo previsto en el art. 43.2 de la LPACAP, en fecha 29 de noviembre de 2022, como consta en el certificado que obra en el expediente. Aunque la notificación se practicó válidamente por medios electrónicos, dándose por efectuado el trámite conforme a lo dispuesto en el artículo 41.5 de la LPACAP, a título informativo se envió una copia por correo postal que fue notificada fehacientemente en fecha 14 de diciembre de 2022. En dicha notificación, se le recordaba su obligación de relacionarse electrónicamente con la Administración, y se le informaban de los medios de acceso a dichas notificaciones, reiterando que, en lo sucesivo, se le notificaría exclusivamente por medios electrónicos. TERCERO: En fecha 19 de diciembre de 2022, de conformidad con el artículo 65 de la LOPDGDD, se comunica la admisión a trámite de la reclamación presentada por la parte reclamante. CUARTO: En fecha 12 de enero de 2023, se recibe en esta Agencia escrito de respuesta de la parte reclamada en el que pone de manifiesto que el Ayuntamiento es consciente de sus deficiencias en materia de protección de datos. No obstante, indica que es una de las principales actuaciones que se van a acometer, durante el ejercicio 2023. QUINTO: Con fecha 16 de junio de 2023, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, por la presunta infracción del Artículo 5.1.
- c)del RGPD, tipificada en el Artículo 83.5 del RGPD. En el acuerdo de inicio se preveía, como resultado del expediente, la posible declaración de infracción del mencionado precepto del RGPD. SEXTO: El citado acuerdo de inicio fue fehacientemente notificado conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), constando el correspondiente justificante del acceso por vía electrónica el día 20/06/2023. Transcurrido el plazo otorgado para la formulación de alegaciones, se ha constatado que no se ha recibido alegación alguna por la parte reclamada. El artículo 64.2.
- f)de la LPACAP -disposición de la que se informó a la parte reclamada en el acuerdo de apertura del procedimiento- establece que si no se efectúan alegaciones en el plazo previsto sobre el contenido del acuerdo de iniciación, cuando éste contenga un pronunciamiento preciso acerca de la responsabilidad imputada, podrá ser considerado propuesta de resolución. En el presente caso, el acuerdo de inicio del expediente sancionador determinaba los hechos en los que se concretaba la imputación, la infracción del RGPD atribuida a la reclamada y la sanción que podría imponerse. Por ello, tomando en consideración que la parte reclamada no ha formulado alegaciones al acuerdo de inicio del expediente y en atención a lo C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/10 establecido en el artículo 64.2.
- f)de la LPACAP, el citado acuerdo de inicio es considerado en el presente caso propuesta de resolución. A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes, HECHOS PROBADOS PRIMERO: En fecha 13 de mayo de 2022, fue dictada por la parte reclamada Resolución de la Alcaldesa-Presidenta del Ayuntamiento de los Llanos de Aridane, “de aprobación de la Oferta de Empleo Público para el ejercicio 2022 (estabilización), posteriormente rectificada en anuncio “de rectificación de la Oferta de Empleo Público para el ejercicio 2022 (estabilización), publicado en el BOP, número 64, de 30 de mayo de 2022. SEGUNDO: Dicha resolución motivó la interposición de recurso contenciosoadministrativo por parte del reclamante, en fecha 14 de julio de 2022. TERCERO: La parte reclamada en cumplimiento del artículo 49 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso Administrativa, notificó la resolución por la que se acordaba la remisión del expediente al Juzgado, a cuantos aparecían como interesados en él, emplazándoles para que pudieran personarse como demandados en el plazo de nueve días. CUARTO. En la notificación mencionada en el hecho anterior, la parte reclamada reveló a todos los interesados la identidad de la persona que había interpuesto el recurso, así como los datos relativos al número de DNI completo y domicilio del reclamante FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento, la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/10 II Cuestiones Previas El Ayuntamiento de los Llanos de Aridane presta una serie de servicios públicos, para los cuales trata datos de carácter personal de sus empleados y ciudadanos. Realiza esta actividad en su condición de responsable del tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del RGPD: «responsable del tratamiento» o «responsable»: la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros. El artículo 4 apartado 2 del RGPD define el «tratamiento» como “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción.” El traslado de la demanda a todos los interesados en el procedimiento, incluyéndose los datos del demandante, se considera un tratamiento de datos personales, de conformidad con el precitado precepto del Reglamento General de Protección de Datos. Para que dicho tratamiento sea conforme con la normativa de protección de datos debe poder fundamentarse en una de las bases legitimadoras recogidas en el art. 6.1 RGPD. Dichas bases legitimadoras son las siguientes: Consentimiento. Ejecución de un contrato en el que el interesado es parte o aplicación a petición de este de medidas precontractuales. Cumplimiento de una obligación legal aplicable al responsable del tratamiento. Protección de intereses vitales del interesado o de otra persona física. Cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento. Satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero. En el ámbito de la Administración Local, la base jurídica que legitima los tratamientos suele ser, con carácter general, el cumplimiento de una tarea en interés público o el ejercicio de poderes públicos, así como el cumplimiento de una obligación legal. En C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/10 ambos casos, debe existir una previsión normativa con rango de ley que justifique el tratamiento de los datos. El artículo 49 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa establece en su apartado 1: “1. La resolución por la que se acuerde remitir el expediente se notificará en los cinco días siguientes a su adopción, a cuantos aparezcan como interesados en él, emplazándoles para que puedan personarse como demandados en el plazo de nueve días. La notificación se practicará con arreglo a lo dispuesto en la Ley que regule el procedimiento administrativo común. En los recursos contra las decisiones adoptadas por los órganos administrativos a los que corresponde resolver los recursos especiales y las reclamaciones en materia de contratación a que se refiere la legislación de Contratos del Sector Público se emplazará como parte demandada a las personas, distintas del recurrente, que hubieren comparecido en el recurso administrativo, para que puedan personarse como demandados en el plazo de nueve días.” Por su parte, de conformidad con el art. 4.1 LPACAP, se consideran interesados en el procedimiento administrativo: “
- a)Quienes lo promuevan como titulares de derechos o intereses legítimos individuales o colectivos.
- b)Los que, sin haber iniciado el procedimiento, tengan derechos que puedan resultar afectados por la decisión que en el mismo se adopte.
- c)Aquellos cuyos intereses legítimos, individuales o colectivos, puedan resultar afectados por la resolución y se personen en el procedimiento en tanto no haya recaído resolución definitiva.” Debe analizarse si, aun siendo parte interesada, las personas emplazadas en el procedimiento contencioso-administrativo necesitan conocer el número de DNI completo y domicilio del demandante para hacer valer sus derechos. Dicho esto, es importante que en la entrega de la información se cumplan los principios recogidos en el RGPD relativos al tratamiento de datos personales. En concreto, se puede destacar: - Principio de minimización de los datos: Los datos personales serán adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados. III Obligación incumplida. Minimización de datos. El RGPD establece en el artículo 5 los principios relativos al tratamiento de datos personales que es necesario considerar: “Los datos personales serán: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/10 (…)
- c)adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados («minimización de datos») Este artículo consagra el principio de minimización de datos en el tratamiento de los datos personales. En el caso concreto que se examina, el cumplimiento del principio de minimización requeriría identificar los datos concretos que deben comunicarse atendiendo a la finalidad, así como limitarlos a los estrictamente necesarios para su adecuada comunicación. Por lo tanto, en relación con la minimización y necesidad del tratamiento, existen alternativas menos lesivas para la protección de los datos de la parte reclamante. La entrega de la demanda debió efectuarse cumpliéndose los principios recogidos en el RGPD, en concreto, el principio de minimización de los datos, no facilitando más información de carácter personal de la que sea estrictamente necesaria. Es decir, para que el Ayuntamiento cumpliera con la obligación que tiene de emplazar a los interesados en el procedimiento contencioso, no era necesario que estos conocieran el número de DNI completo y domicilio del demandante. Por tanto, en virtud del principio de minimización, se considera que el acceso por parte de los interesados en el procedimiento al número de DNI completo y domicilio del reclamante que consta en la copia de la demanda es contrario a dicho principio, dado que no necesitan conocer esa información, siendo plausible la pretensión de la parte reclamante. Es decir que salvo que el conocimiento, por parte de los interesados en el procedimiento, de dichos datos sea necesario para hacer valer sus derechos, se considera su entrega desproporcional, vulnerando el principio indicado, debiendo haber procedido a la anonimización del DNI completo y del domicilio del demandante que figuran en la demanda. De conformidad con las evidencias de las que se dispone en este procedimiento sancionador, se considera que los hechos conocidos constituyen una infracción, imputable a la parte reclamada, por vulneración del artículo 5.1
- c)del RGPD, tipificada en el artículo 83.5.
- a)del mismo texto legal. IV Tipificación de la infracción del artículo 5.1
- c)del RGPD De confirmarse, la citada infracción del artículo 5.1.
- c)del RGPD podría suponer la comisión de las infracciones tipificadas en el artículo 83.5 del RGPD que bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
- a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9; (…)” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/10 A este respecto, la LOPDGDD, en su artículo 71 “Infracciones” establece que “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A efectos del plazo de prescripción, el artículo 72 “Infracciones consideradas muy graves” de la LOPDGDD indica: “1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
- a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679. (…)” V Propuesta de sanción El artículo 83 “Condiciones generales para la imposición de multas administrativas” del RGPD en su apartado 7 establece: “Sin perjuicio de los poderes correctivos de las autoridades de control en virtud del artículo 58, apartado 2, cada Estado miembro podrá establecer normas sobre si se puede, y en qué medida, imponer multas administrativas a autoridades y organismos públicos establecidos en dicho Estado miembro.” Asimismo, el artículo 77 “Régimen aplicable a determinadas categorías de responsables o encargados del tratamiento” de la LOPDGDD dispone lo siguiente: “1. El régimen establecido en este artículo será de aplicación a los tratamientos de los que sean responsables o encargados: (…)
- c)La Administración General del Estado, las Administraciones de las comunidades autónomas y las entidades que integran la Administración Local. 2. Cuando los responsables o encargados enumerados en el apartado 1 cometiesen alguna de las infracciones a las que se refieren los artículos 72 a 74 de esta ley orgánica, la autoridad de protección de datos que resulte competente dictará resolución declarando la infracción y estableciendo, en su caso, las medidas que proceda adoptar para que cese la conducta o se corrijan los efectos de la infracción que se hubiese cometido, con excepción de la prevista en el artículo 58.2.i del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/10 La resolución se notificará al responsable o encargado del tratamiento, al órgano del que dependa jerárquicamente, en su caso, y a los afectados que tuvieran la condición de interesado, en su caso. 3.Sin perjuicio de lo establecido en el apartado anterior, la autoridad de protección de datos propondrá también la iniciación de actuaciones disciplinarias cuando existan indicios suficientes para ello. En este caso, el procedimiento y las sanciones a aplicar serán las establecidas en la legislación sobre régimen disciplinario o sancionador que resulte de aplicación. Asimismo, cuando las infracciones sean imputables a autoridades y directivos, y se acredite la existencia de informes técnicos o recomendaciones para el tratamiento que no hubieran sido debidamente atendidos, en la resolución en la que se imponga la sanción se incluirá una amonestación con denominación del cargo responsable y se ordenará la publicación en el Boletín Oficial del Estado o autonómico que corresponda. 4. Se deberán comunicar a la autoridad de protección de datos las resoluciones que recaigan en relación con las medidas y actuaciones a que se refieren los apartados anteriores. 5. Se comunicarán al Defensor del Pueblo o, en su caso, a las instituciones análogas de las comunidades autónomas las actuaciones realizadas y las resoluciones dictadas al amparo de este artículo.” En el presente caso se estima adecuado declarar la infracción de la parte reclamada, por infracción del artículo 5.1.
- c)del RGPD, al realizar un tratamiento excesivo de los datos personales, debiendo haber procedido a la anonimización del DNI completo y del domicilio del demandante que figuran en la demanda. VI Imposición de medidas En el texto de la resolución se establecen cuáles han sido las infracciones cometidas y los hechos que han dado lugar a la vulneración de la normativa de protección de datos, de lo que se infiere con claridad cuáles son las medidas a adoptar, sin perjuicio de que el tipo de procedimientos, mecanismos o instrumentos concretos para implementarlas corresponda a la parte sancionada, pues es el responsable del tratamiento quien conoce plenamente su organización y ha de decidir, en base a la responsabilidad proactiva y en enfoque de riesgos, cómo cumplir con el RGPD y la LOPDGDD. Se advierte que no atender la orden de adopción de medidas impuestas por este organismo en la resolución sancionadora podrá ser considerado como una infracción administrativa conforme a lo dispuesto en el RGPD, tipificada como infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la apertura de un ulterior procedimiento administrativo sancionador. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/10 Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR que AYUNTAMIENTO DE LOS LLANOS DE ARIDANE, con NIF P3802400F, ha infringido lo dispuesto en el Artículo 5.1.
- c)del RGPD, infracción tipificada en el Artículo 83.5 del RGPD. SEGUNDO: NOTIFICAR la presente resolución a AYUNTAMIENTO DE LOS LLANOS DE ARIDANE. TERCERO: COMUNICAR la presente resolución al Defensor del Pueblo, de conformidad con lo establecido en el artículo 77.5 de la LOPDGDD. CUARTO: ORDENAR a AYUNTAMIENTO DE LOS LLANOS DE ARIDANE, con NIF P3802400F, que en virtud del artículo 58.2.
- d)del RGPD, en el plazo de TRES MESES, acredite haber procedido al cumplimiento de las medidas necesarias para el pleno cumplimiento, en supuestos como el enjuiciado en esta resolución, de las disposiciones contenidas en el RGPD y la LOPDGDD De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
- a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/10 938-010623 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es