← España

PS-00050-2023

1/25  Expediente N.º: EXP202213358 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: En fecha 08/11/2022 se interpuso reclamación ante la Agencia Española de Protección de Datos (AEPD) por una presunta infracción de la normativa de protección de datos de carácter personal imputada a la VICECONSEJERIA DE ADMINISTRACION LOCAL Y COORDINACION ADMINISTRATIVA de la JUNTA DE COMUNIDADES DE CASTILLA LA MANCHA, con NIF S1911001D, (en adelante, la VICECONSEJERÍA o la parte reclamada). Los hechos que se ponen en conocimiento de esta Autoridad Supervisora son los siguientes: La parte reclamante recibe el 08/11/2022 un correo electrónico remitido por la Inspección de Servicios de la VICECONSEJERÍA que fue enviado a más de 712 personas sin utilizar la funcionalidad de copia oculta, por lo que las direcciones de correo fueron accesibles a todos los destinatarios. La parte reclamante ha manifestado: “Me inscribí en la ayuda para el alquiler de la Junta de Castilla-La Mancha mediante los medios electrónicos especificados en: https://www.jccm.es/sede/ventanilla/electronica/I4L. Hoy día 08/11/2022 me ha llegado un correo electrónico a nombre de […] ***EMAIL.1 dónde se me indica: "Buenos días, se ha convocado ayuda alquiler de la vivienda del cual forma parte en el servicio de alertas, este correo es meramente informativo NO conteste a este correo, por favor utilice el enlace para obtener más información. https://www.jccm.es/tramitesygestiones/ayudas-al-alquiler-de-vivienda-encastilla-la-mancha-en-el-marco-del-plan-estatal Saludos" Como destinatarios aparecemos TODOS los solicitantes de la ayuda de alquiler pudiendo ver datos de carácter sensible como el correo electrónico de cada uno de los solicitantes, entre los que me encuentro. Me parece una vulnerabilidad grave de mis derechos por parte de la administración y que expone de manera directa mi privacidad, incluyendo la solicitud que he hecho para una ayuda económica.” (El subrayado es nuestro) Aporta estos documentos: -Copia del correo electrónico que recibió de la VICECONSEJERÍA, emitido el 08/11/2022 desde una dirección corporativa de la Junta de Comunidades de CastillaLa Mancha. En el encabezado figura, a la izquierda, el nombre completo del empleado público que envía el correo y su dirección electrónica (***EMAIL.1) En el apartado “Para:” constan más de 712 direcciones de los correos electrónicos de los destinatarios del mensaje. En el apartado “CC:” figura la dirección “***EMAIL.2.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/25 -Un enlace que la parte reclamante denomina “Enlace a la evidencia”: https://drive.google.com/file/d/1zonTscjjB417Mm5RD9yDuAPPNMLgPr-/view? usp=share_link. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de la reclamación a la VICECONSEJERÍA para que procediese a su análisis e informase a esta Agencia en el plazo de un mes de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. La actuación de traslado y solicitud de información se notificó a la parte reclamada en fecha 16/12/2022, a través de medios electrónicos, conforme a lo dispuesto en el artículo 43 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP) según consta en el acuse de recibo que obra en el expediente. En fecha 13/01/2023 se recibe la respuesta de la DPD de la VICECONSEJERÍA a la actuación de traslado y solicitud de información. En primer término, precisa a propósito de la recepción por el reclamante de un correo electrónico remitido a más de 700 destinatarios sin utilizar la función de “CCO” que el tratamiento de datos que se lleva a cabo a través de “la actividad de envío de alertas a ciudadanos que así lo han solicitado” está inscrito en el Registro de Actividades de Tratamiento (RAT) de la Junta de Comunidades de Castilla-La Mancha - “0542Mensajes de Alertas Informativas”- con la siguiente información: El responsable del tratamiento es la “Viceconsejería de Administración Local y Coordinación Administrativa”. La finalidad del tratamiento, la “Gestión de Mensajes de Alertas SMS o correo electrónico”. La legitimación el artículo “6.1.

  1. e)Misión en interés público o ejercicio de poderes públicos Ley 39/2015 de 1 de octubre de Procedimiento Administrativo Común de las Administraciones Públicas”. Los “Colectivos afectados”, “Solicitantes y representantes legales”. El “origen y procedencia de los datos”, “El propio interesado o su representante legal”. No están previstas cesiones de datos. La “valoración de seguridad” es “Baja”. 1.- “Informes técnicos o aportaciones del DPD o Responsable de Seguridad” respecto de los tratamientos sobre los que se solicita información. La DPD responde que “existen recomendaciones e instrucciones generales de la Delegada de Protección de Datos y la Unidad de Protección de datos respecto a las obligaciones a cumplir por parte de todos los responsables de los tratamientos” así como “actividades de concienciación y formación en materia de protección de datos que son generales para toda la Administración de la Junta de Comunidades de Castilla-La Mancha”, pues, según explica, la figura del DPD y la del Responsable de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/25 Seguridad es única para toda la Administración autonómica, excepto para el Servicio de Salud. (El subrayado es nuestro) A. Menciona las siguientes instrucciones generales y actividades de concienciación y formación en materia de protección de datos: 1º) El “Plan de formación de la Escuela de Administración Regional”. - En julio de 2014 se aprueba una instrucción de Función Pública para la formación online en seguridad de la información y la protección de datos con carácter obligatorio para todo el personal. La formación tuvo lugar entre los años 2014 y 2015. -Desde el año 2016, la Escuela de Administración Regional de Castilla-La Mancha tiene programadas en sus planes de formación actividades en materia de protección de datos: (i)En el Área de Formación en Transparencia, Participación y Protección de Datos: - Curso básico de protección de datos. Semipresencial - La protección de datos en la JCCM. Presencial - La protección de datos en la atención al público. Presencial -Seguridad de la información (incluye módulo de protección de datos). Presencial. (
  2. ii)En modalidad de Autoformación: -Curso online de Protección de Datos y Seguridad de la Información. Subraya que, en este curso, dentro del apartado “Seguridad de la información” se incluye la siguiente recomendación directamente relacionada con el objeto de la reclamación: “Sé precavido a la hora de enviar correos. A la hora de enviar correos electrónicos a múltiples destinatarios, presta mucha atención y no incluyas a todos ellos en la lista de destinatarios principales (Para:) o en copia (CC: Con Copia), y utiliza en su lugar la copia oculta (CCO: Con copia oculta) De esta forma evitarás desvelar necesariamente las direcciones de correo del resto de los usuarios”. (El subrayado es nuestro) 2º) Desde hace más de 10 años se han venido elaborando diferentes documentos sobre protección de datos que han sido enviados para su difusión a los vocales del Comité Regional de Protección de Datos. Menciona los siguientes:         Tríptico sobre las obligaciones de los empleados respecto a los datos personales Obligaciones para los responsables de tratamientos Obligaciones de las personas usuarias con acceso a datos personales. Instrucción para la gestión de reclamaciones en materia de protección de datos Instrucción para la notificación de brechas de seguridad Instrucción para la gestión del ejercicio de derechos en materia de protección de datos Decálogo de protección de datos para empleados públicos Decálogo de protección de datos para empleados sin acceso a datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/25 Explica que todos ellos son accesibles a los empleados públicos en diferentes sitios (el Portal del Empleado/a, la aplicación CHRONOS de control horario y diferentes intranets de las Consejerías). Además, la DPD subraya que esos documentos se difunden por correo electrónico y, en la toma de posesión del nuevo personal, se le hace entrega del Tríptico sobre las obligaciones de los empleados respecto a los datos personales. Señala que también hay un apartado específico de protección de datos en el Manual de acogida a los empleados de nuevo ingreso. B. La DPD manifiesta que, consultado el responsable de seguridad de esa Administración, le informa que ha llevado a cabo las siguientes actuaciones relativas a la utilización de la copia oculta en el correo electrónico: 1º) El “Soporte a Usuarios Móviles de la Junta de Comunidades de Castilla-La Mancha”. “En la página https://sum.jccm.es/node/38 de Soporte a Usuarios Móviles de la Junta de Comunidades de Castilla-La Mancha de Buenas prácticas de seguridad de la información existe un apartado PROTECCIÓN DE TUS CUENTAS DE CORREO.” En su escrito de respuesta la DPD incorpora la captura de la pantalla a la que se accede desde esa url –imagen que lleva las rúbricas “Correo electrónico. Buenas prácticas”- en la que se puede ver cómo entre las buenas prácticas que se relacionan se incluye la utilización de la copia oculta: “Utiliza copia oculta. Impide que los destinatarios de un correo vean a quién más ha sido enviado.” 2º) “Servicio Integral de Gestión para Usuarios y Empleados”. Explica que es la herramienta corporativa utilizada por la organización para la gestión de peticiones y que, en ella, se da visibilidad a las “Buenas prácticas de seguridad de la información” a través de un banner en la cabecera que enlaza con dichas Buenas prácticas. El escrito de respuesta incorpora una captura de pantalla que así lo corrobora. 3º) “Cursos de seguridad de la información de la Escuela de Administración Regional (se están impartiendo desde antes de 2018)”. La DPD indica que en los cursos organizados por la Escuela de Administración Regional de Seguridad de la información se realiza una presentación relacionada con el uso del correo electrónico. Manifiesta: “Dentro de sus contenidos se encuentra la siguiente recomendación” y aporta una captura de pantalla que incluye esta leyenda: “Correo electrónico. Utilizar copia oculta. Si se utiliza la copia oculta: Impide que los destinatarios de un correo vean a quién más ha sido enviado”. 2.-A la pregunta formulada por la Subdirección General de Inspección relativa a la decisión adoptada por la parte reclamada a la vista de la reclamación formulada, la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/25 DPD responde que, tras recibir la solicitud de información, se procedió a investigar el hecho. Afirma que el hecho “constituye una brecha de datos personales de la que ha tenido constancia” por la notificación recibida de la AEPD. Que, por tanto, se “ha procedido a registrar esta brecha en el registro de brechas de datos personales” y “a valorar la obligación de realizar la notificación a los afectados en cumplimiento del artículo 34 del RGPD.” (El subrayado es nuestro) Sobre esa última cuestión, la DPD manifiesta que recomendó al responsable del tratamiento la utilización de la herramienta “Comunica-Brecha RGPD” y que el resultado obtenido tras el uso de la herramienta mencionada es el siguiente: “No sería necesario comunicar la brecha de seguridad a los afectados”. Incorpora a su escrito una captura de pantalla con el resultado obtenido tras la aplicación de la herramienta “Comunica-Brecha RGPD”. La DPD afirma que “A la vista de este resultado, el responsable considera que no sería necesario realizar la notificación a los afectados, aunque sí ponerse en contacto con el reclamante para explicarle el hecho que ha ocasionado su reclamación y pedirle disculpas por lo sucedido.” (El subrayado es nuestro) Aporta copia (documento Anexo a su escrito de respuesta) de la comunicación que se envió al afectado (la parte reclamante) a través de un correo electrónico. Además, por lo que atañe a las declaraciones de la parte reclamante en su reclamación –“Me parece una vulneración grave de mis derechos por parte de la administración y que expone de manera directa mi privacidad, incluyendo la solicitud que he hecho para una ayuda económica”- la DPD subraya que en el correo enviado por la VICECONSEJERÍA “no existe información personal alguna, más allá de los correos electrónicos de los receptores, ya que la url indicada corresponde al procedimiento de ayudas al alquiler que está colgado de la sede electrónica de esta Administración, con el modelo de formulario vacío”. Y añade que “en ningún caso se ha enviado la solicitud de ayuda al alquiler presentada por el reclamante al resto de los destinatarios del correo.” (El subrayado es nuestro) Reproduce en su escrito el mensaje que ha dado origen a la reclamación; el mensaje enviado por la VICECONSEJERÍA el 8/11/2022 a más de 712 destinatarios: “Buenos días, se ha convocado ayuda alquiler de la vivienda del cual forma parte en el servicio de alertas, este correo es meramente informativo. NO conteste a este correo, por favor utilice el enlace para obtener más información. https://www.jccm.es/tramitesygestiones/ayuda-al-alquiler-de-vivienda-en-castilla-lamancha-en-el-marco-del-plan-estatal.” La DPD aclara que el servicio de alertas “no se presta a todos las personas que han presentado esta solicitud, sino solo a aquellas que así lo han pedido expresamente apuntándose a este servicio añadido, […].” (El subrayado es nuestro) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/25 “La información sobre este servicio de alertas informativas está en el portal institucional https://www.castillalamancha.es/gobierno/haciendayaapp/estructura/vcalyca/actuacion es/servicio-de-alertas-informativas.” 3.-Sobre las causas que han motivado la incidencia: La DPD se remite a la respuesta que el responsable del tratamiento -el Viceconsejero de Administración Local y Coordinación Administrativa- ofrece en el informe emitido sobre los hechos objeto de la reclamación, cuya copia aporta como Anexo. En su informe el Viceconsejero expone que “el hecho que motivó esta reclamación se produjo en un contexto de fallo del sistema informático utilizado en este tratamiento.” (El subrayado es nuestro) Que, “debido a un problema técnico ocurrido en la aplicación informática que gestiona las alertas, una vez enviada la alerta, notificó un error en la misma.” Que, ante esas circunstancias especiales, “se optó por continuar prestando el servicio de forma manual, tras solicitar a informática el correo de las personas que no habían recibido la alerta, un funcionario envió desde su propio correo esta comunicación a dichas personas.” (El subrayado es nuestro) “Desde esta Inspección General de Servicios, puestos en contacto con la Dirección General de Administración Digital para intentar solucionar el problema, sin que fuese posible solucionarlo a corto plazo, nos facilitaron los correos electrónicos de las personas suscritas a las que no había llegado la alerta informativa (aproximadamente 730 de los 2030 inscritos en la misma) para que, en su caso, se pudiese hacer un envío manual”. (El subrayado es nuestro) La DPD incorpora una captura de pantalla del correo electrónico enviado a una funcionaria de la Inspección General de Servicios en fecha 8/11/2022 desde el “Servicio de Sistemas Corporativos. Dirección General de Administración Digital. Consejería de Hacienda y Administraciones Públicas”, que incluye como documento anexo una tabla Excel con el nombre “Correos faltan envío masivo 2022_11-08.xlsx”, y este texto: “A pesar de haber estado revisando este error, no podemos localizar el error ni encontrar un método alternativo para conseguir que funcione por ahora. […] Como he hablado con […] os envío el listado de correos que han quedado por enviar para que hagáis el envío vosotros” (El subrayado es nuestro) Reitera la opinión expresada por el Viceconsejero de Administración Local y Coordinación Administrativa en su informe: que el error del funcionario que envió los correos electrónicos fue involuntario, siendo prueba de ello que la notificación la envió desde su propio correo electrónico, donde queda identificado. En el informe emitido por el responsable del tratamiento consta: “Por desconocimiento y sin ninguna intención de vulnerar los derechos de las personas suscritas a la referida alerta, realizó el envío manual incluyendo a los destinatarios en el campo de correo electrónico “para” sin percatarse de que podía hacerlo desde la opción “con copia C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/25 oculta” para evitar que los destinatarios pudieran ver el resto de direcciones de correo electrónico suscritas a la alerta.” 4.- “Informe sobre las medidas adoptadas” La DPD responde que “Las actuaciones que el responsable del tratamiento ha realizado o va a realizar como consecuencia de esta reclamación son las siguientes”. 1º) “Ya se ha puesto en conocimiento al servicio de informática el error en la aplicación para que no se vuelva a producir, y aunque en el correo anteriormente plasmado el técnico de informática indica que no se ha podido reproducir el error, indica que sería necesario seguir investigando.” (El subrayado es nuestro) 2º) “Se ha enviado como recordatorio por correo electrónico las instrucciones para los usuarios con acceso a datos de este tratamiento, en dichas instrucciones ya se indica que siempre hay que usar la utilidad de copia oculta. El Anexo IV corresponde con este documento de instrucciones adjuntado en el correo que el responsable envía a todos los usuarios y que es el siguiente:” (El subrayado es nuestro) Incorpora a su escrito de respuesta una captura de pantalla del correo electrónico enviado por la Jefa de Servicio de la Inspección General de Servicios de la Viceconsejería -en el que no consta fecha- al que ha anexado el documento “Instrucciones Protección Datos personas IGS”. Los documentos aportados por la DPD de la parte reclamada con su respuesta al traslado informativo de la Subdirección General de Inspección de Datos son los siguientes: I. “Informe sobre la Reclamación recibida en esta Inspección General de Servicios relativa a la notificación remitida por la Agencia Española de Protección de Datos y puesta a disposición en la DEHÚ, con número de Identificador: ***REFERENCIA.1” firmado digitalmente por el Viceconsejero el 12/01/2023. II. Escrito dirigido al reclamante firmado digitalmente por el Viceconsejero el 12/01/2023. III. “Instrucciones de protección datos para usuarios con acceso a datos de carácter personal. Mensajes de Alertas Informativas”, “Versión: 1.0”, de fecha 13/12/2021. En el apartado de esas instrucciones “3.10 Correo electrónico”, consta: “• No envíes documentos con datos que contengan datos de categoría especial por correo electrónico sin cifrar. • Si se va a enviar un mensaje a varias personas y se quiere evitar que los destinatarios puedan ver el resto de direcciones, utiliza la función de copia oculta (CCO).” TERCERO: En fecha 3/02/2023, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/25 Conforme a lo prevenido en el artículo 65.5 de la LOPDGDD, el acuerdo de admisión a trámite se comunicó a la parte reclamante que aceptó la notificación electrónica en fecha 05/02/2023, según consta en la documentación que obra en el expediente. CUARTO: Con fecha 8/11/2024, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, por la presunta infracción del artículo 5.1.
  3. f)del RGPD, tipificada en el artículo 83.5.
  4. a)del RGPD QUINTO: Notificado el acuerdo de inicio conforme a las normas establecidas en la LPACAP, la parte reclamada presenta en fecha 20/11/2024 escrito de alegaciones en el que solicita el archivo de las presentes actuaciones. Esgrime en defensa de su pretensión estos argumentos: -Comienza explicando en qué consiste el servicio de “alerta informativa” que la Administración de la CCAA pone a disposición de los ciudadanos: permite a quien se dé de alta en él “seleccionar los trámites en los que se tiene interés informativo, de forma que cuando se produzca una publicación en el Diario Oficial de Castilla-La Mancha relacionada con dicho trámite (en la que se abra un plazo de presentación de solicitudes, o se publiquen modificaciones sustanciales) se reciba mediante correo electrónico un mensaje alertando sobre esa publicación.” “Lo que hace el sistema es remitir un mensaje individual a quien se ha inscrito.” -La reclamada defiende que el “único dato de carácter personal existente en dicha plataforma de alertas es la dirección de correo electrónico de los suscriptores”. Afirma que la alerta no está vinculada en ningún caso a “datos de solicitudes presentadas, expedientes concretos de personas interesadas o ningún otro dato personal.” -Respecto a los hechos acaecidos manifiesta que el 07/11/2022, “debido a un problema técnico ocurrido en la aplicación informática que gestiona esas alertas, notificó un error en el envío de aproximadamente unos 730 respecto a los 2.030 inscritos en el trámite: ayudas al alquiler de vivienda en Castilla-La Mancha, en el marco del plan estatal de vivienda 2022-2025.” Que, ante el problema técnico surgido, la Inspección General de Servicios contactó con la Dirección General de Administración Digital informándole esa Dirección General de la imposibilidad de solucionarlo a corto plazo “por lo que se decidió realizar un envío manual a las direcciones de correo electrónico afectados. Todo ello con el fin de no perjudicar a quienes estaban suscritos a la alerta, que no habían recibido el mensaje de aviso.” Explica que en “el esfuerzo por enviar cuanto antes este correo se cometió el error de incluir la lista de correos en el campo “Para:” del gestor de correo, en vez de incluirlo en el campo “CCO”. Por este motivo, la dirección de correo electrónico (de los afectados en el fallo de envío de la alerta) apareció en el correo enviado.” Defiende que los hechos fueron fruto de un error humano e involuntario y aclara: “No formando parte de las tareas del empleado público realizar este tipo de comunicaciones masivas, siendo, de hecho, la primera y única vez que se realizaba manualmente, pues se dispone de una herramienta informática para ello.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/25 -En cuanto al contenido de mensaje enviado el 08/11/2022 -además de reproducir su texto- destaca que en ningún caso se facilitó información relativa a una solicitud de ayuda que hubiera efectuado la reclamante ni tampoco a su situación económica, por lo cual -dice- no se ha vulnerado la privacidad de la parte reclamante. Señala que se limitó a informar de la publicación en el Diario Oficial de Castilla-La Mancha de 07/11/2022 de la Resolución de 03/11/2022 de la Dirección General de Vivienda convocando las ayudas al alquiler de vivienda en Castilla-La Mancha, en el marco del Plan Estatal de Vivienda 2022-2025. Indica a ese respecto: “[…] se informaba de la Resolución de 03/11/2022, de la Dirección General de Vivienda, que convocaba ayudas al alquiler de vivienda en Castilla-La Mancha, en el marco del Plan Estatal de Vivienda 2022-2025, publicada en el Diario Oficial de Castilla-La Mancha del 7 de noviembre de 2022. Siendo el plazo de presentación de solicitudes desde el 8 de noviembre de 2022 hasta el 2 de mayo de 2023. Por tanto, se diluye la preocupación del reclamante sobre que se exponía de manera directa su privacidad al incluir la solicitud que había hecho para una ayuda económica. Pues sólo se informaba a los inscritos en la alerta que se había convocado una ayuda al alquiler de la vivienda, en ningún caso se trataba de solicitantes de ayuda. Por lo que no se desvelaba ninguna información de la situación económica de los destinatarios del correo electrónico, pues el querer tener conocimiento sobre las novedades legislativas publicadas no significa que sea para emplearlo en beneficio propio, siendo útil para informar a familiares y allegados, o para elaborar estudios o informes.” (El subrayado es nuestro) -Añade que ha enviado “a todo el personal que depende de la Inspección General de Servicios, que es la unidad administrativa a la que pertenece el empleado público implicado directamente en los hechos” (a modo de recordatorio y a fin de evitar que en el futuro pueda producirse un error como el acaecido) un documento de instrucciones y buenas prácticas en materia de protección de datos donde se indica que para impedir que otros destinatarios puedan ver el resto de direcciones email siempre hay que usar la utilidad de copia oculta. Finalmente destaca que “no se tiene conocimiento de la utilización por terceros del dato obtenido consistente en la dirección de correo electrónico.” SEXTO: Con fecha 29 de agosto de 2025 se formuló propuesta de resolución, con el siguiente sentido Que por la Presidencia de la Agencia Española de Protección de Datos se declare que la VICECONSEJERIA DE ADMINISTRACION LOCAL Y COORDINACION ADMINISTRATIVA de la JUNTA DE COMUNIDADES DE CASTILLA LA MANCHA, con NIF S1911001D, ha infringido lo dispuesto en el artículo 5.1.
  5. f)del RGPD, infracción tipificada en el artículo 83.5.
  6. a)del RGPD. Que por la Presidencia de la Agencia Española de Protección de Datos se ordene a la VICECONSEJERIA DE ADMINISTRACION LOCAL Y C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 10/25 COORDINACION ADMINISTRATIVA, con NIF S1911001D, que, en virtud del artículo 58.2.
  7. d)del RGPD, en el plazo máximo de diez días a contar desde la fecha de ejecutividad de la resolución finalizadora de este procedimiento, acredite haber adecuado su actuación a la normativa de protección de datos personales con el alcance expresado en esta propuesta de resolución. SÉPTIMO: Con fecha 9 de septiembre de 2025 tiene entrada escrito de alegaciones de la parte reclamada a la propuesta de resolución en el que plantea, en síntesis, lo siguiente: En primer lugar, recuerdan que el sistema de alertas disponible en la JCCM solo está diseñado para avisar de la publicación en el DOCM de una determinada información sobre la convocatoria de un procedimiento, por lo que no cabe interpretar que la inclusión en ese sistema de alertas conlleva que la persona inscrita es solicitante de esa ayuda, tampoco que cumple los requisitos y tampoco que vaya a ser beneficiario. El escrito de alegaciones aporta también datos sobre el número de inscritos en el sistema de alertas, las solicitudes de ayuda presentadas y los beneficiarios finales de las mismas. Información toda ella contenida en un archivo Excel que se adjunta al escrito de alegaciones y que se encuentra publicado en el Portal de Transparencia de la JCCM. Alega la parte reclamada que se trató de un error humano puntual y cometido esa única vez, no derivado de la falta de diligencia, sino de la premura en el envío para que todas las personas suscritas a la alerta tuviesen la información lo antes posible para conceder las mismas oportunidades de presentación de la solicitud correspondiente de ayuda (en caso de que así lo deseasen) sin que existiese ninguna intencionalidad de infracción por parte del funcionario. La premura aludida vendría justificada por cuanto se valoró por parte de este órgano gestor que aquellas personas que estando suscritas y confiadas del aviso no hubieran sido alertadas, estarían en clara desventaja respecto de aquellos que si habían sido alertados por el sistema (más de 1.300 personas en las que no falló el envío de la alerta automatizada) el día de la publicación de dicha convocatoria en el DOCM Por otro lado, señala que la obtención de información sobre una dirección de correo electrónico tampoco supone la identificación inequívoca de una persona, dado que no aparece vinculada a ningún otro dato personal que pueda identificarle más allá del interés en recibir determinada información. En lo relativo a las medidas implantadas en el tratamiento para garantizar la seguridad de los datos, señala que son las que se obtienen como consecuencia del análisis de riesgos realizado en el ámbito del Esquema Nacional de Seguridad, todo ello en cumplimiento de la disposición adicional primera de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales. (…), y en concreto, en el tratamiento de Mensaje de Alertas Informativas cuyo responsable es la Viceconsejería de Administración Local y Coordinación Administrativa, se ha valorado que ese tratamiento debe tener implantadas las medidas del Anexo II del Esquema Nacional de Seguridad correspondientes a nivel de seguridad BAJO. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 11/25 Respecto de la presunta carencia de un plan de contingencia para el caso de que fallara la aplicación mediante la que se comunica a los solicitantes del sistema de alerta la información publicada en el Diario Oficial que tienen interés en recibir indican que si bien es verdad que no se contempla como medida obligatoria a implantar, por no precisar un nivel de seguridad ALTO, se informa de que además de la certificación de Conformidad con ENS, las infraestructuras de la JCCM donde reside el servicio de alertas informativas tienen una certificación adicional en Seguridad de la Información según la norma ISO/IEC 27001:2022 que contempla medidas para garantizar la disponibilidad del servicio. Por tanto, alegan, el riesgo de fallo técnico, incluso por falta de disponibilidad de la aplicación, SI está contemplado en el análisis de riesgo correspondiente y este riesgo está incluido en un Sistema de Gestión de Seguridad de la Información con una doble certificación: Conformidad con el ENS (nivel medio) y Norma ISO/IEC 27001 auditadas cada dos años y cada año, respectivamente, por la entidad certificadora AENOR. Se adjuntan las certificaciones correspondientes. Consideran así que las medidas adecuadas para minimizar el riesgo por fallo técnico en el tratamiento de datos de Mensaje de Alertas Informativas están implantadas y gestionadas. Por otro lado, desde el punto de vista organizativo, no se había considerado que se tuviesen que reforzar las medidas implantadas para el tratamiento de ese riesgo debido a que ya estaba gestionado en el sistema de gestión de seguridad de la información, siendo el riesgo residual asumible. No obstante, como consecuencia de este expediente, se ha decidido por parte de este órgano gestor establecer una medida adicional y aprobar un protocolo para minimizar este riesgo, medida que complementa al resto de medidas ya implantadas. En relación con las actuaciones realizadas para adecuar la actuación a la normativa de protección de datos personales informan de un protocolo de actuación para los supuestos de fallo en el sistema informático de Alertas SIACI de la JCCM- firmado el 08/09/2025-, y aportan la evidencia de su envío a todo el personal de la Inspección General de Servicios dependiente de la Viceconsejería de Administración Local y Coordinación Administrativa. Asimismo, indican que se está procediendo a actualizar el análisis de riesgos en materia de protección de datos. De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS PRIMERO: La parte reclamante -que se encontraba suscrita al “servicio de alerta informativa” en relación con la convocatoria de ayudas de la CCAA para el alquiler de vivienda- recibió el 08/11/2022 un correo electrónico desde una dirección corporativa de la Junta de Comunidades de Castilla-La Mancha dirigido a más de 700 personas sin utilizar la funcionalidad de copia oculta, por lo que su dirección de correo fue accesible a todos los destinatarios. Obra en el expediente una copia del correo electrónico que recibió el 08/11/2022: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 12/25 -En su encabezado izquierdo consta “alerta i4L”, debajo el nombre y dos apellidos del empleado público que lo remite y su dirección electrónica (***EMAIL.1). -En el apartado “Para:” pueden verse cuatro direcciones de correo electrónico seguidas de la indicación “y 712 usuarios más”. -En el apartado “CC:” figura la dirección ***EMAIL.2. -Al pie del mensaje figura el escudo de la Junta de Comunidades de Castilla -La Mancha, el nombre y apellidos del empleado público que envía el mensaje, la indicación “Informador/a” y la siguiente información: “Inspección General de Servicios”. “Viceconsejería de Admon. Local y Coordinación Adtva”. “Consejería de Hacienda y Administraciones Públicas”. -El texto del mensaje dice así: "Buenos días, se ha convocado ayuda alquiler de la vivienda del cual forma parte en el servicio de alertas, este correo es meramente informativo NO conteste a este correo, por favor utilice el enlace para obtener más información. https://www.jccm.es/tramitesygestiones/ayudas-al-alquiler-de-vivienda-encastilla-la-mancha-en-el-marco-del-plan-estatal Saludos" SEGUNDO: La actividad de envío de alertas a ciudadanos que así lo han solicitado está inscrita en el Registro de Actividades de Tratamiento (RAT) de la Junta de Comunidades de Castilla-La Mancha - “0542-Mensajes de Alertas Informativas”siendo el responsable del tratamiento la VICECONSEJERÍA (Viceconsejería de Administración Local y Coordinación Administrativa) TERCERO: La VICECONSEJERÍA ha reconocido que el 08/11/2022 envió a aproximadamente 730 suscriptores del “sistema de alerta informativa” un mensaje electrónico informando de la convocatoria de ayuda al alquiler de la vivienda en el cual “cometió el error de incluir la lista de correos en el campo “Para:” del gestor de correo, en vez de incluirlo en el campo “CCO” y que por ese motivo la dirección de correo electrónico de los afectados “apareció en el correo enviado.” El texto del mensaje que transcribe es idéntico al que figura en la copia aportada por la parte reclamante. CUARTO: La VICECONSEJERÍA ha reconocido que “decidió realizar un envío manual a las direcciones de correo electrónico de los afectados”. Afirma que “se produjo en un contexto de fallo del sistema informático utilizado en este tratamiento” pues adoptó esta decisión habida cuenta de que en fecha 07/11/2022 surgió una incidencia técnica en la aplicación informática que gestiona el “servicio de alerta informativa” que impidió que recibieran la información de la convocatoria de ayuda al alquiler aproximadamente 730 de los 2030 solicitantes de la alerta y toda vez que la Dirección General de Administración Digital no preveía poder solucionar el problema en un corto plazo. Obra en el expediente copia de un correo electrónico enviado en fecha 08/11/2022 desde el “Servicio de Sistemas Corporativos. Dirección General de Administración Digital. Consejería de Hacienda y Administraciones Públicas” a una funcionaria de la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 13/25 Inspección General de Servicios que incluye como documento anexo una tabla Excel con el nombre “Correos faltan envío masivo 2022_11-08.xlsx”, y este texto: “A pesar de haber estado revisando este error, no podemos localizar el error ni encontrar un método alternativo para conseguir que funcione por ahora. […] Como he hablado con […] os envío el listado de correos que han quedado por enviar para que hagáis el envío vosotros” (El subrayado es nuestro) QUINTO: La VICECONSEJERÍA ha reconocido que no formaban parte “de las tareas del empleado público realizar este tipo de comunicaciones masivas, siendo, de hecho, la primera y única vez que se realizaba manualmente, pues se dispone de una herramienta informática para ello.” SEXTO: Las bases de la convocatoria de ayuda al alquiler de vivienda en el marco del Plan Estatal de Vivienda 2022-2025 -convocatoria acordada por Resolución de la Dirección General de la Vivienda, Consejería de Fomento, de 03/11/2022 y sobre la cual la parte reclamante había solicitado recibir una alerta informativa- exigían que los solicitantes de la ayuda reunieran determinados requisitos de carácter económico. El punto Segundo de la resolución de 03/11/2022 –“Personas beneficiarias y requisitos”-apartado 1. H), exige que el resultado de multiplicar el IPREM por un determinado número (entre 3 y 5 según los casos) no supere la suma total de las rentas anuales de las personas que tengan su domicilio habitual y permanente en la vivienda arrendada o cedida, consten o no como titulares del contrato de arrendamiento, en los programas específicos de ayuda al alquiler de vivienda y a las personas arrendatarias en situación de vulnerabilidad sobrevenida. (Diario Oficial de Castilla La Mancha de 07/11/2022, página 38822) FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Cuestiones previas C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 14/25 En relación con los hechos examinados, a tenor de la definición legal de “datos personales” y “tratamiento” que ofrecen los artículos 4.1 y 4.2 del RGPD, respectivamente, se evidencia que la VICENCONSEJERÍA, con ocasión de prestar el servicio de alerta informativa que la parte reclamante había solicitado, trató datos que conciernen a la parte reclamante: su dirección electrónica y el dato de su interés en la convocatoria de ayudas de esa CCAA para el alquiler de viviendas en el marco del “Plan Estatal de Vivienda 2022-2025”. El artículo 4.7 del RGPD define la figura del responsable del tratamiento como “la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros”. En virtud del artículo 4.7 del RGPD la VICECONSEJERÍA tiene la condición de responsable del tratamiento de datos objeto de valoración en este procedimiento pues fue ella quien determinó los fines y medios de esa operación de tratamiento. En este sentido, consta en el expediente que la VICECONSEJERÍA es responsable del tratamiento de datos que se efectúa a través de la actividad de envío de alertas al ciudadano que la ha solicitado. Este tratamiento está inscrito en el RAT de la Junta de Comunidades de Castilla La Mancha “0542-Mensajes de Alerta Informativos”. El informe emitido por la VICECONSEJERÍA -remitido a esta Agencia con la respuesta al traslado de la reclamación- indica que la Administración de la Junta de Comunidades de Castilla-La Mancha tiene disponible como servicio a la ciudadanía la posibilidad de enviar una alerta informativa a quienes deseen suscribirse a las novedades y nuevas publicaciones en todos los procedimientos que se encuentran de alta en la aplicación informática que gestiona el catálogo de procedimientos denominada SIACI (SISTEMA DE INFORMACIÓN Y ATENCIÓN CIUDADANA). En la respuesta al traslado la DPD de la parte reclamada recuerda que el servicio de alertas “se presta solo a aquellas que así lo han pedido expresamente apuntándose a este servicio añadido”. Se puede acceder a la información sobre el servicio de alertas informativas a través de https://www.castillalamancha.es/gobierno/haciendayaapp/estructura/vcalyca/actuacion es/servicio-de-alertas-informativas. En este enlace consta que se trata de un servicio que permite a quienes se dan de alta en el sistema seleccionar en qué trámites están interesados, “de forma que cuando se produzca una publicación en el Diario Oficial de Castilla-La Mancha relacionada con dicho trámite en la cual se abra un plazo de presentación de solicitudes o se publiquen modificaciones sustanciales, se recibirá mediante correo electrónico un mensaje alertando sobre esta publicación.” (El subrayado es nuestro) Así pues, en el supuesto que nos ocupa, de acuerdo con la definición de datos personales y tratamiento que ofrecen, respectivamente, los artículos 4.1 y 4.2 del RGPD, consta acreditado que la reclamada, para prestar el servicio de alerta informativa que la parte reclamante había solicitado, trató, no solo el dato de su C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 15/25 dirección electrónica, sino también el dato que revela su interés en recibir información de una convocatoria de ayudas para el alquiler de vivienda que están reservadas a quienes cuentan con un volumen de ingresos definido por una horquilla, circunstancia que indicaría información de la situación económica del solicitante. III Contestación a las alegaciones al acuerdo de inicio A la vista de las alegaciones formuladas por la VICECONSEJERÍA deben hacerse algunas precisiones en cuanto a los datos de la parte reclamante que a su juicio han sido objeto de tratamiento. Es un hecho indiscutido (así lo reconocen la parte reclamante y la reclamada) que el reclamante se dio de alta en el sistema de alerta informativa que pone a disposición del ciudadano la Administración autonómica y que solicitó recibir información exactamente sobre la convocatoria de ayuda al alquiler de la vivienda. Es cierto que, como afirma la reclamada, la petición de recibir una alerta informativa de la convocatoria de ayuda al alquiler nada tiene que ver con la presentación de la solicitud para acceder a la ayuda. Efectivamente el tratamiento no versó sobre “una solicitud de ayuda al alquiler”. Es más, la información que la parte reclamante pidió recibir era precisamente de la convocatoria de ayudas, a partir de cuya publicación se podría hacer la oportuna solicitud. En tal sentido, nos remitimos a la información ofrecida en las alegaciones al acuerdo de inicio por la VICECONSEJERÍA en las que indica que el plazo de presentación de solicitudes abarcó desde el 08/11/2022 (fecha en la que se producen los hechos) hasta el 02/05/2023. Sentado lo anterior, no podemos compartir la afirmación de la reclamada según la cual el único dato concerniente a la parte reclamante que fue objeto de tratamiento a través de la plataforma de alertas que utiliza para prestar el servicio es “la dirección de correo electrónico de los suscriptores”. Afirmación que la VICECONSEJERÍA sustenta en que la alerta no está en ningún caso vinculada a “datos de solicitudes presentadas, expedientes concretos de personas interesadas o ningún otro dato personal.” Tampoco podemos compartir la tesis de la VICENCONSEJERÍA según la cual a través del mensaje enviado el 08/11/2022 no se desvelaba ninguna información de la situación económica de los destinatarios del correo electrónico por cuanto -dice la VICECONSEJERÍA- “el querer tener conocimiento sobre las novedades legislativas publicadas no significa que sea para emplearlo en beneficio propio, siendo útil para informar a familiares y allegados, o para elaborar estudios o informes.” El artículo 4.1. del RGPD define el dato personal como “toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 16/25 El considerando 26 del RGPD señala que “Los principios de la protección de datos deben aplicarse a toda la información relativa a una persona física identificada o identificable. […] Para determinar si una persona física es identificable, deben tenerse en cuenta todos los medios, como la singularización, que razonablemente pueda utilizar el responsable del tratamiento o cualquier otra persona para identificar directa o indirectamente a la persona física. Para determinar si existe una probabilidad razonable de que se utilicen medios para identificar a una persona física, deben tenerse en cuenta todos los factores objetivos, como los costes y el tiempo necesarios para la identificación, teniendo en cuenta tanto la tecnología disponible en el momento del tratamiento como los avances tecnológicos. […]” (El subrayado es nuestro) El TJUE propugna un concepto amplio del “dato personal”. Así, la Sentencia del TJUE de 19/10/2016 -asunto C-582/14- señala: “41 El uso por el legislador de la Unión del término «indirectamente» muestra que, para calificar una información de dato personal, no es necesario que dicha información permita, por sí sola, identificar al interesado. 42 Además, el considerando 26 de la Directiva 95/46 enuncia que, para determinar si una persona es identificable, hay que considerar el conjunto de los medios que puedan ser razonablemente utilizados por el responsable del tratamiento o por cualquier otra persona para identificar a dicha persona. 43 En la medida en que el citado considerando hace referencia a los medios que puedan ser razonablemente utilizados tanto por el responsable del tratamiento como por «cualquier otra persona», su tenor sugiere que, para que un dato pueda ser calificado de «dato personal», en el sentido del artículo 2, letra a), de dicha Directiva, no es necesario que toda la información que permita identificar al interesado deba encontrarse en poder de una sola persona.” (El subrayado es nuestro) La circunstancia de que el reclamado hubiera solicitado recibir información de la convocatoria de ayuda al alquiler de vivienda implica que esa circunstancia fue objeto de tratamiento por la VICECONSEJERÍA a través de la aplicación informática que gestiona el servicio de alertas y que, al no haber utilizado la función de copia oculta, se facilitó a terceros no solo el dato de su dirección electrónica, sino también el relativo al interés del reclamante en recibir información sobre las ayudas al alquiler. La parte reclamada alega que el interés informativo del reclamante en recibir una alerta cuando se produjese la convocatoria de ayudas al alquiler podía venir determinado por otros motivos ajenos al hecho de que él fuera a ser el solicitante de la ayuda: “no significa que sea para emplearlo en beneficio propio, siendo útil para informar a familiares y allegados, o para elaborar estudios o informes”. Sin embargo, siendo admisible desde un punto de vista teórico que tal situación pueda plantearse -que algún/nos ciudadano se inscriba/n en la alerta informativa relativa a la convocatoria de ayudas al alquiler sin tener interés en acceder a la información para participar en la convocatoria de ayudas- no puede admitirse que sea éste el caso de la mayoría de los 2030 inscritos en el sistema de alerta en relación con la citada C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 17/25 convocatoria de ayuda al alquiler. Tampoco parece que el interés público que motiva la implantación por la Administración autonómica del sistema de alertas informativas sea facilitar la elaboración de estudios o informes. Además, en el supuesto particular aquí planteado el reclamante ha manifestado en su reclamación que su interés era ser beneficiario de las ayudas precitadas. Y no puede ignorarse que la materia sobre la que versa la información que la parte reclamante pidió recibir a través del servicio de alerta está estrechamente conectada con una concreta y determinada situación económica. Y ello por cuanto el perfil económico del solicitante de esas ayudas se infiere de las condiciones que establece la resolución de convocatoria de las ayudas. El punto Segundo, apartado 1. H) –“Personas beneficiarias y requisitos”- de la resolución de la Dirección General de la Vivienda, Consejería de Fomento, de 03/11/2022, mediante la que se hacen públicas las bases de la convocatoria de ayuda al alquiler de vivienda en el marco del Plan Estatal de Vivienda 2022-2025 exige que el resultado de multiplicar el IPREM por un determinado número (entre 3 y 5 según los casos) no supere la suma total de las rentas anuales de las personas que tengan su domicilio habitual y permanente en la vivienda arrendada o cedida, consten o no como titulares del contrato de arrendamiento, en los programas específicos de ayuda al alquiler de vivienda y a las personas arrendatarias en situación de vulnerabilidad sobrevenida. (Diario Oficial de Castilla La Mancha de 07/11/2022, página 38822). (El subrayado es nuestro) Finalmente, al hilo del alegato de la VICECONSEJERÍA en el que subraya que “no se tiene conocimiento de la utilización por terceros del dato obtenido consistente en la dirección de correo electrónico”, cabe indicar que es irrelevante a efectos de apreciar o no la concurrencia de los elementos que integran la infracción del artículo 5.1.
  8. f)del RGPD de la que se le responsabiliza a la Administración reclamada, que un tercero hubiera o no “utilizado” el dato de la dirección electrónica de la parte reclamante, cuyo acceso había facilitado a más de 700 personas. IV Contestación a las alegaciones a la propuesta de resolución Tal y como se ha reflejado en el antecedente correspondiente, la reclamada insiste en cuestionar la incidencia de los hechos en cuanto a la afectación en el derecho a la protección de datos del reclamante. Así, vuelve a señalar que el hecho de estar inscrito en una alerta para obtener información sobre unas ayudas públicas no presupone que vaya a solicitarlas ni que cumpla los requisitos de esta; unos requisitos que estarían vinculados a una concreta situación económica. Estas alegaciones ya fueron respondidas en la propuesta de resolución, en el sentido señalado en el Fundamento de Derecho precedente, al que nos remitimos. También nos remitimos a lo ya señalado respecto a la consideración de la reclamada en el sentido de que la obtención de información sobre una dirección de correo electrónico tampoco supone la identificación inequívoca de una persona, dado que no aparece vinculada a ningún otro dato personal que pueda identificarle más allá del interés en recibir determinada información. Una dirección de correo electrónico es un C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 18/25 dato personal y, en este caso, ha de entenderse que se vincula un dato personal- que identifica a una persona- con una situación económica que le haría mostrar interés en una convocatoria de ayudas públicas. Como ya afirmamos en la respuesta a las alegaciones al acuerdo de inicio, si bien el mostrar interés no es equivalente a cumplir los requisitos de ser beneficiario de una ayuda, parece obvio que, conociendo al menos de forma general que los beneficiarios de una ayuda como a la que se refiere este procedimiento han de cumplir con unos concretos requisitos económicos, el interés mostrado al apuntarse a un sistema de alertas presupone de forma razonable que esos condicionantes económicos serían mínimamente cumplidos. Por otro lado, y respecto de la alegación sobre la premura en mandar el correo electrónico para no perjudicar a los destinatarios del mismo respecto de otros interesados que hubieran recibido la alerta, nos remitimos a lo ya señalado, pero insistimos en que los hechos se produjeron en el momento de publicación de una convocatoria de ayudas cuyo plazo para presentar las solicitudes iba a prolongarse durante varios meses. En este contexto, la resolución de concesión debería tener necesariamente en cuenta todas las solicitudes presentadas, sin discriminación entre las que hubieran sido presentadas nada más publicarse la convocatoria o las presentadas en los últimos días del plazo de presentación otorgado. No puede observarse, por lo tanto, esa pretendida posible desventaja. Con relación a las medidas que la parte reclamada dice tener implantadas, lo cierto es que las mismas no impidieron que se enviara un correo electrónico a más de 700 personas - compartiendo todas ellas, insistimos, su interés en recibir información sobre una convocatoria de ayudas públicas- haciendo visibles a todos los destinatarios su información personal. Finalmente, esta AEPD da la bienvenida al protocolo de actuación para los supuestos de fallo en el sistema informático de Alertas SIACI de la JCCM- firmado el 08/09/2025-, que, de haber estado en vigor y haber sido cumplido en el momento de los hechos habrían probablemente evitado las circunstancias que han motivado la apertura del presente procedimiento sancionador pero que no desvirtúa que la infracción se haya producido en los términos señalados. No obstante, tanto esta medida como la relativa a la actualización del análisis de riesgos en materia de protección de datos, son tenidas en cuenta en la presente resolución e implican la no adopción de medidas correctivas adicionales. V Infracción del artículo 5.1.
  9. f)RGPD El artículo 5.1.
  10. f)del RGPD dispone lo siguiente: “Los datos personales serán:[…]
  11. f)tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas (integridad y confidencialidad)” Con ocasión del tratamiento que la VICECONSEJERÍA hizo de los datos de la parte reclamante necesarios para prestar el servicio de alerta informativa, estaba obligada a C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 19/25 cumplir las previsiones del RGPD, entre ellas los principios que presiden todo tratamiento de datos de carácter personal establecidos en su artículo 5, en particular, por lo que ahora interesa, el principio de integridad y confidencialidad recogido en el artículo 5.1.
  12. f)RGPD que impone al responsable de cualquier tratamiento de datos personales la obligación de impedir tratamientos no autorizados o ilícitos de esos datos, su pérdida o destrucción. El considerando 39 del RGPD lo confirma así cuando dice: “Los datos personales deben tratarse de un modo que garantice una seguridad y confidencialidad adecuadas de los datos personales, inclusive para impedir el acceso o uso no autorizados de dichos datos y del equipo utilizado en el tratamiento.” En relación con la confidencialidad de los datos debemos traer a colación la Sentencia del Tribunal Constitucional (STC) 292/2000, que, con ocasión de analizar al contenido del derecho fundamental a la protección de datos personales, dice en su Fundamento de Derecho 7: “[…] resulta que el contenido del derecho fundamental a la protección de datos consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el Estado o un particular.” (El subrayado es nuestro) La vulneración del principio de confidencialidad requiere que se haya producido la comunicación o el acceso no autorizado de terceros a los datos de carácter personal. Y, además, que la comunicación o el acceso ilícito se haya ocasionado como consecuencia de la no aplicación por el responsable del tratamiento de las medidas técnicas u organizativas apropiadas a fin de garantizar la confidencialidad en consideración al riesgo existente. El primero de los elementos mencionados entraña un resultado. En particular, un resultado relacionado con la confidencialidad: que se haya producido una comunicación o acceso no autorizado de terceros a los datos personales. Es en ese sentido en el que se afirma que la infracción del artículo 5.1.
  13. f)del RGPD es una “infracción de resultado”. En atención a lo señalado y a la luz de la definición de “violación de la seguridad de los datos personales” del artículo 4.12 del RGPD -“toda violación de la seguridad que ocasione la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos”-, definición que incluye como elemento la referencia a un resultado ( la destrucción, pérdida, alteración, comunicación o acceso) se evidencia que los supuestos de violación de la confidencialidad, cuando el resultado se haya producido como consecuencia de no haber adoptado el responsable las medidas pertinentes, constituyen una infracción del artículo 5.1.
  14. f)del RGPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 20/25 Por tanto, el otro elemento que ha de estar presente para que se aprecie que un determinado tratamiento vulnera el artículo 5.1.
  15. f)del RGPD es la conducta del responsable del tratamiento. El resultado, la comunicación o el acceso ilícito, o, en otras palabras, la pérdida de confidencialidad se ocasiona por no haber adoptado el responsable las medidas técnicas o/y organizativas de todo tipo que fueran apropiadas para garantizar la confidencialidad de los datos en atención al riesgo existente para los intereses, las libertades y los derechos fundamentales de las personas físicas. El elemento de la culpabilidad, necesario en nuestro ordenamiento jurídico para exigir responsabilidad sancionadora, se concreta en la falta de diligencia que demuestra un responsable de tratamiento que no ha adoptado las medidas técnicas y organizativas de todo tipo cuya falta propicia el acceso ilícito o no autorizado a los datos personales. Trasladado lo anterior al examen de los hechos en los que se materializa la conducta de la VICECONSEJERÍA, recordemos que la VICECONSEJERÍA tuvo acceso a la dirección de correo electrónico del reclamante cuando éste se dio de alta en el servicio de alerta informativa que presta la Comunidad Autónoma para recibir información de la convocatoria de ayudas al alquiler de viviendas en el marco del Plan Estatal de vivienda 2022-2025. Por tanto, estaba legitimada para tratar los datos de la parte reclamante (su dirección email y su interés en recibir información sobre la convocatoria aludida) con una finalidad específica y al amparo de la base jurídica del artículo 6.1. RGPD. Consta acreditado que la parte reclamada incumplió la obligación que impone el artículo 5.1.
  16. f)del RGPD de garantizar la confidencialidad de los datos personales de la parte reclamante que trataba en calidad de responsable y respecto de los cuales estaba obligada a impedir un tratamiento no autorizado o ilícito. Confirma la infracción del artículo 5.1.
  17. f)del RGPD la copia del correo electrónico, que obra en el expediente administrativo, que la VICECONSEJERÍA envió el 08/11/2022 al reclamante y a otras más de 700 personas sin utilizar la función de copia oculta, de forma que más de 700 destinatarios tuvieron acceso al dato de la dirección email de la parte reclamante. Además, como se ha indicado, toda vez que el texto del mensaje informaba de la publicación en el Diario Oficial en fecha 07/11/2022 de la convocatoria de ayudas al alquiler de vivienda, el correo enviado facilitó también información sobre el interés que el titular de la cuenta de correo, esto es, la parte reclamante, tenía sobre esa materia. Como se ha expuesto, la naturaleza de la información que se facilitaba permitía revelar información de la situación económica de los destinatarios del correo electrónico en la medida en que las bases de la convocatoria de ayuda al alquiler establecen el límite máximo de ingresos que puede percibir el beneficiario. Se añade a lo anterior que tanto la DPD como la VICECONSEJERÍA, en el informe emitido por el Viceconsejero, reconocen haber enviado a más de 712 personas un mensaje informando de la publicación en el Diario Oficial de la convocatoria de las ayudas para alquiler de vivienda sin utilizar la función de copia oculta. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 21/25 Reproducimos por su interés estos dos párrafos del escrito de la respuesta de la DPD al traslado y solicitud informativa: <<Tal y como indica el Viceconsejero de Administración Local y Coordinación Administrativa en su informe, el error del funcionario es involuntario, prueba de ello es que la notificación la envía desde su propio correo electrónico donde queda identificado (segundo correo reflejado en la página 8 del presente informe). Por desconocimiento y sin ninguna intención de vulnerar los derechos de las personas suscritas a la referida alerta, realizó el envío manual incluyendo a los destinatarios en el campo de correo electrónico “para” sin percatarse de que podía hacerlo desde la opción “con copia oculta” para evitar que los destinatarios pudieran ver el resto de las direcciones de correo electrónico suscritas a la alerta.>> Asimismo, en el escrito de alegaciones al acuerdo de inicio la VICECONSEJERÍA ha reconocido que el 08/11/2022 envió a aproximadamente 730 suscriptores del “sistema de alerta informativa” un mensaje electrónico informando de la convocatoria de ayuda al alquiler de la vivienda en el cual “cometió el error de incluir la lista de correos en el campo “Para:” del gestor de correo, en vez de incluirlo en el campo “CCO” y que por ese motivo la dirección de correo electrónico de los afectados “apareció en el correo enviado.” Ha reconocido también que “decidió realizar un envío manual a las direcciones de correo electrónico de los afectados” y que tal decisión se tomó en el contexto del fallo del sistema informático utilizado en este tratamiento, pues adoptó habida cuenta de que en fecha 07/11/2022 surgió una incidencia técnica en la aplicación informática que gestiona el “servicio de alerta informativa” que impidió que recibieran la información de la convocatoria de ayuda al alquiler aproximadamente 730 de los 2030 solicitantes de la alerta y que la Dirección General de Administración Digital no preveía poder solucionar el problema en un corto plazo. En la infracción del artículo 5.1.
  18. f)del RGPD de la que se responsabiliza a la VICECONSEJERÍA está presente el elemento de la culpabilidad, indispensable en nuestro ordenamiento jurídico para que nazca responsabilidad sancionadora. Culpabilidad que se concreta en la falta de diligencia demostrada en el cumplimiento de la obligación que impone al responsable del tratamiento el artículo 5.1.
  19. f)del RGPD. Mediante la aplicación informática que falló el día 07/11/2022 la parte reclamada comunicaba a los inscritos en el servicio de alerta informativa la publicación en el Diario Oficial de las convocatorias en las que estaban interesados. Aplicación informática que cabe presumir que contaba con las medidas técnicas y organizativas de todo tipo para garantizar una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental. Los hechos acreditados ponen de manifiesto que la VICECONSEJERÍA no había adoptado las medidas adecuadas para garantizar la seguridad de los datos, incluida la confidencialidad, pues, a pesar de lo afirmado, no contaba con un plan de respuesta ante un incidente como el acaecido (el fallo del sistema informático utilizado) que le impidió en un determinado momento (el mismo día que se publicó en el Diario Oficial C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 22/25 la convocatoria de ayuda al alquiler de vivienda, el 07/11/2022) cumplir la finalidad que satisface a través del servicio de alerta informativa que presta a la ciudanía y del que es responsable. Muestra de ello es el Protocolo adoptado con fecha 8/09/2025, una vez iniciado el presente procedimiento sancionador y del que se da cuenta a esta AEPD en las alegaciones al acuerdo de inicio. Y, por otra parte, es también exponente de la falta de diligencia en la adopción de las medidas de seguridad adecuadas para garantizar la confidencialidad en atención al riesgo para los intereses y los derechos y libertades de los afectados, la reacción desplegada una vez que conoce el incidente y después de que la Dirección General de Administración Digital le informase que no era probable solucionarlo en un breve espacio de tiempo. Ante la situación surgida su actuación consistió en hacer llegar a un empleado público un archivo Excel con los solicitantes de la alerta a los que no pudo enviarse la información de convocatoria de ayuda al alquiler para que hiciera el envío de forma manual. Esto, pese a que como reconoce la misma VICECONSEJERÍA ese tipo de comunicaciones masivas no formaba parte de las tareas que tenía encomendadas el empleado público al que se le asignó. Afirma en sus alegaciones “que, de hecho, fue la primera y única vez que se realizaba manualmente, pues se dispone de una herramienta informática para ello.” No consta que la VICECONSEJERÍA hubiera analizado las alternativas disponibles para proporcionar la información a los interesados y los riesgos que podrían plantear cada una para los derechos y libertades de los afectados, en particular, el envío de correos de forma manual si no se utilizaba la opción de copia oculta. Una herramienta cuya utilización puede entenderse como básica cuando nos encontramos ante envíos dirigidos a una pluralidad de destinatarios y al objeto de evitar que los datos personales de los mismos sean desvelados a todos. Tampoco consta que se hubiera valorado en ese momento la posibilidad de esperar a solucionar el fallo informático (recordemos que pese a la urgencia de la comunicación a la que alude la VICENCONSEJERÍA en sus alegaciones, no se aprecia ninguna urgencia en realizar tal comunicación, menos aún si implicaba no garantizar los derechos de los interesados, pues el fallo se produjo el día 07/11/2022 y el plazo que se concedía en la convocatoria publicada para presentar las solicitudes de ayuda al alquiler abarcaba del 08/11/2022 hasta el 02/05/2023, más de seis meses después del fallo informático). Es evidente, además, que se optó por facilitar la información enviando de forma manual los correos sin proporcionar previamente al empleado al que se le encomienda la tarea indicaciones específicas sobre las medidas de seguridad que en tal caso se debían adoptar para garantizar la confidencialidad de los datos tratados (la utilización de la funcionalidad de copia oculta). La parte reclamada ha hecho una extensa exposición de las medidas que la Administración autonómica tenía implantadas con carácter previo a los hechos acaecidos en las que se informa a los empleados públicos de la necesidad de utilizar la copia oculta cuando se usa el correo electrónico. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 23/25 En el presente caso, estimamos que esa información genérica sobre cómo utilizar el correo electrónico no puede suplir la diligencia que la VICENCONSEJERÍA estaba obligada a desplegar en relación con las medidas que eran pertinentes ante un tratamiento de datos del que ella era responsable con ocasión del fallo sufrido por la herramienta informática a través de la cual presta el servicio de alerta informativa. VI Tipificación y plazo de prescripción de la infracción del artículo 5.1.
  20. f)del RGPD A tenor de la exposición precedente, la propuesta de resolución considera acreditado que la VICENCONSEJERÍA, actuando con grave falta de diligencia, con ocasión de prestar el servicio de alerta informativa que la reclamante había solicitado, trató sus datos incumpliendo la obligación que le impone el RGPD de garantizar la confidencialidad (ex artículo 5.1.
  21. f)La vulneración del principio de confidencialidad -artículo 5.1.
  22. f)del RGPD- se encuentra tipificada en su artículo 83.5, que establece: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
  23. a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9;
  24. b)los derechos; […]” Con la exclusiva finalidad de determinar el plazo de prescripción de las infracciones, el artículo 72 de la LOPDGDD califica de “muy grave” la infracción tipificada en el artículo 83.5.
  25. a)del RGPD y fija para ella un plazo de prescripción de tres años. Así, el artículo 72.1 de la LOPDGDD dispone lo siguiente: “1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
  26. a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679”. VII Declaración de infracción El artículo 83 del RGPD, “Condiciones generales para la imposición de multas administrativas”, dispone en su apartado 7: “Sin perjuicio de los poderes correctivos de las autoridades de control en virtud del artículo 58, apartado 2, cada Estado miembro podrá establecer normas sobre si se puede, y en qué medida, imponer multas administrativas a autoridades y organismos públicos establecidos en dicho Estado miembro.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 24/25 La LOPDGDD ha hecho uso de la habilitación otorgada a los Estados miembros y ha dispuesto en su artículo 77, “Régimen aplicable a determinadas categorías de responsables o encargados del tratamiento”: “1. El régimen establecido en este artículo será de aplicación a los tratamientos de los que sean responsables o encargados: […]
  27. c)La Administración General del Estado, las Administraciones de las comunidades autónomas y las entidades que integran la Administración Local. […] 2. Cuando los responsables o encargados enumerados en el apartado 1 cometiesen alguna de las infracciones a las que se refieren los artículos 72 a 74 de esta ley orgánica, la autoridad de protección de datos que resulte competente dictará resolución declarando la infracción y estableciendo, en su caso, las medidas que proceda adoptar para que cese la conducta o se corrijan los efectos de la infracción que se hubiese cometido, con excepción de la prevista en el artículo 58.2.i del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016. La resolución se notificará al responsable o encargado del tratamiento, al órgano del que dependa jerárquicamente, en su caso, y a los afectados que tuvieran la condición de interesado, en su caso. 3. Sin perjuicio de lo establecido en el apartado anterior, la autoridad de protección de datos propondrá también la iniciación de actuaciones disciplinarias cuando existan indicios suficientes para ello. En este caso, el procedimiento y las sanciones a aplicar serán las establecidas en la legislación sobre régimen disciplinario o sancionador que resulte de aplicación. Asimismo, cuando las infracciones sean imputables a autoridades y directivos, y se acredite la existencia de informes técnicos o recomendaciones para el tratamiento que no hubieran sido debidamente atendidos, en la resolución en la que se imponga la sanción se incluirá una amonestación con denominación del cargo responsable y se ordenará la publicación en el Boletín Oficial del Estado o autonómico que corresponda. 4. Se deberán comunicar a la autoridad de protección de datos las resoluciones que recaigan en relación con las medidas y actuaciones a que se refieren los apartados anteriores. 5. Se comunicarán al Defensor del Pueblo o, en su caso, a las instituciones análogas de las comunidades autónomas las actuaciones realizadas y las resoluciones dictadas al amparo de este artículo.” (El subrayado es nuestro) A tenor de los hechos expuestos, se considera que corresponde imputar una sanción a la parte reclamada por la vulneración del artículo 5.1.
  28. f)del RGPD tipificada en el artículo 83.5.
  29. a)del RGPD. La sanción que corresponde imponer es la declaración de infracción. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Presidencia de la Agencia Española de Protección de Datos RESUELVE: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 25/25 PRIMERO: DECLARAR que la VICECONSEJERIA DE ADMINISTRACION LOCAL Y COORDINACION ADMINISTRATIVA, con NIF S1911001D, ha infringido lo dispuesto en el artículo 5.1.
  30. f)del RGPD, infracción tipificada en el artículo 83.5.
  31. a)del RGPD. SEGUNDO: NOTIFICAR la presente resolución a VICECONSEJERIA ADMINISTRACION LOCAL Y COORDINACION ADMINISTRATIVA. DE TERCERO: COMUNICAR la presente resolución al Defensor del Pueblo, de conformidad con lo establecido en el artículo 77.5 de la LOPDGDD. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública. La publicación se realizará una vez la resolución sea firme en vía administrativa. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
  32. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeaepd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-180725 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.