← España

PS-00063-2022

1/38  Expediente N.º: PS/00063/2022 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: A.A.A. (en adelante, la reclamante) con fecha 11 de marzo de 2021 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra COMARCA DE SOBRARBE con NIF P2200135H (en adelante la Comarca). Los motivos en que basa la reclamación son los siguientes: La reclamante manifiesta que la Comarca ha vulnerado la normativa de protección de datos al publicar sus datos personales (nombre, apellidos, DNI, número de teléfono móvil, dirección de correo electrónico personal y cierta información laboral suya) en diversas actas del Consejo Comarcal. Los documentos controvertidos se encuentran publicados en la web ***URL.1, en el apartado transparencia. Asimismo, considera también cuestionable que esos datos no sólo se incluyan y publiquen en las Actas, sino incluso que se hayan facilitado durante las sesiones del Consejo Comarcal, de carácter público, a todos los Consejeros comarcales. A su vez, indica que presentó diversas alegaciones ante diversos actos dictados por la entidad reclamada. Según afirma, posteriormente se publicó en el Boletín Oficial de la Provincia de ***LOCALIDAD.1 (en adelante BOPH) la contestación a sus alegaciones, revelándose el contenido de estas junto a sus datos personales. Junto a la notificación se aporta: - Acta Notarial en la que consta la publicación en la web citada de actas de sesiones del Consejo Comarcal y notificaciones practicadas en el BOPH. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la Comarca, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 20 de abril de 2021 como consta en el acuse de recibo que obra en el expediente. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/38 No se ha recibido respuesta a este escrito de traslado. TERCERO: Con fecha 22 de junio de 2021, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: Hechos según manifestaciones de la reclamante: La reclamante manifiesta que el reclamado ha vulnerado la normativa de protección de datos al publicar sus datos personales (nombre, apellidos, DNI, número de teléfono y dirección de correo electrónico personal), así como alegaciones realizadas por ella en el marco de procedimientos tramitados, tanto en página web ***URL.2 del Boletín Oficial de la Provincia de ***LOCALIDAD.1 (BOPH), como en diversas actas del Consejo Comarcal del reclamado. Las actas se encuentran publicadas en la web ***URL.1, en el apartado “transparencia”. Indica además que presentó diversas alegaciones ante diversos actos dictados por la entidad reclamada, alegaciones que fueron publicadas, manifestando la reclamante que no era preceptiva su publicación, puesto que ella estaba debidamente identificada y localizada y había elegido la comunicación por medios electrónicos para la oportuna notificación de la resolución de las alegaciones en el trámite de audiencia. Fecha en la que tuvieron lugar los hechos reclamados: - ***FECHA.1, ***FECHA.2 y ***FECHA.3 (publicaciones en el BOPH). - ***FECHA.4, ***FECHA.5 y ***FECHA.6 (publicaciones de las actas en la página web sobarbe.com). - Los datos siguen publicados a fecha 07/09/2021. Documentación relevante aportada por la reclamante: - BOPH de fechas ***FECHA.1 y ***FECHA.7. - Acta Notarial levantada con fecha 26 de febrero de 2021, acompañando partes de las citadas Actas del Consejo Comarcal: • Acta del Consejo comarcal de ***FECHA.8: Páginas 84 a 89, identificada con el nombre y dos apellidos, número de D.N.I. completo, el detalle de su condición de trabajadora en plantilla de la Comarca de Sobrarbe, y datos referentes a circunstancias laborales. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/38 • Acta del Consejo comarcal de ***FECHA.9: Páginas 17 a 23, identificada con el nombre y dos apellidos, parte del D.N.I. (truncado, con algunos dígitos sustituidos por asteriscos) datos referentes a circunstancias laborales como trabajadora en plantilla de la Comarca de Sobrarbe, además de incluir también las alegaciones realizadas por la reclamante. • Acta del Consejo comarcal de ***FECHA.10: Páginas 1 a 10, identificada con el nombre y dos apellidos, parte del D.N.I. (truncado, con algunos dígitos sustituidos por asteriscos), número de teléfono móvil personal completo, dirección de correo electrónico personal completa, el detalle de su condición de trabajadora en plantilla de la Comarca de Sobrarbe, circunstancias laborales relacionadas con ella y las alegaciones realizadas por la reclamante. ENTIDADES INVESTIGADAS Durante las presentes actuaciones se ha investigado a la siguiente entidad: COMARCA DE SOBRARBE con NIF P2200135H con domicilio en AVENIDA ORDESA 79 - 22340 BOLTAÑA (***LOCALIDAD.1) RESULTADO DE LAS ACTUACIONES DE INVESTIGACIÓN Publicaciones en la página web ***URL.1: Por parte de esta Inspección de Datos se han comprobado las siguientes publicaciones de datos: 1.Se encuentra publicada en la referida web el “ACTA DE LA SESION EXTRAORDINARIA DEL CONSEJO COMARCAL DIA ***FECHA.10” con el siguiente texto en la página 3: “ … El 21 de diciembre de 2010, doña A.A.A., con DNI número ***NIF.1, trabajadora fija o indefinida de la Comarca, que desempeña el puesto de «***PUESTO.1», presentó un escrito de «reclamación», calificación más apropiada de «alegaciones” en sentido estricto —aunque no discutimos el nomen y naturaleza jurídica— (número de entrada ***ENTRADA.1, de 21.12.2020), sobre la dificultad para consultar los expedientes expuestos a información pública el 10 de diciembre de 2020, de las referidas modificaciones de crédito — de la que dejó constancia por escrito de 10 de diciembre de 2020, suscrito por la Sra. A.A.A. …” En las páginas 3 y 4: “… 5. El ***FECHA.11, la Administración comarcal envío a la Sra. A.A.AA., diversa documentación [escrito de contestación por el Sistema electrónico para la firma y custodia de documentos (SEFYCU) ***DOCUMENTOS.1]. Se le dirigieron tres avisos o comunicaciones por vías distintas: se le notificó a su «carpeta ciudadana»; se envió aviso (mensaje) a su móvil [número de móvil ***TELÉFONO.1]; y, se le notificó en la dirección electrónica señalada como lugar de notificaciones electrónicas por la interesada [***EMAAIL.1]. Cuestión distinta es que voluntariamente no abriese las C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/38 comunicaciones hasta el ***FECHA.12, hecho dependiente únicamente de su libre voluntad y querer …”. En la página 7: “… 6º Notificar a la interesada doña A.A.A., de modo telemático, el presente Acuerdo a la dirección electrónica por ella señala a efectos de notificaciones [***EMAIL.1]. …” Se repite la publicación de la dirección de correo electrónico completa en 6 ocasiones en el documento. Se repite la publicación del número de móvil completo en 3 ocasiones en el documento. El Número de DNI aparece 7 veces siempre truncado en la forma “***NIF.1”. 2.Se encuentra publicada en la referida web “ACTA DE LA SESIÓN ORDINARIA CELEBRADA POR EL CONSEJO COMARCAL EL DÍA ***FECHA.9” con el siguiente contenido en la página 17: “la trabajadora A.A.A., es interesada en este procedimiento y ha presentado una (…)” Y en la página 19: “Rechazar las seis alegaciones presentadas el 22 de mayo de 2020, por doña A.A.A., con DNI número ***NIF.1, en el trámite de audiencia conferido en el presente procedimiento administrativo por las siguientes razones …” No se encuentran ocurrencias del número de DNI completo en el documento. Se encuentra publicada en la referida web el “ACTA DE LA SESIÓN ORDINARIA CELEBRADA POR EL CONSEJO COMARCAL EL DÍA ***FECHA.13 con el siguiente contenido en la página 86: “5. La plaza o puesto de trabajo de «***PUESTO.1» está desempeñada por la trabajadora doña A.A.A. (NIF.1), en virtud del contrato individual de trabajo indefinido, a tiempo completo, de 1 de enero de 2004, que le vincula con la Comarca, sin solución de continuidad, hasta la actualidad.” No se encuentran más ocurrencias del número de DNI completo o truncado en el documento. Los asuntos a los que se refieren las publicaciones son los presupuestos de la Comarca de Sobrarbe, la supresión y amortización de la plaza de personal laboral fijo denominada “***PUESTO.1” y la aprobación de determinadas Ordenanzas fiscales. Publicaciones en el Boletín Oficial de la Provincia de ***LOCALIDAD.1 (BOPH): Por parte de esta Inspección de Datos se han comprobado las siguientes publicaciones de datos en el BOPH: - BOPH de fecha ***FECHA.1: pág. 33: “… 3. Además, se confirió trámite de audiencia a la trabajadora doña A.A.A., en su condición de interesada, por desempañar el puesto de trabajo de «***PUESTO.1» …” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/38 Pág. 34: “… ACUERDO PRIMERO. - Rechazar las seis alegaciones presentadas el 22 de mayo de 2020, por doña A.A.A., con DNI número ***NIF.1, en el trámite de audiencia conferido en el presente procedimiento administrativo por las siguientes razones: 1ª. Alegación sobre la inadecuación del procedimiento revocatorio del acto administrativo en cuestión. La alegante considera que …” “…La calificación vertida en su alegación por la interesada y alegante es libre. Como pone de manifiesto la alegante dicha calificación está vinculada a la denuncia penal presentada por ella en el Juzgado de Primera Instancia e Instrucción …” Pág. 35: “…TERCERO.- El presente acuerdo se publicará, íntegramente, para general conocimiento, en el «Boletín Oficial de la Provincia de ***LOCALIDAD.1», mediante anuncio de la Presidencia de la Comarca y se notificará por la Secretaría-Intervención a la interesada doña A.A.A. …” - BOPH de fecha ***FECHA.7: pág. 68: “… 3. Doña A.A.A., con DNI número ***NIF.1, trabajadora fija o indefinida de la Comarca, que desempeña el puesto de «***PUESTO.1», presentó el 10 de diciembre de 2020 …” “… 4. El ***FECHA.11, la Administración comarcal envió a la Sra. A.A.A., diversa documentación … Se le dirigieron tres avisos o comunicaciones por vías distintas: se le notificó a su «carpeta ciudadana»; se envió aviso (mensaje) a su móvil]; y, se le notificó en la dirección electrónica señalada como lugar de notificaciones electrónicas por la interesada [***EMAIL.1]. Cuestión distinta es que voluntariamente no abriese las comunicaciones hasta el ***FECHA.12, hecho dependiente únicamente de su libre voluntad y querer.” Se repiten los mismos datos de la reclamante (nombre y apellidos, o dos apellidos, número de DNI truncado, o dirección de correo electrónico truncada) en las páginas 69, 70, 75, 76 ,79, 80 y 81 del mencionado BOPH. - BOPH de fecha ***FECHA.14: pág. 12: “… El 21 de diciembre de 2010, doña A.A.A., con DNI número ***NIF.1, trabajadora fija o indefinida de la Comarca, que desempeña el puesto de «***PUESTO.1», presentó un escrito de «reclamación», calificación más apropiada de «alegaciones» en sentido estricto…” pág. 16: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/38 “… 6º Notificar a la interesada doña A.A.A., de modo telemático, el presente Acuerdo a la dirección electrónica por ella señalada a efectos de notificaciones [***EMAIL.1]. …“ Se repiten los mismos datos de la reclamante (nombre y apellidos, o dos apellidos, número de DNI truncado, o dirección de correo electrónico truncada) en las páginas 13, 14 y 15 del mencionado BOPH. Solicitada información y documentación al reclamado, se recibe respuesta con las siguientes manifestaciones: 1 Sobre la habilitación ostentada o base legal para la publicación de los datos personales de la reclamante en las actas del Consejo Comarcal y su publicación en la página web ***URL.1. “Las publicaciones realizadas en el Portal de Transparencia de la Comarca de Sobrarbe ubicado en su página web ***URL.1 tienen por objeto cumplir con lo establecido en la Ley 19/2013, de 9 de diciembre, de transparencia, acceso a la información pública y buen gobierno cuyo objeto es ampliar y reforzar la transparencia de la actividad pública, regular y garantizar el derecho de acceso a la información relativa a aquella actividad y establecer las obligaciones de buen gobierno que deben cumplir los responsables públicos así como las consecuencias derivadas de su incumplimiento (ex art. 1 Ley 19/2013). A este respecto resulta necesario subrayar que las disposiciones del TÍTULO I «Transparencia de la actividad pública» de la Ley 19/2013 resultan aplicables a esta Entidad Local tal y como establece el artículo 2 de la citada Ley que recoge el ámbito subjetivo de aplicación. La información que esta Entidad Local debe publicar en el ámbito de sus competencias viene establecida expresamente en el artículo 7 de la Ley 19/2013, en concreto: «Artículo 7. Información de relevancia jurídica. Las Administraciones Públicas, en el ámbito de sus competencias, publicarán:

  1. a)Las directrices, instrucciones, acuerdos, circulares o respuestas a consultas planteadas por los particulares u otros órganos en la medida en que supongan una interpretación del Derecho o tengan efectos jurídicos. (…)» Asimismo, la Comarca de Sobrarbe para realizar publicaciones en los términos indicados, su protocolo de actuación tiene en cuenta lo indicado en el artículo 15 de la Ley 19/2013 en relación a la protección de datos personales: «Artículo 15. Protección de datos personales. 1. Si la información solicitada contuviera datos personales que revelen la ideología, afiliación sindical, religión o creencias, el acceso únicamente se podrá autorizar en caso de que se contase con el consentimiento expreso y por escrito del afectado, a C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/38 menos que dicho afectado hubiese hecho manifiestamente públicos los datos con anterioridad a que se solicitase el acceso. Si la información incluyese datos personales que hagan referencia al origen racial, a la salud o a la vida sexual, incluyese datos genéticos o biométricos o contuviera datos relativos a la comisión de infracciones penales o administrativas que no conllevasen la amonestación pública al infractor, el acceso solo se podrá autorizar en caso de que se cuente con el consentimiento expreso del afectado o si aquel estuviera amparado por una norma con rango de ley. 2. Con carácter general, y salvo que en el caso concreto prevalezca la protección de datos personales u otros derechos constitucionalmente protegidos sobre el interés público en la divulgación que lo impida, se concederá el acceso a información que contenga datos meramente identificativos relacionados con la organización, funcionamiento o actividad pública del órgano. (…)» En definitiva, en directa conexión con los citados preceptos legales, el criterio legitimador para la publicación de la información objeto de la presente es que «el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento» (ex art.6 .1.
  2. c)RGPD), toda vez que la información objeto de publicación no es información de carácter personal que revele el origen étnico o racial, las opiniones políticas, las convicciones religiosas o filosóficas, o la afiliación sindical, y el tratamiento de datos genéticos, datos biométricos dirigidos a identificar de manera unívoca a una persona física, datos relativos a la salud o datos relativos a la vida sexual o las orientación sexuales de una persona física.” 1. Sobre la habilitación ostentada o base legal para la publicación de las alegaciones y datos personales de la reclamante en el Boletín Oficial de la Provincia. “En idéntica línea que en el Apartado 1 del presente Informe, la habilitación ostentada o base legal para la publicación de las alegaciones incluidas en un Acuerdo adoptado por el Consejo comarcal en el Boletín Oficial de la Provincia de ***LOCALIDAD.1 […], es el que «el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento» (ex art.6 .1.
  3. c)RGPD). En este sentido, (de acorde con lo establecido en la Ley 19/2013, de 9 de diciembre, de transparencia, acceso a la información pública y buen gobierno, así como en la Ley 7/1985, de 2 de abril, Reguladora de las Bases del Régimen Local, Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y la Ley 5/2002, de 4 de abril, reguladora de los Boletines Oficiales de las Provincias), los acuerdos adoptados por esta Entidad Local deben ser publicados en el Boletín Oficial de la Provincia.” Adjuntan el referido Acuerdo adoptado por el Consejo comarcal en el Boletín Oficial de la Provincia de ***LOCALIDAD.1. 1. Sobre las causas que han motivado la incidencia que ha originado la reclamación. Decisión adoptada a propósito de esta reclamación. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/38 “Con motivo de dar cumplimiento a lo establecido en la Ley 19/2013, de 9 de diciembre, de transparencia, acceso a la información pública y buen gobierno y con ánimo de ampliar y reforzar la transparencia de la actividad pública, así como regular y garantizar el derecho de acceso a la información relativa a aquella actividad y establecer las obligaciones de buen gobierno que deben cumplir los responsables públicos la Comarca de Sobrarbe ha creado un Portal de Transparencia en su propia página web, y que se encuentra a disposición de los ciudadanos a través del enlace (***URL.1). En el citado Portal de Transparencia la Comarca de Sobrarbe y en el Boletín Oficial de la Provincia de ***LOCALIDAD.1 se realizan las publicaciones de la información a la que se encuentra obligada tanto por la Ley 19/2013, de 9 de diciembre, de transparencia, acceso a la información pública y buen gobierno, como por la Ley 7/1985, de 2 de abril, Reguladora de las Bases del Régimen Local. En este contexto, la Comarca de Sobrarbe ha publicado el Acuerdo adoptado por el Consejo comarcal en su sesión de ***FECHA.10, de conformidad con la competencia atribuida por el artículo 15, en relación con el artículo 11 de la Ley aragonesa 5/2003, de 26 de febrero, de creación de la Comarca de Sobrarbe. En relación a la publicación realizada en el Portal de Transparencia, esta Entidad Local ha considerado oportuno actuar de acorde (además de lo establecido en la Ley 19/2013) con lo publicado por la Agencia Española de Protección de Datos en su guía «PROTECCIÓN DE DATOS Y ADMINISTRACIÓN LOCAL», en concreto, lo indicado en el apartado 3.2. PLENO Y CONCEJALES ¿Se pueden publicar en Internet las actas de los Plenos municipales?: «Partiendo de que la publicación de datos, incluyendo en Internet, desde el punto de vista de protección de datos se considera una comunicación de los mismos, la publicación de las actas de los plenos municipales será conforme a la citada normativa cuando: - Conteniendo datos de carácter personal se refieren a actos debatidos en el Pleno o a disposiciones objeto de publicación en el Boletín Oficial que corresponda (sin perjuicio del ejercicio del derecho de oposición o cancelación de los afectados); - En los demás supuestos, para realizar la publicación de las actas conteniendo datos de carácter personal, será necesario el consentimiento previo de los afectados. No será objeto de publicación en aquellos supuestos en que la Corporación haya hecho uso de la facultad de declarar secreto el debate y votación por afectar al honor e intimidad de los ciudadanos». La publicación que ha dado lugar al Requerimiento de información se refiere a un Acuerdo adoptado por el Consejo comarcal siendo objeto de publicación en el Boletín Oficial de la Provincia correspondiente, y no siendo declarado secreto el debate y votación por afectar al honor e intimidad de los ciudadanos. Así mismo, resulta necesario realizar especial hincapié en que no se han publicado datos que revelen el origen étnico o racial, las opiniones políticas, las convicciones religiosas o filosóficas, o la afiliación sindical, y el tratamiento de datos genéticos, datos biométricos dirigidos a identificar de manera unívoca a una persona física, datos relativos a la salud o datos relativos a la vida sexual o las orientaciones sexuales de una persona física. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/38 La segunda publicación a la que se refiere la interesada, es decir, la publicación realizada en el Boletín Oficial de la Provincia de ***LOCALIDAD.1, tal y como hemos indicado con anterioridad, esta Entidad Local ha cumplido con una obligación legal. No obstante, tal y como se pueden comprobar en propio Boletín Oficial, su publicación se ha aplicado el criterio establecido en la Disposición Adicional 7 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales: «Cuando sea necesaria la publicación de un acto administrativo que contuviese datos personales del afectado, se identificará al mismo mediante su nombre y apellidos, añadiendo cuatro cifras numéricas aleatorias del documento nacional de identidad, número de identidad de extranjero, pasaporte o documento equivalente» En concreto la publicación realizada ha sido la siguiente: «El 21 de diciembre de 2010, doña A.A.A., con DNI número ***NIF.1, trabajadora fija o indefinida de la Comarca, que desempeña el puesto de «***PUESTO.1», presentó un escrito de «reclamación», calificación más apropiada de «alegaciones» en sentido estricto —aunque no discutimos el nomen y naturaleza jurídica— (número de entrada ***ENTRADA.1, de 21.12.2020), sobre la dificultad para consultar los expedientes expuestos a información pública el 10 de diciembre de 2020, de las referidas modificaciones de crédito — de la que dejó constancia por escrito de 10 de diciembre de 2020, suscrito por la Sra. A.A.A. y […] (número de entrada ***ENTRADA.2, de 10.12.2020)— . Su escrito no contiene ninguna alegación, material o de fondo, sobre las modificaciones de crédito aprobadas inicialmente el 24 de noviembre de 2020. Únicamente solicitaba». Adicionalmente se procedió a eliminar los dígitos relativos al número de teléfono móvil de la interesada, así como los caracteres de su correo electrónico: «El ***FECHA.11, además, la Administración comarcal envío la diversa documentación [escrito de contestación por el Sistema electrónico para la firma y custodia de documentos (SEFYCU) ***DOCUMENTOS.1]. Se le dirigieron tres avisos o comunicaciones por vías distintas: se le notificó a su «carpeta ciudadana»; se envió aviso (mensaje) a su móvil [número de móvil ***TELÉFONO.1]; y, se le notificó en la dirección electrónica señalada como lugar de notificaciones electrónicas por la interesada [***EMAIL.1]. Cuestión distinta es que la voluntariamente no abriese las comunicaciones hasta el ***FECHA.12, hecho dependiente únicamente de su libre voluntad y querer». De tal modo, la interesada, lejos de buscar la resolución extra administrativa ha adoptado desde el inicio una actitud conducente a la insoslayable «administrativización» del mismo, de manera contraria al espíritu de conciliación y el uso de medios alternativos a la resolución administrativa de incidencias que preconiza el actual marco normativo de protección de datos personales, alegando no serle admisible ninguna explicación y recurriendo directamente a la propia Agencia Española de Protección de Datos. Por último, resulta necesario indicar que en ningún momento la interesada afectada ha ejercido su derecho de oposición o cancelación, ni ha solicitado información alguna sobre la motivación de las publicaciones realizadas” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/38 3. Sobre las medidas adoptadas en su caso para evitar que se produzcan incidencias similares, fechas de implantación y controles efectuados para comprobar su eficacia. “La Comarca de Sobrarbe, a raíz del Requerimiento de información realizado por la Agencia Española de Protección de Datos, considera que se trata de una oportunidad para mejorar el enfoque global de cumplimiento normativo en esta Entidad Local, ayudando a mitigar eventuales riesgos para los interesados y perfeccionar los mecanismos de seguridad técnicos y organizativos en el marco de la cultura de protección de datos que debe regir todos los departamentos y servicios que competen. En tal sentido, la Comarca de Sobrarbe ha adoptado las siguientes medidas para evitar que se produzcan incidencias similares: 1. Designación de un DPD. La Comarca de Sobrarbe ha designado un Delegado de Protección de Datos tomando como referencia las «Directrices sobre los delegados de protección de datos (DPD)» adoptadas por el Grupo de Trabajo sobre Protección de Datos del Artículo 29 guiándose por los siguientes criterios:
  4. a)Independencia y ausencia de conflicto de intereses del delegado de protección de datos.
  5. b)Accesibilidad y ubicación del delegado de protección de datos.
  6. c)Nivel de conocimientos del delegado de protección de datos.
  7. d)Integridad y nivel de ética profesional del delegado de protección de datos.
  8. e)Cualidades profesionales y conocimiento del sector del delegado de protección de datos. Tras las comprobaciones pertinentes se ha contratado a la entidad AUDIDAT 3.0, S.L.U. el servicio externo de Delegado de Protección de Datos en fecha 21/07/2021, nombrándose a Dña. B.B.B. como «Persona de Contacto DPD» por tratarse de una profesional certificada conforme al Esquema de Certificación de Delegados de Protección de Datos de la Agencia Española de Protección de Datos (Esquema AEPD-DPD) Nº Certificado ***CERTIFICADO.1. La designación del Delegado de Protección de Datos ha sido comunicada inmediatamente a la Agencia Española de Protección de Datos, con Nº de Registro: ***REGISTRO.1 y Fecha de registro: 23/07/2021 […]. Con motivo de la designación se envía una comunicación informativa, a través del correo electrónico, a todo el personal de la Comarca sobre la figura designada, sus principales funciones y datos de contacto […]. De igual manera, para dar cumplimiento al deber de transparencia e información se incluirá el dato de contacto del Delegado C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/38 de Protección de Datos en todos los documentos informativos en los términos previstos en los artículos 12 y ss. del Reglamento (UE) 2016/679. 2. Designación de un Responsable de Transparencia. […] El objetivo es claro: designar una persona que pueda actuar como punto de contacto con el Delegado de Protección de Datos ayudando así a una mejora de la gestión del Portal de Transparencia, así como las publicaciones que deba realizar la Comarca. 3. Formación para los empleados en materia de protección de datos. Se realizará un taller formativo para los empleados de la Comarca de Sobrarbe con acceso a datos, con la finalidad de concienciar sobre la importancia de garantizar el derecho fundamental a la protección de datos personales.” Adjuntan copia de la comunicación de la designación del DPD remitida a la AEPD así como comunicación informativa, enviada a través del correo electrónico, a todo el personal de la Comarca sobre la designación del DPD. Adjuntan el documento en el que se propone la designación de un Responsable de Transparencia. Adjuntan el cartel que se está utilizando para dar difusión en el seno de la Comarca de Sobrarbe, así como el índice del mismo. QUINTO: Con fecha 7 de junio de 2022, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, por la presunta infracción del Artículo 5.1.
  9. c)del RGPD y Artículo 32 del RGPD, tipificadas respectivamente en el Artículo 83.5 del RGPD y Artículo 83.4 del RGPD. SEXTO: Notificado el citado acuerdo de inicio conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), con fecha 21 de junio de 2022 se recibe en esta Agencia, en tiempo y forma, escrito de la Comarca en el que aduce alegaciones al acuerdo de inicio, manifestando, en síntesis, que: 1. Sobre la publicación de los datos personales de la reclamante contenidos en las actas del Consejo Comarcal en la página web ***URL.1. Señala la Comarca que, tal y como ya indicaron a esta Agencia en el escrito de contestación al requerimiento de información, las publicaciones realizadas en el Portal de Transparencia de la Comarca de Sobrarbe ubicado en su página web ***URL.1 tienen por objeto cumplir con lo establecido en la Ley 19/2013, de 9 de diciembre, de transparencia, acceso a la información pública y buen gobierno, cuyo objeto es ampliar y reforzar la transparencia de la actividad pública, regular y garantizar el derecho de acceso a la información relativa a aquella actividad y establecer las obligaciones de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/38 buen gobierno que deben cumplir los responsables públicos así como las consecuencias derivadas de su incumplimiento (ex art. 1 Ley 19/2013). La información que esta Entidad Local debe publicar en el ámbito de sus competencias viene establecida expresamente en el artículo 7 de la Ley 19/2013, en concreto: “Artículo 7. Información de relevancia jurídica. Las Administraciones Públicas, en el ámbito de sus competencias, publicarán:
  10. a)Las directrices, instrucciones, acuerdos, circulares o respuestas a consultas planteadas por los particulares u otros órganos en la medida en que supongan una interpretación del Derecho o tengan efectos jurídicos. (…)” Añade la Comarca que, con la recepción del requerimiento de información emitido por la Agencia Española de Protección de Datos con fecha 14 de julio de 2021, consideraron que se trataba de una oportunidad para mejorar el enfoque global de cumplimiento normativo en la entidad, ayudando a mitigar eventuales riesgos para los interesados y perfeccionar los mecanismos para el cumplimiento de las obligaciones derivadas de la Ley 19/2013, de 9 de diciembre, respetando el derecho fundamental a la protección de datos personales. Motivo por el cual, son conscientes de que deben adoptarse todas las medidas correctoras o complementarias necesarias para evitar que esta incidencia se reproduzca en un futuro. En consecuencia, la entidad local señala que adoptó las medidas indicadas en el escrito de contestación al escrito de requerimiento de información: 1. Designación de un DPD. Tras las comprobaciones pertinentes, la Comarca ha contratado a la entidad AUDIDAT 3.0, S.L.U. el servicio externo de Delegado de Protección de Datos en fecha 21/07/2021, nombrándose a Dña. B.B.B. como “Persona de Contacto DPD” por tratarse de una profesional certificada conforme al Esquema de Certificación de Delegados de Protección de Datos de la Agencia Española de Protección de Datos (Esquema AEPD-DPD) Nº Certificado ***CERTIFICADO.1. La designación del Delegado de Protección de Datos ha sido comunicada inmediatamente a la Agencia Española de Protección de Datos, con Nº de Registro: ***REGISTRO.1 y Fecha de registro: 23/07/2021. Con motivo de la designación se envió una comunicación informativa, a través del correo electrónico, a todo el personal de la Comarca sobre la figura designada, sus principales funciones y datos de contacto. De igual manera, para dar cumplimiento al deber de transparencia e información se ha incluido el dato de contacto del Delegado de Protección de Datos en todos los documentos informativos en los términos previstos en los artículos 12 y ss. del Reglamento (UE) 2016/679. 2. Designación de un Responsable de Transparencia. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/38 Designación de un Responsable de Transparencia con un claro objetivo, designar una persona que pueda actuar como punto de contacto con el Delegado de Protección de Datos ayudando así a una mejora de la gestión del Portal de Transparencia, así como las publicaciones que deba realizar la Comarca. 3. Formación para los empleados en materia de protección de datos. Indica la Comarca que se realizó un taller formativo para los empleados de la Comarca de Sobrarbe con acceso a datos, con la finalidad de concienciar sobre la importancia de garantizar el derecho fundamental a la protección de datos personales. Asimismo, a raíz de la designación del delegado de protección de datos, señala la Comarca que ha procedido a revisar su protocolo de actuación para la publicación de información en el portal de transparencia de la web ***URL.1, y que, a tal fin, se ha elaborado y difundido un documento con las pautas para la creación de un portal de transparencia que recoge los límites a la publicación de información cuyo contenido recoge datos de carácter personal (ANEXO N.º 1). Asimismo, afirma que han revisado toda la documentación publicada en su portal de transparencia siguiendo las indicaciones facilitadas por su DPD, en concreto, aplicando las medidas de seudonimización y anonimización necesarias para respetar los derechos de los interesados, tales como, el derecho fundamental a la protección de datos, la intimidad o el honor. En definitiva, en relación con los documentos publicados relativos a la reclamante, aplicando el principio de minimización de datos, indica la Comarca que ha procedido a la eliminación de los datos que no eran adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados, eliminando todos los datos no relativos a la condición o cargo de la reclamante, así como las alegaciones objeto de publicación de la web ***URL.1. 2. Publicación de datos personales de la reclamante en la página web del Boletín Oficial de la Provincia de ***LOCALIDAD.1 (BOPH) Señala la Comarca que la base o criterio legal para la publicación de la información en el Boletín Oficial de la Provincia de ***LOCALIDAD.1, es el recogido en el artículo 6.1.
  11. c)del Reglamento (UE) 2016/679, es decir, que “el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento”. En este sentido, señala la entidad local que (de acorde con lo establecido en la Ley 19/2013, de 9 de diciembre, de transparencia, acceso a la información pública y buen gobierno, así como en la Ley 7/1985, de 2 de abril, Reguladora de las Bases del Régimen Local, Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y la Ley 5/2002, de 4 de abril, reguladora de los Boletines Oficiales de las Provincias), los acuerdos adoptados por ella deben ser publicados en el Boletín Oficial de la Provincia. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/38 Indica la Comarca que la Agencia Española de Protección de Datos en su escrito de Acuerdo de inicio de procedimiento sancionador establece que “no se pone en entredicho que exista una obligación legal respecto a la publicación de ciertos actos en los Boletines Oficiales correspondientes. Si embargo, una vez que existe una base de licitud para el tratamiento de los datos (en este caso, el artículo 6.1.
  12. c)del RGPD, ello no significa que se pueda hacer el tratamiento (en este caso, la publicación) de cualquier modo y con cualquier alcance, pues es necesario cumplir con el resto de las obligaciones del RGPD, especialmente los principios del tratamiento establecidos en su artículo 5”. Y que tal y como se puede comprobar en el propio Boletín Oficial, en su publicación se ha aplicado el criterio establecido en la Disposición Adicional 7 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales: “Cuando sea necesaria la publicación de un acto administrativo que contuviese datos personales del afectado, se identificará al mismo mediante su nombre y apellidos, añadiendo cuatro cifras numéricas aleatorias del documento nacional de identidad, número de identidad de extranjero, pasaporte o documento equivalente” En concreto la publicación realizada ha sido la siguiente: “El 21 de diciembre de 2010, doña A.A.A., con DNI número ***NIF.1, trabajadora fija o indefinida de la Comarca, que desempeña el puesto de «***PUESTO.1», presentó un escrito de “reclamación”, calificación más apropiada de “alegaciones” en sentido estricto —aunque no discutimos el nomen y naturaleza jurídica— (número de entrada ***ENTRADA.1, de 21.12.2020), sobre la dificultad para consultar los expedientes expuestos a información pública el 10 de diciembre de 2020, de las referidas modificaciones de crédito — de la que dejó constancia por escrito de 10 de diciembre de 2020, suscrito por la Sra. A.A.A. y por don C.C.C., abogado (número de entrada ***ENTRADA.2, de 10.12.2020)— . Su escrito no contiene ninguna alegación, material o de fondo, sobre las modificaciones de crédito aprobadas inicialmente el 24 de noviembre de 2020. Únicamente solicitaba”. Adicionalmente se procedió a eliminar los dígitos relativos al número de teléfono móvil de la interesada, así como los caracteres de su correo electrónico: “El ***FECHA.11, además, la Administración comarcal envío la diversa documentación [escrito de contestación por el Sistema electrónico para la firma y custodia de documentos (SEFYCU) ***DOCUMENTOS.1]. Se le dirigieron tres avisos o comunicaciones por vías distintas: se le notificó a su “carpeta ciudadana”; se envió aviso (mensaje) a su móvil [número de móvil ***TELÉFONO.1]; y, se le notificó en la dirección electrónica señalada como lugar de notificaciones electrónicas por la interesada [***EMAIL.1]. Cuestión distinta es que la voluntariamente no abriese las comunicaciones hasta el ***FECHA.12, hecho dependiente únicamente de su libre voluntad y querer”. No obstante, la Agencia Española de Protección de Datos a este respecto se ha pronunciado indicando que, “El artículo 6.1 del RGPD, establece los supuestos que permiten considerar lícito el tratamiento de datos personales, y si bien puede existir habilitación para el tratamiento de los datos de la reclamante como interesada en un procedimiento en el que ha presentado alegaciones, este va a ser siempre dentro del marco legal adecuado y propio, no resultando pertinente, ni adecuado el envío a un C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/38 diario oficial de los datos completos que la identifican (su nombre y apellidos) junto a información a ella asociada (alegaciones). Por tanto, la publicación realizada se ha realizado con una exposición excesiva de datos personales no limitados a lo necesario en relación con los fines para los que son tratados”. En este sentido, indica la entidad local que no le resulta comprensible la conclusión de no haber aplicado el principio de minimización de los datos en la publicación realizada en el BOPH, pese a haber aplicado los criterios contenidos en la disposición adicional séptima de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales. En definitiva, entiende la Comarca el presente escenario como una ocasión para que la Agencia Española de Protección de Datos aclare la interpretación de la disposición adicional séptima de la Ley Orgánica 3/2018 y su aplicación en los actos en las notificaciones por medio de anuncios y publicaciones de actos administrativos, y de este modo, no incurrir en posibles actuaciones que pudieran derivar en un incumplimiento de la normativa vigente en materia de protección de datos personales. 3. Sobre la posible infracción del artículo 32 del Reglamento (UE) 2016/679. Señala la entidad local que del escrito de Acuerdo de inicio de procedimiento sancionador se infiere que la supuesta actuación desarrollada por la Comarca de Sobrarbe implica un posible incumplimiento del artículo 32 del Reglamento (UE) 2016/679 ya que “se evidencia que la Comarca procede a la publicación de sus actos y acuerdos tanto en su portal de transparencia como en el correspondiente boletín oficial sin tener en cuenta previamente si contienen datos personales y si el tratamiento de éstos es acorde tanto con los límites establecidos por la normativa de transparencia -precisamente para la protección de datos personales, como por el resto de normativa que resulta de aplicación, como son los límites y salvaguardas de la LPACAP y la propia normativa en materia de protección de datos (RGPD y LOPDGDD). Asimismo, se ha puesto de manifiesto que carecía de Delegado de Protección de Datos, a pesar de estar obligado a ello desde que el RGPD es de obligado cumplimiento -el 25 de mayo de 2018-, de conformidad con su artículo 37.1a) que determina que el responsable del tratamiento designará uno siempre que el tratamiento lo lleve a cabo una autoridad u organismo público. Y no es hasta que recibido el traslado de la reclamación y ser requerido de información por esta Agencia, la reclamada ha procedido a designar un Delegado de Protección de Datos (comunicando a la misma su nombramiento el 23 de julio de 2021), proponer la designación de un responsable de transparencia, así como proponer la realización de un taller formativo para los empleados de la Comarca con acceso a datos personales, lo que revela una inadecuada concienciación/formación del personal sobre cómo deben tratarse los datos personales, así como la falta en general de medidas organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo del tratamiento”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/38 Como consecuencia directa de esta conclusión, entiende la Comarca que todo incumplimiento de la normativa vigente en materia de protección de datos implicaría un incumplimiento del artículo 32 del Reglamento (UE) 2016/679. No obstante, señala la Comarca que, a raíz del incidente con la reclamante, considera que se trata de una oportunidad para mejorar el enfoque global de cumplimiento normativo en esa Entidad Local, ayudando a mitigar eventuales riesgos para los interesados y perfeccionar los mecanismos de seguridad técnicos y organizativos en el marco de la cultura de protección de datos que debe regir todos los departamentos y servicios que competen. En tal sentido, la Comarca indica que ha adoptado las siguientes medidas, además de las medidas mencionadas a raíz del requerimiento de información, para evitar que se produzcan incidencias similares: 1. Adopción de medidas técnicas y organizativas. Se adjunta como ANEXO N.º 2, documento elaborado bajo la responsabilidad de Comarca de Sobrarbe, que, como responsable del tratamiento, se compromete a adoptar las medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas. 2. Instrucciones sobre el acceso a información urbanística Con motivo de seguir perfeccionando nuestro protocolo de actuación en relación con el cumplimiento de las obligaciones derivadas de la Ley 19/2013, de 9 de diciembre, de transparencia, acceso a la información pública y buen gobierno, se han documentado unas instrucciones sobre el acceso a información urbanística para difundirlo a las personas autorizadas para la gestión de solicitudes de acceso a información pública (ANEXO N.º 3). El objetivo del presente documento, por consiguiente, es establecer unas instrucciones básicas que puedan servir a los empleados públicos de Comarca de Sobrarbe para solucionar aquellas cuestiones en las que un sujeto solicite acceso a información urbanística que contenga datos de carácter personal, todo ello desde el respeto a los derechos y libertades fundamentales que corresponden a cualquier ciudadano. 3. Sistema de protección de datos. Se adjunta como ANEXO N.º 4 copia de nuestro sistema de protección de datos que recoge toda una serie de protocolos y procedimientos tendentes a garantizar el cumplimiento normativo necesario para el respeto absoluto del derecho fundamental a la protección de datos personales. Por todo lo expuesto, la Comarca solicita que se proceda a archivar el presente expediente de procedimiento sancionador C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/38 SÉPTIMO: Con fecha 23 de diciembre de 2022 se formuló propuesta de resolución, en la que se propone que por la Directora de la AEPD se sancione a COMARCA DE SOBRARBE: -por una infracción del Artículo 5.1.
  13. c)del RGPD tipificada en el Artículo 83.5 del RGPD, con APERCIBIMIENTO -por una infracción del Artículo 32 del RGPD, tipificada en el Artículo 83.4 del RGPD, con APERCIBIMIENTO. Esta propuesta de resolución, que se notificó a COMARCA DE SOBRARBE conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), fue recogida en fecha 28 de diciembre de 2022, como consta en el acuse de recibo que obra en el expediente. No consta la presentación de alegaciones a la propuesta de resolución. De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS PRIMERO: Se ha constatado la publicación en la web “***URL.1”, en el apartado “transparencia”, diversas actas de las sesiones del Consejo Comarcal en las que, según los casos, aparecen los siguientes datos personales de la reclamante: - Nombre y apellidos o los dos apellidos Número de DNI completo en un caso, truncado en el resto Número de móvil completo Dirección de correo electrónico personal Denuncia penal presentada por la reclamante, con indicación de la fecha de presentación, número de diligencias y Juzgado ante el cual se ha presentado. Datos del abogado de la reclamante (nombre y dos apellidos) Alegaciones formuladas por la misma como interesada en un procedimiento administrativo y respuesta a las mismas. Datos e información sobre notificaciones realizadas a la reclamante: lugar, forma y fecha de las mismas, vicisitudes sobre su recepción, etc. SEGUNDO: A fecha 23 de diciembre de 2022, se comprueba muchos de estos datos personales de la reclamante siguen publicados en la web ***URL.1, en el apartado de “Transparencia”. Concretamente, de forma aleatoria y como muestra, se ha verificado en el Acta del Consejo Comarcal extraordinario de ***FECHA.15 TERCERO: se ha comprobado la publicación en el Boletín Oficial de la Provincia de ***LOCALIDAD.1 (BOPH), de diversos Acuerdos de la Comarca, en los que, según los casos, aparecen los siguientes datos personales de la reclamante: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/38 - Nombre y apellidos o los dos apellidos Alegaciones formuladas por la misma como interesada en un procedimiento administrativo y respuesta a las mismas. Datos del abogado de la reclamante (nombre y dos apellidos) Alegaciones formuladas por la misma como interesada en un procedimiento administrativo y respuesta a las mismas. Denuncia penal presentada por la reclamante, con indicación de la fecha de presentación, número de diligencias y Juzgado ante el que se ha presentado Datos e información sobre notificaciones realizadas a la reclamante: lugar, forma y fecha de las mismas, vicisitudes sobre su recepción, etc. FUNDAMENTOS DE DERECHO I Competencia y normativa aplicable De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos.” II Cuestiones previas En el presente caso, de acuerdo con lo establecido en el artículo 4.1 del RGPD, consta la realización de un tratamiento de datos personales, toda vez que la Comarca realiza, entre otros tratamientos, la recogida, conservación, utilización, comunicación, publicación y acceso de los siguientes datos personales de personas físicas tales como: nombre y apellidos, número de identificación, número de teléfono, dirección. La Comarca realiza esta actividad en su condición de responsable del tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del RGPD. III Alegaciones aducidas En respuesta a las alegaciones presentadas por la entidad reclamada al Acuerdo de Inicio, se señala lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/38 1. Sobre la publicación de los datos personales de la reclamante contenidos en las actas del Consejo Comarcal en la página web ***URL.1: A este respecto, reitera la Comarca lo indicado en su escrito de contestación al requerimiento de información formulado por esta Agencia, consistente en que las publicaciones realizadas en su Portal de Transparencia tienen por objeto cumplir con la obligación impuesta por la Ley 19/2013, de 9 de diciembre, de transparencia, acceso a la información pública y buen gobierno (LTAIBG), concretamente en su artículo 7. A este respecto, consta acreditado en el expediente la publicación en la web de la entidad local las citadas actas en las que aparece, junto con el nombre y apellidos de la reclamante, su DNI (completo en al menos una ocasión) su dirección de correo electrónico personal y su número de móvil, así como alegaciones formuladas por ella, la identificación con nombre y apellidos de su abogado e incluso el hecho de que ha presentado denuncia penal, indicando la fecha, el órgano judicial y el número de procedimiento judicial correspondiente. Todos estos datos personales e información fueron publicados en internet, en el portal de transparencia de la entidad local, y suponen una vulneración de la normativa de protección de datos, concretamente de lo exigido por el artículo 5.1
  14. c)del RGPD, por resultar un tratamiento (publicación) excesivo, no pertinente ni necesario para la consecución del fin de transparencia perseguido, tal y como ya se indicó clara y pormenorizadamente en el Acuerdo de Inicio del presente procedimiento sancionador y que se vuelve a transcribir en el Fundamento de Derecho IV de esta Propuesta, al que, para evitar reiteraciones innecesarias, procede remitirse. 2. Publicación de datos personales de la reclamante en el Boletín Oficial de la Provincia de ***LOCALIDAD.1 (BOPH): Reitera de nuevo la Comarca que lo publicado obedece a una obligación legal impuesta por la LTAIBG, LA Ley 7/1985, de 2 de abril, Reguladora de las Bases del Régimen Local, Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP) Y LA Ley 5/2002, de 4 de abril, reguladora de los Boletines Oficiales de las Provincias, en virtud de las cuales los acuerdos adoptados por la entidad local deben ser publicados en el Boletín Oficial de la Provincia. En relación a ello, indica la Comarca que lo publicado en el BOPH se realizó cumpliendo lo dispuesto en la Disposición Adicional Séptima (DA7) de la LOPDGDD, es decir, indicando nombre y apellidos de la reclamante, pero el número de su DNI truncado, apareciendo sólo parte de sus dígitos y también truncado su número de móvil y su dirección de correo electrónico. Es por ello por lo que solicita aclaración por parte de esta Agencia sobre la interpretación de la citada DA7 y su aplicación a los actos en las notificaciones por medio de anuncios y publicaciones de los actos administrativos. A este respecto, procede señalar que en varios Boletines Oficiales de la Provincia de ***LOCALIDAD.1 se han publicado diversos acuerdos/actos adoptados por la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 20/38 Comarca. Asimismo, la reclamante presentó alegaciones en los diferentes procedimientos tramitados por la entidad local. En unos casos se le dio audiencia como interesada (amortización de la plaza de ***PUESTO.1 que ella ocupa) y en otros formula alegaciones en el trámite de información pública en expedientes relativos a la tramitación de los presupuestos de la Comarca. A modo de ejemplo, en el BOPH de ***FECHA.16, se publicó la Propuesta de Acuerdo de ***FECHA.9, del Consejo comarcal, de revocación del Acuerdo de ***FECHA.8, del mismo órgano, de supresión y amortización de la plaza y puesto de trabajo de «***PUESTO.1», de la Plantilla de personal y de modificación de ésta y del Anexo de personal, circunscrito a la plaza, conteniendo lo siguiente: “… 3. Además, se confirió trámite de audiencia a la trabajadora doña A.A.A., (…) «***PUESTO.1» … (…) PRIMERO. - Rechazar las seis alegaciones presentadas el 22 de mayo de 2020, por doña A.A.A., con DNI número ***NIF.1, en el trámite de audiencia conferido en el presente procedimiento administrativo por las siguientes razones: 1ª. Alegación sobre la inadecuación del procedimiento revocatorio del acto administrativo en cuestión. La alegante considera que el Acuerdo de ***FECHA.8, del Consejo comarcal, sobre supresión y amortización de la plaza… (a continuación, se reflejan las diferentes alegaciones formuladas por la reclamante y respuesta a las mismas) (…) 5ª. Sobre la pretensión de eludir responsabilidades por la Presidencia y otros cargos públicos de la Comarca. La calificación vertida en su alegación por la interesada y alegante es libre. Como pone de manifiesto la alegante dicha calificación está vinculada a la denuncia penal presentada por ella en el (…). Esta vía penal ha sido iniciada por la trabajadora alegante en defensa de sus derechos e intereses, dentro de su libertad de elección reactiva propia de un Estado de Derecho. Se niega la afirmación gratuita contenida en la correspondiente alegación sobre “acoso hacia mi persona y otros compañeros, e irregularidades”. (…) TERCERO. - El presente acuerdo se publicará, íntegramente, para general conocimiento, en el «Boletín Oficial de la Provincia de ***LOCALIDAD.1», mediante anuncio de la Presidencia de la Comarca y se notificará por la Secretaría-Intervención a la interesada doña A.A.A.. En el BOPH de ***FECHA.17, se publicó el Acuerdo del Consejo Comarcal, adoptado en su sesión extraordinaria del ***FECHA.18, conteniendo lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 21/38 (…) 3. Doña A.A.A., con DNI número ***NIF.1, trabajadora fija o indefinida de la Comarca, que desempeña el puesto de «***PUESTO.1», presentó el 10 de diciembre de 2020 (entrada número ***ENTRADA.2, de 10.12.2020) un escrito datado el mismo día, suscrito por ella misma y por don C.C.C., abogado, sobre la dificultad para consultar los expedientes cuya exposición al público se había anunciado el 26 de noviembre de 2020, por el plazo de treinta días hábiles. 4. El ***FECHA.11, la Administración comarcal envió a la Sra. A.A.A., diversa documentación [escrito de contestación por el Sistema electrónico para la firma y custodia de documentos (SEFYCU) ***DOCUMENTOS.1]. Se le dirigieron tres avisos o comunicaciones por vías distintas: se le notificó a su “carpeta ciudadana”; se envió aviso (mensaje) a su móvil]; y, se le notificó en la dirección electrónica señalada como lugar de notificaciones electrónicas por la interesada [***EMAIL.1]. Cuestión distinta es que la voluntariamente no abriese las comunicaciones hasta el ***FECHA.12, hecho dependiente únicamente de su libre voluntad y querer. 5. El 14 de enero de 2021 (número de entrada ***ENTRADA.1, de 14.1.2021) la Sra. A.A.A. presentó unas alegaciones en el periodo de información pública, conferido por anuncio de 25 de noviembre de 2020, de la Presidencia de la Comarca, como ya hemos dicho más arriba. En este escrito la Sra. A.A.A. afirma que… (a continuación, se exponen sus alegaciones) 6. En la comunicación telemática que la Administración comarcal envió a la Sra. A.A.A. el ***FECHA.11 y que ella “descargó” o “abrió” el ***FECHA.12, se le ofrecían diversos días y horas para la consulta de los expedientes…. Además, se le ofreció la posibilidad de concertar una cita cualquiera de los días que restaban del periodo de información pública y a la hora que le viniese bien, sin que la alegante concertase cita alguna. Su voluntad y querer fue dejar transcurrir el periodo de información pública y el último día del mismo, el 14 de enero de 2021, presentar las alegaciones a las que nos hemos referido más arriba, circunscritas a su consideración subjetiva de que la práctica del trámite de información pública lo había sido de modo irregular, a su parecer. La alegante no formula ninguna alegación material o de fondo sobre la modificación parcial de las referidas Ordenanzas fiscales de la Comarca. En este sentido, ninguna de las Leyes indicadas por la Comarca obliga a publicar estos datos tal y como se ha realizado puesto que dichas alegaciones deberían haberse resuelto de forma separada en los respectivos trámites de audiencia, notificándose a la interesada (la reclamante) de conformidad con la LPACAP y posteriormente, en su caso, adoptar el acuerdo correspondiente y proceder a su publicación conforme a la legislación que le resulta de aplicación y respetando siempre la normativa sobre protección de datos personales. Sin embargo, se publicaron las alegaciones vertidas por la reclamante con su identificación mediante su nombre y apellidos, la respuesta a las mismas, indicándose asimismo todos los datos identificativos de un procedimiento penal iniciado por ella, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 22/38 además de información relativa a cómo se le realizaron las notificaciones a ella (dónde, cómo, cuándo lo recepcionó, etc), incluso la identificación de su abogado, con su nombre y apellidos. Todos ellos datos personales que no procede y no era necesario publicar para dar cumplimiento a la normativa que le resulta aplicable la Comarca para la publicación de sus Acuerdos y demás actos, por lo que no resultan adecuados, pertinentes ni limitados a lo necesario en relación con los fines para los que son tratados, vulnerándose así la normativa en materia de protección de datos personales. A este respecto, la Comarca parece que entiende que se puede publicar todo dato personal, junto con la identificación de la persona a la que se refieren (su nombre y apellidos, en este caso), siempre y cuando se ofusquen o aparezcan truncados su DNI, número de móvil o dirección de correo. Procede por ello, recordar la definición que de datos personales realiza el RGPD, en su artículo 4, apartado 1: 1) «datos personales»: toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona Es decir, por dato personal no sólo hay que entender los datos identificativos (nombre, apellidos, DNI, …) ni los de contacto (dirección, teléfono, correo electrónico…), sino toda información relativa a una persona física identificada o identificable, es decir, cualquier dato o información que concierne a una persona física (en este caso, alegaciones formuladas, datos e información publicada sobre las notificaciones que se le han cursado, datos de denuncia penal presentada por ella, etc, apareciendo todo ello junto con su nombre y apellidos, es decir, claramente identificada). Por otro lado, en cuanto a la aclaración solicitada sobre la interpretación de la Disposición Adicional Séptima de la LOPDGDD (DA7), parece existir en la reclamada confusión entre lo que es una publicación de los acuerdos, en cumplimiento de una obligación legal (bien por exigencias de transparencia, bien por ser obligatoria su publicación en el Boletín Oficial correspondiente), y la notificación de los actos administrativos a los interesados cuando la misma deba realizarse mediante anuncio o publicación del acto, de conformidad con los artículos 44 y siguientes de la LPACAP. Y es en este último supuesto cuando entran en juego los criterios de la DA7 de la LOPDGDD, ya que la misma se refiere exclusivamente a la “Identificación de los interesados en las notificaciones por medio de anuncios y publicaciones de actos administrativos”, es decir, a cómo debe identificarse a los interesados en un procedimiento cuando la notificación de los actos a los mismos debe realizarse por medio de anuncios o publicaciones, de conformidad con la LPACAP. Es decir, aquí es necesario identificar al interesado en la citada publicación o anuncio para entenderse correctamente realizada la notificación, a la par que se prevén medidas para garantizar el derecho a la protección de sus datos personales. Por tanto, sólo en estos casos es cuando entran en juego los criterios y reglas relativos, bien a indicar nombre y C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 23/38 apellidos con número truncado del documento de identificación correspondiente, bien indicando únicamente el número completo del mismo. Sin embargo, como se ha señalado, en el caso que nos ocupa la publicación de los acuerdos en el BOPH no se realizó al objeto de proceder a la notificación de actos a los interesados en un procedimiento, de conformidad con los artículos 44 y siguientes de la LPACAP. Realizada esta aclaración, procede remitirse, para evitar reiteraciones, a todo lo indicado y expuesto en el Acuerdo de Inicio del presente procedimiento sancionador y que aparece transcrito de nuevo en el Fundamento de Derecho IV de la presente Propuesta de Resolución, concretamente en su apartado 2. 3.Sobre la posible infracción del artículo 32 del RGPD Señala la Comarca que la reclamación ha sido una oportunidad para mejorar el cumplimiento normativo, habiendo adoptado una serie de medidas, además de las mencionadas a raíz del requerimiento de información, para evitar que se produzcan incidencias similares. Así, aporta como Anexo 2 un documento en el cual se compromete a adoptar las medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, unas instrucciones (Anexo 3) dirigido a los empleados de la Comarca sobre el acceso a la información urbanística y como Anexo 4, un documento que recoge una serie de protocolos y procedimientos tendentes a garantizar el cumplimiento normativo necesario para el respeto al derecho a la protección de datos personales. A este respecto, procede recordar que en el presente caso, derivado del incumplimiento de la normativa en protección de datos en la publicación que realiza la Comarca respecto de sus acuerdos, se ha puesto de manifiesto una falta de medidas técnicas y organizativas (protocolos, formación, concienciación) adecuadas para garantizar un nivel de seguridad adecuado al riesgo para los derechos y libertades de las personas físicas, evaluando especialmente los riesgos que presente el tratamiento de datos, en particular como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos (artículo 32.1 y 32.2 RGPD) En cuanto a las medidas que manifiesta haber adoptado la Comarca, aunque ello refleja una conducta positiva, no desvirtúan los hechos constatados y que son constitutivos de la infracción imputada del artículo 32 del RGPD, pues su vulneración ya se ha puesto de manifiesto. Además, en cuanto a la documentación aportada, reseñar que el documento (Anexo 2), relativo a “seguridad del tratamiento cumplimiento con lo establecido en el art. 32 del reglamento (UE) 2016/679” refleja únicamente un mero compromiso de adopción de medidas de seguridad, las cuales además se señalan de forma muy genérica, por lo que no supone la adopción/implementación de medidas técnicas y organizativas específicas por parte de la Comarca y establecidas en virtud de una evaluación adecuada de los riesgos que pueden suponer para los derechos y libertades de las personas físicas los tratamientos concretos que realiza de datos personales. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 24/38 Por último, en relación con lo manifestado por la Comarca relativo a que ha procedido a la eliminación en la web ***URL.1, en el apartado de “transparencia”, de todos los datos no relativos a la condición o cargo de la reclamante, así como las alegaciones objeto de publicación, se significa que se ha accedido a dicha web, comprobándose que, a fecha 23 de diciembre de 2022, siguen publicados datos excesivos de la reclamante. Así, a modo aleatorio y como muestra, se ha comprobado en el Acta del Consejo Comarcal extraordinario de ***FECHA.10, publicada en la citada web, siguen apareciendo su nombre y apellidos, su dirección de mail completa, su número de móvil, identificación de su abogado, con nombre y apellidos, alegaciones presentadas y datos y vicisitudes sobre las notificaciones realizadas a ella. Por tanto, no resulta ser cierta la subsanación alegada. Por todo lo expuesto, se rechazan las alegaciones aducidas. IV Artículo 5.1.
  15. c)del RGPD El artículo 5.1.
  16. c)“Principios relativos al tratamiento” del RGPD establece: “1. Los datos personales serán: (…)
  17. c)adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados («minimización de datos»); En el presente caso, se ha vulnerado el principio de minimización de datos personales en los siguientes tratamientos llevados a cabo por la Comarca: 1.- Inclusión de datos personales de la reclamante en las actas del Consejo Comarcal y su publicación en la página web ***URL.1.: Consta acreditado en el expediente la inclusión en las citadas actas junto con el nombre y apellidos de la reclamante, su DNI (completo en al menos una ocasión) su dirección de correo electrónico personal y su número de móvil. En este caso se aprecia que se han comunicado a todos los miembros que forman parte del Consejo Comarcal datos de carácter personal que no se han separado de las alegaciones o de otras circunstancias que tuvieran que tratar en el ejercicio de sus competencias, dando a conocer a los mismos datos que no resulta necesario ni proporcionado traspasar para el ejercicio de sus funciones, siendo por ello excesivo y no adecuado para dicha finalidad. Asimismo, la Comarca, procedió a publicar en la web las actas del Consejo Comarcal, sin proceder previamente a omitir o suprimir esos datos personales, apareciendo de nuevo junto con su nombre y apellidos, su DNI, su número de móvil y su dirección de correo electrónico personal. Asimismo, junto a su nombre y apellidos se han publicado alegaciones formuladas por la misma en varios procedimientos administrativos tramitados por la Comarca. Incluso se llega a publicar que ha presentado una denuncia penal indicando la fecha, el órgano judicial y el número de procedimiento correspondiente. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 25/38 La Comarca justifica la publicación de tales datos personales en el cumplimiento de la obligación legal que impone la Ley 19/2013, de 9 de diciembre, de transparencia, acceso a la información pública y buen gobierno (en adelante LTAIBG), aduciendo además que, como no afectan al tipo especial de datos referidos en el artículo 15.1 de la precitada Ley, está permitida su publicación de conformidad con el apartado segundo del mismo precepto. A este respecto, no se pone en entredicho que la LTAIBG resulte de aplicación a la actividad pública realizada por la Comarca y que, en virtud de ella, deban publicarse las actas de su Consejo Comarcal. Sin embargo, no procede aceptar la interpretación extensiva y simplista que realiza la reclamada en cuanto a la aplicación de los límites que establece el artículo 15 de la citada Ley. La LTAIBG establece una serie de obligaciones de publicidad activa a la que están sujetas las entidades y organismos incluidos en el ámbito de aplicación de la norma. Sin embargo, de conformidad con su artículo 5.3 Serán de aplicación, en su caso, los límites al derecho de acceso a la información pública previstos en el artículo 14 y, especialmente, el derivado de la protección de datos de carácter personal, regulado en el artículo 15. A este respecto, cuando la información contuviera datos especialmente protegidos, la publicidad sólo se llevará a cabo previa disociación de los mismos. Por su parte, la Disposición Adicional Segunda de la LOPDGDD, relativa a “Protección de datos y transparencia y acceso a la información pública”, establece que La publicidad activa y el acceso a la información pública regulados por el Título I de la Ley 19/2013, de 9 de diciembre, de transparencia, acceso a la información pública y buen gobierno, así como las obligaciones de publicidad activa establecidas por la legislación autonómica, se someterán, cuando la información contenga datos personales, a lo dispuesto en los artículos 5.3 y 15 de la Ley 19/2013, en el Reglamento (UE) 2016/679 y en la presente ley orgánica. Por tanto, el interés público en el acceso a la información no es ilimitado, encontrando un límite precisamente en la garantía de los derechos de los interesados cuyos datos personales puedan verse afectados. La propia LTAIBG establece el sistema de protección de datos de carácter personal, señalando lo siguiente en su artículo 15: 1.Si la información solicitada contuviera datos personales que revelen la ideología, afiliación sindical, religión o creencias, el acceso únicamente se podrá autorizar en caso de que se contase con el consentimiento expreso y por escrito del afectado, a menos que dicho afectado hubiese hecho manifiestamente públicos los datos con anterioridad a que se solicitase el acceso. Si la información incluyese datos personales que hagan referencia al origen racial, a la salud o a la vida sexual, incluyese datos genéticos o biométricos o contuviera datos relativos a la comisión de infracciones penales o administrativas que no conllevasen la amonestación pública al infractor, el acceso solo se podrá autorizar en caso de que se cuente con el consentimiento expreso del afectado o si aquel estuviera amparado por una norma con rango de ley. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 26/38 2. Con carácter general, y salvo que en el caso concreto prevalezca la protección de datos personales u otros derechos constitucionalmente protegidos sobre el interés público en la divulgación que lo impida, se concederá el acceso a información que contenga datos meramente identificativos relacionados con la organización, funcionamiento o actividad pública del órgano. 3. Cuando la información solicitada no contuviera datos especialmente protegidos, el órgano al que se dirija la solicitud concederá el acceso previa ponderación suficientemente razonada del interés público en la divulgación de la información y los derechos de los afectados cuyos datos aparezcan en la información solicitada, en particular su derecho fundamental a la protección de datos de carácter personal. Para la realización de la citada ponderación, dicho órgano tomará particularmente en consideración los siguientes criterios:
  18. a)El menor perjuicio a los afectados derivado del transcurso de los plazos establecidos en el artículo 57 de la Ley 16/1985, de 25 de junio, del Patrimonio Histórico Español.
  19. b)La justificación por los solicitantes de su petición en el ejercicio de un derecho o el hecho de que tengan la condición de investigadores y motiven el acceso en fines históricos, científicos o estadísticos.
  20. c)El menor perjuicio de los derechos de los afectados en caso de que los documentos únicamente contuviesen datos de carácter meramente identificativo de aquéllos.
  21. d)La mayor garantía de los derechos de los afectados en caso de que los datos contenidos en el documento puedan afectar a su intimidad o a su seguridad, o se refieran a menores de edad. 4. No será aplicable lo establecido en los apartados anteriores si el acceso se efectúa previa disociación de los datos de carácter personal de modo que se impida la identificación de las personas afectadas. 5. La normativa de protección de datos personales será de aplicación al tratamiento posterior de los obtenidos a través del ejercicio del derecho de acceso. Por su parte, la Disposición adicional quinta de la LTAIBG establece que El Consejo de Transparencia y Buen Gobierno y la Agencia Española de Protección de Datos adoptarán conjuntamente los criterios de aplicación, en su ámbito de actuación, de las reglas contenidas en el artículo 15 de esta Ley, en particular en lo que respecta a la ponderación del interés público en el acceso a la información y la garantía de los derechos de los interesados cuyos datos se contuviesen en la misma de conformidad con lo dispuesto en esta Ley y en la Ley Orgánica 15/1999, de 13 de diciembre (debe entenderse ahora de conformidad con el RGPD y la LOPDGDD, de acuerdo a lo establecido en la Disposición Adicional Segunda de esta última Ley) Las interpretaciones extensivas del citado artículo 15 de la LTAIBG ya fueron advertidas por el propio Consejo de Transparencia y Buen Gobierno (en adelante CTBG), el cual, en fecha 24 de junio de 2015, adoptó de manera conjunta con la Agencia Española de Protección de Datos el Criterio CI/002/2015 relativo a la interpretación de la aplicación de los límites al derecho de acceso a la información pública, en el cual, tras analizar los límites del artículo 15 de la LTAIBG establece unas C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 27/38 etapas o fases sucesivas en el proceso de aplicación de dichos límites, concluyendo que su aplicación no será en ningún caso automática y que es necesaria una aplicación justificada y proporcional atendiendo a la circunstancia del caso concreto. Dichas fases serían: Primero: valorar si la información solicitada o sometida a publicidad activa contiene o no datos de carácter personal (entendiéndose por éstos los definidos en el artículo 4.1 RGPD) Segundo: En caso afirmativo, valorar si los datos son o no datos que revelen la ideología, afiliación sindical, religión o creencias (en cuyo caso el acceso únicamente se podrá autorizar en caso de que se contase con el consentimiento expreso y por escrito del afectado, a menos que dicho afectado hubiese hecho manifiestamente públicos los datos con anterioridad a que se solicitase el acceso) o hagan referencia al origen racial, a la salud o a la vida sexual, incluyese datos genéticos o biométricos o contuviera datos relativos a la comisión de infracciones penales o administrativas que no conllevasen la amonestación pública al infractor (en cuyo caso el acceso solo se podrá autorizar en caso de que se cuente con el consentimiento expreso del afectado o si aquel estuviera amparado por una norma con rango de ley). Tercero: Si los datos de carácter personal contenidos en la información no fueran datos de los mencionados en el apartado anterior, valorar si son o no exclusivamente datos meramente identificativos relacionados con la organización, el funcionamiento o la actividad pública del órgano o entidad correspondiente. En caso afirmativo, la información se publicará o facilitará con carácter general, salvo que en el caso concreto prevalezca la protección de datos personales y otros derechos constitucionalmente protegidos sobre el interés público en la divulgación. Cuarto: Si los datos de carácter personal no fueran meramente identificativos y relacionados con la organización, el funcionamiento o la actividad pública del órgano o no lo fueran exclusivamente, efectuar la ponderación prevista en el artículo 15.3 de la Ley. Sobre los datos meramente identificativos relacionados con la organización, funcionamiento o actividad pública del órgano, el Criterio CI/004/2015 emitido por el CTBG juntamente con la Agencia Española de Protección de Datos, en fecha 23 de julio de 2015, establece que se trataría del nombre, apellidos, las funciones o puestos desempeñados, así como la dirección postal o electrónica, teléfono y número de fax profesionales, indicando expresamente que el DNI no tendría la consideración de dato meramente identificativo, pues corresponda a una persona de carácter público o de una persona de carácter privado, se entiende que el conocimiento de este dato no es relevante a los efectos de alcanzar el objetivo de transparencia que preside la Ley de Transparencia. Asimismo, el acceso a datos de naturaleza meramente identificativa relacionados con la organización, funcionamiento o actividad pública del organismo quedaría supeditado, en última instancia, a que en el concreto caso no prevalezca la protección de datos personales y otros derechos constitucionalmente protegidos sobre el interés público en la divulgación, tal y como ha declarado, en su Criterio CI/002/2015. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 28/38 Sentadas estas bases, la mayoría de los datos personales que se han publicado de la reclamante no están relacionados exclusivamente con la organización, funcionamiento o actividad pública del órgano en cuestión, es decir, no se han publicado por razón del cargo que ostenta u ostentaba, sino por otras circunstancias, por lo que, a la hora de su difusión, debería haberse aplicado el criterio del artículo 15.3 de la LTAIBG, es decir, realizar una ponderación entre, por un lado, el interés público en la divulgación de la información y, por otro, la protección de los derechos y libertades de los titulares de los datos. A estos efectos, el interés público aparece definido en la Exposición de Motivos de la LTAIBG que comienza recordando que “La transparencia, el acceso a la información pública y las normas de buen gobierno deben ser los ejes fundamentales de toda acción política. Sólo cuando la acción de los responsables públicos se somete a escrutinio, cuando los ciudadanos pueden conocer cómo se toman las decisiones que les afectan, cómo se manejan los fondos públicos o bajo qué criterios actúan nuestras instituciones podremos hablar del inicio de un proceso en el que los poderes públicos comienzan a responder a una sociedad que es crítica, exigente y que demanda participación de los poderes públicos”. De este modo, la finalidad de las normas de transparencia según se expresa en la LTAIBG –que, en todo caso, debe armonizarse con el respeto a lo establecido por el RGPD y la LOPDGD- es la de permitir a las personas conocer los mecanismos que intervienen en los procesos de toma de decisión por parte de los poderes públicos, así como la utilización que aquéllos hacen de los fondos presupuestarios, garantizándose así la participación de los ciudadanos en los asuntos públicos mediante un mejor conocimiento de la acción del Estado. Por tanto, con carácter general, habrá que entender que, en cuanto el acceso a la información contribuya a un mejor conocimiento de los criterios de organización y funcionamiento de las instituciones o a la asignación de los recursos, cabrá considerar la existencia de un interés público prevalente sobre los derechos a la protección de datos y a la intimidad en los términos y con las excepciones establecidas por la LTAIBG. Por el contrario, cuando la información no contribuya a un mayor conocimiento de la organización y funcionamiento de las instituciones o de la asignación de los recursos públicos, prevalecerá el respeto a los derechos a la protección de datos o la intimidad. Aplicando este criterio a presente caso, se considera que se publicaron datos excesivos en relación con la finalidad del tratamiento -transparencia- pues los datos personales que aparecen de la reclamante en las diversas publicaciones de las Actas del Consejo Comarcal no son datos relevantes a los efectos de alcanzar el objetivo de transparencia que preside la LTAIBG, toda vez que el mismo se cumple omitiendo aquéllos. Por otro lado, su conocimiento por terceros podría generar riesgos para los derechos y libertades de la reclamante, como el riesgo de suplantación de su identidad, especialmente en el ámbito de las transacciones electrónicas. En conclusión, su publicación vulnera la normativa de protección de datos, en concreto el principio de minimización de datos del artículo 5.1
  22. c)del RGPD, que debe entenderse desde el punto de vista de la proporcionalidad de los tratamientos en C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 29/38 relación con su finalidad, es decir, cuando resulte estrictamente necesario para alcanzar ésta. 2. Publicación de datos personales de la reclamante en la página web https://bop.dp***LOCALIDAD.1.es/ del Boletín Oficial de la Provincia de ***LOCALIDAD.1 (BOPH) Consta la publicación de varios acuerdos del Consejo Comarcal en el BOPH en los que se recogen y se contestan las alegaciones vertidas por la reclamante en varios procedimientos, identificándose la misma con su nombre y apellidos, su DNI truncado y datos relativos a su condición de ***PUESTO.1. Incluso se llega a publicar la existencia de una denuncia penal presentada por ella, con identificación del Juzgado y el número e identificación de las Diligencias penales abiertas por el mismo, así como la identificación, con nombre y apellidos, de su abogado. A este respecto, cabe señalar que la reclamante presentó alegaciones en diferentes procedimientos tramitados por la Comarca. En unos casos se le dio audiencia como interesada (amortización de la plaza de ***PUESTO.1 que ella ocupa) y en otros formula alegaciones en el trámite de información pública en expedientes relativos a la tramitación de los presupuestos de la Comarca. La Comarca justifica su publicación en que los acuerdos adoptados por esta Entidad Local deben ser publicados en el Boletín Oficial de la Provincia, por exigencias de la LTAIBG, la Ley 7/1985, de 2 de abril, Reguladora de las Bases del Régimen Local, la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas y la Ley 5/2002, de 4 de abril, reguladora de los Boletines Oficiales de las Provincias. A este respecto, no se pone en entredicho que exista una obligación legal respecto a la publicación de ciertos actos en los Boletines Oficiales correspondientes. Si embargo, una vez que existe una base de licitud para el tratamiento de los datos (en este caso, el artículo 6.1.
  23. c)del RGPD, ello no significa que se pueda hacer el tratamiento (en este caso, la publicación) de cualquier modo y con cualquier alcance, pues es necesario cumplir con el resto de las obligaciones del RGPD, especialmente los principios del tratamiento establecidos en su artículo 5. Y ninguna de las Leyes indicadas por la Comarca obliga a publicar estos datos tal y como se ha realizado puesto que dichas alegaciones deberían haberse resuelto de forma separada en los respectivos trámites de audiencia, notificándose a los interesados de conformidad con la LPACAP y posteriormente, en su caso, adoptar el acuerdo que procediera y proceder a su publicación conforme a la legislación que le resulta de aplicación y respetando siempre la normativa sobre protección de datos personales. Añade la Comarca, además, que su publicación se ha realizado también como medio de notificación de conformidad con la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante LPACAP), cumpliéndose lo exigido en la Disposición Adicional Séptima de la LOPDGDD, al constar únicamente el nombre y apellidos junto con el DNI truncado, así como el número de móvil y la dirección de correo electrónico truncado. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 30/38 A este respecto, en cuanto a la notificación mediante publicación de conformidad con la LPACAP y la LOPDGDD, la Disposición adicional séptima de la LOPDGDD referida, relativa a la Identificación de los interesados en las notificaciones por medio de anuncios y publicaciones de actos administrativos, determina en su apartado 1 lo siguiente: 1. Cuando sea necesaria la publicación de un acto administrativo que contuviese datos personales del afectado, se identificará al mismo mediante su nombre y apellidos, añadiendo cuatro cifras numéricas aleatorias del documento nacional de identidad, número de identidad de extranjero, pasaporte o documento equivalente. Cuando la publicación se refiera a una pluralidad de afectados estas cifras aleatorias deberán alternarse. Cuando se trate de la notificación por medio de anuncios, particularmente en los supuestos a los que se refiere el artículo 44 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, se identificará al afectado exclusivamente mediante el número completo de su documento nacional de identidad, número de identidad de extranjero, pasaporte o documento equivalente. Cuando el afectado careciera de cualquiera de los documentos mencionados en los dos párrafos anteriores, se identificará al afectado únicamente mediante su nombre y apellidos. En ningún caso debe publicarse el nombre y apellidos de manera conjunta con el número completo del documento nacional de identidad, número de identidad de extranjero, pasaporte o documento equivalente. 2.A fin de prevenir riesgos para víctimas de violencia de género, el Gobierno impulsará la elaboración de un protocolo de colaboración que defina procedimientos seguros de publicación y notificación de actos administrativos, con la participación de los órganos con competencia en la materia Por su lado, la LPCAP distingue notificación, de publicación, artículos 44 y 45. El primero regula los supuestos en caso de notificación infructuosa: “Cuando los interesados en un procedimiento sean desconocidos, se ignore el lugar de la notificación o bien, intentada ésta, no se hubiese podido practicar la notificación se hará por medio de un anuncio publicado en el «Boletín Oficial del Estado”, mientras que el artículo 45 se refiere a que “Los actos administrativos serán objeto de publicación cuando así lo establezcan las normas reguladoras de cada procedimiento o cuando lo aconsejen razones de interés público apreciadas por el órgano competente”, y establece que en todo caso se realizaran, con efectos de notificación, en los siguientes casos (ninguno de los cuales son aplicables a este supuesto):
  24. a)Cuando el acto tenga por destinatario a una pluralidad indeterminada de personas o cuando la Administración estime que la notificación efectuada a un solo interesado es insuficiente para garantizar la notificación a todos, siendo, en este último caso, adicional a la individualmente realizada.
  25. b)Cuando se trate de actos integrantes de un procedimiento selectivo o de concurrencia competitiva de cualquier tipo. En este caso, la convocatoria del procedimiento deberá indicar el medio donde se efectuarán las sucesivas C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 31/38 publicaciones, careciendo de validez las que se lleven a cabo en lugares distintos. Por tanto, no habiéndose acreditado que el lugar de la notificación se ignorase o bien intentada ésta, no se hubiese podido practicar, sino más bien lo contrario, ya que en una de las publicaciones se indica que la reclamante sí recepcionó la notificación por medios electrónicos en tiempo y forma y en el resto se indica que se procederá a tramitar la notificación a la reclamante (por lo que aún no se había realizado), no procede justificarse, como pretende la reclamada, en que la notificación mediante publicación se realizó conforme a lo dispuesto en la Disposición Adicional Séptima de la LOPDGDD, pues lo exigido en ella parte de la premisa de cuando sea necesaria la publicación de un acto administrativo. Sin embargo, en el caso que nos ocupa, de conformidad con la LPACAP no procedía tal notificación mediante publicación, sino la notificación individualizada del acto. Pero es que incluso en el supuesto de que se hubieran dado las circunstancias legales y hubiera procedido tal notificación mediante publicación, la realizada por la entidad local incumpliría igualmente la normativa aplicable, tanto la de procedimiento administrativo común como la de protección de datos, puesto que se publicaron datos excesivos (alegaciones, denuncia penal, nombre y apellidos de su abogado…). Así, para la notificación y publicación prevé la LPCAP, en el artículo 46 referido a Indicación de notificaciones y publicaciones, que “Si el órgano competente apreciase que la notificación por medio de anuncios o la publicación de un acto lesiona derechos o intereses legítimos, se limitará a publicar en el Diario oficial que corresponda una somera indicación del contenido del acto y del lugar donde los interesados podrán comparecer, en el plazo que se establezca, para conocimiento del contenido íntegro del mencionado acto y constancia de tal conocimiento.” A mayor abundamiento, cualquiera que sea la forma de notificación del acto administrativo a los interesados, el artículo 40.5 de la LPACAP establece una prevención aplicable a todos los tipos de notificaciones de las resoluciones y actos administrativos que han de realizarse en el seno del procedimiento administrativo, y ello ya se trate de notificaciones electrónicas, en papel, o mediante publicación en tablón de anuncios. Este apartado dice así: 5. Las Administraciones Públicas podrán adoptar las medidas que consideren necesarias para la protección de los datos personales que consten en las resoluciones y actos administrativos, cuando éstos tengan por destinatarios a más de un interesado. Lo anterior es consecuencia del derecho de todas las personas en sus relaciones con la Administración, conforme establece el artículo 13
  26. h)de la ley 39/2015, a la protección de datos de carácter personal, y en particular a la seguridad y confidencialidad de los datos que figuren en los ficheros, sistemas y aplicaciones de las Administraciones Públicas, lo que determina, en definitiva, la sumisión de las administraciones públicas en los tratamientos de datos que realicen a lo que prescribe el RGPD, la LOPDGDD y demás normativa en la materia que resulte de aplicación. Consecuencia de ello es que dicha “posibilidad” para la Administración (“podrá”) que establece el art. 40 en su apartado 5 no es en realidad tal, sino una verdadera obligación para la administración de agotar las medidas que preserven el derecho la protección de datos de las personas físicas que se relacionen con ella. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 32/38 El artículo 6.1 del RGPD, establece los supuestos que permiten considerar lícito el tratamiento de datos personales, y si bien puede existir habilitación para el tratamiento de los datos de la reclamante como interesada en un procedimiento en el que ha presentado alegaciones, este va a ser siempre dentro del marco legal adecuado y propio, no resultando pertinente, ni adecuado la publicación en un diario oficial de los datos completos que la identifican (su nombre y apellidos) unidos a información a ella asociada (alegaciones, información sobre la notificación, presentación de una denuncia penal con todos sus datos identificativos, nombre y apellidos de un abogado, etc). Por tanto, la publicación efectuada se ha realizado con una exposición excesiva de datos personales no limitados a lo necesario en relación con los fines para los que son tratados. De conformidad con las evidencias de las que se dispone en este momento de resolución del procedimiento sancionador, se considera que los hechos conocidos son ser constitutivos de una infracción, imputable a la Comarca, por vulneración del artículo 5.1.
  27. c)del RGPD. V Tipificación de la infracción del artículo 5.1.
  28. c)del RGPD La citada infracción del artículo 5.1.
  29. c)del RGPD supone la comisión de las infracciones tipificadas en el artículo 83.5 del RGPD que bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
  30. a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9; (…)” A este respecto, la LOPDGDD, en su artículo 71 “Infracciones” establece que “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A efectos del plazo de prescripción, el artículo 72 “Infracciones consideradas muy graves” de la LOPDGDD indica: “1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 33/38
  31. a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679. (…)” VI Sanción por la infracción del artículo 5.1.
  32. c)del RGPD El artículo 77 “Régimen aplicable a determinadas categorías de responsables o encargados del tratamiento” de la LOPDGDD dispone lo siguiente: “1. El régimen establecido en este artículo será de aplicación a los tratamientos de los que sean responsables o encargados:
  33. c)La Administración General del Estado, las Administraciones de las comunidades autónomas y las entidades que integran la Administración Local. 1. Cuando los responsables o encargados enumerados en el apartado 1 cometiesen alguna de las infracciones a las que se refieren los artículos 72 a 74 de esta ley orgánica, la autoridad de protección de datos que resulte competente dictará resolución sancionando a las mismas con apercibimiento. La resolución establecerá asimismo las medidas que proceda adoptar para que cese la conducta o se corrijan los efectos de la infracción que se hubiese cometido. (…) 5. Se comunicarán al Defensor del Pueblo o, en su caso, a las instituciones análogas de las comunidades autónomas las actuaciones realizadas y las resoluciones dictadas al amparo de este artículo. (…)” Por tanto, confirmada la citada infracción del artículo 5.1.
  34. c)del RGPD, corresponde sancionar con APERCIBIMIENTO a la Comarca. VII Artículo 32 del RGPD El Artículo 32 “Seguridad del tratamiento” del RGPD establece: “1. Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, que en su caso incluya, entre otros:
  35. a)la seudonimización y el cifrado de datos personales;
  36. b)la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento;
  37. c)la capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente físico o técnico; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 34/38
  38. d)un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento. 2. Al evaluar la adecuación del nivel de seguridad se tendrán particularmente en cuenta los riesgos que presente el tratamiento de datos, en particular como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos. 3.La adhesión a un código de conducta aprobado a tenor del artículo 40 o a un mecanismo de certificación aprobado a tenor del artículo 42 podrá servir de elemento para demostrar el cumplimiento de los requisitos establecidos en el apartado 1 del presente artículo. 4.El responsable y el encargado del tratamiento tomarán medidas para garantizar que cualquier persona que actúe bajo la autoridad del responsable o del encargado y tenga acceso a datos personales solo pueda tratar dichos datos siguiendo instrucciones del responsable, salvo que esté obligada a ello en virtud del Derecho de la Unión o de los Estados miembros”. En el presente caso se evidencia que la Comarca procede a la publicación de sus actos y acuerdos tanto en su portal de transparencia como en el correspondiente boletín oficial sin tener en cuenta previamente si contienen datos personales y si el tratamiento de éstos es acorde tanto con los límites establecidos por la normativa de transparencia -precisamente para la protección de datos personales-, como por el resto de normativa que resulta de aplicación, como son los límites y salvaguardas de la LPACAP y la propia normativa en materia de protección de datos (RGPD y LOPDGDD. Asimismo, se ha puesto de manifiesto que carecía de Delegado de Protección de Datos, a pesar de estar obligado a ello desde que el RGPD es de obligado cumplimiento -el 25 de mayo de 2018-, de conformidad con su artículo 37.1a) que determina que el responsable del tratamiento designarán uno siempre que el tratamiento lo lleve a cabo una autoridad u organismo público. Y no es hasta que recibido el traslado de la reclamación y ser requerido de información por esta Agencia, la reclamada ha procedido a designar un Delegado de Protección de Datos (comunicando a la misma su nombramiento el 23 de julio de 2021), proponer la designación de un responsable de transparencia, así como proponer la realización de un taller formativo para los empleados de la Comarca con acceso a datos personales, lo que revela una inadecuada concienciación/formación del personal sobre cómo deben tratarse los datos personales, así como la falta en general de medidas organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo del tratamiento. Todo ello pone de manifiesto que no se han valorado los riesgos para los derechos y libertades de las personas físicas en el tratamiento de sus datos personales y la falta de adopción de las medidas técnicas y organizativas apropiadas para evitar la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 35/38 comunicación o el acceso no autorizados de los datos personales, no garantizándose la confidencialidad de éstos. De conformidad con las evidencias de las que se dispone en este acuerdo de iniciación del procedimiento sancionador, y sin perjuicio de lo que resulte de la instrucción, se considera que los hechos conocidos podrían ser constitutivos de una infracción, imputable a la Comarca, por vulneración del artículo 32 del RGPD. VIII Tipificación de la infracción del artículo 32 del RGPD La citada infracción del artículo 32 del RGPD supone la comisión de las infracciones tipificadas en el artículo 83.4 del RGPD que bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 10 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 2 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
  39. a)las obligaciones del responsable y del encargado a tenor de los artículos 8, 11, 25 a 39, 42 y 43; (…)” A este respecto, la LOPDGDD, en su artículo 71 “Infracciones” establece que “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A efectos del plazo de prescripción, el artículo 73 “Infracciones consideradas graves” de la LOPDGDD indica: “En función de lo que establece el artículo 83.4 del Reglamento (UE) 2016/679 se consideran graves y prescribirán a los dos años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
  40. f)La falta de adopción de aquellas medidas técnicas y organizativas que resulten apropiadas para garantizar un nivel de seguridad adecuado al riesgo del tratamiento, en los términos exigidos por el artículo 32.1 del Reglamento (UE) 2016/679 IX Sanción por la infracción del artículo 32 del RGPD El artículo 77 “Régimen aplicable a determinadas categorías de responsables o encargados del tratamiento” de la LOPDGDD dispone lo siguiente: “1. El régimen establecido en este artículo será de aplicación a los tratamientos de los que sean responsables o encargados: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 36/38
  41. c)La Administración General del Estado, las Administraciones de las comunidades autónomas y las entidades que integran la Administración Local. 2. Cuando los responsables o encargados enumerados en el apartado 1 cometiesen alguna de las infracciones a las que se refieren los artículos 72 a 74 de esta ley orgánica, la autoridad de protección de datos que resulte competente dictará resolución sancionando a las mismas con apercibimiento. La resolución establecerá asimismo las medidas que proceda adoptar para que cese la conducta o se corrijan los efectos de la infracción que se hubiese cometido. (…) 5. Se comunicarán al Defensor del Pueblo o, en su caso, a las instituciones análogas de las comunidades autónomas las actuaciones realizadas y las resoluciones dictadas al amparo de este artículo. (…)” Por tanto, confirmada la citada infracción del artículo 32 del RGPD, corresponde sancionar con APERCIBIMIENTO a la Comarca. X Medidas Se estima adecuado ordenar que proceda a adecuar los tratamientos objeto del presente procedimiento a la normativa aplicable, de acuerdo con lo establecido en el citado artículo 58.2
  42. d)del RGPD, según el cual cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…”. La imposición de esta medida es compatible la imposición de multas, según lo dispuesto en el art. 83.2 del RGPD. En el texto de la resolución se establecen cuáles han sido los hechos que han dado lugar a la vulneración de la normativa de protección de datos, de lo que se infiere con claridad cuáles son las medidas a adoptar, sin perjuicio de que el tipo de procedimientos, mecanismos o instrumentos concretos para implementarlas corresponda a la parte sancionada, pues es quien conoce plenamente su organización y ha de decidir, en base a la responsabilidad proactiva y en enfoque de riesgos, cómo cumplir con el RGPD y la LOPDGDD. En concreto, se estima adecuado ordenar a la COMARCA para que en el plazo de 30 días proceda a eliminar de su página web ***URL.1, todos los datos personales de la reclamante cuya publicación no resulte lícita de conformidad con la normativa de aplicación. Se advierte que no atender a los requerimientos de este organismo podría ser considerado como una infracción administrativa conforme a lo dispuesto en el RGPD, tipificada como infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la apertura de un ulterior procedimiento administrativo sancionador. Por lo tanto, de acuerdo con la legislación aplicable la Directora de la Agencia Española de Protección de Datos RESUELVE: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 37/38 PRIMERO: SANCIONAR a COMARCA DE SOBRARBE, con NIF P2200135H, por una infracción del Artículo 5.1.
  43. c)del RGPD, tipificada en el Artículo 83.5 del RGPD, con APERCIBIMIENTO. SEGUNDO: SANCIONAR a COMARCA DE SOBRARBE, con NIF P2200135H, por una infracción del Artículo 32 del RGPD, tipificada en el Artículo 83.4 del RGPD, con APERCIBIMIENTO. TERCERO: ORDENAR a COMARCA DE SOBRARBE, con NIF P2200135H, para que, en el plazo de 30 días a contar desde la notificación de la presente Resolución, acredite ante esta AEPD que ha eliminado de su página web ***URL.1 toda publicación no lícita de datos personales de la reclamante. CUARTO: NOTIFICAR la presente resolución a COMARCA DE SOBRARBE. QUINTO: COMUNICAR la presente resolución al Defensor del Pueblo, de conformidad con lo establecido en el artículo 77.5 de la LOPDGDD. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
  44. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-181022 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 38/38 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.