1/5 Procedimiento Nº: PS/00066/2019 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos ante CONCEJO DE GARISOAIN., en virtud de reclamación presentada por Dña. A.A.A. (en adelante, la reclamante) y en base a los siguientes: ANTECEDENTES PRIMERO: Con fecha 20 de julio de 2018 tiene entrada en esta Agencia reclamación formulada por Dña. A.A.A. (en adelante, la reclamante) manifestando la exposición en el tablón de anuncios del Concejo de Garisoain (Navarra), de un documento en el que figura un listado de catorce personas con sus correspondientes números de DNI y firmas, entre los que se encuentra el suyo. Además, fue colocado el 10 de junio de 2018 y continúa a fecha de la reclamación, se encuentra en calle pública, por lo cual tienen acceso al mismo toda persona que pase por allí. SEGUNDO: Con fecha 10 de diciembre de 2018 y 15 de enero de 2019, se dio traslado de la reclamación presentada por la reclamante al Concejo de Garisoain para que procediese a su análisis y diera respuesta al reclamante y a esta Agencia en un mes, siendo sendas notificaciones devueltas por el servicio de correos por imposibilidad de entrega, por ausente en reparto. Anteriormente, el 27 de septiembre de 2018, se dio traslado al Ayuntamiento de Guesalaz, en cuya contestación manifiestan que la infracción la había cometido el Concejo de Garisoain, que es una entidad totalmente independiente. TERCERO: Con fecha 22 de febrero de 2019, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador al reclamado, por la presunta infracción del artículo 5.1.
- f)del RGPD, en relación con el artículo 5 de la LOPDGDD tipificada en el art. 83.5 apartado
- a)del RGPD y calificada de muy grave en el art. 72.1.
- i)de la LOPDGDD, de conformidad con lo previsto en el artículo 58.2 del RGPD siendo notificado por el servicio de correos el 1 de marzo de 2019. A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes: HECHOS PROBADOS PRIMERO: Con fecha 20 de julio de 2018, la reclamante manifiesta la exposición en el tablón de anuncios del Concejo de Garisoain (Navarra), de un documento en el que figura un listado de catorce personas con sus correspondientes números de DNI y firmas, entre los que se encuentra el suyo. Además, fue colocado el 10 de junio de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2018 y continúa a fecha de la reclamación, se encuentra en calle pública, por lo cual tienen acceso al mismo toda persona que pase por allí. SEGUNDO: Concejo de Garisoain no ha respondido al requerimiento de información de la Agencia Española de Protección de Datos, ni ha presentado alegaciones al acuerdo de inicio del presente procedimiento, pese al traslado reiterado del requerimiento realizado por esta Agencia. FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de control, y según lo establecido en el art. 47 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), la Directora de la Agencia Española de Protección de Datos es competente para iniciar y para resolver este procedimiento. II El artículo 5 apartado 1º letra
- f)RGPD “Principios relativos al tratamiento” dispone que los datos personales serán:
- f)tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas (<<integridad y confidencialidad>>). El Artículo 32 del RGPD “Seguridad del tratamiento” dispone que: 1.Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, que en su caso incluya, entre otros:
- a)la seudonimización y el cifrado de datos personales;
- b)la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento;
- c)la capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente físico o técnico;
- d)un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento. 2.Al evaluar la adecuación del nivel de seguridad se tendrán particularmente en cuenta los riesgos que presente el tratamiento de datos, en particular como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos. 3/5 3.La adhesión a un código de conducta aprobado a tenor del artículo 40 o a un mecanismo de certificación aprobado a tenor del artículo 42 podrá servir de elemento para demostrar el cumplimiento de los requisitos establecidos en el apartado 1 del presente artículo. 4.El responsable y el encargado del tratamiento tomarán medidas para garantizar que cualquier persona que actúe bajo la autoridad del responsable o del encargado y tenga acceso a datos personales solo pueda tratar dichos datos siguiendo instrucciones del responsable, salvo que esté obligada a ello en virtud del Derecho de la Unión o de los Estados miembros. El artículo 5 de la LOPDGDD “Deber de confidencialidad” dispone que: 1. Los responsables y encargados del tratamiento de datos así como todas las personas que intervengan en cualquier fase de este estarán sujetas al deber de confidencialidad al que se refiere el artículo 5.1.
- f)del Reglamento (UE) 2016/679. 2. La obligación general señalada en el apartado anterior será complementaria de los deberes de secreto profesional de conformidad con su normativa aplicable. 3. Las obligaciones establecidas en los apartados anteriores se mantendrán aun cuando hubiese finalizado la relación del obligado con el responsable o encargado del tratamiento. III En virtud de lo establecido en el artículo 58.2 RGPD, la Agencia Española de Protección de Datos, en cuanto autoridad de control, dispone de un conjunto de poderes correctivos, entre los que se encuentra la potestad para imponer multas, en el caso de que concurra una infracción de los preceptos del RGPD. El artículo 58 apartado 2º RGPD dispone lo siguiente: “Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación:
- b)sancionar a todo responsable o encargado del tratamiento con apercibimiento cuando las operaciones de tratamiento hayan infringido lo dispuesto en el presente Reglamento;
- d)ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado.
- i)imponer una multa administrativa con arreglo al artículo 83, además o en lugar de las medidas mencionadas en el presente apartado, según las circunstancias de cada caso particular. El artículo 83.5
- a)del RGPD, considera que la infracción de “los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9 “ es sancionable, de acuerdo con el apartado 5 del mencionado artículo 83 del citado Reglamento, con multas administrativas de 20.000.000€ como máximo o, tratándose de una empresa, de una cuantía equivalente al 4% como máximo del volumen de negocio total anual global del ejercicio financiero C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es anterior, optándose por la de mayor cuantía, y a efectos de prescripción, es calificada de muy grave en el art. 72.1 de la LOPDGDD. En el presente caso, se tiene en cuenta que la exposición en el tablón de anuncios del Concejo de Garisoain (Navarra), de un documento con datos de carácter personal puede suponer una omisión del deber de adoptar o de observar las medidas técnicas y organizativas que garanticen la seguridad de dichos datos, evitando su sustracción pérdida o acceso indebido; hecho que motivó el inicio del presente procedimiento sancionador. En este caso concreto, la parte denunciada deberá acreditar que ha adoptado una serie de medidas adecuadas para garantizar la seguridad y confidencialidad de los datos. Por otro lado, cabe destacar que la Disposición adicional séptima de la LOPDGDD regula la “Identificación de los interesados en las notificaciones por medio de anuncios y publicaciones de actos administrativos” y establece lo siguiente: “1. Cuando sea necesaria la publicación de un acto administrativo que contuviese datos personales del afectado, se identificará al mismo mediante su nombre y apellidos, añadiendo cuatro cifras numéricas aleatorias del documento nacional de identidad, número de identidad de extranjero, pasaporte o documento equivalente. Cuando la publicación se refiera a una pluralidad de afectados estas cifras aleatorias deberán alternarse. Cuando se trate de la notificación por medio de anuncios, particularmente en los supuestos a los que se refiere el artículo 44 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, se identificará al afectado exclusivamente mediante el número completo de su documento nacional de identidad, número de identidad de extranjero, pasaporte o documento equivalente. Cuando el afectado careciera de cualquiera de los documentos mencionados en los dos párrafos anteriores, se identificará al afectado únicamente mediante su nombre y apellidos. En ningún caso debe publicarse el nombre y apellidos de manera conjunta con el número completo del documento nacional de identidad, número de identidad de extranjero, pasaporte o documento equivalente. 2. A fin de prevenir riesgos para víctimas de violencia de género, el Gobierno impulsará la elaboración de un protocolo de colaboración que defina procedimientos seguros de publicación y notificación de actos administrativos, con la participación de los órganos con competencia en la materia.” Dado que en el presente supuesto la actuación de la entidad denunciada se encuadra en el apartado 1) de la presente disposición adicional, sería conveniente que en lo sucesivo adopten el contenido de las publicaciones a lo dispuesto en esta disposición. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, 5/5 la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: PROCEDER a APERCIBIR a CONCEJO DE GARISOAIN, por la infracción del artículo 5.1.
- f)del RGPD, en relación con el artículo 5 de la LOPDGDD; tipificada en el art. 83.5 apartado
- a)del RGPD, ordenando que proceda en virtud de lo establecido en el artículo 58.2 letra
- b)RGPD. SEGUNDO: REQUERIR al CONCEJO DE GARISOAIN que retire del tablón de anuncios del Concejo de Garisoain (Navarra), el documento con datos de carácter personal objeto de este procedimiento; además de adoptar y observar las medidas técnicas y organizativas que garanticen la seguridad de los datos, evitando su sustracción pérdida o acceso indebido; hecho que motivó el inicio del presente procedimiento sancionador; debiendo informar de ello a esta Agencia en el plazo de un mes, y en lo sucesivo ajusten el contenido de estas publicaciones a lo dispuesto en la disposición adicional séptima de la LOPDGDD. TERCERO: NOTIFICAR la presente resolución a CONCEJO DE GARISOAIN. CUART O: COMUNICAR la presente resolución al DEFENSOR DEL PUEBLO, de conformidad con lo establecido en el artículo 77.5 de la LOPDGDD. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 114.1
- c)de la LPACAP, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es