PS-00071-2024

1/24  Expediente N.º: EXP202309563 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: A.A.A. (en adelante, la parte reclamante), en fecha 25 de mayo de 2023, interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra el AYUNTAMIENTO DE HOYO DE MANZANARES, (en adelante, la parte reclamada), con NIF P2807200G. Los motivos en que basa la reclamación son los siguientes: Expone que como concejal sin responsabilidades de gobierno tuvo conocimiento, a través de los propios empleados del Consistorio, de la posible existencia de graves debilidades de seguridad en el AYUNTAMIENTO DE HOYO DE MANZANARES, en relación con la debida salvaguarda de la confidencialidad de los datos personales de sus trabajadores. En concreto se refiere al incumplimiento de los puestos de trabajo como “mesas limpias”, a la exposición indebida de fichas personales, partes laborales y los justificantes de los trabajadores, así como a la indebida generación y entrega de nóminas, sin garantizar su confidencialidad. Manifiesta que, mediante moción sujeta a la votación del Pleno, se solicitó la aprobación de dos puntos de trabajo: que se realizara una auditoría sobre el cumplimiento de la Ley Orgánica de Protección de Datos y Garantía de los Derechos Digitales en todos los departamentos del Ayuntamiento y que, posteriormente, se llevaran a cabo jornadas de concienciación y formación en protección de datos, para los trabajadores consistoriales. Dicha moción que fue presentada en el Pleno Ordinario, celebrado el 25 de enero de 2023, fue rechazada en votación, por mayoría. Indica que en los meses siguientes siguió con atención el desarrollo de los acontecimientos para comprobar si se habían llevado a cabo las correcciones, mejoras y formaciones necesarias y que tal y como le informaron los trabajadores, no había sido así, persistiendo medio año después, las graves carencias en la debida protección de los datos personales. Manifiesta que, habiéndose personado en la Casa Consistorial, y verificando el panel de información, sito en un área no restringida al público en general, pudo comprobar que uno de los documentos expuestos, contenía datos de carácter médico de los trabajadores. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/24 Junto a la reclamación aporta el Acta de la Sesión Ordinaria celebrada por el Pleno del Ayuntamiento de Hoyo de Manzanares, el día 25 de enero de 2023, y una fotografía del panel de información en el que aparece expuesto un documento de requerimiento de subsanación de documentación, en el que se puede observar una relación de solicitantes de ayudas con los nombres y apellidos de los solicitantes y la documentación requerida a cada uno de ellos, como por ejemplo, en una solicitud relacionada con una minusvalía, se solicita certificado de la hermana de un trabajador de no percibir pensión y la sentencia de acogida. Igualmente, en las solicitudes relacionadas con gastos médicos, se solicita el informe médico del facultativo especialista, indicando la especialidad. SEGUNDO: Como consecuencia de los hechos conocidos, en fecha 7 de julio de 2023, la Directora de la Agencia Española de Protección de Datos ordenó a la Subdirección General de Inspección de Datos (SGID) realizar las oportunas investigaciones previas con el fin de determinar una posible vulneración de la normativa de protección de datos. TERCERO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: En fecha 25/7/2023, 19/10/2023 y 7/11/2023, se solicitó por la Inspección de Datos, información y documentación en relación con los hechos denunciados, teniendo entrada, los días 18/8/2023 y 27/11/2023, escritos de respuesta del Delegado de Protección de Datos (DPD) de los que se desprende lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/24 Respecto a lo manifestado por el reclamante sobre la existencia de fallos graves a la hora de proteger y guardar la confidencialidad de sus datos personales: o o o o o C/ Jorge Juan, 6 28001 – Madrid Aportan copia del “CONTRATO DE SERVICIO DE CONSULTORÍA Y MANTENIMIENTO SOBRE PROTECCIÓN DE DATOS PERSONALES Y DESIGNACIÓN DE UNA PERSONA COMO DELEGADA DE PROTECCIÓN DE DATOS DEL AYUNTAMIENTO” firmado el 27 de enero de 2021 suscrito entre el Ayuntamiento de Hoyo de Manzanares y B.B.B.. La duración del contrato será de 24 meses contados a partir del 1 de febrero de 2021, pudiendo prorrogarse, de mutuo acuerdo, por plazo de 24 meses más, debiendo resolver expresamente el órgano de contratación. Aportan copia del Registro de Actividades de Tratamientos, el cual puede ser consultado en página Web del Ayuntamiento (https://www.hoyodemanzanares.es/wp-content/uploads/2023/08/31.registro-de-actividades_signed.pdf) Aportan Copia de dos informes del DPD sobre acceso a información concejales de 15 de enero de 2022 y sobre acceso a información a terceros a solicitud de una concejala fechado en julio de 2022. Aportan informe sobre situación de la seguridad e la información en el Ayuntamiento de junio de 2018, realizada por responsable informático a solicitud de DPD, y al objeto de ser utilizado en el primer análisis de riesgos realizado. El informe recoge las medidas seguridad implementadas a nivel físico y lógico en los servidores, el software y locales en los que se ubican. Señalan que el gestor documental utilizado es Gestiona que certifica el cumplimiento y seguimiento de normas internacionales de gestión documental según estándares y normas acreditadas y certificadas 14721, 15489, 30300, y 30301. Aportan copia del Documento de Análisis de Riesgos de la seguridad de la información y su impacto realizado sobre el Registro de Actividades de Tratamiento de Ayuntamiento de Hoyo de Manzanares, de fecha de 8 de septiembre de 2021 (versión 1.0), cuyo objeto, según recoge el documento es: “De acuerdo con la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales LOPDGDD y el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016 RGPD, establecen que, según este el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como los riesgos de gravedad y probabilidad variables para los derechos y libertades de las personas físicas, el Responsable del Tratamiento y el Encargado del Tratamiento aplicaran medidas técnicas y organizativas que sean apropiadas para garantizar un Nivel de Seguridad apropiado al Riesgo que se contemple y que debe tener en cuenta: www.aepd.es sedeaepd.gob.es 4/24 a. Capacidad para garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los Sistemas y Aplicaciones y servicios de Tratamiento. b. Capacidad para restaurar la disponibilidad y el acceso a los datos personales de forma rápida en los supuestos de Quiebras de Seguridad (incidentes de tipo físico o técnico). c. Proceso de verificación, evaluación y valoración regulares de la Eficacia de las Medidas Técnicas y Organizativas que garanticen la seguridad del Tratamiento. d. Cifrado y seudonimización de datos personales. Cuando se realiza un análisis de Riesgos se tendrá en cuenta, en particular, los siguientes aspectos: a. Las consecuencias derivadas por la perdida, destrucción o alteración, accidental o ilícita, de los datos personales conservados o transmitidos. b. El acceso No Autorizado a los datos personales. c. La comunicación No Autorizada de datos personales. Para dar cumplimiento a estos requisitos Ayuntamiento de Hoyo de Manzanares hemos realizado y documentado un Análisis de Riesgos que ha tenido en cuenta: a. Identificación, de forma metódica y calculada, de las Amenazas a las que están expuestos los datos personales. b. Las Vulnerabilidades (de equipos, sistemas y aplicaciones, personal etc.) que pueden aprovechar dichas Amenazas. c. Una estimación del daño que pudieran producir las distintas Amenazas en que de que se materialicen. d. La Probabilidad de que las Amenazas puedan ocurrir. Con todos estos datos Ayuntamiento de Hoyo de Manzanares ha realizado una estimación del Nivel de Riesgo y ha adoptado las Medidas Oportunas para gestionar los Riesgos. Dichas Medidas Oportunas se han materializado en unas Medidas de Seguridad que eliminen o reduzcan los Riesgos que se van a gestionar. 2.5. REVISIONES PERIÓDICAS El responsable del tratamiento debe revisar los riesgos identificados y debe actualizar periódicamente el análisis y gestión de riesgos de acuerdo con los nuevos riesgos identificados. La revisión se realizará al menos una vez al año, o con mayor frecuencia en caso de cambios significativos en la organización, en las operaciones de tratamiento realizadas, en la tecnología o en los medios empleados.” No consta que se hayan llevado a cabo revisiones. Como resultado del Análisis de Riesgos realizado por Ayuntamiento de Hoyo de Manzanares, no constan nuevas medidas de seguridad a implementar. Según consta en el cuadro en el que se relacionan los activos, amenazas y vulnerabilidades, se obtiene un valor de riesgo medio o bajo y poco probable de que se materialice. Consta en cada uno de estos riesgos que se decide no gestionarlo, de lo que se pudiera desprender que, con las medidas existentes, los riesgos se encuentran por debajo del umbral que han asumido aceptar. o C/ Jorge Juan, 6 28001 – Madrid Aportan copia del documento “Política Mesas Limpias, Gestión de la Documentación y Deber de Sigilo”. www.aepd.es sedeaepd.gob.es 5/24 o o Aportan un informe sobre el estado del cumplimiento del Ayuntamiento con el Esquema Nacional de Seguridad (ENS) en 2023, en el que se indica que los datos manejados en el Ayuntamiento actualmente corresponden a la categoría alta. La adecuación al ENS aún no está aprobada ni certificada. Se encuentra en proceso de preadaptación y se el informe recoge las medidas pendientes a implementar para su aprobación. Aportan copia del documento para la Gestión de la Seguridad, en el Ayuntamiento de Hoyo de Manzanares de septiembre de 2021, el cual recoge como objetivo y ámbito de aplicación:  El establecimiento de un marco organizativo y tecnológico en el Ayuntamiento.  Se entenderá la Seguridad, como un proceso integral constituido por todos los elementos técnicos, humanos y materiales y organizativos relacionados con los sistemas de información, quedando excluidas cualquier tipo de actuaciones puntuales o de tratamiento coyuntural.  Debe ser conocida y cumplida por todo el personal del Ayuntamiento, independientemente del puesto, cargo y responsabilidad dentro del mismo Respecto a lo manifestado por el reclamante sobre concienciación y formación en protección de datos para los trabajadores consistoriales. o Aportan copia del Correo electrónico de fecha de 5/2/2021 indicando a los trabajadores pueden hacer consultas al DPD. o Aportan temario del curso organizado por el DPD, externalizado a empresa al objeto de poder realizarlo en formato on line, tras solicitud del propio Ayuntamiento de que fuera impartido en esta modalidad, como aproximación de todos los trabajadores y miembros de la corporación (85 usuarios). El índice del contenido del temario es el siguiente: 1. Antecedentes 2. Novedades del RGPD 3. Derechos de los afectados 4. Responsabilidades en protección de datos 5. Medidas de seguridad 6. Notificación de incidente/brecha de datos personales 7. Buenas prácticas o Aportan certificado de trabajadores asistentes al curso celebrado el 11 y 12 de noviembre de 2022. Respecto a lo manifestado por el reclamante sobre los documentos con datos médicos expuestos en el tablón de anuncios: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/24 o o El representante del Ayuntamiento manifiesta que ha mantenido una conversación con la persona, auxiliar administrativo del Ayuntamiento, quien reconoció haber expuesto un requerimiento de documentación que faltaba en los expedientes que, por ayudas, a los empleados municipales, estaba gestionando. En la actualidad, el Ayuntamiento no cuenta con la figura del secretario municipal, y que en los últimos meses la plaza ha estado ocupada por funcionario acumulado, lo que ha podido provocar cierto vacío en el departamento. El documento contenía un requerimiento realizado a varios empleados municipales al objeto de recibir las Ayudas y Subvenciones que se contemplan en el Convenio, y que en su artículo 11 señala textualmente: “Los acuerdos adoptados por la Comisión Paritaria que supongan interpretación del convenio, deberán ser publicados en el tablón de anuncios que al efecto se determine, al objeto sean conocidos por toda la plantilla de trabajadores.” Este tenor literal se expuso sin que la persona que gestionó el expediente haya minimizado datos personales, o eliminados partes sensibles del mismo. Esta publicación está recogida en la actividad registrada con el número 27 en el Registro de Actividades de Tratamiento, Subvenciones, residiendo la legitimación de este tratamiento la Obligación Legal, Ley 38/2003, de 17 de noviembre, General de Subvenciones, que, en cuanto a la publicidad de los acuerdos, lo dispuesto en el art. 18.3: “Los beneficiarios deberán dar publicidad de las subvenciones y ayudas percibidas en los términos y condiciones establecidos en la Ley 19/2013, de 9 de diciembre, de transparencia, acceso a la información pública y buen gobierno. En el caso de que se haga uso de la previsión contenida en el artículo 5.4 de la citada Ley, la Base de Datos Nacional de Subvenciones servirá de medio electrónico para el cumplimiento de las obligaciones de publicidad.” Respecto a lo manifestado por el reclamante sobre que las nóminas se entregan sin garantizar su confidencialidad. o Desde el departamento de Recursos Humanos del Ayuntamiento de Hoyo de Manzanares se tramitan las nóminas de todos los trabajadores. Cada mes se procede a la entrega en mano, de forma personal, a cada uno de los trabajadores que conforman la plantilla. En la nómina aparecen los datos de interés, a nivel laboral de cada trabajador, como son: Nombre y apellidos, Cargo o puesto, NIF, Antigüedad, N.º Seguridad Social, Grupo de cotización. Actualmente se está implementando un “Portal del Empleado” a los que podrán acceder todos los trabajadores, mediante una clave de acceso única para cada uno, donde se pondrán a disposición todos los documentos personales de cada empleado, así como todas sus nóminas. CUARTO: En fecha 28 de mayo de 2024, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por la presunta infracción del artículo 5.1.

1. f)del RGPD, tipificada C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/24 en el artículo 83.5 del RGPD y por la presunta infracción del artículo 32 del RGPD, tipificada en el artículo 83.4 del RGPD. El acuerdo de inicio fue notificado conforme a las normas establecidas en la LPACAP, mediante notificación electrónica, siendo recibido en fecha 29 de mayo de 2024, como consta en el certificado que obra en el expediente. QUINTO: Notificado el citado acuerdo de inicio conforme a las normas establecidas en la LPACAP, en fecha 12 de junio de 2024, la parte reclamada presentó escrito de alegaciones en el que, en síntesis, manifestaba que el Ayuntamiento ya reconoció en su momento la incidencia producida, sobre la primera de las cuestiones denunciada y que, tras dicho reconocimiento, se aportó documental en la que se observaba que la persona que realizó el anuncio de subsanación de instancia, objeto de la denuncia, en el tablón para uso exclusivo de los empleados municipales, lo hizo sin consultar con sus superiores, y contraviniendo no sólo la normativa específica de Protección de Datos, sino también, la normativa legal (Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las AAPP) que tenía la obligación de conocer, en su condición de funcionario público. Que, pese a tal reconocimiento, expone que se documentó fehacientemente que el Ayuntamiento, de menos de 10.000 habitantes, y dentro de las obligaciones que la Ley le impone, ha venido realizando un esfuerzo más que considerable al objeto de cumplir con sus obligaciones, como Responsable de los tratamientos, al objeto de determinar y establecer medidas de seguridad técnicas y organizativas apropiadas que garanticen el nivel de seguridad adecuado al riesgo en función del estado de la técnica, los costes de aplicación y, la naturaleza, el alcance, el contexto y los fines del tratamiento, así como los riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas. Destaca, que, entre las medidas adoptadas, se encuentran que:  El Ayuntamiento cuenta con la figura legal del Delegado de Protección de Datos, y que éste tiene el compromiso, contractualmente, de todas las cuestiones o preguntas planteadas por cualquier trabajador municipal, o miembro de la corporación, lo que conocen todos y cada uno de ellos, pues a tal efecto se envió un correo electrónico individual, en fecha 5 de febrero de 2021.  El Ayuntamiento de Hoyo de Manzanares cumple, y ha adaptado, en sus formularios y página web, con su deber de información en materia de Protección de Datos, con sus administrados.  Existe un Registro de Actividades de Tratamiento, actualizado ya en 2024, publicado en la página web y a disposición de todos los interesados.  Constan, y se han adjuntado, dos informes específicos del Delegado de Protección de Datos, analizando la solicitud de acceso a datos personales por terceros, o concejales miembros de la corporación, cuyo incumplimiento específico es lo que ha originado la incidencia.  Se realizan análisis e informes periódicos del responsable Informático, dirigido a los miembros directivos de la Corporación, sobre la seguridad de la información, en la que se estudia y señalan las medidas adoptadas para garantizar la confidencialidad, integridad, disponibilidad y resiliencia de los Sistemas Informáticos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/24  Se realizan Análisis de Riesgos, de manera periódica, el último, en el ejercicio 2.024, sobre todos los tratamientos realizados, así como de la normativa legal en la que se asienta el consentimiento a dicho tratamiento, señalando, además, que todas las aplicaciones informáticas usadas por el Ayuntamiento (entre las que se encuentra el Gestor Documental “Gestiona”, en la que se instruyen de manera íntegra los expedientes de subvenciones -desde el registro de entrada de las solicitudes hasta su aprobación y pago- ) cuentan con una acreditación de grado nivel ALTO conforme al Esquema Nacional de Seguridad, encontrándose dicha aplicación además certificada en la Norma ISO 27001, de Seguridad de la Información.  Se ha elaborado, aprobado, y difundido, entre todos los Trabajadores y miembros de la Corporación, un Documento denominado “Política de Mesas limpias. Gestión de la Documentación, y deber de Sigilo”. De obligado conocimiento y cumplimiento.  Existe un documento para la Gestión de la Seguridad, desde el año 2021, que ahora se encuentra en fase de revisión y estudio.  Se ofrece formación voluntaria a los trabajadores y miembros de la Corporación, en materia de protección de datos, en distintas convocatorias anuales, habiéndose realizado una primera, de carácter obligatorio (85 participantes), en el año 2021. Asegura que el Ayuntamiento de Hoyo de Manzanares ha realizado, en el desarrollo de su responsabilidad proactiva, actuaciones que van más allá de las que el simple cumplimiento de tal obligación le impondría la legislación vigente, actuaciones documentadas, y que significan, y han significado, un importante esfuerzo económico y personal para esta Entidad. Asimismo, niega rotundamente, que se hayan entregado en alguna ocasión nóminas a los trabajadores sin garantizar su confidencialidad. Finalmente manifiesta que el Ayuntamiento, en el máximo esfuerzo por cumplir con sus obligaciones, en relación con la Seguridad de la Información, ha realizado un importante esfuerzo técnico y económico (disponiendo a tal objeto una parte importante de su personal y de sus recursos económicos), en revisar toda la documentación y procedimientos que en materia de protección de datos tiene aprobados (proceso en el que se haya en estos momentos), y motivo que ha fundamentado la contratación, en fecha 14 de marzo de 2024 (se adjunta Resolución de la Junta de Gobierno Local), de una empresa especializada en asesorarles, al objeto de lograr el máximo grado de cumplimiento en el ENS, sin olvidar el tamaño y recursos de los que disponen. Por último, le parece significativo señalar la circunstancia de que la reclamación no fue interpuesta por los empleados del Ayuntamiento, cuyos derechos pudieron ser vulnerados, sino, en su perfecto derecho, por un Concejal de la oposición, que a su entender, más en el espíritu de perjudicar al Ayuntamiento (o al menos al equipo de gobierno anterior), que en mejorar la calidad de los servicios que el Ayuntamiento presta, toda vez que esta reclamación se presentó directamente ante la AEPD, y no ante el propio Ayuntamiento, o ante el Delegado de Protección de Datos . SEXTO: En fecha 18 de marzo de 2025, se formuló propuesta de resolución, proponiendo: << Que por la Presidencia de la Agencia Española de Protección de Datos se declare que el AYUNTAMIENTO DE HOYO DE MANZANARES, con NIF P2807200G, ha C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/24 infringido lo dispuesto en el artículo 5.1.
2. f)del RGPD, infracción tipificada en el artículo 83.5 del RGPD y ha infringido lo dispuesto en el artículo 32 del RGPD, infracción tipificada en el artículo 83.4 del RGPD. >> La citada propuesta de resolución fue enviada, conforme a las normas establecidas en la LPACAP, mediante notificación electrónica, siendo recibida en fecha 18 de marzo de 2025, como consta en el certificado que obra en el expediente. SÉPTIMO: En fecha 26 de marzo de 2025, el Ayuntamiento de Hoyo de Manzanares presentó escrito de alegaciones a la Propuesta de Resolución, en el que se reiteran exactamente las mismas alegaciones presentadas al Acuerdo de inicio, cambiando únicamente aspectos formales en su escrito. A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes, HECHOS PROBADOS PRIMERO: Durante el mes de mayo de 2023, se realizó la publicación en el tablón de anuncios del Ayuntamiento de Hoyo de Manzanares, de un documento de requerimiento de subsanación de documentación, en el que se puede observar una relación de solicitantes de ayudas, con los nombres y apellidos de los solicitantes y la documentación requerida a cada uno de ellos, como por ejemplo, en una solicitud relacionada con una minusvalía, se solicita certificado de una hermana de un trabajador de no percibir pensión y la sentencia de acogida. Igualmente, en las solicitudes relacionadas con gastos médicos, se solicita el informe médico del facultativo especialista, indicando la especialidad. Asimismo, se publicó en el tablón de anuncios del citado Ayuntamiento, una instrucción de fichaje, firmada digitalmente por una funcionaria, pudiéndose visualizar su número de DNI. SEGUNDO: El Ayuntamiento reconoce el incidente producido, manifestando que no cuenta con la figura del Secretario Municipal, y que en los últimos meses la plaza ha estado ocupada por funcionario acumulado, lo que ha podido provocar cierto vacío en el departamento. TERCERO: El documento publicado contenía un requerimiento realizado a varios empleados municipales al objeto de recibir las ayudas y subvenciones que se contemplan en el Convenio, y que en su artículo 11 señala textualmente: “Los acuerdos adoptados por la Comisión Paritaria que supongan interpretación del convenio, deberán ser publicados en el tablón de anuncios que al efecto se determine, al objeto sean conocidos por toda la plantilla de trabajadores.” El documento se expuso sin que la persona que gestionaba el expediente hubiese minimizado datos personales, o eliminados partes sensibles del mismo. La parte reclamada justifica la publicación de tales datos personales en el cumplimiento de la obligación legal que impone Ley 38/2003, de 17 de noviembre, General de Subvenciones. CUARTO: El Ayuntamiento ha puesto en conocimiento de esta Agencia, las diferentes medidas adoptadas a los efectos de cumplir con sus obligaciones en materia de protección de datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 10/24 FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales (en adelante, LOPDGDD), es competente para resolver este procedimiento, la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Cuestiones previas El Ayuntamiento de Hoyo de Manzanares, como cualquier otra entidad pública, está obligado al cumplimiento del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos -RGPD-, y de la LO 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales -LOPDGDD- con respecto a los tratamientos de datos de carácter personal que realicen, entendiendo por dato de carácter personal, “toda información sobre una persona física identificada o identificable”. Se considera persona física identificable aquella cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona. Asimismo, debe entenderse por tratamiento “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción”. Teniendo en cuenta lo anterior, el Ayuntamiento presta una serie de servicios públicos, para los cuales trata datos de carácter personal de sus ciudadanos y empleados. Realiza esta actividad en su condición de responsable del tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del RGPD: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 11/24 «responsable del tratamiento» o «responsable»: la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros. El artículo 4 apartado 12 del RGPD define, de un modo amplio, las “violaciones de seguridad de los datos personales” (en adelante brecha de datos personales) como “todas aquellas violaciones de la seguridad que ocasionen la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos.” En el presente caso, consta una brecha de datos personales en las circunstancias arriba indicadas, categorizada como una brecha de confidencialidad, toda vez que el Ayuntamiento ha revelado información y datos de carácter personal a terceros, sin el consentimiento expreso de los titulares de dichos datos, al publicar en su tablón de anuncios, un documento de requerimiento de subsanación de documentación, en el que se puede observar una relación de solicitantes de ayudas, con los nombres y apellidos de los solicitantes y la documentación requerida a cada uno de ellos, como por ejemplo, en una solicitud relacionada con una minusvalía, se solicita certificado de una hermana de un trabajador de no percibir pensión y la sentencia de acogida. Igualmente, en las solicitudes relacionadas con gastos médicos, se solicita el informe médico del facultativo especialista, indicando la especialidad. Asimismo, consta publicado en el tablón de anuncios del citado Ayuntamiento, una instrucción de fichaje, firmada digitalmente por una funcionaria, pudiéndose visualizar su número de DNI. Este tipo de datos, así como cualquier otra información que se encuentre referida a personas físicas, tienen la consideración de dato de carácter personal, por lo que su tratamiento está sujeto a la normativa de protección de datos. Es de destacar que la categoría de datos a la que terceras personas han tenido acceso se encuentra en la categoría de especiales, según lo dispuesto en el artículo 9 del RGPD, circunstancia que supone un riesgo añadido que se ha de valorar en el estudio de gestión de riesgos y que aumenta la exigencia del grado de protección en relación con la seguridad y salvaguarda de la integridad y confidencialidad de estos datos. Dentro de los principios del tratamiento previstos en el artículo 5 del RGPD, la confidencialidad de los datos personales se garantiza en el apartado 1.
3. f)del artículo 5 del RGPD. Por su parte, la seguridad de los datos personales viene regulada en el artículo 32 del RGPD, que reglamenta la seguridad del tratamiento. III Contestación a las alegaciones al acuerdo de inicio En respuesta a las alegaciones presentadas por la entidad reclamada se debe señalar lo siguiente: Señala el Ayuntamiento que ya reconoció en su momento el incidente producido, manifestando a su vez que la persona que realizó el anuncio lo hizo sin consultar con sus superiores, contraviniendo no sólo la normativa específica de Protección de Datos, sino también, la normativa legal (Ley 39/2015, de 1 de octubre, del Procedimiento C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 12/24 Administrativo Común de las AAPP) que tenía la obligación de conocer, en su condición de funcionario público. Que, pese a tal reconocimiento, expone que ha venido realizando un esfuerzo más que considerable en cumplir con sus obligaciones, como responsable del tratamiento, al objeto de determinar y establecer medidas de seguridad técnicas y organizativas apropiadas que garanticen el nivel de seguridad adecuado al riesgo en función del estado de la técnica, los costes de aplicación y, la naturaleza, el alcance, el contexto y los fines del tratamiento, así como los riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas. Entre las medidas adoptadas, se encuentran: . El Ayuntamiento cuenta con la figura legal del Delegado de Protección de Datos, y que éste tiene el compromiso, contractualmente, de todas las cuestiones o preguntas planteadas por cualquier trabajador municipal, o miembro de la corporación, lo que conocen todos y cada uno de ellos, pues a tal efecto se envió un correo electrónico individual, en fecha 5 de febrero de 2021.  El Ayuntamiento de Hoyo de Manzanares cumple, y ha adaptado, en sus formularios y página web, con su deber de información en materia de Protección de Datos, con sus administrados.  Existe un Registro de Actividades de Tratamiento, actualizado ya en 2024, publicado en la página web y a disposición de todos los interesados.  Constan, y se han adjuntado, dos informes específicos del Delegado de Protección de Datos, analizando la solicitud de acceso a datos personales por terceros, o concejales miembros de la corporación, cuyo incumplimiento específico es lo que ha originado la incidencia.  Se realizan análisis e informes periódicos del responsable Informático, dirigido a los miembros directivos de la Corporación, sobre la seguridad de la información, en la que se estudia y señalan las medidas adoptadas para garantizar la confidencialidad, integridad, disponibilidad y resiliencia de los Sistemas Informáticos.  Se realizan Análisis de Riesgos, de manera periódica, el último, en el ejercicio 2.024, sobre todos los tratamientos realizados, así como de la normativa legal en la que se asienta el consentimiento a dicho tratamiento, señalando, además, que todas las aplicaciones informáticas usadas por el Ayuntamiento (entre las que se encuentra el Gestor Documental “Gestiona”, en la que se instruyen de manera íntegra los expedientes de subvenciones -desde el registro de entrada de las solicitudes hasta su aprobación y pago- ) cuentan con una acreditación de grado nivel ALTO conforme al Esquema Nacional de Seguridad, encontrándose dicha aplicación además certificada en la Norma ISO 27001, de Seguridad de la Información.  Se ha elaborado, aprobado, y difundido, entre todos los Trabajadores y miembros de la Corporación, un Documento denominado “Política de Mesas limpias. Gestión de la Documentación, y deber de Sigilo”. De obligado conocimiento y cumplimiento.  Existe un documento para la Gestión de la Seguridad, desde el año 2021, que ahora se encuentra en fase de revisión y estudio.  Se ofrece formación voluntaria a los trabajadores y miembros de la Corporación, en materia de protección de datos, en distintas convocatorias anuales, habiéndose realizado una primera, de carácter obligatorio (85 participantes), en el año 2021. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 13/24 Asimismo, informa de la contratación, en fecha 14 de marzo de 2024 (adjunta Resolución de la Junta de Gobierno Local), de una empresa especializada en asesorarles, al objeto de lograr el máximo grado de cumplimiento en el ENS, sin olvidar el tamaño y recursos de los que disponen. No obstante, las actuaciones de investigación desarrolladas han permitido constatar un incumplimiento de la normativa de protección de datos, toda vez que el Ayuntamiento ha revelado información y datos de carácter personal a terceros, sin el consentimiento expreso de los titulares de dichos datos, al publicar en su tablón de anuncios, un documento de requerimiento de subsanación de documentación, en el que se puede observar una relación de solicitantes de ayudas, con los nombres y apellidos de los solicitantes y la documentación requerida a cada uno de ellos, como por ejemplo, en una solicitud relacionada con una minusvalía, se solicita certificado de una hermana de un trabajador de no percibir pensión y la sentencia de acogida. Igualmente, en las solicitudes relacionadas con gastos médicos, se solicita el informe médico del facultativo especialista, indicando la especialidad. Asimismo, consta publicado en el tablón de anuncios del citado Ayuntamiento, una instrucción de fichaje, firmada digitalmente por una funcionaria, pudiéndose visualizar su número de DNI. Ello ha puesto de manifiesto una falta de medidas técnicas y organizativas (protocolos, formación, concienciación) adecuadas para garantizar un nivel de seguridad adecuado al riesgo para los derechos y libertades de las personas físicas, evaluando especialmente los riesgos que presente el tratamiento de datos, en particular, como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos (artículo 32.1 y 32.2 RGPD) En cuanto a las medidas que manifiesta haber adoptado el Ayuntamiento, aunque ello refleja una conducta positiva, no desvirtúan los hechos constatados y que son constitutivos de las infracciones imputadas, pues su vulneración ya se ha puesto de manifiesto. En consecuencia, las alegaciones deben ser desestimadas, significándose que las argumentaciones presentadas no desvirtúan el contenido esencial de las infracciones que se declaran cometidas ni suponen causa de justificación o exculpación suficiente. IV Alegaciones aducidas a la Propuesta de Resolución En relación con las manifestaciones efectuadas por el Ayuntamiento de Hoyo de Manzanares, que reproducen las alegaciones formuladas a lo largo del procedimiento sancionador, debe señalarse que ya fueron analizadas pormenorizadamente y desestimadas en los Fundamentos de Derecho de la Propuesta de Resolución, que aparece transcrita en el Fundamento de Derecho III de la presente Resolución, a la que, en aras de economía procesal, procede remitirse. V Obligación incumplida. Deber de confidencialidad. Establece el artículo 5.1.
4. f)del RGPD lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 14/24 “Artículo 5 Principios relativos al tratamiento: 1. Los datos personales serán: (…)
5. f)tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»).” En relación con este principio, el Considerando 39 del referido RGPD señala que: “[…]Los datos personales deben tratarse de un modo que garantice una seguridad y confidencialidad adecuadas de los datos personales, inclusive para impedir el acceso o uso no autorizados de dichos datos y del equipo utilizado en el tratamiento”. El principio de confidencialidad, según el mencionado artículo 5.1
6. f)del RGPD, exige la protección de datos personales contra accesos, usos y divulgaciones no autorizados. Dicho principio resulta esencial para garantizar la seguridad de los datos personales, constituyendo un pilar clave en la protección del derecho fundamental en dicho ámbito. Por el contrario, la violación de este principio puede tener consecuencias no deseadas, reflejando su importancia en el marco normativo de la protección de datos. Consta acreditado en el expediente la inserción en el tablón de anuncios del Ayuntamiento de un documento de requerimiento de subsanación de documentación, en el que se puede observar una relación de solicitantes de ayudas, con los nombres y apellidos de los solicitantes y la documentación requerida a cada uno de ellos, como, por ejemplo, en una solicitud relacionada con una minusvalía, se solicita certificado de la hermana de un trabajador de no percibir pensión y la sentencia de acogida. Igualmente, en las solicitudes relacionadas con gastos médicos, se solicita el informe médico del facultativo especialista, indicando la especialidad. Asimismo, consta publicado en el tablón de anuncios del citado Ayuntamiento, una instrucción de fichaje, firmada digitalmente por una funcionaria, pudiéndose visualizar su número de DNI. En este contexto, la manifestación realizada por la parte reclamada de que la indebida exposición de datos fue consecuencia de la negligencia de un trabajador, no exime de su responsabilidad ante tales hechos. Debe de recordarse que, en virtud del principio de responsabilidad proactiva reconocido en el propio artículo 5, el responsable del tratamiento es responsable del cumplimiento de los principios enunciados en el citado artículo, así como capaz de demostrarlo. Por tanto, garantizar los principios de protección de los datos personales y asegurar su correcto tratamiento recae en el responsable del tratamiento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 15/24 La parte reclamada justifica la publicación de tales datos personales en el cumplimiento de la obligación legal que impone Ley 38/2003, de 17 de noviembre, General de Subvenciones, que, en cuanto a la publicidad de las subvenciones, establece en su apartado 3: “Los beneficiarios deberán dar publicidad de las subvenciones y ayudas percibidas en los términos y condiciones establecidos en la Ley 19/2013, de 9 de diciembre, de transparencia, acceso a la información pública y buen gobierno. En el caso de que se haga uso de la previsión contenida en el artículo 5.4 de la citada Ley, la Base de Datos Nacional de Subvenciones servirá de medio electrónico para el cumplimiento de las obligaciones de publicidad.” A este respecto, la Ley 19/2013, de 9 de diciembre, de transparencia, acceso a la información pública y buen gobierno, establece una serie de obligaciones de publicidad activa a la que están sujetas las entidades y organismos incluidos en el ámbito de aplicación de la norma. Sin embargo, de conformidad con su artículo 5.3: “Serán de aplicación, en su caso, los límites al derecho de acceso a la información pública previstos en el artículo 14 y, especialmente, el derivado de la protección de datos de carácter personal, regulado en el artículo 15. A este respecto, cuando la información contuviera datos especialmente protegidos, la publicidad sólo se llevará a cabo previa disociación de los mismos.” No cabe duda de que los datos correspondientes al nombre, apellidos de los solicitantes de las ayudas es información que permite la identificación directa de dichas personas por lo que deben considerarse como datos personales en los términos indicados por el artículo 4 del RGPD. Especial atención merecen los datos relativos a la salud de los trabajadores. A tal respecto, el artículo 9 del RGPD relativo a las categorías especiales de datos personales establece que “Quedan prohibidos el tratamiento de datos personales que revelen el origen étnico o racial, las opiniones políticas, las convicciones religiosas o filosóficas, o la afiliación sindical, y el tratamiento de datos genéticos, datos biométricos dirigidos a identificar de manera unívoca a una persona física, datos relativos a la salud o datos relativos a la vida sexual o las orientación sexuales de una persona física.” De la lectura de dicho artículo se deriva por parte del RGPD una protección reforzada para ciertas categorías especiales de datos personales considerados particularmente sensibles, entre los cuales se encuentran los datos sobre la salud de una persona. Dichos datos requieren mayores garantías, entre otros motivos, debido a su potencialidad para ser utilizados de forma discriminatoria o perjudicial por lo que, como regla general, se requiere un nivel de exigencia más alto que para el resto de los datos personales. En el caso que nos ocupa, la divulgación conjunta de los datos de identificación junto a los datos de salud expone a los individuos a potenciales daños que justifican esta especial protección. Teniendo en cuenta dichas circunstancias, en el supuesto de infracción de este principio la gravedad es mayor, pues implica riesgos significativos para los derechos y libertades de las personas afectadas. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 16/24 A lo largo del expediente se ha apreciado la ausencia de medidas técnicas y organizativas de todo tipo, lo cual ha dado lugar de manera directa a la producción de la brecha. Así se destacan la falta de medidas a la formación de los empleados sobre cómo realizar la publicación de documentos o actos administrativos en tablones de anuncios del Ayuntamiento para que dicha publicación se realice conforme a la normativa en materia de protección de datos, así como la inexistencia de protocolos o instrucciones en esta materia por los que se determine qué actuaciones se pueden llevar a cabo, o a quién deben dirigirse en caso de duda los funcionarios a los que se les encomienden- definitiva o temporalmente- las publicaciones en el tablón de anuncios, en particular si, como señala la reclamada, no cuentan con un secretario municipal. En consecuencia, se considera que los hechos acreditados son constitutivos de una infracción, imputable a la parte reclamada, por vulneración del artículo 5.1.
7. f)del RGPD. VI Tipificación de la infracción del artículo 5.1.
8. f)del RGPD La citada infracción del artículo 5.1.
9. f)del RGPD supone la comisión de una de las infracciones tipificadas en el artículo 83.5 del RGPD que bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
10. a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9; (…)” A este respecto, la LOPDGDD, en su artículo 71 “Infracciones” establece que “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A efectos del plazo de prescripción, el artículo 72 “Infracciones consideradas muy graves” de la LOPDGDD indica: “1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
11. a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679. (…)” VII Artículo 32 del RGPD C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 17/24 El artículo 32 “Seguridad del tratamiento” del RGPD establece: “1. Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, que en su caso incluya, entre otros:
12. a)la seudonimización y el cifrado de datos personales;
13. b)la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento;
14. c)la capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente físico o técnico;
15. d)un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento. 2. Al evaluar la adecuación del nivel de seguridad se tendrán particularmente en cuenta los riesgos que presente el tratamiento de datos, en particular como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos. 3. La adhesión a un código de conducta aprobado a tenor del artículo 40 o a un mecanismo de certificación aprobado a tenor del artículo 42 podrá servir de elemento para demostrar el cumplimiento de los requisitos establecidos en el apartado 1 del presente artículo. 4. El responsable y el encargado del tratamiento tomarán medidas para garantizar que cualquier persona que actúe bajo la autoridad del responsable o del encargado y tenga acceso a datos personales solo pueda tratar dichos datos siguiendo instrucciones del responsable, salvo que esté obligada a ello en virtud del Derecho de la Unión o de los Estados miembros”. Resulta necesario señalar que el citado precepto no establece un listado de medidas de seguridad concretas de acuerdo con los datos objeto de tratamiento, sino que establece la obligación de que el responsable y el encargado del tratamiento apliquen medidas técnicas y organizativas que sean adecuadas al riesgo que conlleve el tratamiento, teniendo en cuenta el estado de la técnica, los costes de aplicación, la naturaleza, alcance, contexto y finalidades del tratamiento, los riesgos de probabilidad y gravedad para los derechos y libertades de las personas interesadas. Asimismo, las medidas de seguridad deben resultar adecuadas y proporcionadas al riesgo detectado, determinando aquellas medidas técnicas y organizativas adecuadas teniendo en cuenta la seudonimización y el cifrado, la capacidad para garantizar la confidencialidad, integridad, disponibilidad y resiliencia, la capacidad para restaurar la disponibilidad y acceso a datos tras un incidente, proceso de verificación (que no auditoría), evaluación y valoración de la eficacia de las medidas. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 18/24 En todo caso, al evaluar la adecuación del nivel de seguridad se debe tener particularmente en cuenta los riesgos que presente el tratamiento de datos, como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos y que pudieran ocasionar daños y perjuicios físicos, materiales o inmateriales. Por su parte, el considerando 83 del RGPD señala que “