← España

PS-00103-2021

1/9  Expediente Nº: PS/00103/2021 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: A.A.A. (en adelante, la reclamante) con fecha 15 de enero de 2020 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra B.B.B., C.C.C. y D.D.D. y la cuenta de FACEBOOK (FB en lo sucesivo) denominada: "***CUENTA.1" . Aporta copia impresa de los mensajes de FB de la cuenta de nombre;” B.B.B.-con D.D.D. y C.C.C.”, y el comentario: “Negligencia? Dolo? Prevaricación??, impresa lleva fecha 14/01/2020, y a continuación se hace eco con la impresión de: “(…)”, de un mensaje del día que indica: “Hoy los ***CARGO.1 de Gomezserracín hemos solicitado al secretario y alcalde de este Ayto. el informe sobre el cual el Alcalde…” y se ve el anexo de una “solicitud de documentación” en la que figura la petición hecha por las tres personas referidas, que se identifican como ***CARGO.1 en el citado Ayuntamiento. En la parte expositiva, la única visible, es donde se indica que han tenido conocimiento de la resolución aprobando la contratación laboral de la reclamada, identificándola con nombre y apellidos. Aluden a que “han tenido conocimiento a través de la plataforma GESTIONA-a la que como ***CARGO.1 de este Ayuntamiento tenemos derecho de acceso-.” SEGUNDO: Con fecha 4/02/2020 se accede por Inspección a FB, título: “***CUENTA.1”, (…), y en información figura “hemos creado un espacio donde vamos a intentar dar toda la información disponible y publicar con total transparencia sobre temas y actividades importantes de nuestro municipio. ***CARGO.1 del Ayuntamiento de Gomezserracín” En la citada página se expone: -El documento denominado “solicitud de información “ con los datos de los que lo solicitan, los tres ***CARGO.1 y se ve integro el documento de solicitud de documentación dirigida al Ayuntamiento, firmado el 13/01/2020. Se pide acceso a diversos puntos de la contratación. Por otro lado, también figura la nota “(…) 13 de enero” con: “hoy los ***CARGO.1 del Partido Popular de Gomezserracín hemos solicitado al Secretario un contrato indefinido como ***PUESTO.1 muy necesario en su opinión.”, aludiendo a los principios de merito, capacidad y publicidad y “Hoy nos han asegurado el secretario… que no existe tal informe jurídico económico. Seguiremos adelante”. El mensaje figura “dos veces compartido”. En “personas que han compartido esto” consta en la misma página de “***CUENTA.1”: “B.B.B. con D.D.D. y C.C.C., las otras dos persoC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/9 nas reseñadas, con el añadido Negligencia? Dolo? Prevaricación??, integrando la “solicitud de documentación “ TERCERO La reclamación es trasladada al GRUPO MUNICIPAL POPULAR EN EL AYUNTAMIENTO DE GOMEZSERRACÍN el 20/02/2020, a la dirección del Ayuntamiento Con fecha 18/05/2020, se recibe escrito del Ayuntamiento de GOMEZSERRACÍN, manifestando: -“Con fecha 6/03/2020 se registra en el Ayuntamiento de Gomezserracín, documento de Dña. B.B.B., C.C.C. y D. D.D.D., ***CARGO.1 del Partido Popular del Ayuntamiento de Gomezserracín, sobre traslado de notificación recibida de la Agencia Española de Protección de Datos con fecha 24/02/2020, dirigida al “GRUPO MUNICIPAL POPULAR EN EL AYUNTAMIENTO DE GOMEZSERRACÍN”, “Se aprecia que la notificación de la AEPD la recibe Dña. B.B.B., en su domicilio particular, como ***CARGO.2 del Grupo Municipal Popular en el Ayuntamiento de Gomezserracín.” -“El escrito de los ***CARGO.1, remite al Ayuntamiento el requerimiento que la AEPD les ha enviado a ellos como parte principal y única del proceso de investigación que dicha Agencia tiene en curso, con la intención de que sea el propio Ayuntamiento quien justifique o remita información a la AEPD, cuando esta entidad no está incursa en dicho proceso abierto por la AEPD.” -“Las personas denunciadas en el escrito que remite la AEPD son los ***CARGO.1 en la oposición del Ayuntamiento de Gomezserracín, y en su nombre y al que va dirigida la reclamación, “GRUPO MUNICIPAL POPULAR EN EL AYUNTAMIENTO DE GOMEZSERRACÍN”. “El Ayuntamiento de Gomezserracín no es parte, ni en la denuncia presentada ante la AEPD por el reclamante puesto que no es parte denunciada, ni de la reclamación que dicha Agencia realiza en el expediente número de referencia E/01516/2020 y que va dirigida exclusivamente al “GRUPO MUNICIPAL POPULAR EN EL AYUNTAMIENTO DE GOMEZSERRACÍN” Aporta escrito denominado “traslado de notificación” en el que con fecha 6/03/2020, los tres ***CARGO.1 en el Ayuntamiento se dirigen a este. En el escrito se indica:

  1. a)La solicitud de información se les entregó desde el Ayuntamiento a través del personal de correos al domicilio particular de la ***CARGO.2 del grupo político, y que dicha notificación va dirigía al Grupo Popular del Ayuntamiento y en su caso al responsable o delegado de protección de datos del Ayuntamiento
  2. b)”Piden que “sea informado y gestionado por el Secretario Intervención del Ayuntamiento como Delegado de Protección de Datos y remita toda la información solicitada a la Agencia “ CUARTO: Con fecha 3/06/2020 se acordó la admisión a tramite de la reclamación. QUINTO: Con fecha 5/05/2021, la Directora de la AEPD acordó: “INICIAR PROCEDIMIENTO SANCIONADOR de apercibimiento a GRUPO MUNICIPAL POPULAR EN EL AYUNTAMIENTO DE GOMEZSERRACÍN, (SEGOVIA), C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/9 por la presunta infracción de los artículo 32 y 5.1.
  3. f)del RGPD, de conformidad con el artículo 83.4.
  4. a)y 83.5.
  5. a)del RGPD.” El acuerdo fue entregado a la ***CARGO.2 del PP, y no se reciben alegaciones. SEXTO: Con fecha 21/12/2021 se emite propuesta de resolución del literal: “PRIMERO: Que por la Directora de la Agencia Española de Protección de Datos se sancione a GRUPO MUNICIPAL POPULAR EN EL AYUNTAMIENTO DE GOMEZSERRACÍN, con NIF G28570927, por infracciones del: - artículo 32 del RGPD, de conformidad en el artículo 83.4.
  6. a)del RGPD, y a efectos de prescripción en el artículo 73.
  7. f)de la LOPDGDD, y del - artículo 5.1.
  8. f)del RGPD, de conformidad en el artículo 83.5.
  9. a)del RGPD, y a efectos de prescripción en el artículo 72.1.
  10. a)del RGPD. SEGUNDO: Que por la Directora de la Agencia Española de Protección de Datos se proceda a imponer a GRUPO MUNICIPAL POPULAR EN EL AYUNTAMIENTO DE GOMEZSERRACÍN en el plazo que se determine, la adopción de las medidas necesarias para adecuar a la normativa de protección de datos personales las operaciones de tratamiento que realiza, con el alcance expresado en los Fundamentos de Derechos de esta propuesta de resolución” No se recibieron alegaciones. SÉPTIMO: De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS PRIMERO: La reclamante reclama que en la cuenta de FACEBOOK (FB) de B.B.B.- con D.D.D. y C.C.C.”, a 14/01/2020, figuran referencias a sus datos-nombre y apellidos-, al exponer el comentario de “(…)” que anexa una solicitud de documentación al Ayuntamiento, viéndose el escrito con sus datos. SEGUNDO: Con fecha 4/02/2020 se accedió por Inspección a FB, título: “***CUENTA.1”, “(…)”, y en información, figura “hemos creado un espacio donde vamos a intentar dar toda la información disponible y publicar con total transparencia sobre temas y actividades importantes de nuestro municipio. ***CARGO.1 del Ayuntamiento de Gomezserracín”. En la citada página se expone: -El documento denominado “solicitud de información “con los datos identificativos de los que lo solicitan, los tres ***CARGO.1 ( y se ve integro el documento de solicitud de documentación dirigida al Ayuntamiento, firmado el 13/01/2020). Se en ese escrito acceso a diversos aspectos relacionados con la contratación de un puesto de trabajo de carácter laboral para la reclamada Por otro lado, también figura el comentario: “hoy los ***CARGO.1 del Partido Popular de Gomezserracín hemos solicitado al Secretario un contrato indefinido como ***PUESTO.1 muy necesario en su opinión.”, aludiendo a los principios de merito, capacidad y publiciC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/9 dad y “Hoy nos han asegurado el secretario… que no existe tal informe jurídico económico. Seguiremos adelante”. El mensaje figura “dos veces compartido”. En “personas que han compartido esto” consta en la misma página de “***CUENTA.1”: “B.B.B. con D.D.D. y C.C.C., las otras dos personas reseñadas, con el añadido Negligencia? Dolo? Prevaricación??, integrando la “solicitud de documentación “. TERCERO: Se desconoce si se han quitado en ambas cuentas de FB los datos que identifican a la reclamante. FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de control, y según lo establecido en los arts. 47 y 48.1 de la LOPDGDD, la Directora de la Agencia Española de Protección de Datos es competente para resolver este procedimiento. II Se imputa al GRUPO MUNICIPAL POPULAR en el Ayuntamiento de Gomezserracín, una infracción del artículo 32 del RGPD, que indica: “1. Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, que en su caso incluya, entre otros:
  11. a)la seudonimización y el cifrado de datos personales;
  12. b)la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento;
  13. c)la capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente físico o técnico;
  14. d)un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento. 2. Al evaluar la adecuación del nivel de seguridad se tendrán particularmente en cuenta los riesgos que presente el tratamiento de datos, en particular como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/9 4. El responsable y el encargado del tratamiento tomarán medidas para garantizar que cualquier persona que actúe bajo la autoridad del responsable o del encargado y tenga acceso a datos personales solo pueda tratar dichos datos siguiendo instrucciones del responsable, salvo que esté obligada a ello en virtud del Derecho de la Unión o de los Estados miembros.” El Considerando 74 del RGPD indica: “Debe quedar establecida la responsabilidad del responsable del tratamiento por cualquier tratamiento de datos personales realizado por él mismo o por su cuenta. En particular, el responsable debe estar obligado a aplicar medidas oportunas y eficaces y ha de poder demostrar la conformidad de las actividades de tratamiento con el presente Reglamento, incluida la eficacia de las medidas. Dichas medidas deben tener en cuenta la naturaleza, el ámbito, el contexto y los fines del tratamiento así como el riesgo para los derechos y libertades de las personas físicas.” El envío del traslado de la reclamación que se hizo al Grupo municipal solicitaba explicaciones al mismo, o a su DPD, por lo que no procede desviar la responsabilidad o la respuesta al DPD del Ayuntamiento que no tiene nada que ver con la exposición de datos de la persona de la reclamante, como claramente se deduce del traslado de la misma reclamación que se acompañaba. El reclamado debería disponer de unas normas de seguridad y tratamiento de datos para que a través del conocimiento que de los mismos tiene, por el ejercicio de sus funciones políticas, no los exponga de modo innecesario, desproporcionado o con falta de confidencialidad como ha sido el presente caso, y atendiendo el derecho de protección de datos del que es titular la reclamante. III Se imputa al GRUPO MUNICIPAL POPULAR en el Ayuntamiento de Gomezserracín una infracción del artículo 5.1.
  15. f)del RGPD: “Los datos personales serán: “tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»).” La LOPDGDD señala en su artículo 5: “1. Los responsables y encargados del tratamiento de datos así como todas las personas que intervengan en cualquier fase de este estarán sujetas al deber de confidencialidad al que se refiere el artículo 5.1.
  16. f)del Reglamento (UE) 2016/679” En principio, la reclamante nada tiene que ver en la decisión del Ayuntamiento de aprobar la contratación. Pudiera, eventualmente haberse cometido alguna irregularidad en el expediente, pero no procede la exposición en abierto de los datos de la reclamante en la petición de documentación que se hace. Los mismos fines de trasparencia podían haber sido obtenidos no exponiendo los datos de la reclamante, o tachándolos del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/9 documento expuesto, considerando que los accesos por Ley de trasparencia a datos personales deben ser imprescindibles y de interés publico el conocimiento de dicha persona, elementos que en este caso no concurren. Es decir, no era necesario ni proporcional exponer esos datos No resulta proporcional y se invade el espacio de intimidad y reserva de disposición de datos de su titular, al no ser necesarios para el fin que se busca, poner en duda la forma de actuar del ayuntamiento. La reclamante no tiene porque sufrir los daños en forma de ver publicados sus datos en dicho documento. El Grupo municipal en su actividad de control político accede a una información del Ayuntamiento, exponiendo en abierto en red social los datos de la reclamante, administrada, que supone una intromisión en su derecho sin necesidad ni proporcionalidad. IV El artículo 83.4
  17. a)del RGPD indica: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 10 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 2 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
  18. a)Las obligaciones del responsable y del encargado a tenor de los artículos 8, 11, 25 a 39, 42 y 43;” La LOPDGDD establece a efectos de prescripción en su artículo 73.
  19. f)del RGPD: “En función de lo que establece el artículo 83.4 del Reglamento (UE) 2016/679 se consideran graves y prescribirán a los dos años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes: “
  20. f)La falta de adopción de aquellas medidas técnicas y organizativas que resulten apropiadas para garantizar un nivel de seguridad adecuado al riesgo del tratamiento, en los términos exigidos por el artículo 32.1 del Reglamento (UE) 2016/679.” Mientras que el artículo 83.5
  21. a)del RGPD, indica: “5. Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
  22. a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9;” La LOPDGDD establece a efectos de prescripción el plazo de tres años y la califica como muy grave, en su artículo 72.1.
  23. a)del RGPD, indicando: “infracciones que supongan una C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/9 vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
  24. a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679.” V El artículo 58.2 del RGPD dispone: “Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación: “
  25. b)dirigir a todo responsable o encargado del tratamiento con apercibimiento cuando las operaciones de tratamiento hayan infringido lo dispuesto en el presente Reglamento;” “
  26. d)ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado;” El artículo 83.7 del RGPD indica: “Sin perjuicio de los poderes correctivos de las autoridades de control en virtud del artículo 58, apartado 2, cada Estado miembro podrá establecer normas sobre si se puede, y en qué medida, imponer multas administrativas a autoridades y organismos públicos establecidos en dicho Estado miembro” El ordenamiento jurídico español ha optado por no sancionar con multa a las entidades públicas, tal como se indica en el artículo 77.1.
  27. c)y 2. 4. 5. y 6. de la LOPDDGG: “1. El régimen establecido en este artículo será de aplicación a los tratamientos de los que sean responsables o encargados:
  28. k)Los grupos parlamentarios de las Cortes Generales y las Asambleas Legislativas autonómicas, así como los grupos políticos de las Corporaciones Locales. 2. Cuando los responsables o encargados enumerados en el apartado 1 cometiesen alguna de las infracciones a las que se refieren los artículos 72 a 74 de esta ley orgánica, la autoridad de protección de datos que resulte competente dictará resolución sancionando a las mismas con apercibimiento. La resolución establecerá asimismo las medidas que proceda adoptar para que cese la conducta o se corrijan los efectos de la infracción que se hubiese cometido. La resolución se notificará al responsable o encargado del tratamiento, al órgano del que dependa jerárquicamente, en su caso, y a los afectados que tuvieran la condición de interesado, en su caso. 4. Se deberán comunicar a la autoridad de protección de datos las resoluciones que recaigan en relación con las medidas y actuaciones a que se refieren los apartados anteriores. 5. Se comunicarán al Defensor del Pueblo o, en su caso, a las instituciones análogas de las comunidades autónomas las actuaciones realizadas y las resoluciones dictadas al C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/9 amparo de este artículo. 6. Cuando la autoridad competente sea la Agencia Española de Protección de Datos, esta publicará en su página web con la debida separación las resoluciones referidas a las entidades del apartado 1 de este artículo, con expresa indicación de la identidad del responsable o encargado del tratamiento que hubiera cometido la infracción.” De acuerdo con el artículo 58.2
  29. d)del RGPD, en combinación con el artículo 77.2 de la LOPDGDD, que indica la adopción en la resolución de “las medidas que proceda adoptar para que cese la conducta o se corrijan los efectos de la infracción que se hubiese cometido” se perfila por un lado una primera referencia, que supondría una acomodación de las operaciones de tratamiento para la finalidad establecida con la instauración de un protocolo que no de lugar a la exposición en abierto de datos de vecinos y ciudadanos en los cuestionamientos de las actuaciones de la contraparte, sin base jurídica para su tratamiento, mientras que en el segundo aspecto, se centraría en la pronta regularización o corrección de efectos de la infracción que pasaría por la supresión de los datos de la reclamante. Se desconoce si se ha cumplido con alguna de las dos. En todo caso, el incumplimiento de las resoluciones de la autoridad de control a tenor del artículo 58.2 d), se sancionaría de acuerdo con lo que establece el artículo 83.6 del RGPD. Por lo tanto, de acuerdo con la legislación aplicable, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DIRIGIR un apercibimiento a GRUPO MUNICIPAL POPULAR EN EL AYUNTAMIENTO DE GOMEZSERRACIN, (Segovia) NIF G28570927, por una infracción del artículo 32 del RGPD y otra del artículo 5.1.
  30. f)de la misma norma, de conformidad con los artículos 83.4
  31. a)y 83.5 a), tipificada en los artículos 73.
  32. f)y 72.1.
  33. a)de la LOPDGDD. SEGUNDO: ORDENAR a GRUPO MUNICIPAL POPULAR EN EL AYUNTAMIENTO DE GOMEZSERRACIN de acuerdo con lo dispuesto en el artículo 58.2
  34. d)del RGPD, y 77.2 de la LOPDGDD, que, en el plazo de un mes, adopte como medidas adecuadas para ajustar sus actuaciones a la normativa de protección de datos personales, los protocolos para la obtención de los resultados sugeridos en los fundamentos de derecho II y V, y se acredite la supresión de los datos de la reclamante. TERCERO: NOTIFICAR la presente resolución a GRUPO MUNICIPAL POPULAR EN EL AYUNTAMIENTO DE GOMEZSERRACIN (Segovia). CUARTO: COMUNICAR la presente resolución al DEFENSOR DEL PUEBLO, de conformidad con lo establecido en el artículo 77.5 de la LOPDGDD. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/9 Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
  35. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-231221 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.