1/8 Procedimiento Nº: PS/00113/2019 938-090320 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: A.A.A. (en adelante, el reclamante) con fecha 19/10/2018 interpuso reclamación ante la Agencia Española de Protección de Datos. Los motivos en que basa la reclamación son que B.B.B., ***CARGO.1 de ***LOCALIDAD.1, publicó el 11/10/2018 a las 12:01 “desde su cuenta personal de FACEBOOK y en un grupo público” “denominado SOMOS DE ***LOCALIDAD.1”, “que a la fecha del presente escrito posee 2.179 seguidores” (***URL.1) en su perfil particular (***URL.2) una instancia administrativa que el reclamante había presentado ante el Ayuntamiento el 17/01/2018 “. “En ese escrito ( sobre petición de actuación en un vial junto a su vivienda) se encuentran perfectamente identificados todos mis datos personales (nombre y apellidos, domicilio completo, etc.), y las pretensión perseguida. Aireándose a través de las redes sociales, por el propio ***CARGO.1, cuando su conocimiento y resolución debiera haber quedado vedada a las personas intervinientes en un expediente administrativo de esa naturaleza” Manifiesta que: - “…todos los miembros de ese grupo público de esa red social tuvieron acceso a mis datos personales y al contenido del documento que yo había presentado en las oficinas del Ayuntamiento de ***LOCALIDAD.1” -“A las 14:49 horas de ese día, el Sr. B.B.B., conociendo perfectamente que había cometido esa irregularidad, borró ese primer documento y lo sustituyó por una copia parcial del mismo, donde ya no se distinguen esos datos personales. Quiero hacer constar expresamente que de ningún modo he autorizado tampoco esa segunda publicación, y que ese escrito fue realizado por mí para realizar una solicitud al Ayuntamiento y en ningún caso para que el Sr. B.B.B. haga uso particular y político de él, a título particular en una red pública y abierta.” SEGUNDO: A la vista de los hechos manifestados, se trasladó la reclamación al reclamado, B.B.B., Ayuntamiento de ***LOCALIDAD.1, para que informara: 1. Especificación clara de las causas que han motivado la incidencia que ha dado lugar a la reclamación. 2. Detalle de las medidas adoptadas por el responsable para solucionar la incidencia y para evitar que se produzcan nuevas incidencias como la expuesta. 3. Documentación acreditativa de que se ha atendido el derecho del reclamante a ser informado sobre el curso y el resultado de la presente reclamación. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/8 Contesta el 15/02/2019, el delegado de protección de datos del Ayuntamiento, manifestando que la exposición del documento con los datos se hizo a título de la persona física de B.B.B., y que el Ayuntamiento o el cargo no tiene responsabilidad ni trascendencia alguna no representando a la entidad local, considerando que lo hizo como vecino. Sobre las medidas a tomar está: -Sugerir que el reclamado cese su actividad en la red social o lo haga a título personal sin publicar documentos que puedan inducir a error en la información sobre su naturaleza o procedencia. -Que el reclamado remita una carta de disculpas al reclamante indicando la naturaleza de sus publicaciones. -Formación en relación con la nueva normativa de protección de datos especialmente para las personas que han de difundir información en redes y otros canales de difusión. En cuanto a si se ha informado al reclamante de la resolución adoptada, aportan copia de la carta que le envían, de parte del ayuntamiento, concretando que éste no tiene responsabilidad en el caso. TERCERO: Con fecha 26/02/2019, la Directora de la AEPD acuerda la admisión a trámite de la reclamación. CUARTO: Con fecha 28/11/2019, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador de APERCIBIMENTO a B.B.B., por la presunta infracción del Artículo 5.1.
- f)del RGPD, en relación con el artículo 5 de la LOPDGDD, conforme señala el artículo 83.5
- a)del RGPD. QUINTO: Notificado el citado acuerdo de inicio, el reclamado presentó escrito de alegaciones en el que, en síntesis, manifiesta: 1) Días antes, el 9/10/2018, el Grupo político del PP de ***LOCALIDAD.1 en dicha red social se atribuía la instalación de un espejo en la carretera regional frente a la bolera de ***LOCALIDAD.2, como una petición de los propios concejales realizada el 1/03/2018. Adjunta impresión de esa manifestación, que no es visible. Indica que “para aclarar esa manifestación no cierta, se expusieron los datos del reclamante.” 2) “Se estima legitima la exposición pues la actuación de seguridad vial, de interés público, tuvo su origen en la instancia del reclamante”, que además es titular de la citada bolera y de un bar abierto al público. “Los datos del reclamante son datos públicos, notorios, y se corresponden con una instalación hostelera abierta al público. La actuación de dicha instalación era una cuestión de interés público.” 3) La página “***PÁGINA.1” en FACEBOOK “de mi perfil particular” es un “vehículo de transparencia en mi gestión como ***CARGO.1 al frente del Ayuntamiento de ***LOCALIDAD.1”, “por su carácter de grupo público en el que se intenta dar por mi parte respuesta a las cuestiones de interés público planteadas por los vecinos de Penagos, y ser C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/8 un foro de debate y exposición de ideas en torno a las necesidades de la población del municipio y de las informaciones que puedan ser de interés público en torno al municipio”. SEXTO: Con fecha 5/03/2020, se formuló propuesta de resolución, proponiendo “Que por la Directora de la Agencia Española de Protección de Datos se sancione con APERCIBIMIENTO a B.B.B., por una infracción del artículo 5.1.
- a)del RGPD, conforme señala el artículo 83.5
- a)y 58.2.
- a)del RGPD.” En el plazo otorgado no se recibieron alegaciones. HECHOS PROBADOS 1) El reclamante presentó una instancia en el Ayuntamiento reclamado el 17/01/2018 sobre petición de actuación en un vial junto a su vivienda. 2) En la cuenta particular y personal de FACEBOOK del reclamado, en un grupo público” “denominado SOMOS DE***LOCALIDAD.1”, (***URL.1) en su perfil particular (***URL.2) el reclamado expuso el 11/10/2018 desde las 12,01 hasta las 14h 49 en abierto, la instancia del reclamante de 17/01/2018 conteniendo nombre y apellidos, domicilio completo, y la petición de instalación de algún elemento vial. 3) El reclamado justifica el tratamiento que dicha página de FACEBOOK sirve como foro de discusión y respuesta a las cuestiones de interés público planteadas por los vecinos de ***LOCALIDAD.1, foro de debate y exposición de ideas en torno a las necesidades de la población del municipio, con informaciones que puedan ser de interés público en torno al municipio. 4) Añade el reclamado que expuso en FACEBOOK la petición integra del reclamante con sus datos para contrarrestar las manifestaciones del grupo político del PP que se atribuía la iniciativa de haber solicitado la instalación de un espejo en un vial, en marzo de 2018 cuando fue el reclamante en una petición anterior presentada en el Ayuntamiento el que lo inició. Estima el reclamado que el conocimiento integro de los datos del reclamante que constaban en esa su solicitud de 17/01/2018 era necesario por considerarlo de interés público y que los datos eran conocidos porque es titular de un establecimiento de hostelería. FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de control, y según lo establecido en los artículos 47 y 48 de la LOPDGDD, la Directora de la Agencia Española de Protección de Datos es competente para iniciar y para resolver este procedimiento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/8 II El RGPD define en su artículo 4: 1) «datos personales»: toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona;” 2) «tratamiento»: cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción; 4) «fichero»: todo conjunto estructurado de datos personales, accesibles con arreglo a criterios determinados, ya sea centralizado, descentralizado o repartido de forma funcional o geográfica; 7) «responsable del tratamiento» o «responsable»: la persona física o jurídica, autoridad, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros; 10) «tercero»: persona física o jurídica, autoridad, servicio u organismo distinto del interesado, del responsable del tratamiento, del encargado del tratamiento y de las personas autorizadas para tratar los datos personales bajo la autoridad directa del responsable o del encargado;” El derecho fundamental a la protección de datos persigue garantizar a su titular un poder de control sobre sus datos personales, sobre su uso y destino, con el propósito de impedir su tráfico ilícito y lesivo para la dignidad y derecho del afectado. El documento presentado por el reclamante en el Ayuntamiento contiene datos cuyo responsable de gestión y custodia es el Ayuntamiento, su carácter y destino no son la difusión para conocimiento de terceros, en una cuenta de FACEBOOK particular, sino la atención del Ayuntamiento, competente para la gestión del asunto que el reclamante instó. Como ***CARGO.1, en su puesto, esta persona, que además es el reclamado puede tener acceso a dicho documento, pero se acredita que efectúa un uso meramente particular para contestar a una afirmación de otro grupo político en su cuenta de FACEBOOK privado, sin referencia alguna al Ayuntamiento o grupo político. Las cuestiones de transparencia, si es que guardan relación con la publicidad activa que se ha de exponer, han de serlo a través de los instrumentos específicamente determinados en la normativa, con los requisitos correspondientes, no estando previsto en todo caso esa divulgación oficial en el seno de FACEBOOK. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/8 Además, la presentación de una instancia por un particular para que se acometan actuaciones específicas no entra dentro de las materias que se deban exponer por completo como trasparencia activa, incluyendo los datos personales del peticionario pues no es proporcional al fin, adecuado, ni pertinente, incluso aunque tenga un bar o regente un negocio abierto al público, o sea conocido por ello. En este caso los datos iban ligados a una instancia que se registra en el Ayuntamiento por ser asunto competencia de este, no para el uso del reclamado en un medio particular cuando lo ha estimado conveniente, para lo que no tiene competencia ni facultades. Si lo que el reclamado quería era replicar que la iniciativa sobre la actuación vial había sido de un particular, no es proporcional ni adecuado ni se ajusta a normativa el tratamiento de sus datos en dicha plataforma, pudiendo por ejemplo, haber tachado datos sin que fuera visible cualquier elemento identificativo. El hecho de que el reclamante ostente establecimiento abierto al público, o que sea conocido en la zona, es indistinto a efectos de protección de datos pues el reclamado proporciona sus datos para una finalidad en un asunto publico concreto. El hecho es que esos datos están sujetos a la reserva propia que le confiere el despacho de asuntos administrativos, no para la difusión y comentarios con otros intervinientes. El uso particular del reclamado escapa al círculo de responsabilidad del Ayuntamiento como ente público. Parece claro que el ***CARGO.1 no puede utilizar los datos de terceros para defender su actuación o gestión en una red social a nivel particular, que nada tiene que ver con dicha cuestión ni con el sistema oficial de trasparencia por el que se ha de manifestar su actividad. Se desprende que en el acceso y disposición del documento obtenido y divulgado ha intervenido la voluntad exclusiva del reclamado, que técnicamente lo trata a través de la plataforma de FACEBOOK, y se produce gracias a ello, un conocimiento de terceros de sus datos que no se debió de haber dado, ni por otra parte era esperado por el reclamante. La red social FACEBOOK es una plataforma automatizada de datos, siendo en el momento de los hechos, el reclamado el que la utilizaba como herramienta de difusión de información. El hecho de que utilice la plataforma ofrecida para disfrutar de los servicios asociados a ésta no le exime de cumplir la normativa de protección de datos como responsable del tratamiento que ha llevado a cabo. Se concluye que el reclamado realiza un tratamiento de datos con una instancia que tuvo entrada en el ayuntamiento sobre un asunto de seguridad vial, y sin contar con el consentimiento del titular de los datos, y con la consiguiente sorpresa, vio expuestos sus datos, fuera de cualquier expectativa. En el presente supuesto, la libertad de expresión del reclamado, que adicionalmente ostentaba la condición de ***CARGO.1 en aquel momento, se pudo haber materializado igualmente sin dar a conocer los datos completos del reclamante. El uso de la plataforma social con fines informativos, políticos o sociales no aplica la exención de “ámbito doméstico”. En este caso, el usuario, el reclamado asume la plena responsabilidad de un responsable del tratamiento de datos que revela datos personales a C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/8 otro responsable del tratamiento de datos (SERVICIO DE RED SOCIAL, SRS) y a terceros (otros usuarios de SRS o incluso, potencialmente, a otros responsables del tratamiento de datos que tienen acceso a ellos). En tales circunstancias, el usuario necesitaría el consentimiento de la personas interesada aludida, u otra base legítima que figure en el artículo 6.1 del RGPD. En el presente supuesto, las expresiones a título particular del reclamado no responden a una actuación sometida a derecho administrativo por cuanto no actuaba desplegando competencia alguna que le venga atribuida por la norma en ese aspecto, sino que lo hace en una vía informal, emitiendo opiniones y juicios, acompañados de la instancia que presentó en el pasado el reclamante, efectuando un uso a él favorable para rebatir lo que manifestaba otro grupo político. Por responder a interés público la instalación del elemento viario, el objeto, no por ello se han de sacrificar y exponer los datos del peticionario, reclamante, no pudiendo prosperar el motivo de tratamiento de interés público. El reclamado, actuando a título particular carece de base legitima para el tratamiento que ha realizado, considerándose no lícito, por no sustentarse en base legitima alguna que se contienen en alguno de los puntos del artículo 6.1.
- a)a
- f)del RGPD En tal sentido, se procedió en la propuesta a variar la imputación al reclamado de la infracción del artículo 5.1.
- f)del RGPD, por no actuar el reclamado en este caso en el marco institucional local que es al que se le exige la toma de medidas de seguridad, y surgir, no dentro de las competencias y organización del ayuntamiento, sino a título particular en la red social FACEBOOK desde su cuenta personal, usando su perfil particular. No acreditándose que dispone el reclamado de título habilitante para el tratamiento de datos bajo cualquier perspectiva del artículo 6.1 del RGPD, ni motivo específico para el citado tratamiento llevado a cabo, se considera que la infracción se encuadra en el artículo 5.1.
- a)del RGPD que indica: Los datos personales serán:
- a)tratados de manera lícita, leal y transparente en relación con el interesado («licitud, lealtad y transparencia»); Contribuye asimismo a esta tipificación, que además, no se tratan los datos de manera leal cuando se presentan en un registro público y se extraen, publicándolos en un sistema privado como es FACEBOOK, para usos particulares que ejercita el reclamado. El reclamado debería haberse pensado si el uso que iba a dar a dichos datos confronta con la lealtad en el uso de los mismos en cuanto se dieron con una finalidad muy concreta, sin que este justificada la invasión en el derecho del reclamante. El escrito presentado por el reclamante en enero 2018 como un asunto a gestionar, es susceptible de identificar a su firmante a través de los datos que se contienen, sea en papel sea en formato electrónico. Ese documento, al cabo de nueve meses, pudiera ser que con el asunto ya resuelto o iniciado, se sube a una plataforma como FACEBOOK, voluntariamente por el reclamado, procediendo a través del mismo a darse a conocer a terceros no interesados en el procedimiento no solo el asunto sino también los datos de su presentación. El reclamado no debería utilizar documentos de gestión, de carácter público para en una página particular y a través de una plataforma a la que puede tener acceso cualquiera conocer los datos del reclamante. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/8 En cuanto al uso propio de FACEBOOK, la principal regla de uso especialmente de un cargo público es por regla general no exponer en una red social a título particular datos de carácter personal de ciudadanos referidos a presentación de sus solicitudes que le identifiquen o les hagan identificables. III El artículo 83.5
- a)del RGPD, considera que la infracción de “los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9” es sancionable, con multas administrativas de 20.000.000 € como máximo o, tratándose de una empresa, de una cuantía equivalente al 4% como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía.” El artículo 58.2 del RGPD indica: ”Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación:
- b)sancionar a todo responsable o encargado del tratamiento con apercibimiento cuando las operaciones de tratamiento hayan infringido lo dispuesto en el presente Reglamento;
- d)ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado; El considerando 148 del RGPD indica que a efectos de imponer la medida correctiva adecuada, debe prestarse especial atención a la naturaleza, gravedad y duración de la infracción, o a cualquier infracción anterior pertinente, y a cualquier otra circunstancia agravante o atenuante. Para las personas físicas, en lugar de sanción mediante multa puede imponerse un apercibimiento. En este caso, la divulgación de los datos acontece durante escasas tres horas, aplicándose la medida de apercibimiento. Por lo tanto, de acuerdo con la legislación aplicable y acreditándose la existencia de la infracción, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a B.B.B., por una infracción del artículo 5.1.
- a)del RGPD, conforme señala el artículo 83.5a) del RGPD, una sanción de APERCIBIMIENTO, de acuerdo con el artículo 58.2.
- b)del RGPD . SEGUNDO: NOTIFICAR la presente resolución a B.B.B. TERCERO: De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/8 arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es