1/9 Expediente N.º: EXP202307231 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes HECHOS PRIMERO: A.A.A. (en adelante, la parte reclamante) con fecha 18 de abril de 2023 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra el AYUNTAMIENTO DE ALCOBENDAS con NIF P2800600E. Los motivos en que basa la reclamación son los siguientes: Reclamación relacionada con la recepción de un mensaje de correo electrónico de fecha 18/4/23 remitido a una pluralidad de destinatarios sin haber hecho uso de la funcionalidad CCO. El mensaje, a priori, está destinado exclusivamente al afectado, dado que se refiere a un asunto que exclusivamente le compete a él, como es la denegación de una autorización para estacionar su vehículo, que aparece identificado por la matrícula, en la zona verde de Alcobendas. Sin embargo, el mensaje se ha remitido a decenas de destinatarios. Junto a la notificación se aporta captura de pantalla del mail con la pluralidad de destinatarios sin función de copia oculta, así como nombre y apellido del reclamante, dirección y matrícula de su vehículo. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la entidad Valoriza Servicios Medioambientales, S.A. (en adelante VSM), como encargado del tratamiento que realiza la gestión de los permisos de aparcamiento regulado en zona verde, en el municipio madrileño de Alcobendas, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 05/06/2023 como consta en el acuse de recibo que obra en el expediente. Con fecha 28/06/2023 se recibe en esta Agencia escrito de respuesta de la empresa VSM. En este escrito da explicación sobre la incidencia que ha provocado el envío de correos electrónicos con más destinatarios de los debidos en campos sin copia oculta. Esta incidencia conlleva que queden al descubierto las direcciones de correo electrónico, junto con algunos datos adicionales, de 83 ciudadanos solicitantes del servicio de estacionamiento regulado en zona verde. El 18/04/2023, se comunica el incidente sufrido al Ayuntamiento de Alcobendas, como responsable del tratamiento, y C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/9 adicionalmente al reclamante, notificando la resolución de la incidencia una vez estuvo contenida y solventada. VSM desconoce si el Ayuntamiento de Alcobendas en su calidad de responsable del tratamiento ha realizado notificaciones adicionales a los usuarios afectados y/o a la Agencia Española de Protección de Datos en relación con el evento acontecido. TERCERO: Con fecha 18 de julio de 2023, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: En el transcurso de las actuaciones AI/0285/2023 se remite requerimiento de información al Ayuntamiento de Alcobendas y de la respuesta recibida se desprende: El Ayuntamiento indica que licitó el contrato de Servicio de regulación de aparcamiento y de grúa de la ciudad de Alcobendas y el objeto del encargo de tratamiento es para tratar por cuenta de la dirección de seguridad ciudadana del Ayuntamiento, responsable del tratamiento, los datos de carácter personal necesarios para prestar el servicio de otorgar la tarjeta de estacionamiento de residentes para el estacionamiento regulado. El Ayuntamiento ha aportado copia del informe remitido por VSM en el transcurso de las actuaciones y respecto de la comunicación a los afectados figura: En relación con la posible utilización por parte de terceros de los datos obtenidos en el incidente, el Ayuntamiento manifiesta que a la Policía Local de Alcobendas no le consta. Asimismo, no consta la indexación de los datos del correo electrónico transmitido en la incidencia ni han tenido denuncia expresa de los usuarios. Respecto sobre la recurrencia de estos hechos y número de eventos análogos acontecidos en el tiempo, no les consta que se hayan producido hechos similares. CONCLUSIONES Reclamación relacionada con la recepción de un mensaje de correo electrónico remitido a 83 destinatarios sin haber hecho uso de la funcionalidad CCO. VSM presta el servicio de gestión de las solicitudes para la obtención del permiso de aparcamiento regulado en zona verde en el municipio de Alcobendas, en calidad de encargado del tratamiento. El servicio conlleva el acceso en consulta al padrón municipal y de vehículos: Nombre, apellidos, domicilio, matrícula y pago del IVTM Las comunicaciones de aceptación o denegación de dichas solicitudes se envían a los solicitantes por medio de correo electrónico, a través del uso de un servidor de correo. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/9 El 18 de abril se realiza una actualización del sistema de Windows en el servidor de correo y se comenzó a detectar que el sistema no eliminaba a los destinatarios en cola de los emails salientes, generando que se añadieran al siguiente correo electrónico saliente y como consecuencia remitía los correos dejando al descubierto las direcciones de correo y los datos personales que contenían (nombre y primer apellido, matrícula del vehículo y domicilio postal). Una vez detectado la incidencia se cierra el servidor con la consiguiente eliminación total de la cola de destinatarios dejando detenido el servicio de correos que se reinicia el 24 de abril. No les consta utilización por terceros de los datos comprometidos en la incidencia. QUINTO: Con fecha 10 de septiembre de 2024, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, con arreglo a lo dispuesto en los artículos 63 y 64 de la LPACAP, por la presunta infracción de los artículos 5.1.
- f)y 32 del RGPD, tipificadas en el artículo 83.5.
- a)y artículo 83.4 del RGPD, respectivamente. SEXTO: Notificado el citado acuerdo de inicio conforme a las normas establecidas en la LPACAP, la parte reclamada no presentó escrito de alegaciones. SÉPTIMO: Con fecha 30 de abril de 2025 se formuló propuesta de resolución, en la que se consideraba que la parte reclamada había cometido una infracción del artículo 5.1
- f)del RGPD, tal y como se había recogido en el acuerdo de inicio de este procedimiento. Por su parte, en cuanto a la infracción del artículo 32 del RGPD, y al no haberse acreditado ausencia de medidas técnicas y organizativas de seguridad independientes de las recogidas en el artículo 5.1.f), se propone su archivo. Por otro lado, no se estimó necesario la imposición de medidas. OCTAVO: Notificado la citada propuesta de resolución conforme a las normas establecidas en la LPACAP y transcurrido el plazo otorgado para la formulación de alegaciones, no se ha recibido alegación alguna por la parte reclamada. A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes, HECHOS PROBADOS PRIMERO: La parte reclamante recibió un correo electrónico de la parte reclamada el 18/4/2023. El contenido de este correo hacía referencia a la denegación de una autorización para estacionar su vehículo, que aparece identificado por la matrícula, en las zonas verdes de residentes en Alcobendas, según la Ordenanza Reguladora de la Movilidad del Ayuntamiento de Alcobendas, municipio de su domicilio. SEGUNDO: Este correo, en el que constaba nombre y primer apellido, dirección postal y matrícula del vehículo del reclamante, se envió a una pluralidad de destinatarios, sin haber hecho uso de la funcionalidad de CCO, permitiendo que cada uno de los receptores tenga acceso a esa información que solo compete a la parte reclamante y, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/9 a su vez, que ésta tenga acceso a las direcciones de correo electrónico del resto de destinatarios, formado en su mayor parte, por el nombre y apellidos de estos. TERCERO: Junto a la notificación, se aporta captura de pantalla del mail con la pluralidad de destinatarios sin función de copia oculta, así como nombre y apellido del reclamante, dirección y matrícula de su vehículo. CUARTO: El 10 de septiembre de 2024, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del RGPD, otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la LOPDGDD, es competente para resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Cuestiones previas El artículo 4.1) del RGPD, define «dato personal» como: “toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona”. El artículo 4.2) del RGPD, define «tratamiento» como: “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción.” El artículo 4.7) del RGPD, define al «responsable del tratamiento» o «responsable» como: “la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/9 establecerlos el Derecho de la Unión o de los Estados miembros”. A su vez el artículo 4.8) del RGPD determina al «encargado del tratamiento» o «encargado» como la persona física o jurídica, autoridad pública, servicio u otro organismo que trate datos personales por cuenta del responsable del tratamiento. En el presente caso, de acuerdo con lo establecido en el artículo 4.1 y 4.2 del RGPD, consta que el AYUNTAMIENTO DE ALCOBENDAS, como responsable del tratamiento, formalizó contrato de encargo del tratamiento con VSM para la gestión de las tarjetas de aparcamiento en zona verde en el municipio de Alcobendas. Este trámite que conlleva la recogida y conservación de datos personales de personas físicas tales como nombre y apellido, DNI, dirección, correo electrónico y matrícula del vehículo. El AYUNTAMIENTO DE ALCOBENDAS realiza esta actividad en su condición de responsable del tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del RGPD. III Obligación incumplida. Artículo 5.1.
- f)del RGPD El artículo 5.1.
- f)“Principios relativos al tratamiento” del RGPD establece: “1. Los datos personales serán:
- f)tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»).” Este principio atribuye al AYUNTAMIENTO DE ALCOBENDAS, como responsable del tratamiento de datos personales, la obligación de impedir tratamientos no autorizados o ilícitos de estos datos, su pérdida o destrucción. Por lo tanto, no debería tratar datos personales si no está en disposición de garantizar la confidencialidad e integridad de éstos e impedir que un tercero acceda a datos que no le conciernen, así como evitar su pérdida o destrucción. El responsable del tratamiento está obligado a tratar los datos personales de tal modo que garantice su confidencialidad mediante la aplicación de medidas técnicas u organizativas apropiadas. Para que se produzca una vulneración del art. 5.1.
- f)del RGPD, debe de haberse producido una pérdida de confidencialidad o de integridad. En el presente caso, de la documentación obrante en el expediente se recogen hechos probados de una vulneración por parte del AYUNTAMIENTO DE ALCOBENDAS de lo dispuesto en el artículo 5.1.
- f)del RGPD, al haberse producido una falta de confidencialidad en el tratamiento de los datos de carácter personal, consecuencia de remitir un correo electrónico con información de la parte reclamante (nombre y primer apellido, matrícula del vehículo y domicilio postal) a una pluralidad de destinatarios, e información de todos ellos al resto. El principio de confidencialidad tiene como finalidad evitar que se realicen filtraciones de los datos personales no consentidas por los titulares de estos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/9 Por tanto, a la vista de lo expuesto, se considera que los hechos conocidos son constitutivos de una infracción, imputable a AYUNTAMIENTO DE ALCOBENDAS por vulneración del artículo 5.1.
- f)del RGPD. IV Tipificación y calificación de la infracción del artículo 5.1.
- f)del RGPD La vulneración del artículo 5.1.
- f)del RGPD podría suponer la comisión de la infracción tipificada en el artículo 83.5 del RGPD que bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
- a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9”. A este respecto, la LOPDGDD, en su artículo 71 “Infracciones” establece que: “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4,5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A efectos del plazo de prescripción, el artículo 72 “Infracciones consideradas muy graves” de la LOPDGDD indica: “1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
- a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679. (…)” V Imposición de sanción por la infracción del artículo 5.1.
- f)del RGPD El Artículo 83 “Condiciones generales para la imposición de multas administrativas” del RGPD apartado 7 establece: “Sin perjuicio de los poderes correctivos de las autoridades de control en virtud del artículo 58, apartado 2, cada Estado miembro podrá establecer normas sobre si se puede, y en qué medida, imponer multas administrativas a autoridades y organismos públicos establecidos en dicho Estado miembro.” Asimismo, el artículo 77 “Régimen aplicable a determinadas categorías de responsables o encargados del tratamiento” de la LOPDGDD dispone lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/9 1) El régimen establecido en este artículo será de aplicación a los tratamientos de los que sean responsables o encargados: (…)
- c)La Administración General del Estado, las Administraciones de las comunidades autónomas y las entidades que integran la Administración Local. 2. Cuando los responsables o encargados enumerados en el apartado 1 cometiesen alguna de las infracciones a las que se refieren los artículos 72 a 74 de esta ley orgánica, la autoridad de protección de datos que resulte competente dictará resolución declarando la infracción y estableciendo, en su caso, las medidas que proceda adoptar para que cese la conducta o se corrijan los efectos de la infracción que se hubiese cometido, con excepción de la prevista en el artículo 58.2.i del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016. La resolución se notificará al responsable o encargado del tratamiento, al órgano del que dependa jerárquicamente, en su caso, y a los afectados que tuvieran la condición de interesado, en su caso. 3. Sin perjuicio de lo establecido en el apartado anterior, la autoridad de protección de datos propondrá también la iniciación de actuaciones disciplinarias cuando existan indicios suficientes para ello. En este caso, el procedimiento y las sanciones a aplicar serán las establecidas en la legislación sobre régimen disciplinario o sancionador que resulte de aplicación. Asimismo, cuando las infracciones sean imputables a autoridades y directivos, y se acredite la existencia de informes técnicos o recomendaciones para el tratamiento que no hubieran sido debidamente atendidos, en la resolución en la que se imponga la sanción se incluirá una amonestación con denominación del cargo responsable y se ordenará la publicación en el Boletín Oficial del Estado o autonómico que corresponda. 4. Se deberán comunicar a la autoridad de protección de datos las resoluciones que recaigan en relación con las medidas y actuaciones a que se refieren los apartados anteriores. 5. Se comunicarán al Defensor del Pueblo o, en su caso, a las instituciones análogas de las comunidades autónomas las actuaciones realizadas y las resoluciones dictadas al amparo de este artículo. 6. Cuando la autoridad competente sea la Agencia Española de Protección de Datos, esta publicará en su página web con la debida separación las resoluciones referidas a las entidades del apartado 1 de este artículo, con expresa indicación de la identidad del responsable o encargado del tratamiento que hubiera cometido la infracción. Cuando la competencia corresponda a una autoridad autonómica de protección de datos se estará, en cuanto a la publicidad de estas resoluciones, a lo que disponga su normativa específica”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/9 Este precepto excluye la imposición de multas administrativas cuando las infracciones a las que se refieren los artículos 72 a 74 de la LOPDGDD se cometan por las categorías de responsables o encargados del tratamiento enumerados en el apartado 1 del citado artículo 77, estableciéndose que los procedimientos que tengan causa en vulneraciones de la normativa de protección de datos personales cometidas por aquellas entidades se resuelvan declarando las infracciones. VIII Adopción de medidas Confirmada la infracción del artículo 5.1.
- f)del RGPD, el citado artículo 77 de la LOPDGDD contempla que la resolución que se dicte pueda establecer las medidas que la entidad infractora deberá adoptar para que cese la conducta infractora, se corrijan los efectos de la infracción que se hubiese cometido y se lleve a cabo la necesaria adecuación a lo dispuesto en el RGPD. Así, se podrá requerir a la entidad responsable para que adecúe su actuación a la normativa de protección de datos personales, con el alcance expresado en los anteriores Fundamentos de Derecho. No obstante, en este caso, se tienen en cuenta las acciones realizadas por el Ayuntamiento de Alcobendas, que constan en el informe de actuaciones previas de investigación. Dicha entidad informó que la causa de la incidencia que ha determinado la infracción se originó al realizar una actualización del sistema de Windows en el servidor de correo, que provocó que el sistema no eliminase a los destinatarios en cola de los emails salientes, añadiéndolos al siguiente correo electrónico saliente y que, una vez detectada la incidencia se cerró el servidor con la consiguiente eliminación total de la cola de destinatarios dejando detenido el servicio de correos, que se reinició posteriormente. Así, solventada la incidencia, no se estima necesaria la imposición de medidas. Por lo tanto, de acuerdo con la legislación aplicable, la Presidencia de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR que el AYUNTAMIENTO DE ALCOBENDAS, con NIF P2800600E, ha infringido lo dispuesto en el artículo 5.1.
- f)del RGPD, infracción tipificada en el artículo 83.5.
- a)del RGPD. SEGUNDO: ARCHIVAR al AYUNTAMIENTO DE ALCOBENDAS, con NIF P2800600E, la infracción del artículo 32 del RGPD, tipificada en el artículo 83.4a) del RGPD. TERCERO: NOTIFICAR ALCOBENDAS. C/ Jorge Juan, 6 28001 – Madrid la presente resolución al AYUNTAMIENTO DE www.aepd.es sedeaepd.gob.es 9/9 CUARTO: COMUNICAR la presente resolución al Defensor del Pueblo, de conformidad con lo establecido en el artículo 77.5 de la LOPDGDD. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
- a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeaepd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-100325 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es