← España

PS-00123-2023

1/13  Expediente N.º: EXP202203626 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: En fecha 4 de julio de 2022 se presenta una reclamación ante la Agencia Española de Protección de Datos por una posible infracción de la normativa de protección de datos de carácter personal imputable al AYUNTAMIENTO DE ***LOCALIDAD.1 con NIF ***NIF.1 (en adelante, el AYUNTAMIENTO o la parte reclamada). Los hechos que se ponen en conocimiento de esta autoridad supervisora versan sobre la lectura en un Pleno municipal celebrado el 12/03/2020 de un informe del Interventor General, que fue aportado por el alcalde como fundamento de una denuncia penal presentada contra ella y otros funcionarios por la presunta comisión de un delito, y de la denuncia presentada ante el Juzgado de Instrucción ***JUZGADO.1 de ***LOCALIDAD.1 el 05/03/2020. Afirma que, en ese trámite, se difundieron sus datos personales -NIF, nombre y apellidos y puesto desempeñado en el Ayuntamiento, así como información sobre el procedimiento penal seguido contra la parte reclamante- y que estos constan incorporados al Acta del Pleno. Subraya que a la difusión que se dio a sus datos personales a través de la lectura en el Pleno -acto público- del citado documento se añade la publicidad derivada de la retransmisión a través de la emisora de TVT ***EMISORA.1 y de Facebook. En prueba de lo manifestado aporta un certificado del Acta de la sesión extraordinaria del Pleno del Ayuntamiento celebrada el 12/03/2020, firmada electrónicamente el 13/01/2022 por el Secretario General en funciones, documento que se compone de 73 páginas. En varias páginas del documento figura incluido su NIF, su nombre y apellidos y la fecha de entrada en el registro del AYUNTAMIENTO (10 de febrero) y número de registro de entrada ( ***REFERENCIA.1) del escrito de recusación del Alcalde presentado por ella y por otros dos funcionarios más del referido AYUNTAMIENTO (páginas 13, 41 y 73 entre otras). Asimismo, se hace constar la apertura de un procedimiento penal dirigido contra ella y dos funcionarios más a raíz de una denuncia presentada por el Alcalde. En la página 14 del documento consta: <<Visto informe nº[…], de fecha 25 de febrero de 2020, suscrito por […] Directora General de Recursos Humanos de este Ayuntamiento, que dice: “Vistos los escritos de fecha 10 de febrero y número de registro de entrada […], ***REFERENCIA.1 y […] presentados por […],(...) [ nombre y dos apellidos de la parte reclamante] en los que presentan recusación para que el Alcalde se abstenga de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/13 intervenir en cualquier expediente que tramite este Ayuntamiento en el que aparezcan como interesados, alegando que el mismo los ha denunciado y como consecuencia se han abierto Diligencias Previas número ***REFERENCIA.3, que se siguen en el Juzgado de Instrucción ***JUZGADO.1 de ***LOCALIDAD.1 […]>> SEGUNDO: Como antecedente de este procedimiento cabe indicar que la parte reclamante presentó en fecha 04/02/2022 reclamación por los mismos hechos, reclamación que fue archivada mediante resolución de la Directora de la Agencia de fecha 26/05/2022. La resolución de archivo fue notificada a la parte reclamante en fecha 07/06/2022. Se interpone recurso potestativo de reposición frente al acuerdo de archivo en fecha 04/07/2022. Mediante resolución de fecha 09/03/2023 la Directora de la Agencia acuerda estimar el recurso de reposición interpuesto por la parte reclamante contra la resolución de esta Agencia dictada en fecha 26/05/2022 a fin de que prosiga la tramitación de la reclamación formulada. TERCERO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado al AYUNTAMIENTO de la reclamación presentada por la parte reclamante en fecha 04/02/2022 para que procediese a su análisis e informase a esta Agencia en el plazo de un mes de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El AYUNTAMIENTO responde en escrito presentado el 26/04/2022 en los siguientes términos: -Respecto a la decisión adoptada a propósito de la reclamación expone que recibida se llevaron a cabo estas actuaciones: Comprueban que el acta de la sesión extraordinaria del pleno del Ayuntamiento celebrada el 12/02/2020 no figuraba publicada en la página web del Ayuntamiento ni en ningún otro medio y si se puede localizar mediante motores de búsqueda. -Que “se ha comprobado que los datos personales han sido indebidamente incluidos en el acta de dicho pleno, causando esto un descuido sobre el tratamiento de dichos de datos personales, provocando dicho descuido la falta de experiencia en el manejo de la situación vivida en relación a la recusación del Alcalde de este Ayuntamiento y, por diferentes motivos, no contar en el momento de dicha convocatoria extraordinaria del Pleno así como de su acta correspondiente con un servicio de Delegado de Protección de Datos y tener vacante la plaza de dirección de la Asesoría Jurídica, circunstancias superadas a fecha presente mediante la contratación de ambas figuras.” -Que “lo habitual y reiterado es seudonimizar o no mencionar los datos de carácter personal cumpliendo el deber legal establecido en el artículo 70 de la Ley 7/1985, de 2 de abril, reguladora de las bases del Régimen Local y en el artículo 229 del Reglamento de Organización, Funcionamiento y Régimen Jurídico de las Entidades Locales. Por ello se ha concluido que se realizó dicha inclusión de dichos datos personales en dicha acta sin intención alguna, siendo la incidencia ocasionada por un error humano aislado.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/13 -Que “Tal y como indica también esta Agencia de Protección de datos en su Guía Sectorial relativa a la Administración Local, la publicación de las actas de los plenos municipales será conforme a la normativa de protección de datos cuando:

  1. a)Los datos de carácter personal que contengan las mismas se refieren a actos debatidos en el Pleno o a disposiciones objeto de publicación en el Boletín Oficial que corresponda (sin perjuicio del ejercicio del derecho de oposición o cancelación de los afectados);
  2. b)En los demás supuestos, para realizar la publicación de las actas conteniendo datos de carácter personal, será necesario el consentimiento previo de los afectados. En relación a los plenos y la grabación y difusión de los mismos, además de las dos consideraciones anteriores, se tendrá que tener en cuenta las limitaciones establecidas por el artículo 70 de la Ley de Bases de Régimen Local cuando el Pleno, por mayoría absoluta, y tratándose derechos protegidos por el artículo 18.1 de la Constitución, acuerde que el debate y votación de estos asuntos sean secretos, en cuyo caso no se podrá grabar ni difundir esta parte del Pleno, siendo, además, quien graba y posteriormente publica las citadas grabaciones, el responsable del cumplimiento de las obligaciones impuestas por el RGPD. […] Además, hay que tener en cuenta que se trata de una materia en la que confluyen el principio de transparencia y el libre acceso a la información, con el de protección de datos, y el extracto que sí ha de ser publicado es prueba de ello. -Sobre las medidas adoptadas a raíz de la reclamación presentada indica que en cuanto ha sido detectado dicho error, se han puesto en marcha mecanismos para que no vuelva a suceder el mismo. Las medidas para evitar que se produzcan incidencias similares se concretan en contar con un servicio externalizado de Delegado de Protección de Datos, una Asesoría Jurídica cuya plaza de director está ocupada en propiedad desde julio de 2020 y un conjunto de actuaciones formativas y de concienciación que se llevarán a cabo antes de finalizar el tercer trimestre del presente ejercicio. El Ayuntamiento de ***LOCALIDAD.1 ha emprendido el proceso de adaptación al RGPD, comunicando a la Agencia Española de Protección de Datos el nombramiento del DPD en el Ayuntamiento, con fecha de registro de 1 de marzo de 2022. CUARTO: En la tramitación del recurso potestativo de reposición, con ocasión de la audiencia al AYUNTAMIENTO, éste responde el 02/03/2023 y hace, entre otras, estas manifestaciones: Que el acta del Pleno no figura publicada en el portal oficial del Ayuntamiento ni tampoco en la página web antigua del mismo, por lo que ha rechazado la supresión de sus datos personales solicitada por la parte reclamante a través del ejercicio de derechos. Dice en tal sentido: “La parte recurrente, tras el archivo de dicha reclamación por parte de la AEPD, interpuso ejercicio de derecho de rectificación de dicha acta, además de su supresión C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/13 y “derecho de olvido”, ante el cual el Ayuntamiento dio respuesta, adjuntada como documento adjunto “Respuesta_***REFERENCIA.2”, mediante el canal de contacto del Delegado de Protección de Datos del Ayuntamiento, ***EMAIL.1, resultando desestimado el pretendido ejercicio de derecho de rectificación, informando además a la recurrente de la comprobación por parte del departamento legal del Ayuntamiento de que dicha Acta del Pleno no se encuentra publicada en el portal oficial del Ayuntamiento ni tampoco en la página web antigua del mismo, no correspondiendo por tanto tampoco su supresión o disociación. En ningún momento fue desatendido dicho ejercicio del derecho, tal y como indica la recurrente.” Insiste en que “la incidencia que dio lugar a dicha reclamación ante la Agencia de Protección de Datos se produjo en una sesión extraordinaria del Ayuntamiento en Pleno, cuyo único punto del Orden del Día fue la recusación del Sr. Alcalde-presidente por tres funcionarios municipales. Se trató de una circunstancia excepcional nunca antes vivida por la Corporación ni tampoco por los funcionarios que tuvieron un papel más destacado en la tramitación del procedimiento administrativo para sustentarla.” “Por ello se concluyó por este Ayuntamiento que la inclusión de los datos de la interesada en dicha acta se debió a un error humano aislado, ya que no fue solicitado y por tanto, tampoco prestado, el consentimiento de la recurrente para incluir sus datos de carácter personal en dicha Acta del pleno, tal y como indica también esta Agencia de Protección de datos en su Guía Sectorial relativa a la Administración Local, que indica que “la publicación de las actas de los plenos municipales será conforme a la normativa de protección de datos cuando:
  3. a)Los datos de carácter personal que contengan las mismas se refieren a actos debatidos en el Pleno o a disposiciones objeto de publicación en el Boletín Oficial que corresponda (sin perjuicio del ejercicio del derecho de oposición o cancelación de los afectados);
  4. b)En los demás supuestos, que es el caso que nos ocupa, para realizar la publicación de las actas conteniendo datos de carácter personal, será necesario el consentimiento previo de los afectados”. El AYUNTAMIENTO aportó en ese trámite una copia del escrito firmado el 24/10/2022 en el que responde al ejercicio del “derecho de rectificación relativa al Acta del Pleno del día 12 de Marzo de 2020 de este mismo Ayuntamiento, […] El artículo 16 del RGPD, que recoge el ejercicio de dicho derecho, indica que: “El interesado tendrá derecho a obtener sin dilación indebida del responsable del tratamiento la rectificación de los datos personales inexactos que le conciernan. Teniendo en cuenta los fines del tratamiento, el interesado tendrá derecho a que se completen los datos personales que sean incompletos, inclusive mediante una declaración adicional.” Desde la perspectiva de la protección de los datos de carácter personal, dicha acta no contiene ningún dato inexacto que deba ser rectificado, además, hay que tener en cuenta que dicha petición de rectificación forma parte de una reclamación interpuesta ante la AEPD Expediente N.º: EXP202203626, de la que usted es parte y que la misma ha sido archivada, no siendo por tanto el cauce correcto para la rectificación de los datos contenidos en dicha Acta del Pleno. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/13 Por otra parte, queremos informarle de que el departamento legal del Ayuntamiento ha comprobado que dicha Acta del Pleno que contiene los datos indicados por usted no se encuentra publicada en el portal oficial del Ayuntamiento (www.***LOCALIDAD.1.
  5. es)ni tampoco en la página web antigua del mismo (***URL.1), no correspondiendo por tanto tampoco su supresión o disociación.” (El subrayado es nuestro) QUINTO: Obran en el expediente los siguientes documentos incorporados por la Subdirección General de Inspección de Datos: Mediante diligencia firmada el 24/01/2023 se incorpora el documento del Acta de la sesión plenaria celebrada por el Ayuntamiento en fecha 12/03/2023. Mediante diligencia firmada el 03/03/2023 se hace constar que, “con fecha de hoy, se comprueba que en el sitio web del AYUNTAMIENTO DE ***LOCALIDAD.1 consta la siguiente información:” Se incorpora una captura de pantalla obtenida desde ***URL.2” que permite acceder al acta del AYUNTAMIENTO sobre la que versa el presente procedimiento. SEXTO: En fecha 10 de marzo de 2023, por la Directora de la Agencia Española de Protección de Datos, se procede a estimar el recurso potestativo de reposición presentado por la parte reclamante. SÉPTIMO: En fecha 23 de junio de 2023, la parte reclamante presenta un escrito de ampliación de la reclamación, en el que hace referencia a las respuestas facilitadas por el Ayuntamiento de 24/10/2022 ante el ejercicio de sus derechos de rectificación y supresión en relación con el acta, que coincide con aportado por el AYUNTAMIENTO y descrito en el antecedente de hecho cuarto. OCTAVO: Con fecha 25 de febrero de 2025, la Presidencia de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por la presunta infracción del Artículo 5.1.
  6. c)del RGPD, tipificada en el Artículo 83.5.
  7. a)del RGPD. NOVENO: Notificado el citado acuerdo de inicio conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), la parte reclamada presentó el 13 de marzo de 2025 escrito que denominó alegaciones, pero en el que reconocía los hechos e informaba de las medidas adoptadas para evitar que una situación similar volviera a producirse. En síntesis, señalaba: “se ha procedido a comprobar que dicha acta de la sesión extraordinaria celebrada por el ayuntamiento en pleno el día 12 de marzo de 2020, se encontraba publicada en el portal como un documento pdf, sin firma legal del secretario. Verificando que dicho fichero pdf no ha sido anonimizado adecuadamente. Se ha procedido de manera inmediata a la despublicación de dicho documento, de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/13 forma que ha quedado fuera de todos los filtros de la web en la que estaba publicado. (…) las causas que motivaron la incidencia han sido del todo excepcionales y aisladas, concurriendo un proceso no adecuado de generación del acta sin anonimizar e igualmente un proceso de publicación que generó un documento PDF con el contenido que ha sido publicado a instancia del departamento responsable “la Secretaría General del Pleno””. Asegura, además, que la razón que motivó la publicación del acta fue la realización, en el año 2022, por parte de la Secretaría General del Pleno, de labores de mantenimiento y actualización de la información contenida en la página web en relación con las sesiones del Pleno municipal, incorporándose aquellos dossieres que no figuraban anteriormente en la web. El artículo 64.2.
  8. f)de la LPACAP -disposición de la que se informó a la parte reclamada en el acuerdo de apertura del procedimiento- establece que si no se efectúan alegaciones en el plazo previsto sobre el contenido del acuerdo de iniciación, cuando éste contenga un pronunciamiento preciso acerca de la responsabilidad imputada, podrá ser considerado propuesta de resolución. En el presente caso, el acuerdo de inicio del expediente sancionador determinaba los hechos en los que se concretaba la imputación, la infracción del RGPD atribuida a la reclamada y la sanción que podría imponerse. Por ello, tomando en consideración que la parte reclamada no ha formulado alegaciones al contenido del acuerdo de inicio del expediente y en atención a lo establecido en el precepto señalado, el citado acuerdo de inicio es considerado en el presente caso propuesta de resolución. DÉCIMO: En fecha 25 de octubre de 2025 se dicta Acuerdo de la Presidencia de la Agencia Española de Protección de Datos, mediante el que se acuerda nombrar instructora del procedimiento D./Dña. R.R.R., en sustitución de D./Dña. S.S.S., indicando que podrá ser recusado, en su caso, en cualquier momento de la tramitación del procedimiento, conforme a lo establecido en el artículo 24 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público (LRJSP) UNDÉCIMO: En fecha 28 de octubre de 2025 se accede al enlace ***URL.2 y se comprueba que el acta de la sesión del pleno, de fecha 12 de marzo de 2020, que contenía datos personales de, entre otros, la parte reclamante, ha sido sustituida por otro documento en el que ya no constan datos personales de la parte reclamante, tal y como consta mediante diligencia incorporada al expediente de fecha 29 de octubre de 2025. A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes, HECHOS PROBADOS PRIMERO: En fecha 12 de marzo de 2020 se realizó un pleno del AYUNTAMIENTO DE ***LOCALIDAD.1 en el que se debatía la recusación del alcalde, en el que se comunicaron nombre y apellidos, número de DNI de la parte reclamante, y en el que C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/13 se leyó un informe en el que se imputaba a varios trabajadores municipales la presunta comisión de varios delitos. SEGUNDO: El acta de la mencionada sesión plenaria se publicó en la página web del AYUNTAMIENTO, sin previa anonimización de los datos personales que en ella figuraban, incluidos, entre otros, el nombre, apellidos y DNI titularidad de la parte reclamante. La mencionada acta resultaba accesible a través de “***URL.3.” y ***URL.2 TERCERO: Mediante escrito de 13 de marzo de 2025, el AYUNTAMIENTO ha reconocido la publicación del acta en la página web del AYUNTAMIENTO sin previa anonimización de los datos personales en ella incluidos en los siguientes términos: “se ha procedido a comprobar que dicha acta de la sesión extraordinaria celebrada por el ayuntamiento en pleno el día 12 de marzo de 2020, se encontraba publicada en el portal como un documento pdf, sin firma legal del secretario. Verificando que dicho fichero pdf no ha sido sido anonimizado adecuadamente”. Señala como causas que produjeron los hechos: “un proceso no adecuado de generación del acta sin anonimizar e igualmente un proceso de publicación que generó un documento PDF con el contenido que ha sido publicado a instancia del departamento responsable “la Secretaría General del Pleno””. CUARTO: Mediante escrito de 13 de marzo de 2025 El AYUNTAMIENTO informa a la AEPD que ha procedido a “despublicar” el acta, de tal manera que “quede fuera de todos los filtros”. QUINTO: EN FECHA 28 de octubre de 2025 se ha accedido al enlace ***URL.2 y se ha comprobado que el acta está publicada con los datos de la parte reclamante anonimizados. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. II Procedimiento C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/13 El artículo 63.2 de la LOPDGDD determina que “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos.” III Cuestiones previas El artículo 4.1) del RGPD, define «dato personal» como: “toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona”. El artículo 4.2) del RGPD, define «tratamiento» como: “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción.” El artículo 4.7) del RGPD, define al «responsable del tratamiento» o «responsable» como: “la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros”. En el presente caso, de acuerdo con lo establecido en el artículo 4.1 y 4.2 del RGPD, consta la realización de un tratamiento de datos personales de la reclamante -nombre, dos apellidos, NIF, puesto desempeñado en el Ayuntamiento e información sobre una presunta infracción penal- toda vez que estos datos figuran recogidos en el acta del Pleno del AYUNTAMIENTO celebrada en fecha 12/03/2020. El AYUNTAMIENTO ha efectuado un tratamiento de los datos personales de la parte reclamante en calidad de responsable, pues es quien ha determinado los fines y medios de esa operación de tratamiento. IV Obligación incumplida: infracción del artículo 5.1.
  9. c)RGPD Se atribuye al AYUNTAMIENTO una infracción del artículo 5.1.
  10. c)del RGPD, precepto que dispone: “Los datos personales serán: […] C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/13
  11. c)adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados («minimización de datos»))” El artículo 5 del RGPD se refiere a los principios generales para el tratamiento de datos. En su apartado
  12. c)se hace referencia al principio de minimización de datos, indicando que los datos han de ser “adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados”. Si examinamos la definición podemos deducir que solo se pueden recabar los datos personales que se vayan a tratar, es decir, los que sean estrictamente necesarios para el tratamiento; que solo podrán ser recogidos cuando vayan a ser tratados y que solo podrán ser utilizados para la finalidad con la que fue recogida, pero no con ningún otro objetivo. Cabe traer a colación las consideraciones acerca del principio de minimización de datos realizadas por el Comité Europeo de Protección de Datos (CEPD) en las Directrices 4/2019, “relativas al artículo 25, Protección de datos desde el diseño y por defecto”, versión 2.0, de fecha 20/10/2020, adoptadas en cumplimiento de la función que el artículo 70 del RGPD le encomienda de garantizar su aplicación coherente. En el epígrafe 74 de dichas directrices se establece que: “En primer lugar, los responsables del tratamiento deben determinar si tienen siquiera necesidad de tratar datos personales para sus fines pertinentes. El responsable debe verificar si se pueden alcanzar los fines pertinentes tratando menos datos personales, o utilizando datos personales menos detallados o agregados, o sin tener que tratar datos personales en modo alguno. Dicha verificación debe tener lugar antes de cualquier tratamiento, pero también puede llevarse a cabo en cualquier momento durante el ciclo de tratamiento.” (Epígrafe 74). Y en su epígrafe 76, estas Directrices 4/2019 indican que pueden ser “Elementos esenciales desde el diseño y por defecto con respecto a la minimización de datos” entre otros, los siguientes: “. Evitación de datos: Se evitará todo tratamiento de datos personales cuando ello sea posible para cumplir la finalidad pertinente. . Limitación: Se limitará la cantidad de datos personales recogidos a lo estrictamente necesario para el fin previsto. . Limitación de acceso: Se configurará el tratamiento de datos de manera que se minimice el número de personas que necesiten acceder a datos personales para desempeñar sus funciones, y se limitará el acceso en consecuencia. . Pertinencia: Los datos personales deben ser pertinentes para el tratamiento en cuestión, y el responsable del tratamiento deberá poder acreditar dicha pertinencia. . Necesidad: Cada categoría de datos personales será necesaria para los fines especificados y solo deberá ser objeto de tratamiento si no es posible cumplir la finalidad por otros medios.” Por tanto, es necesario llevar a cabo una debida ponderación de la información que sea objeto de tratamiento, sopesando las circunstancias que rodean el mismo y analizando las consecuencias que puede conllevar el acceso a determinados datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 10/13 Finalmente, es necesario recordar que, a tenor del artículo 5.2 del RGPD -principio de responsabilidad proactiva- el responsable del tratamiento – el AYUNTAMIENTO- tiene la carga de demostrar que, respecto al tratamiento de datos efectuado, respetó el principio de confidencialidad. La documentación que obra en el expediente muestra que eran accesibles a través de internet los datos personales de la parte reclamante incluidos en el acta de sesión extraordinaria del Pleno del Ayuntamiento celebrada el 12 de marzo de 2020. Lo anterior supone que el AYUNTAMIENTO ha realizado un tratamiento excesivo de datos de carácter personal. En este sentido, se considera que los datos reflejados en el acta publicada suponen un tratamiento de datos personales de la reclamante que exceden el principio de minimización previsto en el artículo 5.1
  13. c)RGPD. Es preciso subrayar, asimismo, que los datos personales de la reclamante que se han visto afectados por la infracción del principio de minimización de la que es responsable el AYUNTAMIENTO son, además de su nombre, dos apellidos, el NIF y el puesto desempeñado en el citado Ayuntamiento, un dato relativo a una presunta infracción penal. En su escrito a esta Agencia de 13 de marzo de 2025 el AYUNTAMIENTO ha reconocido los hechos, reconociendo que el acta con los datos de la parte reclamante se encontraba publicada en su página web como un documento un “documento pdf, sin firma legal del secretario. Verificando que dicho fichero pdf no ha sido sido anonimizado adecuadamente”. Señala, asimismo, que “las causas que motivaron la incidencia han sido del todo excepcionales y aisladas, concurriendo un proceso no adecuado de generación del acta sin anonimizar e igualmente un proceso de publicación que generó un documento PDF con el contenido que ha sido publicado a instancia del departamento responsable “la Secretaría General del Pleno” e informa de las medidas adoptadas para evitar que los hechos vuelvan a producirse en el futuro. Por tanto, de conformidad con las evidencias de que se dispone en este momento de resolución de procedimiento sancionador, se considera que los hechos conocidos son constitutivos de una infracción, imputable a la parte reclamada, por vulneración del artículo 5.1
  14. c)RGPD. V Tipificación y plazo de prescripción de la infracción del artículo 5.1.
  15. c)del RGPD La vulneración del principio de confidencialidad -artículo 5.1.
  16. c)del RGPD- se encuentra tipificada en su artículo 83.5, precepto que establece: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 11/13 volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
  17. a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9;
  18. b)los derechos; […]” Con la exclusiva finalidad de determinar el plazo de prescripción de las infracciones, el artículo 72 de la LOPDGDD califica de “muy grave” la infracción tipificada en el artículo 83.5.
  19. a)del RGPD y fija para ella un plazo de prescripción de tres años. Así, el artículo 72.1 de la LOPDGDD dispone lo siguiente: “1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
  20. a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679”. VI Declaración de infracción El artículo 83 del RGPD, “Condiciones generales para la imposición de multas administrativas”, establece en su apartado 7: “Sin perjuicio de los poderes correctivos de las autoridades de control en virtud del artículo 58, apartado 2, cada Estado miembro podrá establecer normas sobre si se puede, y en qué medida, imponer multas administrativas a autoridades y organismos públicos establecidos en dicho Estado miembro.” El artículo 77 de la LOPDGDD, “Régimen aplicable a determinadas categorías de responsables o encargados del tratamiento”, ha hecho uso de tal habilitación y dispone: “1. El régimen establecido en este artículo será de aplicación a los tratamientos de los que sean responsables o encargados: […]
  21. c)La Administración General del Estado, las Administraciones de las comunidades autónomas y las entidades que integran la Administración Local. […] 2. Cuando los responsables o encargados enumerados en el apartado 1 cometiesen alguna de las infracciones a las que se refieren los artículos 72 a 74 de esta ley orgánica, la autoridad de protección de datos que resulte competente dictará resolución declarando la infracción y estableciendo, en su caso, las medidas que proceda adoptar para que cese la conducta o se corrijan los efectos de la infracción que se hubiese cometido, con excepción de la prevista en el artículo 58.2.i del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016. La resolución se notificará al responsable o encargado del tratamiento, al órgano del que dependa jerárquicamente, en su caso, y a los afectados que tuvieran la condición de interesado, en su caso. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 12/13 3. Sin perjuicio de lo establecido en el apartado anterior, la autoridad de protección de datos propondrá también la iniciación de actuaciones disciplinarias cuando existan indicios suficientes para ello. En este caso, el procedimiento y las sanciones a aplicar serán las establecidas en la legislación sobre régimen disciplinario o sancionador que resulte de aplicación. Asimismo, cuando las infracciones sean imputables a autoridades y directivos, y se acredite la existencia de informes técnicos o recomendaciones para el tratamiento que no hubieran sido debidamente atendidos, en la resolución en la que se imponga la sanción se incluirá una amonestación con denominación del cargo responsable y se ordenará la publicación en el Boletín Oficial del Estado o autonómico que corresponda. 4. Se deberán comunicar a la autoridad de protección de datos las resoluciones que recaigan en relación con las medidas y actuaciones a que se refieren los apartados anteriores. 5. Se comunicarán al Defensor del Pueblo o, en su caso, a las instituciones análogas de las comunidades autónomas las actuaciones realizadas y las resoluciones dictadas al amparo de este artículo.” (El subrayado es nuestro) Por consiguiente, toda vez que el responsable del tratamiento tiene la consideración de entidad local y, por tanto, se encuentra encuadrada en el apartado
  22. c)del artículo 77.1. de la LOPDGDD, confirmada la vulneración del artículo 5.1.
  23. c)del RGPD, la presente resolución sancionadora ha de “declarar la infracción”. Por lo tanto, de acuerdo con la legislación aplicable, la Presidencia de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR que el AYUNTAMIENTO DE ***LOCALIDAD.1, con NIF ***NIF.1, ha infringido lo dispuesto en el artículo 5.1.
  24. c)del RGPD, infracción tipificada en el artículo 83.5 del RGPD. SEGUNDO: NOTIFICAR la presente ***LOCALIDAD.1, con NIF ***NIF.1. resolución a AYUNTAMIENTO DE TERCERO: COMUNICAR la presente resolución al Defensor del Pueblo, de conformidad con lo establecido en el artículo 77.5 de la LOPDGDD. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 13/13 la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
  25. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeaepd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-101025 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.