PS-00129-2022

1/8  Expediente Nº: PS/00129/2022 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: D. A.A.A. (en adelante, la parte reclamante) con fecha 21 de febrero de 2022 interpuso reclamación ante la Agencia Española de Protección de Datos. Los motivos en que basa la reclamación son los siguientes: Que la parte reclamante ha tenido conocimiento, en el seno de un proceso judicial, de la denuncia formulada por D. B.B.B., (…) de la Agrupación de Electores Socialistas de Cacabelos, ante la Fiscalía de Área de Ponferrada el 16 de mayo de 2019, por un delito electoral consistente en un empadronamiento masivo con la finalidad de obtener votos en una candidatura, declarando D. B.B.B. que ha podido comprobar: - Que en los meses de diciembre y noviembre de 2018 se procedió a empadronar a unas cuarenta personas en el municipio de Cacabelos, (…). - Que en las solicitudes de alta en el padrón consta la misma firma en todos los documentos. Apunta que en dichas solicitudes no aparece el nombre del declarante, únicamente el DNI correspondiente al empadronado. La parte reclamante aporta copia del escrito remitido por D. B.B.B. a la Fiscalía del Área de Ponferrada y acta de la Junta Electoral de Zona de Ponferrada por la que se acuerda que las alegaciones de D. B.B.B. exceden de la competencia de la Junta, pudiendo acudir a la vía judicial. La parte reclamante expone que D. B.B.B. no puede tener acceso a la información del padrón municipal, de lo que se desprende una vulneración de la protección de datos, desconociendo el "modus operandi" y todos los autores involucrados en la presunta infracción. SEGUNDO: Con fecha 30 de marzo de 2022, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador al AYUNTAMIENTO DE CACABELOS, con NIF P2403100G (en adelante, la parte reclamada), con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por la presunta infracción del artículo 5.1.

1. f)del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), tipificada en el artículo 83.5 del RGPD, y por la infracción del artículo 32 del RGPD, tipificada en el artículo 83.4 del RGPD. El citado acuerdo de inicio fue notificado a la parte reclamada, conforme a las normas establecidas en la LPACAP, el 30 de marzo de 2022. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/8 TERCERO: Con fecha de entrada en registro de 1 de abril de 2022, la parte reclamada solicitó copia del expediente, así como ampliación de plazo para presentar alegaciones. El 4 de abril de 2022, se remitió a la parte reclamada el expediente, concediendo al mismo tiempo un nuevo plazo para presentar alegaciones. CUARTO: La parte reclamada presentó escrito de alegaciones el 26 de abril de 2022, en el que, en síntesis, manifestaba: 1.- No existe prueba de que D. B.B.B. tuviese acceso a documentación del padrón municipal, que cuando indica que “ha podido comprobar” es una mera manifestación personal. 2.- Que en el caso de que hubiese alguna infracción, ésta estaría prescrita, de conformidad con el artículo 73 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de derechos digitales (en adelante, LOPDGDD), el cual establece que las infracciones graves prescribirán a los dos años. Indica que “aun no sabiendo la fecha exacta de los hechos, pero en todo caso, antes de mayo de 2019 (fecha de la denuncia ante la Fiscalía) y habiéndose dictado acuerdo de incoación y notificado a esta parte en abril de 2022 (art.75 de la LOPDGDD) el acuerdo de incoación del procedimiento sancionador es más que evidente que transcurrieron muy ampliamente los 2 años.” QUINTO: Con fecha 29 de abril de 2022 se acuerda abrir una fase de práctica de prueba. Se acuerda, asimismo, incorporar al expediente, a efectos de prueba, la reclamación que dio origen al procedimiento sancionador y su documentación anexa y las alegaciones al acuerdo de inicio del PS/00129/2022 presentadas por la parte reclamada. Se practican las siguientes diligencias de prueba: a. Ante la reclamada: 1. En el mismo escrito de fecha 30 de mayo de 2022 en el que se comunica la apertura de la fase de prueba, se requiere que remita informe sobre los siguientes extremos: - Quién puede acceder a las solicitudes de alta y a los datos del padrón municipal. - Qué medidas de seguridad ha adoptado para acceder al padrón municipal. - Si entre los meses de noviembre y diciembre de 2018 hubo personas que se empadronaron en (…), y en su caso, cuántos empadronamientos hubo en el citado lugar. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/8 2. Con fecha 13 de mayo de 2022 se recibió respuesta de la parte reclamada a la prueba solicitada, en el que informa de: - Qué empleados públicos podían acceder, en los meses de noviembre y diciembre de 2018, a las solicitudes de alta padronal a través del programa SWAL (Sistema Web para la Administración Local) - Qué empleados públicos podían acceder, en los meses de noviembre y diciembre de 2018, a los datos del padrón municipal a través del programa SWAL con objeto de obtener certificados de empadronamiento. - Respecto a las medidas de seguridad adoptadas para acceder al Padrón Municipal:
2. a)En relación con las solicitudes realizadas en formato papel, actualmente se custodian en un armario cerrado bajo llave en las dependencias de la Secretaría Municipal.
3. b)En relación con los datos del Padrón Municipal existentes en formato digital, los mismos se recopilan a través del programa informático SWAL. Para acceder a ese programa es necesario un registro con usuario y contraseña que se asigna individualmente a cada empleado público y con permisos restringidos. - Que, salvo error u omisión, entre los meses de noviembre y diciembre de 2018 se produjo el empadronamiento de 37 personas en (…). b. Ante la parte reclamante: 1. El 12 de mayo de 2022 se requirió a la parte reclamante copia de documentación acreditativa de que ha habido un acceso indebido al padrón municipal de Cacabelos, siempre que se trate de documentación que no hubiera presentado en la reclamación inicial. 2. Con fecha de entrada en registro de 19 de mayo de 2022, la parte reclamante presenta: - Copia del escrito presentado por D. B.B.B. ante la Fiscalía de Área de Ponferrada el 16 de mayo de 2019. - Copia del acuerdo de la Junta Electoral de Zona de Ponferrada de fecha 13 de mayo de 2019, donde consta la incidencia relativa a la presentación de escritos (…) de la Agrupación de Socialistas de Cacabelos (B.B.B.), así como del ***CARGO.1 D. C.C.C.. - Copia del decreto denuncia de la Fiscalía de Área de Ponferrada presentado ante el Juzgado de Instrucción de Ponferrada el 3 de octubre de 2019. - Copia de los 28 documentos de alta en el Padrón Municipal de Cacabelos, que cuentan con los datos de 37 personas empadronadas en ***DIRECCIÓN.1 de Cacabelos, correspondiente a (…). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/8 - Copia de la grabación testifical de D. B.B.B. ante el Juzgado de Instrucción nº X de Ponferrada el 17 de diciembre de 2019 dentro de las Diligencias Previas del Procedimiento Abreviado 0000XXX/2019. c. Ante D. B.B.B.: 1. La Instructora del procedimiento sancionador acuerda con fecha 29 de abril de 2022 solicitar a D. B.B.B. información respecto a: - Cómo ha tenido conocimiento del empadronamiento de unas 40 personas en el municipio de Cacabelos, en concreto en (…), entre los meses de noviembre y diciembre de 2018. - Cómo ha podido comprobar que en las solicitudes de alta en el padrón municipal de Cacabelos que ha denunciado ante el Ministerio Fiscal, “consta la misma firma en todos los documentos, no aparece el nombre del declarante y únicamente se acompaña con dicha solicitud un DNI correspondiente al empadronado”, tal y como manifiesta en el escrito que registró en la Fiscalía del Área de Ponferrada el 16 de mayo de 2019. 2. Toda vez que resultó infructuosa la notificación de la mencionada prueba por dirección incorrecta, con fecha 22 de julio de 2022 se solicitó al Ayuntamiento de Cacabelos que indicara cuál es el domicilio a efectos de notificaciones de D. B.B.B.. El 28 de julio de 2022, el Ayuntamiento de Cacabelos remitió el domicilio de D. B.B.B. que consta en el padrón municipal. 3. El 18 de agosto de 2022, la Instructora del procedimiento sancionador solicitó a D. B.B.B. información respecto a: - Cómo y cuándo ha tenido conocimiento del empadronamiento de unas 40 personas en el municipio de Cacabelos, en concreto en (…), entre los meses de noviembre y diciembre de 2018. - Cómo y cuándo ha podido comprobar que en las solicitudes de alta en el padrón municipal de Cacabelos que ha denunciado ante el Ministerio Fiscal, “consta la misma firma en todos los documentos, no aparece el nombre del declarante y únicamente se acompaña con dicha solicitud un DNI correspondiente al empadronado”, tal y como manifiesta en el escrito que registró en la Fiscalía del Área de Ponferrada el 16 de mayo de 2019. 4. El 29 de agosto de 2022 D. B.B.B. presentó escrito en el que indica: “- He tenido conocimiento del empadronamiento de unas 40 personas (…), en los primeros meses del año 2019. - He podido revisar las distintas solicitudes en los primeros meses del año 2019. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/8 - Por esas fechas, (primeros meses año 2019), la persona que suscribe, (…), formaba parte del equipo de gobierno, del Ayuntamiento de Cacabelos, por lo cual tenía acceso a todo tipo de información relacionada con el mismo.” SEXTO: Con fecha 12 de septiembre de 2022 se formuló propuesta de resolución, proponiendo que por la Directora de la Agencia Española de Protección de Datos se ordene el archivo del presente expediente sancionador al AYUNTAMIENTO DE CACABELOS, con NIF P2403100G, por encontrarse los hechos objeto del presente procedimiento sancionador prescritos, de conformidad con la legislación vigente. SÉPTIMO: Notificada la propuesta de resolución conforme a las normas establecidas en la LPACAP, la parte reclamada no ha presentado escrito de alegaciones. A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes, HECHOS PROBADOS PRIMERO: En los primeros meses del año 2019, D. B.B.B., miembro del equipo de gobierno del Ayuntamiento de Cacabelos, accedió a las solicitudes de empadronamiento de 37 personas en ***DIRECCIÓN.1 de Cacabelos, correspondiente a (…). SEGUNDO: Con fecha 21 de febrero de 2022, la parte reclamante interpuso reclamación ante la Agencia Española de Protección de Datos denunciando que ha tenido conocimiento, en el seno de un proceso judicial, de que D. B.B.B., como representante de la Agrupación de Electores Socialistas de Cacabelos, ha accedido a datos del padrón municipal de Cacabelos. FUNDAMENTOS DE DERECHO I De acuerdo con los poderes que el artículo 58.2 del RGPD, otorga a cada autoridad de control y según lo establecido en los artículos 47 y 48.1 de la LOPDGDD, es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos.” II La reclamación que ha dado lugar al procedimiento sancionador se presentó el 21 de febrero de 2022, iniciándose mediante acuerdo de inicio de 30 de marzo de 2022. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/8 Durante el periodo probatorio, D. B.B.B. reconoció que accedió a las solicitudes de empadronamiento de 37 personas en ***DIRECCIÓN.1 de Cacabelos, correspondiente a (…) en los primeros meses del año 2019. Es decir, que a pesar de haberse acreditado que una persona no autorizada ha tenido acceso a datos de carácter personal del padrón municipal del Ayuntamiento de Cacabelos, tras la práctica de una prueba completísima y la instrucción del procedimiento tendente, entre otras cuestiones, a determinar la fecha de comisión de los hechos, no se ha podido determinar con exactitud cuál es el día exacto de la comisión de los hechos. El artículo 83.4, apartado
4. a)del RGPD, bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone que: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 10 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 2 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
5. a)las obligaciones del responsable y del encargado a tenor de los artículos 8, 11, 25 a 39, 42 y 43;” Indicando el artículo 73 de la LOPDGDD, a los solos efectos del plazo de prescripción lo siguiente: Artículo 73. Infracciones consideradas graves. “En función de lo que establece el artículo 83.4 del Reglamento (UE) 2016/679 se consideran graves y prescribirán a los dos años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes: (…)
6. f)La falta de adopción de aquellas medidas técnicas y organizativas que resulten apropiadas para garantizar un nivel de seguridad adecuado al riesgo del tratamiento, en los términos exigidos por el artículo 32.1 del Reglamento (UE) 2016/679.” Toda vez que D. B.B.B. ha tenido acceso a los datos del padrón municipal en los primeros meses del año 2019, tal y como manifiesta reiteradamente sin concretar más, y el acuerdo de inicio del presente procedimiento sancionador fue iniciado y notificado a la parte reclamada el 30 de marzo de 2022, los hechos se encuentran prescritos en relación con la infracción del artículo 32 del RGPD. Por otro lado, el artículo 83.5, apartado
7. a)del RGPD, bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone que: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/8 tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
8. a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9;” Indicando el artículo 72 de la LOPDGDD, a los solos efectos del plazo de prescripción lo siguiente: “1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
9. a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679.” Consta acreditado en el presente expediente sancionador que los hechos acaecieron en los primeros meses del año 2019, sin haber sido posible acreditar una mayor exactitud de tal suceso a pesar de la prueba practicada, por lo que cabe la duda razonable de que la presunta infracción del artículo 5.1.
10. f)del RGPD haya prescrito. Por este motivo, el acceso a los datos del padrón municipal por parte de D. B.B.B. debería haber tenido lugar después del 30 de marzo de 2019 para que la infracción no se considere prescrita. Así, no constando la fecha exacta de comisión de los hechos a los efectos del cómputo de prescripción, no pudiendo demostrarse que los hechos que integran la infracción fueron realizados en los tres años anteriores al acuerdo de inicio del procedimiento sancionador, el principio in dubio pro reo (en caso de duda a favor del acusado) obliga a archivar el procedimiento al entender que la infracción podía haber prescrito en el momento en que se acordó la iniciación del procedimiento. Por lo tanto, de acuerdo con la legislación aplicable, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: ARCHIVAR el procedimiento PS/00129/2022 iniciado al AYUNTAMIENTO DE CACABELOS, con NIF P2403100G. SEGUNDO: NOTIFICAR la presente CACABELOS, con NIF P2403100G. resolución al AYUNTAMIENTO DE De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/8 recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3.
11. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-120722 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es