PS-00134-2023

1/11  Expediente N.º: EXP202300344 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y con base en los siguientes ANTECEDENTES PRIMERO: En fecha 19 de noviembre 2022, A.A.A. (en adelante, la parte reclamante) interpuso una reclamación ante la Agencia Española de Protección de Datos por una presunta infracción de la normativa de protección de datos de carácter personal imputable al AYUNTAMIENTO DE SESEÑA, con NIF P4516200E (en adelante el AYUNTAMIENTO o la parte reclamada). El hecho que se pone en conocimiento de esta autoridad es la difusión pública de los datos de la parte reclamante, entre ellos (…), toda vez que figuran sin anonimizar en el acta de la sesión ordinaria de la Junta de Gobierno Local del AYUNTAMIENTO celebrada el 07/04/2017 que es accesible a través de internet. El reclamante indica además que, a pesar de que en el año 2021 presentó ante la Agencia una reclamación sobre esos mismos hechos, en la fecha en la que interpone la presente reclamación es posible aún acceder a través del buscador Google a sus datos personales incluidos en el acta del AYUNTAMIENTO. El reclamante ha manifestado: “Hace un par de años, reclame los mismos hechos, la publicación de forma abierta (…). La denuncia fue tratada por ustedes y lo consideraron un error. Y parece que lo solucionaron, pero otra vez lo han hecho público, creando un perjuicio sobre mi persona, impidiéndome acceder a un puesto de trabajo. Me he vuelto a enterar por ese motivo: ***URL.1” Con la reclamación aporta una captura de pantalla obtenida desde ***URL.2., sin indicación de fecha, en la que consta: “7 abr 2017 -Con fecha 4 de abril de 2012 D. A.A.A. solicita a este ayuntamiento (…) del Impuesto de Vehículos”. SEGUNDO: Obran en el expediente los siguientes documentos incorporados por la Subdirección General de Inspección de Datos: (i)Varias capturas de pantalla de fecha 11/01/2023 con el resultado obtenido de la búsqueda en Google por el nombre y los dos apellidos del reclamante, en las que se introdujo como criterio de búsqueda el nombre “A.A.A.”. En los resultados aparecen enlaces a distintas páginas, incluyendo: Acta de la sesión ordinaria celebrada por la Junta de Gobierno Local del Ayuntamiento de Seseña (https://www.ayto-sesena.org) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/11 El nombre sigue apareciendo en la barra de búsqueda de Google y en el texto de la URL visible. (…) (

1. ii)El acta de la sesión ordinaria de la Junta de Gobierno Local del AYUNTAMIENTO celebrada el 07/04/2017, en la que los datos personales del reclamante están sombreados en negro (páginas 1,2 y 27), obtenida desde ***URL.3 (iii) El acta de la sesión ordinaria de la Junta de Gobierno Local del AYUNTAMIENTO celebrada el 07/04/2017 en la que los datos personales del reclamante son perfectamente visibles, obtenida desde (…) (
2. iv)Con fecha 13/01/2023 se incorpora a la reclamación de referencia el resultado obtenido de la búsqueda realizada en GOOGLE con los datos del nombre y dos apellidos de la parte reclamante. Incluye una captura de pantalla de esa fecha que dice: “7 abr 2017 -Con fecha 4 de abril de 2012 D. A.A.A. solicita a este ayuntamiento (…) del Impuesto de Vehículos”. TERCERO: Como antecedente, la parte reclamante presentó con fecha 10 de septiembre de 2021 una reclamación en la que expuso: “Gané un recurso administrativo al ayuntamiento de Seseña, y como contrapartida, he sido rechazado por varios empleos; […]No entendía el motivo […]. Hasta que, en el último empleo presentado, me comentaron que era por (…). Información que me suelo reservar. Al preguntar que cómo había conseguido dicha información. Me indicaron la búsqueda de Google. introduciendo mi nombre […], en la descripción del buscador. […]”. Dicha reclamación dio lugar a la tramitación al expediente con referencia EXP202103911 que finalizó con una resolución de archivo al haber reconocido el AYUNTAMIENTO reclamado el error cometido y al haber manifestado que había adoptado las medidas precisas para corregirlo. CUARTO: En fecha 13 de enero de 2023, de conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación al AYUNTAMIENTO para que procediese a su análisis e informase a esta Agencia en el plazo de un mes de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó según las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue aceptado en fecha 13/01/2023, como consta en el acuse de recibo que obra en el expediente. El AYUNTAMIENTO no respondió a la actuación de traslado y solicitud de información. QUINTO: En fecha 19 de febrero de 2023, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/11 SEXTO: Con fecha 4 de diciembre de 2024, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, por la presunta infracción del artículo 5.1.
3. f)del RGPD, infracción tipificada en el artículo 83.5.
4. a)del RGPD. SÉPTIMO: Notificado el citado acuerdo de inicio conforme a las normas establecidas en la LPACAP la reclamada presentó con fecha 20 de diciembre de 2024 escrito al que denominó alegaciones, pero en el que reconocía los hechos e informaba de las medidas adoptadas para poner fin a la infracción, así como para evitar que esta volviera a producirse. Asimismo, el 29 de enero de 2025, la parte reclamada presenta ante la AEPD copia de un escrito de 20 de diciembre de 2024 remitido por la parte reclamada a la parte reclamante por el que, reconoce su responsabilidad, El artículo 64.2.
5. f)de la LPACAP -disposición de la que se informó a la parte reclamada en el acuerdo de apertura del procedimiento- establece que si no se efectúan alegaciones en el plazo previsto sobre el contenido del acuerdo de iniciación, cuando éste contenga un pronunciamiento preciso acerca de la responsabilidad imputada, podrá ser considerado propuesta de resolución. En el presente caso, el acuerdo de inicio del expediente sancionador determinaba los hechos en los que se concretaba la imputación, la infracción del RGPD atribuida a la reclamada y la sanción que podría imponerse. Por ello, tomando en consideración que la parte reclamada no ha formulado alegaciones al contenido del acuerdo de inicio del expediente y en atención a lo establecido en el precepto señalado, el citado acuerdo de inicio es considerado en el presente caso propuesta de resolución. A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes, HECHOS PROBADOS Primero: El responsable del tratamiento de los datos personales es el Ayuntamiento de Seseña, (Toledo). Segundo: La parte reclamante presentó con fecha 10/09/2021 una reclamación sobre la difusión pública de sus datos personales por parte de la reclamada, que dio lugar al expediente EXP202103911, resuelto con resolución de archivo tras reconocer la reclamada el error y asegurar que había adoptado medidas correctoras. Tercero: La presente reclamación se interpuso el 19/11/2022 y constan en el expediente varias capturas de pantalla realizadas el 11/01/2023 con el resultado obtenido de la búsqueda en Google por el nombre y los dos apellidos del reclamante, en las que se introdujo como criterio de búsqueda el nombre “A.A.A.”. En los resultados aparecen enlaces al acta de la sesión ordinaria celebrada por la Junta de Gobierno Local del Ayuntamiento de Seseña el 07/04/2017. El nombre sigue apareciendo en la barra de búsqueda de Google y en el texto de la URL visible. II.- (…) ***URL.3. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/11 Consta en el expediente el acta de la sesión ordinaria de la Junta de Gobierno Local del Ayuntamiento de Seseña, celebrada el 07/04/2017, en la que figuran datos personales de la parte reclamante, nombre y apellidos, así como (…). Cuarto: El 20/12/2024 en escrito dirigido a esta Agencia tras el acuerdo de inicio del presente procedimiento sancionador, el Ayuntamiento reconoce los hechos en los siguientes términos “se comprueba por este Ayuntamiento que no se había eliminado correctamente el Acta de la Junta de Gobierno de 2017 del portal de transparencia”. Quinto: El 20/12/2024, el Ayuntamiento dirigió un escrito ((…)) al reclamante, en el que reconoce su responsabilidad. En el mismo documento el Ayuntamiento le informa de las medidas correctoras adoptadas consistentes en la eliminación definitiva del acta de la página web municipal y la solicitud de eliminación de los resultados indexados en Google. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. II Procedimiento El artículo 63.2 de la LOPDGDD determina que “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos.” III Cuestiones previas 1.En el supuesto planteado, de acuerdo con lo establecido en el artículo 4.1 y 4.2 del RGPD, consta un tratamiento de datos personales de la parte reclamante efectuado por el AYUNTAMIENTO y materializado en la presunta difusión ilícita. La documentación que obra en el expediente muestra al menos hasta el 13/01/2023 seguían siendo accesibles a través de internet los datos personales de la parte reclamante incluidos en el acta de sesión ordinaria de la Junta General de Gobierno Local del AYUNTAMIENTO celebrada el 07/04/2017. Los datos incluidos eran el nombre y apellidos del reclamante, su NIF, (…) y (…). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/11 A ese respecto, nos remitimos a las capturas de pantalla obtenidas por la Subdirección General de Inspección el 01/10/2023 descritas en el Hecho Segundo y a la Diligencia firmada el 13/01/2023 (folio 75) en la que consta que, con esa fecha, se incorpora al expediente de referencia el resultado obtenido tras la búsqueda realizada en Google por el nombre del reclamante: “A.A.A.”. A continuación, la Diligencia incorpora una captura de pantalla con esta información: “(…). “ 2. El artículo 4.7 del RGPD define la figura del responsable del tratamiento como “la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento”. La reclamada trató los datos del reclamante antes citados en calidad de responsable, con la finalidad específica de aprobar el 07/04/2017 la exención del Impuesto de Vehículos de Tracción Mecánica (…) con efecto 01/01/2013. Por consiguiente, los incluyó también lícitamente en el acta de la Junta de Gobierno Local, de manera que fue quien decidió sobre los fines y los medios del tratamiento. La base de licitud en la que se ampara el tratamiento que efectuó el AYUNTAMIENTO de los datos personales del reclamante con la finalidad específica de aprobar la exención del Impuesto de Vehículos de Tracción Mecánica es el artículo 6.1.
6. c)del RGPD: “el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento”. Ahora bien, como seguidamente se expondrá, el AYUNTAMIENTO, por su condición de responsable, está obligado a respetar todos los principios de protección de datos recogidos el artículo 5 del RGPD, por lo que al presente supuesto interesa, el de confidencialidad. IV Obligación incumplida. Artículo 5.1.
7. f)del RGPD. Principio de integridad y confidencialidad. 1.Se atribuye al AYUNTAMIENTO una infracción del artículo 5.1.
8. f)del RGPD, precepto que dispone: “Los datos personales serán:[…]
9. f)tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas (integridad y confidencialidad)” La norma transcrita impone al responsable de cualquier tratamiento de datos personales la obligación de garantizar su confidencialidad mediante la aplicación de medidas técnicas y organizativas adecuadas, obligación que comprende la protección C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/11 contra el tratamiento no autorizado o ilícito y, por consiguiente, implica la inexistencia de filtraciones o brechas de confidencialidad. El considerando 39 del RGPD así lo confirma, pues dice: “Los datos personales deben tratarse de un modo que garantice una seguridad y confidencialidad adecuadas de los datos personales, inclusive para impedir el acceso o uso no autorizados de dichos datos y del equipo utilizado en el tratamiento.” A propósito de la confidencialidad de los datos cabe mencionar la Sentencia del Tribunal Constitucional (STC) 292/2000, que, con ocasión de analizar el contenido del derecho fundamental a la protección de datos personales, dice en su FD 7: “[…] resulta que el contenido del derecho fundamental a la protección de datos consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el Estado o un particular.” 2. La documentación que integra el expediente del presente procedimiento administrativo muestra que se ha visto afectada la confidencialidad de los datos personales de la parte reclamante como consecuencia de la publicación, por parte del AYUNTAMIENTO de información concerniente a la parte reclamante, entre otra, datos que a tenor del artículo 9 del RGPD se califican de especialmente protegidos, como es (…). El AYUNTAMIENTO, en su condición de responsable, tenía la obligación (artículo 5.1.f, RGPD) de garantizar la confidencialidad de los datos mediante la aplicación de medidas técnicas y organizativas apropiadas y, por consiguiente, de impedir el acceso a quienes no estaban legitimados para tratarlos. A la documentación que obra en el expediente ya mencionada hemos de añadir también la documentación del expediente con referencia EXP202103911, que se tramitó tras la primera reclamación presentada por el reclamante, de fecha 10/09/2021, y cuya incorporación al presente procedimiento se acuerda en este acto. De la documentación que integra el EXP202103911 nos centramos por su relevancia en el escrito de respuesta al traslado y solicitud informativa de la Subdirección General de Inspección que el AYUNTAMIENTO envió a la Agencia el 20/12/2021. En él, la entidad local reclamada reconoció que, debido a un error no detectado, habían sido accesibles a través de internet los datos de la parte reclamante que se incluían en el acta de la Junta de Gobierno Local celebrada el 07/04/2017. Explicó las causas que originaron este hecho. Y, además, comunicó la relación de medidas que, según dijo entonces, ya había adoptado. En consideración a esto último la AEPD dictó C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/11 resolución en la que acordó el archivo de la reclamación, en la medida en que la parte reclamada invocaba que había corregido el error y que se habían adoptado las medidas para poner fin a la difusión ilícita de los datos del reclamante. Reproducimos a continuación algunas de las afirmaciones que el AYUNTAMIENTO hizo en el curso del citado expediente EXP202103911: Que “pese a la precariedad de los recursos de los que dispone”, “ha realizado las siguientes acciones: 1. Ha solicitado a Google a través de Search Console la inmediata eliminación de todas las páginas principales y sub-contenidos indexados del dominio https://www.aytosesena.org a través de DNS añadida TXT (…) 2. Se ha añadido en todo el contenido web y en el fichero htaccess (ráiz de la página web) la indicación a todos los buscadores de no indexar el contenido web del Ayuntamiento. Añadiendo la cláusula NO INDEX en sus páginas. 3. Se va a emitir una circular informativa al personal municipal advirtiendo del riesgo en protección de datos para prevenir futuros incidentes. 4. Se plantea una formación continua dirigida al personal municipal en materia de protección de datos y transparencia.” Resulta de lo expuesto que, después de que el AYUNTAMIENTO hubiera afirmado ante esta Agencia que había adoptado las medidas que ponían fin a la difusión ilícita de los datos de la parte reclamante -escrito de fecha 20/12/2021- se ha constatado, tal y como ha sido reconocido por el propio Ayuntamiento el 20/12/2024 en escrito a esta Agencia, así como en escrito de esa misma fecha dirigido a la parte reclamante que con posterioridad y durante algo más de un año, al menos hasta el 13/01/2023, los datos del reclamante incorporados a la citada acta continuaban difundiéndose. Es preciso subrayar, asimismo, que los datos personales del reclamante que se han visto afectados por la pérdida de confidencialidad de la que es responsable el AYUNTAMIENTO son, además de su nombre, dos apellidos, el NIF y (…); por tanto, un dato especialmente protegido (ex artículo 9 del RGPD). Hay que destacar que la pérdida de confidencialidad implica un riesgo elevado cuando, como ocurre en este caso, se ven afectados datos de salud, encuadrados en la categoría de datos especialmente protegidos del artículo 9 del RGPD que tienen una protección reforzada, ya que las consecuencias que derivan de su tratamiento indebido o del acceso ilícito de terceros pueden ser especialmente gravosas para sus titulares. Asimismo, es necesario recordar que, a tenor del artículo 5.2 del RGPD -principio de responsabilidad proactiva- el responsable del tratamiento – el AYUNTAMIENTO- tiene la carga de demostrar que, respecto al tratamiento de datos efectuado, respetó el principio de confidencialidad. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/11 3. En este caso la parte reclamante había denunciado en 2021 la publicación no autorizada de sus datos personales y, a pesar de que la parte reclamada comunicó a la Agencia en la respuesta al traslado del EXP202103911, de fecha 20/12/2021, que ya había adoptado las medidas destinadas a impedir la difusión de los datos, y a garantizar la confidencialidad de los datos. No obstante, tal y como consta en la documentación que integra este expediente administrativo y ha reconocido el propio Ayuntamiento en su escrito de 20/12/2024, los datos de la parte reclamante han continuado incluidos en el acta del Ayuntamiento siendo accesibles desde internet al menos hasta el día 13/01/2023; es decir, durante más de un año después. Esto revela que, como confirma el propio Ayuntamiento en el mencionado escrito de 20/12/2024 una ausencia de medidas técnicas y organizativas de todo tipo efectivas para garantizar el principio de integridad y confidencialidad. De conformidad con las evidencias de las que se dispone en este momento de resolución de procedimiento sancionador, el AYUNTAMIENTO ha incurrido en una infracción del artículo 5.1.
10. f)del RGPD, al no haber garantizado la confidencialidad de los datos personales de la parte reclamante permitiendo su acceso no autorizado por terceros a través del acta de una sesión ordinaria de la Junta General de Gobierno Local celebrada el 07/04/2017. V Tipificación de la infracción del artículo 5.1.
11. f)del RGPD y calificación a efectos de prescripción El artículo 83.5 del RGPD tipifica como infracción administrativa la vulneración del artículo siguiente, que se sancionará, de acuerdo con el apartado 2, con multas administrativas de 20.000.000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
12. a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9;" Por su parte, la LOPDGDD en su artículo 71, Infracciones, señala que: “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A los solos efectos del plazo de prescripción, el artículo 72.1 de la LOPDGDD establece lo siguiente: "En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes: a.- El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679." VI C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/11 Declaración de infracción El artículo 70 de la LOPDGDD - “Sujetos responsables”- dispone en su apartado 1 que “Están sujetos al régimen sancionador establecido en el Reglamento (UE) 2016/679 y en la presente ley orgánica:
13. a)Los responsables de los tratamientos” El artículo 83 del RGPD, “Condiciones generales para la imposición de multas administrativas”, establece en su apartado 7: “Sin perjuicio de los poderes correctivos de las autoridades de control en virtud del artículo 58, apartado 2, cada Estado miembro podrá establecer normas sobre si se puede, y en qué medida, imponer multas administrativas a autoridades y organismos públicos establecidos en dicho Estado miembro.” El artículo 77 de la LOPDGDD, “Régimen aplicable a determinadas categorías de responsables o encargados del tratamiento”, ha hecho uso de tal habilitación y dispone: “1. El régimen establecido en este artículo será de aplicación a los tratamientos de los que sean responsables o encargados: […]
14. c)La Administración General del Estado, las Administraciones de las comunidades autónomas y las entidades que integran la Administración Local. 2. Cuando los responsables o encargados enumerados en el apartado 1 cometiesen alguna de las infracciones a las que se refieren los artículos 72 a 74 de esta ley orgánica, la autoridad de protección de datos que resulte competente dictará resolución declarando la infracción y estableciendo, en su caso, las medidas que proceda adoptar para que cese la conducta o se corrijan los efectos de la infracción que se hubiese cometido, con excepción de la prevista en el artículo 58.2.i del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016. La resolución se notificará al responsable o encargado del tratamiento, al órgano del que dependa jerárquicamente, en su caso, y a los afectados que tuvieran la condición de interesado, en su caso. 3. Sin perjuicio de lo establecido en el apartado anterior, la autoridad de protección de datos propondrá también la iniciación de actuaciones disciplinarias cuando existan indicios suficientes para ello. En este caso, el procedimiento y las sanciones a aplicar serán las establecidas en la legislación sobre régimen disciplinario o sancionador que resulte de aplicación. Asimismo, cuando las infracciones sean imputables a autoridades y directivos, y se acredite la existencia de informes técnicos o recomendaciones para el tratamiento que no hubieran sido debidamente atendidos, en la resolución en la que se imponga la sanción se incluirá una amonestación con denominación del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 10/11 cargo responsable y se ordenará la publicación en el Boletín Oficial del Estado o autonómico que corresponda. 4. Se deberán comunicar a la autoridad de protección de datos las resoluciones que recaigan en relación con las medidas y actuaciones a que se refieren los apartados anteriores. 5. Se comunicarán al Defensor del Pueblo o, en su caso, a las instituciones análogas de las comunidades autónomas las actuaciones realizadas y las resoluciones dictadas al amparo de este artículo.” Por consiguiente, toda vez que el responsable del tratamiento tiene la consideración de entidad local y, por tanto, se encuentra encuadrada en el apartado
15. c)del artículo 77.1. de la LOPDGDD, se ha de declarar la infracción del artículo 5.1.
16. f)del RGPD. De acuerdo con la legislación aplicable, la Presidencia de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR que el AYUNTAMIENTO DE SESEÑA, con NIF P4516200E, ha infringido lo dispuesto en el artículo 5.1.
17. f)del RGPD, infracción tipificada en el artículo 83.5 del RGPD. SEGUNDO: NOTIFICAR la presente resolución a AYUNTAMIENTO DE SESEÑA. TERCERO: Comunicar la presente resolución al Defensor del Pueblo, de conformidad con lo establecido en el artículo 77.5 de la LOPDGDD. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública. La publicación se realizará una vez la resolución sea firme en vía administrativa. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
18. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeaepd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 11/11 citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es