PS-00148-2023

1/12  Expediente N.º: EXP202213394 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 19 de octubre de 2022 se interpuso reclamación ante la Agencia Española de Protección de Datos por una posible infracción imputable a la ENTIDAD LOCAL MENOR A.A.A., con NIF (...) (en adelante, la reclamada o ENTIDAD LOCAL). Los hechos que se pone en conocimiento de esta autoridad son los siguientes: La parte reclamante afirma que la ENTIDAD LOCAL (su comisión gestora) ha difundido ilícitamente sus datos personales (nombre, dos apellidos y NIF) pues ha insertado en el tablón de anuncios de la localidad un acuerdo del Ayuntamiento de ***LOCALIDAD.1 en el que constan dichos datos. Sostiene que esa publicación tuvo lugar como consecuencia de la presentación de una queja contra la ENTIDAD LOCAL ante el Ayuntamiento de ***LOCALIDAD.1 (en lo sucesivo, el Ayuntamiento) por negarse a abrir la casa del pueblo. En virtud de dicha queja, el Ayuntamiento, a través de la Junta de Gobierno Local, acordó en sesión de fecha 08/09/2022 requerir a la Comisión gestora para que procediera a la apertura. El acuerdo adoptado por el Ayuntamiento se notificó al “Sr. Presidente de la Comisión Gestora de la Junta Vecinal A.A.A.”. En el acuerdo adoptado por el Ayuntamiento se reproducía el texto de la queja presentada por el reclamante, en la que se le identificaba por su nombre, apellidos, NIF y localidad de residencia. Señala que el acuerdo del Ayuntamiento fue impugnado en reposición por la ENTIDAD LOCAL que, posteriormente, procedió a insertar en el tablón de anuncios de la plaza A.A.A. el acuerdo adoptado por el Ayuntamiento - en el que como se ha indicado, figuraban los datos personales de la parte reclamante- y el recurso de reposición que impugnaba dicho acuerdo. El reclamante ha aportado los documentos siguientes: -Dos fotografías del tablón de anuncios A.A.A. en las que puede verse que en el mismo se exhiben estos documentos: (

1. i)C/ Jorge Juan, 6 28001 – Madrid Un escrito, que lleva el escudo y el nombre del Ayuntamiento, firmado electrónicamente el 07/10/2022 por su Secretaria-Interventora que está dirigido al “Sr. Presidente de la Comisión Gestora Junta Vecinal A.A.A.”. A través de él se notifica el acuerdo adoptado por la Junta de Gobierno Local del referido Ayuntamiento en relación con la queja formulada por la parte reclamante. El acuerdo del Ayuntamiento reproduce el texto de la queja que www.aepd.es sedeaepd.gob.es 2/12 la parte reclamante había formulado, incluidos sus datos de identidad: el nombre, dos apellidos, NIF y su residencia en A.A.A.. En el acuerdo adoptado, el Ayuntamiento requiere a la Comisión Gestora de la Junta Vecinal para que en el plazo de una semana proceda a la apertura inmediata de la “casa concejo”. (
2. i)Escrito de fecha 17/10/2022 en el que consta que el presidente de la Comisión Gestora de la ENTIDAD LOCAL, en su representación, interpone recurso de reposición frente al acuerdo adoptado por el Ayuntamiento. -Copia de su DNI (anverso y reverso). SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la ENTIDAD LOCAL para que procediese a su análisis e informase a esta Agencia en el plazo de un mes de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP). En fecha 02/02/2023 se recibe en la Agencia la respuesta de la ENTIDAD LOCAL al traslado, firmada por su representante, el presidente de la Comisión Gestora, en la que indica: 1.Que esa entidad local menor “no gestiona ficheros informatizados de datos sometidos a la Ley de Protección de Datos” porque, según dice, “el ejercicio de sus competencias recogidas en el artículo 50, de la Ley 1/1998, de 4 de junio, de Régimen Local de Castilla y León, no requiere de su necesidad.” Añade que, por ese motivo, no remite los informes técnicos o recomendaciones a las que alude el escrito de traslado informativo. 2. Respecto a las medidas adoptadas dice que no ha adoptado ninguna decisión, por no considerarla necesaria, pues la “Comisión Gestora no gestiona ficheros informatizados de datos sometidos a la Ley de Protección de Datos”. Añade, además, que la ENTIDAD LOCAL “no dio publicidad a los datos de filiación del reclamante porque no disponía de los mismos” y que no incluyó el nombre y DNI de la parte reclamante en el Recurso de Reposición. Explica que sí constan “su nombre y su DNI, en el Acuerdo de la Junta de Gobierno Local del Ayuntamiento de ***LOCALIDAD.1, contra el que se ha interpuesto el Recurso de Reposición, y que en todo caso debería ser éste quien tendría que dar explicaciones a esa AEPD. ” Que “Esta Comisión Gestora de la Junta Vecinal A.A.A., se ha limitado a poner ambos documentos en el Tablón de Anuncios de la Junta Vecinal para conocimiento de los vecinos. Se adjunta copia de estos documentos.” (El subrayado es nuestro) 3. Sobre las causas que han motivado la incidencia en la que se basa la reclamación, dice “que quizás indebidamente el Ayuntamiento de ***LOCALIDAD.1, ha incluido C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/12 innecesariamente los datos de la filiación del reclamante en el Acuerdo de la Comisión de Gobierno que ha dado traslado a la Junta Vecinal A.A.A., y el documento de notificación la Comisión de Gobierno de la Junta Vecinal, por considerarlo de interés general para los vecinos lo ha insertado, junto con el Recurso de Reposición en el Tablón de Anuncios de la Junta Vecinal.” 4. Sobre las medidas que ha adoptado para que no se produzcan incidencias similares, manifiesta que “no se ha adoptado ninguna”. A ese respecto, explica que la Comisión Gestora publica en el Tablón de Anuncios de la Junta Vecinal todos los documentos que consideren de interés para los vecinos y que éste lo era por versar sobre el funcionamiento de la “Casa Concejo”. Añade que está obligada a actuar con la máxima transparencia y dice textualmente: “[…] los documentos públicos que esta Comisión Gestora reciba se incluirán en el Tablón de Anuncios de la Junta Vecinal todos aquellos que se consideren de interés para los vecinos, como el que nos trae causa que era relativo al funcionamiento de la Casa Concejo. Así se hizo y entendemos que nuestro cometido como Comisión Gestora es éste: actuar con la máxima transparencia para el conocimiento puntual de los vecinos de los asuntos que les afecten.” (El subrayado es nuestro) 5. Sobre el motivo de la reclamación presentada contra esa ENTIDAD LOCAL dice que el único motivo es la “(...)” de la parte reclamante “a los miembros de la Comisión Gestora” y que, desde la toma de posesión de sus cargos, no ha hecho más que presentar escritos contra la Junta Vecinal con el “contenido más peregrino”, “es este caso, en que se siente perjudicado porque el Ayuntamiento de ***LOCALIDAD.1 haya incluido en un documento público los datos de su filiación y que la Junta Vecinal en aras de la mayor transparencia lo haya incluido en el tablón de Anuncios de la Junta Vecinal, cuando todos los vecinos ya sabemos cómo se llama, cuáles son sus apellidos y dónde vive.” TERCERO: En fecha 12 de enero de 2023 se recibe en esta Agencia un segundo escrito de la parte reclamante en el que manifiesta que sus datos personales continúan publicados en el tablón de anuncios de la localidad pues no han sido retirados, persistiendo la vulneración de su derecho a la protección de datos. CUARTO: En fecha 19 de enero 2023, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: Con fecha 24 de abril de 2025, la Presidencia de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, por la presunta infracción del Artículo 5.1.
3. f)del RGPD, tipificada en el Artículo 83.5 del RGPD. QUINTO: Notificado el citado acuerdo de inicio conforme a las normas establecidas en la LPACAP la reclamada presentó con fecha 3 de junio de 2025 escrito al que denominó alegaciones, pero en el que reconocía los hechos y responsabilizaba de los mismos a la Comisión gestora de la Junta Vecinal vigente a la fecha de los hechos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/12 El artículo 64.2.
4. f)de la LPACAP -disposición de la que se informó a la parte reclamada en el acuerdo de apertura del procedimiento- establece que si no se efectúan alegaciones en el plazo previsto sobre el contenido del acuerdo de iniciación, cuando éste contenga un pronunciamiento preciso acerca de la responsabilidad imputada, podrá ser considerado propuesta de resolución. En el presente caso, el acuerdo de inicio del expediente sancionador determinaba los hechos en los que se concretaba la imputación, la infracción del RGPD atribuida a la reclamada y la sanción que podría imponerse. Por ello, tomando en consideración que la parte reclamada no ha formulado alegaciones al contenido del acuerdo de inicio del expediente y en atención a lo establecido en el precepto señalado, el citado acuerdo de inicio es considerado en el presente caso propuesta de resolución. A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes, HECHOS PROBADOS PRIMERO: La ENTIDAD LOCAL (su comisión gestora) publicó en el tablón de anuncios de la localidad documentación que contenía datos personales (nombre, dos apellidos y NIF) del reclamante. En concreto, fueron publicados los siguientes documentos: - Un escrito, que lleva el escudo y el nombre del Ayuntamiento de ***LOCALIDAD.1, firmado electrónicamente el 07/10/2022 por su SecretariaInterventora que está dirigido al “Sr. Presidente de la Comisión Gestora Junta Vecinal A.A.A.”. A través de él se notifica el acuerdo adoptado por la Junta de Gobierno Local del referido Ayuntamiento en relación con la queja formulada por la parte reclamante. El acuerdo del Ayuntamiento reproduce el texto de la queja que la parte reclamante había formulado, incluidos sus datos de identidad: el nombre, dos apellidos, NIF y su residencia en A.A.A.. En el acuerdo adoptado, el Ayuntamiento requiere a la Comisión Gestora de la Junta Vecinal para que en el plazo de una semana proceda a la apertura inmediata de la “casa concejo”. - Escrito de fecha 17/10/2022 en el que consta que el presidente de la Comisión Gestora de la ENTIDAD LOCAL, en su representación, interpone recurso de reposición frente al acuerdo adoptado por el Ayuntamiento. SEGUNDO: En respuesta al acuerdo de inicio de procedimiento sancionador incoado por esta AEPD, la reclamada reconoce los hechos en los siguientes términos: La actividad denunciada, no es de una pura actividad de publicar datos personales del denunciante, sino que bien al contrario en las propias fotografías se observa que en tablón de anuncios se incluyó la documentación catastral de las fincas adjuntas en las cuales se observaban los datos personales de la titular, junto a su dni y al cabo de un par de días se borraron estos mediante el sistema de colocar típex sobre ellos pero no asi los del denunciante, que siguieron expuestos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/12 Por ello se trató de una conducta totalmente voluntaria y dolosa al efecto de publicar y mantener los datos personales del denunciante de forma intencionada con intención de lesionar sus derechos, y perjudicar al mismo, conducta del todo intencional a y llevada a cabo por los miembros de la Comisión gestora de la Junta Vecinal vigente a la fecha de los hechos. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Cuestiones previas El artículo 4.1) del RGPD, define «dato personal» como: “toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona”. El artículo 4.2) del RGPD, define «tratamiento» como: “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción.” El artículo 4.7) del RGPD, define al «responsable del tratamiento» o «responsable» como: “la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/12 responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros”. Conforme a lo establecido en el artículo 4 del RGPD, apartados 1 y 2, en el asunto que examinamos consta que la ENTIDAD LOCAL ha llevado a cabo un tratamiento de datos personales de la parte reclamante, toda vez que ha publicado sus datos de identidad al haber insertado en el tablón de anuncios de esa localidad un documento con el acuerdo adoptado por el Ayuntamiento de ***LOCALIDAD.1 en el que figuraban los datos del interesado sin haber adoptado previamente ninguna medida técnica u organizativa para evitar su difusión. En concreto, los datos personales tratados han consistido en el nombre, apellidos, número de DNI y lugar de residencia de la parte reclamante. La ENTIDAD LOCAL tiene en el presente caso la condición de responsable del tratamiento de los datos del reclamante, pues es ella quien ha decidido sobre los fines y los medios del tratamiento. A este respecto, cabe destacar que consta que la ENTIDAD LOCAL acordó la publicación de los documentos que contenían los datos personales del reclamante y que ha motivado la misma en los términos que constan en la actuación de traslado realizada por esta AEPD. Por otro lado, en su respuesta al traslado de la reclamación la ENTIDAD LOCAL declaró que “no gestiona ficheros informatizados de datos sometidos a la Ley de Protección de Datos” y concluye, en consecuencia, que no está sujeta a las obligaciones que el RGPD y la LOPDGDD imponen al responsable del tratamiento. Es por ello obligado referirse al ámbito material de aplicación del RGPD. El artículo 2 del RGPD, “Ámbito de aplicación material”, dispone: “1. El presente Reglamento se aplica al tratamiento total o parcialmente automatizado de datos personales, así como al tratamiento no automatizado de datos personales contenidos o destinados a ser incluidos en un fichero. En este sentido, y tal y como se ha expuesto con anterioridad al establecer el concepto de tratamiento de datos personales definido en el artículo 4.2 del RGPD, el mismo incluye cualquier operación realizada sobre datos de carácter personal, ya sea por medios automatizados o no, como la recopilación, organización, almacenamiento, consulta, difusión o cualquier otra forma de habilitación de acceso o supresión. Por su parte el art. 4.6) del RGPD define “fichero» como “todo conjunto estructurado de datos personales, accesibles con arreglo a criterios determinados, ya sea centralizado, descentralizado o repartido de forma funcional o geográfica”. A este respecto, recordemos que la sentencia del Tribunal de Justicia de la Unión Europea (STJUE) de 30 de marzo de 2023, dictada en el en el asunto C-34/21 configura la aplicación amplia del ámbito de aplicación material del RGPD, al indicar que “33 A este respecto, de la jurisprudencia del Tribunal de Justicia se desprende que la definición del ámbito de aplicación material del RGPD, tal como se enuncia en su artículo 2, apartado 1, es muy amplia y que las excepciones a dicho ámbito de aplicación, previstas en su artículo 2, apartado 2, deben interpretarse estrictamente [véanse, en este sentido, las sentencias de 9 de julio de 2020, Land Hessen, C 272/19, EU:C:2020:535, apartado 68, y de 22 de junio de 2021, Latvijas Republikas C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/12 Saeima (Puntos por infracciones de tráfico), C 439/19, EU:C:2021:504, apartados 61 y 62]”. Asimismo, la STJUE de 7 de marzo de 2024, dictada en el asunto C-740/22 dispone que “37 A este respecto, el Tribunal de Justicia ya ha declarado que, de conformidad con el objetivo recordado en el apartado 34 de la presente sentencia, este precepto define el concepto de «fichero» en sentido amplio, al comprender, en particular, «todo» conjunto estructurado de datos personales. Además, el requisito de que el conjunto de datos personales esté «[estructurado] con arreglo a criterios específicos» solo tiene la finalidad de permitir que los datos relativos a una persona puedan recuperarse fácilmente. Aparte de este requisito, el artículo 4, punto 6, del RGPD no regula ni los criterios de estructuración del fichero ni la forma que este debe revestir. En particular, no se deduce del citado precepto ni de ninguna otra disposición de dicho Reglamento que, para que se pueda apreciar la existencia de un fichero, en el sentido del Reglamento, los datos personales en cuestión deban figurar en fichas, en catálogos específicos o en otro sistema de búsqueda (véase, por analogía, la sentencia de 10 de julio de 2018, Jehovan todistajat, C 25/17, EU:C:2018:551, apartados 56 a 58)”. Por lo tanto, el concepto de fichero y de tratamiento de datos personales ha de entenderse en sentido amplio y el ámbito material del RGPD no se circunscribe al tratamiento informatizado de datos. Por tanto, pese a que la ENTIDAD LOCAL afirmó en respuesta al traslado de la reclamación realizado por esta AEPD que no realiza tratamientos informatizados de datos, esto no significa que no realice un tratamiento no automatizado de datos protegido por el RGPD y que no deba dar cumplimiento a las obligaciones que le incumben en el desarrollo de las funciones que le son propias, y, para el caso concreto que nos ocupa, dar publicidad a hechos de su interés. Esta circunstancia se ve confirmada por el hecho de que el documento del que trae causa la reclamación objeto del presente procedimiento y que contiene datos de carácter personal del reclamante tiene su origen en una queja presentada por el reclamante contra la ENTIDAD LOCAL por un asunto relacionado con la actividad pública de la ENTIDAD LOCAL, lo que evidencia que el acuerdo Ayuntamiento de ***LOCALIDAD.1 publicado en el tablón de anuncios está contenido o destinado a ser incluido en los ficheros de la ENTIDAD LOCAL. En consecuencia, está sometida a las obligaciones que el RGPD impone a los responsables del tratamiento respecto a los tratamientos de datos que efectúa. III Obligación incumplida. Integridad y confidencialidad Cabe comenzar señalando que la letra
5. f)del artículo 5.1 del RGPD dispone lo siguiente: "1. Los datos personales serán: (…)
6. f)tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/12 su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»)." En este sentido, los responsables han de garantizar la integridad y confidencialidad de los datos personales objeto de tratamiento a través de medidas técnicas y organizativas de todo tipo. El cumplimiento de dicho precepto se constataría, por lo tanto, mediante
7. i)la adopción y cumplimiento de medidas técnicas y organizativas de todo tipo cuyo objetivo sea garantizar la confidencialidad y la integridad de los datos personales objeto de tratamiento
8. ii)la ausencia de situaciones de pérdida de confidencialidad o integridad de los datos personales tratados. Su incumplimiento, por el contrario, devendría de la ausencia de medidas o incumplimiento de las adoptadas y de una pérdida de confidencialidad de los datos objeto de tratamiento. En definitiva, con arreglo al artículo 5.1.
9. f)RGPD transcrito, el responsable de todo tratamiento de datos personales está obligado a garantizar una seguridad adecuada de los datos a través de medidas técnicas, organizativas de todo tipo, que comprende su protección contra el tratamiento no autorizado o ilícito y, por consiguiente, implica la inexistencia de filtraciones o brechas de confidencialidad. El considerando 39 del RGPD así lo confirma cuando dice: “Los datos personales deben tratarse de un modo que garantice una seguridad y confidencialidad adecuadas de los datos personales, inclusive para impedir el acceso o uso no autorizados de dichos datos y del equipo utilizado en el tratamiento.” Por su parte, la Sentencia del Tribunal Constitucional (STC) 292/2000 con ocasión de analizar el contenido del derecho fundamental a la protección de datos personales, dice en su Fundamento de Derecho 7: “[…] resulta que el contenido del derecho fundamental a la protección de datos consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el Estado o un particular.” (El subrayado es nuestro) Teniendo en cuenta lo anterior, la parte reclamada declaró en su respuesta al traslado que, recibida la notificación del acuerdo adoptado por el Ayuntamiento de ***LOCALIDAD.1 relativo a la apertura de la “casa del pueblo” -en el que constaban incorporados los datos personales de la parte reclamante-, procedió a incluirlo en el tablón de anuncios de la localidad. Y lo justificó en que está obligada a actuar con la máxima transparencia para el conocimiento puntual de los vecinos de los asuntos que les afecten”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/12 “[...] el Ayuntamiento de ***LOCALIDAD.1, ha incluido innecesariamente los datos de la filiación del reclamante en el Acuerdo de la Comisión de Gobierno que ha dado traslado a la Junta Vecinal A.A.A., y el documento de notificación la Comisión de Gobierno de la Junta Vecinal, por considerarlo de interés general para los vecinos lo ha insertado, junto con el Recurso de Reposición en el Tablón de Anuncios de la Junta Vecinal.” (El subrayado es nuestro) Así, consta que la reclamada optó por incluir en el tablón de anuncios el acuerdo que le notificó el Ayuntamiento sin adoptar ninguna medida (como la anonimización) de los datos personales del reclamante que garantizara la confidencialidad de los datos al tiempo que daba publicidad al acto publicado. Y ello, justifica, en cumplimiento de su deber de transparencia, cuya aplicación al presente caso no cuestionamos. Una transparencia que, no obstante, ha de ser compatible con el derecho fundamental a la protección de datos personales, máxime cuando en el caso que nos ocupa el conocimiento de dichos datos personales no afectaban o no eran requeridos al objeto de dar publicidad al acto. La documentación que obra en el expediente -las fotografías aportadas y las manifestaciones de la parte reclamada, que reconoce que insertó en el tablón de anuncios de la localidad el referido acuerdo del Ayuntamiento con los datos personales de la parte reclamante- evidencia que la ENTIDAD LOCAL incumplió la obligación impuesta por el artículo 5.1.
10. f)RGPD al haber permitido el acceso ilícito de terceras personas a los datos del reclamante. Los hechos han sido reconocidos por la propia ENTIDAD LOCAL en un escrito en el que, si bien responsabiliza de los mismos a la anterior comisión gestora, no implica que la infracción no se hubiera cometido. Por tanto, de conformidad con las evidencias de que se dispone en este momento de resolución de procedimiento sancionador, se considera que los hechos conocidos son constitutivos de una infracción, imputable a la parte reclamada, por vulneración del artículo 5.1
11. f)RGPD. V Tipificación de la infracción del artículo 5.1.
12. f)del RGPD y calificación a efectos de prescripción El artículo 83.5 del RGPD tipifica como infracción administrativa la vulneración del artículo siguiente, que se sancionará, de acuerdo con el apartado 2, con multas administrativas de 20.000.000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: "
13. a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9;" Por su parte, la LOPDGDD en su artículo 71, Infracciones, señala que: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 10/12 “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A los solos efectos del plazo de prescripción, el artículo 72.1 de la LOPDGDD establece lo siguiente: "En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
14. a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679." VI Declaración de infracción El artículo 83 “Condiciones generales para la imposición de multas administrativas” del RGPD, en su apartado 7, establece: “Sin perjuicio de los poderes correctivos de las autoridades de control en virtud del artículo 58, apartado 2, cada Estado miembro podrá establecer normas sobre si se puede, y en qué medida, imponer multas administrativas a autoridades y organismos públicos establecidos en dicho Estado miembro.” El artículo 77 “Régimen aplicable a determinadas categorías de responsables o encargados del tratamiento” de la LOPDGDD dispone lo siguiente: “1. El régimen establecido en este artículo será de aplicación a los tratamientos de los que sean responsables o encargados:
15. c)[…] y las entidades que integran la Administración Local. 2. Cuando los responsables o encargados enumerados en el apartado 1 cometiesen alguna de las infracciones a las que se refieren los artículos 72 a 74 de esta ley orgánica, la autoridad de protección de datos que resulte competente dictará resolución declarando la infracción y estableciendo, en su caso, las medidas que proceda adoptar para que cese la conducta o se corrijan los efectos de la infracción que se hubiese cometido, con excepción de la prevista en el artículo 58.2.i del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016. La resolución se notificará al responsable o encargado del tratamiento, al órgano del que dependa jerárquicamente, en su caso, y a los afectados que tuvieran la condición de interesado, en su caso. 3. Sin perjuicio de lo establecido en el apartado anterior, la autoridad de protección de datos propondrá también la iniciación de actuaciones disciplinarias cuando existan indicios suficientes para ello. En este caso, el procedimiento y las sanciones a aplicar C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 11/12 serán las establecidas en la legislación sobre régimen disciplinario o sancionador que resulte de aplicación. Asimismo, cuando las infracciones sean imputables a autoridades y directivos, y se acredite la existencia de informes técnicos o recomendaciones para el tratamiento que no hubieran sido debidamente atendidos, en la resolución en la que se imponga la sanción se incluirá una amonestación con denominación del cargo responsable y se ordenará la publicación en el Boletín Oficial del Estado o autonómico que corresponda. 4. Se deberán comunicar a la autoridad de protección de datos las resoluciones que recaigan en relación con las medidas y actuaciones a que se refieren los apartados anteriores. 5. Se comunicarán al Defensor del Pueblo o, en su caso, a las instituciones análogas de las comunidades autónomas las actuaciones realizadas y las resoluciones dictadas al amparo de este artículo.” (El subrayado es nuestro) La ENTIDAD LOCAL tiene la naturaleza de entidad menor de las reconocidas por los artículos 24 y 24 bis de la Ley 7/1985, de 2 de abril, Reguladora de las Bases del Régimen Local. Cabe señalar Asimismo que, de acuerdo con la Ley 1/1998, de 4 de junio, de Régimen Local de Castilla y León- artículo 491. Son entidades locales menores aquellas entidades de ámbito territorial inferior al municipio que bajo diversas denominaciones tienen reconocido dicho carácter, y las que en lo sucesivo se creen de acuerdo con lo dispuesto en el artículo 54. 2. Las entidades locales menores tendrán la consideración de entidad local, personalidad y capacidad jurídica plena para el ejercicio de sus competencias. Dicha norma, en su artículo 57. 1 señala que 1. Los órganos de gobierno y administración de las entidades locales menores serán el Alcalde pedáneo y la Junta Vecinal. A tenor de los hechos expuestos, se considera que corresponde imputar una sanción a la parte reclamada por la vulneración del artículo 5.1.
16. f)del RGPD tipificada en el artículo 83.5 del RGPD. La sanción que corresponde imponer es la declaración de infracción. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Presidencia de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR que la ENTIDAD LOCAL MENOR A.A.A., con NIF (...), ha infringido lo dispuesto en el artículo 5.1.
17. f)del RGPD, infracción tipificada en el artículo 83.5 del RGPD. SEGUNDO: NOTIFICAR la presente resolución a la ENTIDAD LOCAL MENOR A.A.A.. TERCERO: COMUNICAR la presente resolución al Defensor del Pueblo, de conformidad con lo establecido en el artículo 77.5 de la LOPDGDD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 12/12 De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
18. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeaepd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-100325 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es