← España

PS-00206-2023

1/13  Expediente N.º: EXP202300756 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: D. A.A.A. (en adelante, la parte reclamante) con fecha 01/12/2022 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra el AYUNTAMIENTO DE LLAURÍ, con NIF P4615700D (en adelante, la parte reclamada). Los motivos en que basa la reclamación son los siguientes: el reclamante manifiesta que participó en un proceso selectivo convocado por la parte reclamada; ésta publicó en su web los resultados del primer ejercicio, constando en los listados publicados los datos del DNI de las personas participantes. Junto a la reclamación aporta el enlace que permite acceder a los datos publicados. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), el 02/02/2023 se dio traslado de dicha reclamación a la parte reclamada/ALIAS, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 02/02/2023 como consta en el acuse de recibo que obra en el expediente. El reclamado no dio respuesta al traslado de la reclamación. TERCERO: Con fecha 01/03/2023, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: Con fecha 05/07/2023, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador al reclamado, por las presuntas infracciones de los artículos 5.1.

  1. f)y 32.1 del RGPD, tipificadas en los artículos 83.5.
  2. a)y 83.4.
  3. a)del RGPD, conforme a lo dispuesto en el artículo 77 de la LOPDGDD. QUINTO: Notificado el acuerdo de inicio, el reclamado en fecha 31/07/2023 presentó escrito de alegaciones manifestando, en síntesis: que la recepción del acuerdo de inicio ha permitido identificar la identidad de la parte reclamante, dato que ha permitido a este Consistorio averiguar el procedimiento selectivo al que este se refiere, siendo del año 2020; que se constata la publicación en la página web de los resultados del primer ejercicio en la que constan los DNI de las personas participantes, en consonancia con los dictados de la Disposición Adicional Séptima de la LOPDGDD; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/13 que en la publicación que refiere el reclamante no consta nombre y apellidos ni ningún dato personal que, en adición al DNI, pudiese identificar a las personas aspirantes a la plaza, siguiendo esta estrictamente los dictados de la Disposición Adicional antes mencionada. SEXTO: Con fecha 29/08/2023 se inició un período de práctica de pruebas, acordándose las siguientes - Dar por reproducidos a efectos probatorios la reclamación interpuesta por el reclamante y su documentación, los documentos obtenidos y generados por los Servicios de Inspección que forman parte del expediente. - Dar por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio presentadas por el reclamado y la documentación que a ellas acompaña. SEPTIMO: Con fecha 18/09/2023 fue emitida Propuesta de Resolución en el sentido de que por la Directora de la AEPD se declare que el reclamado ha infringido lo dispuesto en los artículos 5.1.
  4. f)y 32.1 del RGPD, tipificadas en los artículos 83.5.
  5. a)y 83.4.
  6. a)del RGPD. Transcurrido el plazo de alegaciones legalmente establecido el reclamado no presento escrito alguno. OCTAVO: De las actuaciones practicadas en el presente procedimiento, han quedado acreditados los siguientes: HECHOS PROBADOS PRIMERO. El reclamante presento escrito ante la AEPD el 01/12/2022 manifestando que participó en un proceso selectivo convocado por la parte reclamada y que ésta publicó en su web los resultados del primer ejercicio, constando en los listados publicados los datos del DNI de las personas participantes. SEGUNDO. El reclamante ha aportado el buscador Google con los enlaces que permiten acceder a los anuncios con la rectificación de los resultados del primer ejercicio en el proceso de selección de auxiliar administrativo interino/a. TERCERO. Consta aportada por el reclamante impresión de pantalla del ANUNCIO RECTIFICACIÓN RESULTADO PRIMER EJERCICIO COMO CONSECUENCIA DE LA REVISIÓN DEL EXAMEN TIPO TEST, donde figuran junto al nº del DNI completo, el nombre y apellidos de cada uno de los participantes. CUARTO. Consta aportada por el reclamante impresión de pantalla del ANUNCIO RECTIFICACIÓN RESULTADO PRIMER EJERCICIO COMO CONSECUENCIA DE LA REVISIÓN DEL EXAMEN TIPO TEST, donde figuran nº del DNI completo de cada uno de los participantes, esta vez sin referencia a sus nombres y apellidos. Esta impresión de pantalla coincide con la aportada por el reclamado en fecha 31/07/2023, junto a las alegaciones al acuerdo de inicio. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/13 FUNDAMENTOS DE DERECHO I De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II El artículo 58 del RGPD, Poderes, establece en su apartado 2: “2. Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación: (…)
  7. b)dirigir a todo responsable o encargado del tratamiento un apercibimiento cuando las operaciones de tratamiento hayan infringido lo dispuesto en el presente Reglamento; (…)
  8. d)ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado; (…)” III El reclamado, como cualquier otra entidad u organismo público, está obligada al cumplimiento del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos -RGPD-, y de la LO 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales -LOPDGDD- con respecto a los tratamientos de datos de carácter personal que realice, entendiendo por dato de carácter personal, “toda información sobre una persona física identificada o identificable”. Se considera persona física identificable aquella cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/13 El artículo 4, Definiciones, del RGPD establece en sus apartados 2, 3, 7 y 12 lo siguiente: 1) «datos personales»: toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona; 2) «tratamiento»: cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción; 7) «responsable del tratamiento» o «responsable»: la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros; 12) «violación de la seguridad de los datos personales»: toda violación de la seguridad que ocasione la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos; El reclamado como entidad local presta una serie de servicios públicos, para los cuales trata datos de carácter personal de sus empleados y ciudadanos; realiza esta actividad en su condición de responsable del tratamiento, dado que es quien determina los fines y medios de tal actividad, etc. Los hechos denunciados se materializan en la publicación a través de la web municipal de los resultados del primer ejercicio de un proceso selectivo para cubrir plaza de auxiliar administrativo/a interino/a, figurando en los listados publicados los datos del DNI completo de las personas participantes junto al nombre y apellidos, que posteriormente fue modificado figurando solamente el DNI completo, lo que podría vulnerar la normativa en materia de protección de datos personales. En el presente caso, consta una brecha de seguridad de datos personales en las circunstancias arriba indicadas, que afectó a la confidencialidad de datos personales del reclamante. Dentro de los principios del tratamiento previstos en el artículo 5 del RGPD, la integridad y confidencialidad de los datos personales se garantiza en el apartado 1.
  9. f)del artículo 5 del RGPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/13 Por su parte, la seguridad de los datos personales viene regulada en el artículo 32 RGPD, que reglamenta la seguridad del tratamiento. IV En primer lugar, dicho tratamiento podría ser constitutivo de una infracción del artículo 5, Principios relativos al tratamiento, del RGPD que establece que: “1. Los datos personales serán: (…)
  10. f)tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»). (…)” Por otra parte, la Disposición adicional séptima de la LOPDGDD, establece, en referencia a la identificación de los interesados en las notificaciones por medio de anuncios y publicaciones de actos administrativos, lo siguiente en su apartado 1: 1. Cuando sea necesaria la publicación de un acto administrativo que contuviese datos personales del afectado, se identificará al mismo mediante su nombre y apellidos, añadiendo cuatro cifras numéricas aleatorias del documento nacional de identidad, número de identidad de extranjero, pasaporte o documento equivalente. Cuando la publicación se refiera a una pluralidad de afectados estas cifras aleatorias deberán alternarse. Cuando se trate de la notificación por medio de anuncios, particularmente en los supuestos a los que se refiere el artículo 44 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, se identificará al afectado exclusivamente mediante el número completo de su documento nacional de identidad, número de identidad de extranjero, pasaporte o documento equivalente. Cuando el afectado careciera de cualquiera de los documentos mencionados en los dos párrafos anteriores, se identificará al afectado únicamente mediante su nombre y apellidos. En ningún caso debe publicarse el nombre y apellidos de manera conjunta con el número completo del documento nacional de identidad, número de identidad de extranjero, pasaporte o documento equivalente. (…)” V El artículo 83.5
  11. a)del RGPD, considera que la infracción de “los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9” es sancionable . Por su parte, la LOPDGDD en su artículo 71, Infracciones, señala que: “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/13 También la LOPDGDD, a efectos de prescripción, en su artículo 72 indica: “Infracciones consideradas muy graves: 1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
  12. a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679. (…)” VI La documentación obrante en el expediente ofrece indicios evidentes de que el reclamado, vulneró el artículo 5 del RGPD, principios relativos al tratamiento, al permitir el acceso a los datos carácter personal como consecuencia de la publicación en la web municipal de los datos de carácter personal de los participantes en un proceso selectivo de una plaza de auxiliar administrativo/a interino/a, entre ellos los del reclamante, con los efectos multiplicadores que el uso de las redes sociales puede tener para su visibilidad. El deber de confidencialidad debe entenderse que tiene como finalidad evitar que se realicen filtraciones de los datos no consentidas por los titulares de los mismos. El reclamado ha manifestado que “…, se constata la publicación en la página web del reclamado de los resultados del primer ejercicio en la que constan los DNI de las personas participantes. Dicha publicación se efectuó en consonancia con los dictados de la Disposición Adicional Séptima de la LOPD, que regula que, cuando se trate de la notificación por medio de anuncios se identificará al afectado exclusivamente mediante el número completo del documento nacional de identidad, número de identidad de extranjero, pasaporte o documento equivalente. En efecto, en la publicación que refiere el reclamante no consta nombre y apellidos ni ningún dato personal que, en adición al DNI, pudiese identificar a las personas aspirantes a la plaza, siguiendo esta estrictamente los dictados de la Disposición Adicional antes mencionada”. No obstante, como así consta en los hechos probados figuran dos impresiones de pantalla del ANUNCIO RECTIFICACIÓN RESULTADO PRIMER EJERCICIO COMO CONSECUENCIA DE LA REVISIÓN DEL EXAMEN TIPO TEST: una primera, donde figuran junto al nº del DNI completo, el nombre y apellidos de cada uno de los participantes y, Una segunda, en la que figura el nº del DNI completo de cada uno de los participantes, esta vez sin referencia a sus nombres y apellidos. Hay que señalar que la AEPD en la ORIENTACIÓN PARA LA APLICACIÓN PROVISIONAL DE LA DISPOSICIÓN ADICIONAL SÉPTIMA DE LA LOPDGDD señalaba que: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/13 “(…) La publicación de documento nacional de identidad, número de identidad de extranjero, pasaporte o documento equivalente podrá realizarse de la siguiente forma: • Dado un DNI con formato 12345678X, se publicarán los dígitos que en el formato que ocupen las posiciones cuarta, quinta, sexta y séptima. En el ejemplo: ***4567**. (…) Los caracteres alfabéticos, y aquellos numéricos no seleccionados para su publicación, se sustituirán por un asterisco por cada posición. El criterio provisional propuesto por las autoridades que suscriben la presente orientación pretende, así mismo, tratar de evitar que la adopción de fórmulas distintas en aplicación de la citada disposición pueda dar lugar a la publicación de cifras numéricas de los documentos identificativos en posiciones distintas en cada caso, posibilitando la recomposición íntegra de dichos documentos. Por ello, recomiendan que la fórmula propuesta sea aplicada de forma generalizada. La presente recomendación tiene carácter provisional hasta el momento en el que los órganos de gobierno y las administraciones públicas competentes aprueben disposiciones para la aplicación de la mencionada Disposición Adicional séptima.” Por tanto, la LOPDGDD incluye en el apartado 1º de su Disposición Adicional 7ª cómo debe identificarse a los interesados en las notificaciones por medio de anuncios y publicaciones de actos administrativos. Previamente, esta identificación incluía el nombre, apellidos y número íntegro del DNI o documento análogo; sin embargo, para minimizar el impacto en la privacidad de los ciudadanos se debe publicar el nombre, apellidos y cuatro cifras aleatorias del documento oficial de identidad. Se desprende de lo que antecede que el reclamado ha vulnerado el artículo 5.1.
  13. f)del RGPD, infracción tipificada en el artículo 83.5.
  14. a)del RGPD. VII En segundo lugar, se atribuye al reclamado la posible infracción del artículo 32 del RGPD “Seguridad del tratamiento”, establece que: “1. Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, que en su caso incluya, entre otros:
  15. a)la seudonimización y el cifrado de datos personales;
  16. b)la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento;
  17. c)la capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente físico o técnico; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/13
  18. d)un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento. 2. Al evaluar la adecuación del nivel de seguridad se tendrán particularmente en cuenta los riesgos que presente el tratamiento de datos, en particular como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos. 3. La adhesión a un código de conducta aprobado a tenor del artículo 40 o a un mecanismo de certificación aprobado a tenor del artículo 42 podrá servir de elemento para demostrar el cumplimiento de los requisitos establecidos en el apartado 1 del presente artículo. 4. El responsable y el encargado del tratamiento tomarán medidas para garantizar que cualquier persona que actúe bajo la autoridad del responsable o del encargado y tenga acceso a datos personales solo pueda tratar dichos datos siguiendo instrucciones del responsable, salvo que esté obligada a ello en virtud del Derecho de la Unión o de los Estados miembros”. VIII La vulneración del artículo 32 del RGPD se encuentra tipificada en el artículo 83.4.
  19. a)del citado RGPD en los siguientes términos: “4. Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 10 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 2 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
  20. a)las obligaciones del responsable y del encargado a tenor de los artículos 8, 11, 25 a 39, 42 y 43. (…)” Por su parte, la LOPDGDD en su artículo 71, Infracciones, señala que: “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. Y en su artículo 73, a efectos de prescripción, califica de “Infracciones consideradas graves”: “En función de lo que establece el artículo 83.4 del Reglamento (UE) 2016/679 se consideran graves y prescribirán a los dos años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes: (…) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/13
  21. f)La falta de adopción de aquellas medidas técnicas y organizativas que resulten apropiadas para garantizar un nivel de seguridad adecuado al riesgo del tratamiento, en los términos exigidos por el artículo 32.1 del Reglamento (UE) 2016/679. (…)” IX 1. El RGPD define las violaciones de seguridad de los datos personales como “todas aquellas violaciones de la seguridad que ocasionen la destrucción, perdida o alteración accidental o ilícita de datos personales trasmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos”. La documentación obrante en el expediente ofrece indicios de que el reclamado ha vulnerado el artículo 32.1 del RGPD, al producirse y posibilitarse un incidente de seguridad, con vulneración de las medidas de carácter técnico y organizativas. Hay que señalar que el RGPD en el citado precepto no establece un listado de las medidas de seguridad que sean de aplicación de acuerdo con los datos que son objeto de tratamiento, sino que establece que el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas que sean adecuadas al riesgo que conlleve el tratamiento, teniendo en cuenta el estado de la técnica, los costes de aplicación, la naturaleza, alcance, contexto y finalidades del tratamiento, los riesgos de probabilidad y gravedad para los derechos y libertades de las personas interesadas. Asimismo, las medidas de seguridad deben resultar adecuadas y proporcionadas al riesgo detectado, señalando que la determinación de las medidas técnicas y organizativas deberá realizarse teniendo en cuenta: la seudonimización y el cifrado, la capacidad para garantizar la confidencialidad, integridad, disponibilidad y resiliencia, la capacidad para restaurar la disponibilidad y acceso a datos tras un incidente, proceso de verificación (que no auditoría), evaluación y valoración de la eficacia de las medidas. En todo caso, al evaluar la adecuación del nivel de seguridad se tendrán particularmente en cuenta los riesgos que presente el tratamiento de datos, como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos y que pudieran ocasionar daños y perjuicios físicos, materiales o inmateriales. 2. En el presente caso, tal y como consta en los hechos la AEPD trasladó al reclamado la reclamación presentada para que procediese a su análisis e informase a esta Agencia de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos, sin que respondiera al requerimiento efectuado. En alegaciones al acuerdo de inicio de 31/07/2023 manifestaba que dicha publicación se efectuó en consonancia con los dictados de la Disposición Adicional Séptima de la LOPD, que regula que, cuando se trate de la notificación por medio de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/13 anuncios se identificará al afectado exclusivamente mediante el número completo del documento nacional de identidad, número de identidad de extranjero, pasaporte o documento equivalente”. Sin embargo, ninguna de las dos impresiones de pantalla sobre la publicación a través de la web municipal de los resultados del primer ejercicio de un proceso selectivo para cubrir plaza de auxiliar administrativo/a interino/a, se ajustaba a la citada Disposición Adicional Séptima, lo que acredita que la adopción de las medidas de seguridad implantadas no son las apropiadas para garantizar la confidencialidad de los datos de carácter personal. La responsabilidad del reclamado viene determinada por la ausencia de medidas de seguridad adecuadas puesta de manifiesto por el reclamante, ya que es responsable de tomar decisiones destinadas a implementar las medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo para asegurar la confidencialidad de los datos, restaurando su disponibilidad e impedir el acceso a los mismos en caso de incidente físico o técnico. De conformidad con lo que antecede, se estima que el reclamado sería presuntamente responsable de la infracción del RGPD: la vulneración del artículo 32, infracción tipificada en su artículo 83.4.a). X La LOPDGDD en su artículo 77, Régimen aplicable a determinadas categorías de responsables o encargados del tratamiento, establece lo siguiente: “1. El régimen establecido en este artículo será de aplicación a los tratamientos de los que sean responsables o encargados: (…)
  22. c)La Administración General del Estado, las Administraciones de las comunidades autónomas y las entidades que integran la Administración Local. (…) 2. Cuando los responsables o encargados enumerados en el apartado 1 cometiesen alguna de las infracciones a las que se refieren los artículos 72 a 74 de esta ley orgánica, la autoridad de protección de datos que resulte competente dictará resolución declarando la infracción y estableciendo, en su caso, las medidas que proceda adoptar para que cese la conducta o se corrijan los efectos de la infracción que se hubiese cometido, con excepción de la prevista en el artículo 58.2.i del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016. La resolución se notificará al responsable o encargado del tratamiento, al órgano del que dependa jerárquicamente, en su caso, y a los afectados que tuvieran la condición de interesado, en su caso. 3. Sin perjuicio de lo establecido en el apartado anterior, la autoridad de protección de datos propondrá también la iniciación de actuaciones disciplinarias cuando existan indicios suficientes para ello. En este caso, el procedimiento y las C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/13 sanciones a aplicar serán las establecidas en la legislación sobre régimen disciplinario o sancionador que resulte de aplicación. Asimismo, cuando las infracciones sean imputables a autoridades y directivos, y se acredite la existencia de informes técnicos o recomendaciones para el tratamiento que no hubieran sido debidamente atendidos, en la resolución en la que se imponga la sanción se incluirá una amonestación con denominación del cargo responsable y se ordenará la publicación en el Boletín Oficial del Estado o autonómico que corresponda. 4. Se deberán comunicar a la autoridad de protección de datos las resoluciones que recaigan en relación con las medidas y actuaciones a que se refieren los apartados anteriores. 5. Se comunicarán al Defensor del Pueblo o, en su caso, a las instituciones análogas de las comunidades autónomas las actuaciones realizadas y las resoluciones dictadas al amparo de este artículo. 6. Cuando la autoridad competente sea la Agencia Española de Protección de Datos, esta publicará en su página web con la debida separación las resoluciones referidas a las entidades del apartado 1 de este artículo, con expresa indicación de la identidad del responsable o encargado del tratamiento que hubiera cometido la infracción. Cuando la competencia corresponda a una autoridad autonómica de protección de datos se estará, en cuanto a la publicidad de estas resoluciones, a lo que disponga su normativa específica”. En el caso examinado, el presente procedimiento sancionador tiene su causa en que el reclamado, tal y como se expone en los hechos, ha vulnerado la normativa en materia de protección de datos de carácter personal tanto del principio de confidencialidad de los datos como las medidas técnicas y organizativas. Esta conducta constituye por parte del reclamado la infracción a lo dispuesto en los artículos 5.1.
  23. f)y 32.1 del RGPD. Hay que señalar que el RGPD, sin perjuicio de lo establecido en su artículo 83, contempla en su artículo 77 la posibilidad de declarar la infracción y establecer las medidas que procedan para corregir los tratamientos de datos personales que no se adecúen a sus previsiones, cuando los responsables o encargados enumerados en el apartado 1 cometiesen alguna de las infracciones a las que se refieren los artículos 72 a 74 de esta ley orgánica. Adicionalmente, contempla el artículo 58 del RGPD en su apartado 2
  24. d)que cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…” XI C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/13 Al haberse confirmado las infracciones, procede imponer al responsable la adopción de medidas adecuadas para ajustar su actuación a la normativa mencionada en este acto, de acuerdo con lo establecido en el citado artículo 58.2
  25. d)del RGPD, según el cual cada autoridad de control podrá “
  26. d)ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado”. En el presente caso, se requiere al reclamado para que en el plazo de dos meses a partir de la notificación de la presente resolución: - Acredite la adopción de medidas adecuadas para evitar que en el futuro se produzcan incidencias como las que han provocado la apertura del presente procedimiento sancionador evitando incidentes como el señalado al posibilitar el acceso a los datos carácter personal del reclamante como consecuencia de la publicación en la web de sus datos de carácter personal figurando junto al nombre y apellidos, el nº del DNI completo tanto del reclamante como del resto de participantes en el proceso selectivo. Se advierte que no atender la posible orden de adopción de medidas impuestas por este organismo en la resolución sancionadora podrá ser considerado como una infracción administrativa conforme a lo dispuesto en el RGPD, tipificada como infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la apertura de un ulterior procedimiento administrativo sancionador. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR que el AYUNTAMIENTO DE LLAURÍ, con NIF P4615700D, ha infringido lo dispuesto en los artículos 5.1.
  27. f)del RGPD y 32.1 del RGPD, infracciones tipificadas en los artículos 83.5.
  28. a)y 83.4.
  29. a)del RGPD. SEGUNDO: ORDENAR al AYUNTAMIENTO DE LLAURÍ, que en virtud del artículo 58.2.
  30. d)del RGPD, en el plazo de dos meses desde la notificación de la presente Resolución acredite haber procedido al cumplimiento de a la adopción de medidas para que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento y no vuelvan a producirse incidencias como la que dio lugar al presente procedimiento con infracción de la normativa en materia de protección de datos de carácter personal. TERCERO: NOTIFICAR la presente resolución al AYUNTAMIENTO DE LLAURÍ. CUARTO: COMUNICAR la presente resolución al Defensor del Pueblo, de conformidad con lo establecido en el artículo 77.5 de la LOPDGDD. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/13 Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
  31. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contenciosoadministrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.