1/9 Expediente N.º: EXP202408153 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 14 de julio de 2023 por la Directora de la Agencia Española de Protección de Datos se dictó resolución en el procedimiento de ejercicio de derechos del expediente número EXP202304307 seguido contra el AYUNTAMIENTO DE BURGOS (en adelante, el Ayuntamiento). En dicho expediente, consta que la parte reclamante ejerció derecho de supresión de los datos personales que le conciernen, sin que dicha solicitud resultara debidamente atendida, dictándose resolución en la que se requería lo siguiente: “PRIMERO: ESTIMAR la reclamación formulada por A.A.A. al considerar que se ha infringido lo dispuesto en el Artículo 17 del RGPD e instar al AYUNTAMIENTO DE BURGOS, con NIF P0906100C, para que, en el plazo de los diez días hábiles siguientes a la notificación de la presente resolución, remita a la parte reclamante certificación por la que se atienda el derecho de Supresión ejercido o se deniegue motivadamente indicando las causas por las que no procede atender la petición, de conformidad con lo establecido en el cuerpo de la presente resolución. Las actuaciones realizadas como consecuencia de la presente Resolución deberán ser comunicadas a esta Agencia en idéntico plazo. El incumplimiento de esta resolución podría comportar la comisión de una infracción del artículo 83.6 del RGPD, calificada como muy grave a los efectos de prescripción en el artículo 72.1.
- m)de la LOPDGDD, que se sancionará, de acuerdo con el art. 58.2 del RGPD.” SEGUNDO: La resolución del procedimiento de ejercicio de derechos, en la que se le concedía al Ayuntamiento el plazo de diez días hábiles para la atención del ejercicio del derecho de supresión, se notificó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP) mediante notificación electrónica, siendo recogida por el responsable con fecha 17 de julio de 2023, como consta en el acuse de recibo que obra en el expediente. TERCERO: Una vez transcurrido el plazo otorgado para que se realizaran las actuaciones requeridas en la resolución del procedimiento de ejercicio de derechos sin que en esta Agencia se haya tenido constancia de éstas, y habiendo recibido escrito de la reclamante, registrado de entrada con fecha 12 de diciembre de 2023 y número REGAGE23e00084154448, solicitando de nuevo el cumplimiento del derecho, se procedió a requerir al Ayuntamiento en dos ocasiones para que, en el plazo de cinco días hábiles, remitiera a la parte reclamante certificación del cumplimiento de la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/9 resolución indicada y, en el plazo de diez días hábiles, notificara a esta Agencia las medidas adoptadas. Las notificaciones de dichos requerimientos se practicaron conforme a las normas establecidas en la LPACAP mediante notificación electrónica, siendo recogidas por el responsable con fechas 30 de enero de 2024 y 3 de abril de 2024, como consta en los acuses de recibo que obran en el expediente. CUARTO: Transcurrido el plazo de la resolución inicial y de los sucesivos requerimientos, el Ayuntamiento no ha remitido respuesta a esta Agencia que acredite que ha atendido el derecho de supresión ejercido, o en su caso, que lo ha denegado motivadamente indicando las causas por las que no procede atender la petición. QUINTO: Contra la citada resolución, no cabe ningún recurso ordinario en vía administrativa por el transcurso de los plazos establecidos para ello. Asimismo, el interesado no ha manifestado su intención de interponer recurso contenciosoadministrativo, ni esta Agencia tiene constancia de que el mismo se haya interpuesto y se haya solicitado suspensión cautelar de la resolución. SEXTO: Con fecha 24 de junio de 2024 la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador al Ayuntamiento, con arreglo a lo dispuesto en los artículos 63 y 64 de la LPACAP, por la presunta infracción del Artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), tipificada en el Artículo 83.6 del RGPD. SÉPTIMO: El citado acuerdo de inicio fue notificado al Ayuntamiento con fecha 25 de junio de 2024, como consta en el acuse de recibo que obra en el expediente. OCTAVO: Con fecha 9 de julio de 2024 y número de registro de entrada REGAGE24e00051657192, el Ayuntamiento presenta escrito de alegaciones al acuerdo de inicio en el que, respecto al cumplimiento de la resolución del procedimiento de ejercicio de derechos del expediente número EXP202304307, manifiesta lo siguiente. “La publicación de listados de admitidos y excluidos constituye una verdadera cesión (…) Y la cesión queda englobada dentro del concepto de tratamiento de datos (…). La materia de los procedimientos selectivos aparece presidida por los principios de transparencia y publicidad. (…) el tratamiento de estos datos personales está basado en el consentimiento del afectado, que ha suscrito una instancia para participar en el procedimiento selectivo de que se trate, incluyendo sus datos personales; como ha ocurrido en el caso que nos ocupa con la instancia presentada por la A.A.A. y la participación supone la aceptación de las bases de la convocatoria, que se consideran ley para el procedimiento selectivo. En lo que a este particular se refiere, las Bases aprobadas por Resolución de 28 de noviembre de 2018 para cubrir en propiedad cuatro plazas vacantes de Arquitecto en la Plantilla de personal funcionario del Excmo. Ayuntamiento de Burgos, en su base C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/9 sexta, apartado 4 se dispone que “finalizado el plazo de presentación de instancias el órgano administrativo competente aprobará la lista de aspirantes admitidos y excluidos, con indicación de la causa de exclusión en cada caso. Esta resolución aprobando la lista de aspirantes admitidos y excluidos se hará pública en el Boletín oficial de la provincia de Burgos y en el Tablón de anuncios del Ayuntamiento de Burgos sito en la planta baja de la Casa Consistorial”. Por tanto, la cesión que supone la publicación de los datos referidos está amparada por las propias bases de la convocatoria del procedimiento selectivo en relación con el artículo 45 de la Ley 39/15. En conclusión, siguiendo con el criterio de la Agencia Española de Protección de Datos, si para este procedimiento selectivo entendemos que se ha prestado aunque sea implícitamente el consentimiento para el tratamiento de datos de carácter personal, no cabrá la aplicación del artículo 6.4 LOPD; no obstante lo anterior, con fecha 26 de junio de 2024 se ha despublicado la lista de aspirantes admitidos y excluidos de dicho proceso selectivo de la página web del Ayuntamiento de Burgos, así como el resto de actos dictados en relación con el proceso (...) al haber finalizado dicho proceso.” NOVENO: Con fecha 12 de febrero de 2025 y número de registro de entrada REGAGE25e00009982603, la reclamante presenta escrito en el que manifiesta que “los documentos permanecen disponibles, y desbloqueados frente a buscadores, en el servidor aytoburgos.es.”. DÉCIMO: Con fecha 19 de febrero de 2025 se formuló propuesta de resolución, proponiendo que por la Presidencia de la Agencia Española de Protección de Datos se declare que el Ayuntamiento ha infringido lo dispuesto en el Artículo 58.2 del RGPD, infracción tipificada en el Artículo 83.6 del RGPD. Esta propuesta de resolución fue notificada fehacientemente al Ayuntamiento. UNDÉCIMO: Con fecha 25 de marzo de 2025 y número de registro de entrada REGAGE25e00023440292, el Ayuntamiento, en contestación a la Propuesta de resolución del presente procedimiento sancionador, aporta informe de su ***PUESTO.1 indicando que se ha procedido a la eliminación en el portal web municipal de todos los documentos que hacen referencia a A.A.A.. A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes, HECHOS PROBADOS PRIMERO: La resolución del procedimiento de ejercicio de derechos y los requerimientos para el cumplimiento de la misma indicados en los antecedentes primero, segundo y tercero fueron notificados con arreglo a lo dispuesto en la LPACAP. Dicha resolución devino firme y ejecutiva por el transcurso de los plazos previstos para la interposición de los recursos en ella indicados. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/9 SEGUNDO: El Ayuntamiento no remitió ninguna respuesta a esta Agencia que acreditara el cumplimiento de la resolución con anterioridad a la iniciación del presente procedimiento sancionador. TERCERO: En la información proporcionada durante la instrucción del presente procedimiento, el Ayuntamiento no acredita ante esta Agencia que se haya remitido a la parte reclamante certificación del cumplimiento del derecho de supresión. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del RGPD, otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos”. II Alegaciones al acuerdo de inicio En respuesta a las alegaciones presentadas por el Ayuntamiento se debe señalar lo siguiente. En primer lugar, con respecto a las alegaciones que hacen referencia a la legitimación o no para la publicación que incluye los datos personales de la reclamante, las mismas pudieron ser realizadas durante la tramitación del procedimiento de derechos del EXP202304307. El inicio de dicho procedimiento fue notificado fehacientemente al Ayuntamiento, abriendo el correspondiente plazo para alegaciones, que dicha parte dejó transcurrir sin presentar ninguna objeción. El procedimiento finalizó con una resolución que le fue también notificada, y que, habiendo dejado transcurrir el Ayuntamiento nuevamente los plazos para su impugnación, ha devenido firme. Por tanto, la resolución debe ser ahora cumplida en sus propios términos. A mayor abundamiento, la resolución hace referencia a la completa desatención de un derecho de supresión ejercido por el reclamante, lo que no se puede justificar con ninguna de las circunstancias alegadas. En la resolución se requería al Ayuntamiento que remitiera a la parte reclamante certificación por la que se atendiera el derecho de supresión ejercido o se denegara motivadamente. Además, las actuaciones realizadas como consecuencia de dicha resolución debían ser comunicadas a esta Agencia. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/9 Como se recoge en el antecedente tercero, una vez la reclamante volvió a solicitar a esta Agencia en escrito de 12 de diciembre de 2023 la ejecución de la resolución, se volvió a requerir al Ayuntamiento en dos ocasiones para que remitiera a la parte reclamante certificación del cumplimiento de la resolución indicada y notificara a esta Agencia las medidas adoptadas. El Ayuntamiento no remitió respuesta alguna a estos requerimientos. Por tanto, en el momento del inicio del presente procedimiento sancionador no se había dado cumplimiento a la resolución del EXP202304307, a pesar de habérsele requerido en diversas ocasiones. La información proporcionada durante la instrucción de este procedimiento no afecta a la existencia de los hechos probados constitutivos de infracción. Además, cabe señalar que en la resolución del EXP202304307 se ordenaba expresamente que se “remita a la parte reclamante certificación por la que se atienda el derecho de Supresión ejercido o se deniegue motivadamente indicando las causas por las que no procede atender la petición”. Esta Agencia no tiene constancia de que tal remisión haya sido efectuada por el Ayuntamiento. Respecto a la afirmación del Ayuntamiento de que “con fecha 26 de junio de 2024 se ha despublicado la lista de aspirantes admitidos y excluidos de dicho proceso selectivo de la página web del Ayuntamiento de Burgos, así como el resto de actos dictados en relación con el proceso (...) al haber finalizado dicho proceso”, esta Agencia ha comprobado que, como señala la reclamante en su escrito de 12 de febrero de 2025, aún permanece en el servidor aytoburgos.es documentación disponible y accesible a buscadores que incluye los datos personales de la reclamante. De ello se deduce que la aludida eliminación no ha sido llevada a cabo de forma efectiva. Dada la falta de acreditación de la remisión de la respuesta al reclamante, y la falta de constatación de la efectiva eliminación de los datos personales de la reclamante de la página web del ayuntamiento, se consideraría procedente la imposición de medidas que ordenen el cumplimiento de la resolución del EXP202304307. III Alegaciones a la propuesta de resolución En respuesta a las alegaciones a la propuesta de resolución del presente expediente presentadas por el Ayuntamiento se debe señalar lo siguiente Respecto al informe en el que se constata que se ha procedido a la eliminación en el portal web municipal de todos los documentos que hacen referencia a A.A.A., se recuerda que la información proporcionada durante la instrucción de este procedimiento no afecta a la existencia de los hechos probados constitutivos de infracción. Asimismo, vuelve a señalarse que en la resolución del EXP202304307 se ordenaba expresamente que se “remita a la parte reclamante certificación por la que se atienda el derecho de Supresión ejercido o se deniegue motivadamente indicando las causas por las que no procede atender la petición”. Al respecto, se indica que esta Agencia no tiene constancia de que tal remisión haya sido efectuada por el Ayuntamiento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/9 IV Obligación incumplida A tenor de los hechos expuestos, se considera que el Ayuntamiento ha incumplido la resolución de la Agencia Española de Protección de Datos con relación a las medidas que se le impusieron. Por tanto, los hechos descritos en el apartado de “Hechos probados” se estiman constitutivos de una infracción, imputable al Ayuntamiento, por vulneración del artículo 58.2.
- d)del RGPD, que dispone lo siguiente: “2. Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación: (…)
- d)ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado;” V Tipificación y calificación de la infracción Esta infracción se tipifica en el artículo 83.6 del RGPD, que estipula lo siguiente: “El incumplimiento de las resoluciones de la autoridad de control a tenor del artículo 58, apartado 2, se sancionará de acuerdo con el apartado 2 del presente artículo con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía.” A efectos del plazo de prescripción de las infracciones, la infracción imputada prescribe a los tres años, conforme al artículo 72.1 de la LOPDGDD, que califica de muy grave la siguiente conducta: “
- m)El incumplimiento de las resoluciones dictadas por la autoridad de protección de datos competente en ejercicio de los poderes que le confiere el artículo 58.2 del Reglamento (UE) 2016/679.” VI Sanción El artículo 83.7 del RGPD dispone lo siguiente: “Sin perjuicio de los poderes correctivos de las autoridades de control en virtud del artículo 58, apartado 2, cada Estado miembro podrá establecer normas sobre si se puede, y en qué medida, imponer multas administrativas a autoridades y organismos públicos establecidos en dicho Estado miembro.” Asimismo, el artículo 77 “Régimen aplicable a determinadas categorías de responsables o encargados del tratamiento” de la LOPDGDD dispone lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/9 “1. El régimen establecido en este artículo será de aplicación a los tratamientos de los que sean responsables o encargados: (…)
- c)La Administración General del Estado, las Administraciones de las comunidades autónomas y las entidades que integran la Administración Local. (…) 2. Cuando los responsables o encargados enumerados en el apartado 1 cometiesen alguna de las infracciones a las que se refieren los artículos 72 a 74 de esta ley orgánica, la autoridad de protección de datos que resulte competente dictará resolución declarando la infracción y estableciendo, en su caso, las medidas que proceda adoptar para que cese la conducta o se corrijan los efectos de la infracción que se hubiese cometido, con excepción de la prevista en el artículo 58.2.i del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016. La resolución se notificará al responsable o encargado del tratamiento, al órgano del que dependa jerárquicamente, en su caso, y a los afectados que tuvieran la condición de interesado, en su caso. 3. Sin perjuicio de lo establecido en el apartado anterior, la autoridad de protección de datos propondrá también la iniciación de actuaciones disciplinarias cuando existan indicios suficientes para ello. En este caso, el procedimiento y las sanciones a aplicar serán las establecidas en la legislación sobre régimen disciplinario o sancionador que resulte de aplicación. Asimismo, cuando las infracciones sean imputables a autoridades y directivos, y se acredite la existencia de informes técnicos o recomendaciones para el tratamiento que no hubieran sido debidamente atendidos, en la resolución en la que se imponga la sanción se incluirá una amonestación con denominación del cargo responsable y se ordenará la publicación en el Boletín Oficial del Estado o autonómico que corresponda. 4. Se deberán comunicar a la autoridad de protección de datos las resoluciones que recaigan en relación con las medidas y actuaciones a que se refieren los apartados anteriores. 5. Se comunicarán al Defensor del Pueblo o, en su caso, a las instituciones análogas de las comunidades autónomas las actuaciones realizadas y las resoluciones dictadas al amparo de este artículo. Por lo dispuesto en este precepto, probada la infracción se resolverá declarando la infracción y estableciendo, en su caso, las medidas que proceda adoptar para que cese la conducta o se corrijan los efectos de la infracción VII Medidas correctivas C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/9 Al confirmarse la infracción, se acuerda imponer al responsable la adopción de medidas adecuadas para ajustar su actuación a la normativa mencionada en este acto, de acuerdo con lo establecido en el citado artículo 58.2
- d)del RGPD, según el cual cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…”. Por tanto, se ordena al responsable que, en el plazo de diez días hábiles, de cumplimiento a lo establecido en la resolución del expediente número EXP202304307, y así, acredite haber remitido a la parte reclamante certificación por la que se atienda el derecho de Supresión ejercido o se deniegue motivadamente indicando las causas por las que no procede atender la petición, así como que comunique a esta Agencia las actuaciones realizadas. Se advierte que no atender la orden de adopción de medidas impuestas por este organismo en la resolución del presente procedimiento sancionador podrá ser considerado como una infracción administrativa conforme a lo dispuesto en el RGPD, tipificada como infracción en su artículo 83.6, pudiendo motivar tal conducta la apertura de un ulterior procedimiento administrativo sancionador. Por lo tanto, de acuerdo con la legislación aplicable, la Presidencia de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR que el AYUNTAMIENTO DE BURGOS, con NIF P0906100C, ha infringido lo dispuesto en el Artículo 58.2 del RGPD, infracción tipificada en el Artículo 83.6 del RGPD. SEGUNDO: ORDENAR al AYUNTAMIENTO DE BURGOS, con NIF P0906100C, que en virtud del artículo 58.2.
- d)del RGPD, en el plazo de diez días hábiles desde que la presente resolución sea firme y ejecutiva, acredite haber remitido a la parte reclamante certificación por la que se atienda el derecho de Supresión ejercido o se deniegue motivadamente indicando las causas por las que no procede atender la petición, de conformidad con lo establecido en la resolución del expediente número EXP202304307. Las actuaciones realizadas como consecuencia de la presente Resolución deberán ser comunicadas a esta Agencia en idéntico plazo. TERCERO: NOTIFICAR la presente resolución al AYUNTAMIENTO DE BURGOS. CUARTO: COMUNICAR la presente resolución al Defensor del Pueblo, de conformidad con lo establecido en el artículo 77.5 de la LOPDGDD. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/9 contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
- a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-101224 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es