1/14 Expediente N.º: EXP202302160 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes: ANTECEDENTES PRIMERO: En fecha 10/01/2023 se interpone reclamación ante la Agencia Española de Protección de Datos por una posible infracción imputable al AYUNTAMIENTO DE VIGO con NIF P3605700H (en adelante, el AYUNTAMIENTO o la parte reclamada). Los hechos que se ponen en conocimiento de esta autoridad versan sobre dos notificaciones que el AYUNTAMIENTO dirigió a la parte reclamante a través de correo postal certificado y en cuyos sobres figuraba impreso, en el anverso y de manera claramente visible, respectivamente, “DILIGENCIA DE EMBARGO”, seguida de un número de expediente, y “NOTIFICACIÓN PROVIDENCIA DE APREMIO”, seguida de un número de referencia. El reclamante destaca que todas las comunicaciones relativas al expediente administrativo que dieron lugar a las notificaciones controvertidas se habían efectuado por vía telemática, desconociendo las razones que habían motivado el cambio del sistema de notificación. El reclamante expuso: “He recibido dos cartas emitidas por el Departamento de Recaudación del Concello de Vigo de las que adjunto copia, informando de manera visible y resaltada en la parte delantera del propio sobre con la frase: "NOTIFICACIÓN DILIGENCIA DE EMBARGO " y con número de expediente. En otra " NOTIFICACIÓN DILIGENCIA DE APREMIO”, también con número de expediente. He de hacer constar que hasta estas comunicaciones todas las anteriores habían sido realizadas por vía telemática (Certificado Electrónico FNMT, y otros). He pedido explicaciones de este cambio. Las cartas con los mensajes mencionados, que puede ver cualquiera, me parecen opuestas a mi intimidad y viola, a mi juicio, la Ley Orgánica de Protección de Datos.” A fin de acreditar los hechos relatados aporta sendas fotografías de cada uno de los sobres utilizados por el AYUNTAMIENTO para la práctica de las notificaciones. La primera imagen muestra un sobre de color blanco que lleva impresas estas leyendas: En el lado izquierdo, bajo el escudo del Ayuntamiento: “Concello de Vigo”; “Tesourería/Tesorería”; “Recadación Executiva/Recaudación Ejecutiva”. A continuación, utilizando letra de mayor tamaño y en negrilla, figura: “Tipo de Notificación AR”; “NOTIFICACIÓN” “DILIGENCIA DE EMBARGO”. C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 2/14 Seguidamente “Expte. ***NÚMERO.1” y un código de barras con una leyenda alfanumérica. En el lateral derecho, en la parte superior, el anagrama de “CI Postal”; debajo, los datos del destinatario: el nombre y apellidos de la parte reclamante, la calle, número, piso y letra, localidad, provincia y el código postal. Inmediatamente debajo figura: “Certificado Nº ***NÚMERO.2”. Sobre estos datos se ha estampado un sello en azul con el anagrama de “CI Postal” y la fecha “26 DIC. 2022”. La segunda imagen muestra un sobre de idénticas características que el anterior que lleva impresas estas leyendas: En el lado izquierdo, bajo el escudo del Ayuntamiento: “Concello de Vigo”; “Tesourería/Tesorería”;” Recadación Executiva/Recaudación Ejecutiva”. Utilizando letra de mayor tamaño y en negrilla, debajo: “TIPO DE NOTIFICACIÓN: PRUEBA DE ENTREGA ELECTRÓNICA”; “NOTIFICACIÓN PROVIDENCIA DE APREMIO”. Seguidamente: “Rel. Apre.: ***NÚMERO.3” y un código de barras con una leyenda alfanumérica. En el lateral derecho, en la parte superior, el anagrama de Correos con la indicación España. En el extremo derecho “Franqueo Pagado”, “Cartas”. Debajo constan impresos los datos del destinatario: el nombre y apellidos de la parte reclamante, la calle, número, piso y letra, localidad, provincia y el código postal. Inmediatamente debajo aparece: “Certificado Nº ***NÚMERO.2”. En el extremo superior derecho hay manuscritas tres palabras -las dos últimas “(...)”. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), se dio traslado de dicha reclamación al AYUNTAMIENTO para que procediese a su análisis e informase a esta Agencia en el plazo de un mes de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. En fecha 21/03/2023 se recibe la respuesta del AYUNTAMIENTO: un escrito del Delegado de Protección de Datos (DPD) con el que se aporta un informe del Departamento de Tesorería/Recaudación Ejecutiva, firmado por el Jefe de la Unidad de Recaudación Ejecutiva. (
- i)El DPD expone que: -A propósito de la decisión adoptada a raíz de la reclamación, ha iniciado una revisión interna con el Departamento para asegurarse de que respecto al procedimiento de notificación a los interesados el AYUNTAMIENTO cumple con el principio de minimización de datos regulado en el artículo 5.1,
- c)del RGPD. En concreto, en los sobres que se utilizan para practicar las notificaciones y que a su vez se cumpla con el artículo 75 del Real Decreto 939/2005, de 29 de julio, por el que se aprueba el Reglamento General de Recaudación (RGR) y la LPACAP. -Sobre las causas que han motivado la incidencia que ha originado la reclamación, se remite el informe elaborado por el Departamento de Tesorería-Recaudación Ejecutiva del AYUNTAMIENTO. C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 3/14 -En cuanto a las medidas adoptadas para evitar que se produzcan incidencias similares reitera su primera respuesta: Que “ha iniciado una revisión interna con el Departamento para asegurarse que respecto al procedimiento de notificación a los interesados el Ayuntamiento de Vigo cumple con el principio de minimización de datos regulado en el artículo 5.1c) del RGPD. En concreto, en los sobres que se utilizan para practicar las notificaciones y que a su vez se cumpla con el artículo 75 del Real Decreto 939/2005, de 29 de julio, por el que se aprueba el Reglamento General de Recaudación (RGR) y la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPAC).” (
- ii)El informe emitido por el Jefe de la Unidad de Recaudación Ejecutiva del AYUNTAMIENTO, que el DPD aporta como respuesta a la solicitud que se le hizo por la Subdirección General de Inspección de Datos para que facilitara “los informes técnicos o recomendaciones elaborados por el Delegado de Protección de Datos o por el responsable de seguridad, cualquiera que sea su formato, respecto de los tratamientos sobre los que se solicita información, así como sobre las acciones posteriores adoptadas o su ausencia, derivadas de los citados informes técnicos o recomendaciones”, no hace ninguna mención a las leyendas impresas en los sobres utilizados para las notificaciones dirigidas a la parte reclamante. En síntesis, indica: -Que, en el presente caso, las notificaciones administrativas se ha practicado de conformidad con la normativa vigente y que no se aprecia vulneración alguna de la normativa de protección de datos de carácter personal, por cuanto los envíos postales contienen exclusivamente la información correspondiente a la identificación y domicilio del destinatario, siendo remitidos por correo postal certificado y con acuse de recibo, lo cual garantiza debidamente su entrega a dicho destinatario o, en todo caso, a persona autorizada por éste que se encuentre en su domicilio. –Que el interesado manifiesta “que todas las notificaciones relativas a dicho procedimiento se realizaron por vía telemática interpretando que, por el hecho de haber recibido estas dos notificaciones por vía postal, a su juicio, se ha cambiado el sistema de notificación.” – Que según consta en el expediente las notificaciones administrativas cuya copia aporta el reclamante se remitieron efectivamente por vía postal a su domicilio siendo recogidas por el propio interesado en fechas ***FECHA.4 y ***FECHA.5. La identificada como notificación de Providencia de Apremio, consta que fue notificada electrónicamente en la sede electrónica del Ayuntamiento de Vigo en fecha 26/06/22 (Salida ***NÚMERO.4). Que en relación con la notificación postal identificada como notificación Diligencia de Embargo, no consta ningún acuse de notificación electrónica. – Recuerda que la práctica de las notificaciones administrativas, en lo que aquí concierne, está regulada en los artículos 40 a 43 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP) y que, en particular, para los sujetos no obligados a relacionarse electrónicamente con las Administraciones Públicas, el artículo 42 de la LPACAP, apartado 1, dispone: “1. Todas las notificaciones que se practiquen en papel deberán ser puestas a disposición del interesado en la sede electrónica de la Administración u Organismo actuante para que pueda acceder al contenido de las mismas de forma voluntaria”. A su vez, y en previsión de que para las personas físicas no obligadas a relacionarse C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 4/14 electrónicamente con las Administraciones Públicas las notificaciones se practiquen por distintos cauces, por vía postal y por medios electrónicos simultáneamente, el apartado 7 del artículo 41 establece que: “7. Cuando el interesado fuera notificado por distintos cauces, se tomará como fecha de notificación la de aquélla que se hubiera producido en primer lugar”. – La normativa dispone que todas las notificaciones que se remitan por medios postales a los sujetos no obligados a relacionarse electrónicamente con las Administraciones Públicas se pongan a disposición de los interesados, simultáneamente, en la sede electrónica de la Administración actuante lo que no implica, en modo alguno, duplicidad de procedimientos, ya que los efectos jurídicos se producirán, en todo caso, a partir de la fecha en que tenga lugar la primera notificación, sea ésta por vía postal o por medios electrónicos. Ello no implica, tampoco, ningún cambio en el sistema de notificaciones como parece interpretar erróneamente, en este caso, el reclamante. -Los envíos postales son remitidos por correo postal certificado y con acuse de recibo, lo cual garantiza debidamente su entrega a dicho destinatario o, en todo caso, persona autorizada por éste que se encuentre en su domicilio. TERCERO: En fecha 10/04/2023, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación. CUARTO: Con fecha 20 de diciembre de 2024, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por la presunta infracción del Artículo 5.1.
- f)del RGPD, tipificada en el Artículo 83.5.
- a)del RGPD. QUINTO: Notificado el citado acuerdo de inicio conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), la parte reclamada presentó, el 9 de enero de 2025, un escrito al que denominó “alegaciones”, pero en el que reconocía los hechos e informaba de las medidas adoptadas para poner fin a la infracción, así como para evitar que esta volviera a producirse. Así, acredita que en los sobres utilizados para practicar notificaciones administrativas se ha eliminado cualquier referencia al contenido de la notificación (como “Diligencia de Embargo” o “Providencia de Apremio”) y se ha sustituido por la expresión genérica “Notificación Administrativa”. Se aporta, a modo de prueba, el detalle de las tres notificaciones remitidas a ese mismo interesado con posterioridad a su reclamación, en los meses de septiembre, octubre y noviembre de 2023, en las que ya figuraban reflejadas las medidas adoptadas. La primera imagen corresponde a la notificación ***NÚMERO.5 de fecha ***FECHA.1 muestra un sobre de color blanco que lleva impresas estas leyendas: o Anverso: C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 5/14 o En el lado izquierdo, bajo el escudo del Ayuntamiento: “Concello de Vigo”; “Tesourería/Tesorería”; “Recadación Executiva/Recaudación Ejecutiva”. En el lateral derecho, en la parte superior, el anagrama de “Franqueo Pagado”; debajo, los datos del destinatario: el nombre y apellidos de la parte reclamante, la calle, número, piso y letra, localidad, provincia y el código postal. Reverso: se presenta una tabla con una lista de causas de devolución, dispuestas como casillas que el cartero puede marcar La segunda imagen corresponde a la notificación ***NÚMERO.6 de fecha ***FECHA.2 que muestra un sobre de color blanco que lleva impresas estas leyendas: o Anverso: En el lado izquierdo, bajo el escudo del Ayuntamiento: “Concello de Vigo”; “Tesourería/Tesorería”; “Recadación Executiva/Recaudación Ejecutiva”; “Notificación administrativa”. Seguidamente “Expte. ***NÚMERO.7” y un código de barras con una leyenda alfanumérica. o En el lateral derecho, en la parte superior, el anagrama de “CI Postal”; debajo, los datos del destinatario: el nombre y apellidos de la parte reclamante, la calle, número, piso y letra, localidad, provincia y el código postal. Inmediatamente debajo aparece: “Certificado Nº ***NÚMERO.8”. Reverso: C/ Jorge Juan 6 28001 - Madrid En el lado izquierdo, bajo el escudo del Ayuntamiento: “Concello de Vigo”; “Recadación Executiva/Recaudación Ejecutiva”; “Aviso de recibo”. Número de certificado XXXX. Seguidamente “Expte. ***NÚMERO.7” y un código de barras con una leyenda alfanumérica. Seguidamente, los datos del destinatario: el nombre y apellidos del reclamante, la calle, número, piso y letra, localidad, provincia y el código postal. En la parte inferior se encuentran unas casillas sin rellenar en el que debe constar la firma del receptor, fecha, DNI del receptor, parentesco con el destinatario, nombre y apellidos y si ha sido entregado o rehusado. En el lado derecho consta el número de certificado ***NÚMERO.8 y el número de expediente ***NÚMERO.7. Se observa un casillero con diferentes opciones en relación con la Entrega Domiciliaria y debajo un código de barras con leyenda alfanumérica. www.aepd.es sedeaepd.gob.es 6/14 La tercera imagen corresponde a la notificación ***NÚMERO.9 de fecha ***FECHA.3 que muestra un sobre de color blanco que lleva impresas estas leyendas: o Anverso: En el lado izquierdo, bajo el escudo del Ayuntamiento: “Concello de Vigo”; “Tesourería/Tesorería”; “Recaudación Executiva/Recaudación Ejecutiva”. “Notificación prueba de entrega electrónica”. Seguidamente “Expte. ***NÚMERO.7” y un código de barras con una leyenda alfanumérica En el lateral derecho constan los datos del destinatario: el nombre y apellidos de la parte reclamante, la calle, número, piso y letra, localidad, provincia y el código postal. Inmediatamente debajo aparece: “Certificado Nº ***NÚMERO.10”. o Reverso: Se muestra el título “Notificación de prueba de entrega electrónica” y un casillero no marcado que tiene como objeto indicar el motivo de la devolución de la notificación, si lo hubiere. De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS PRIMERO: La Unidad de Recaudación Ejecutiva del Ayuntamiento de Vigo remitió por vía postal al domicilio del reclamante dos notificaciones, siendo recogidas por el propio interesado en fechas ***FECHA.4 y ***FECHA.5. Dichas notificaciones fueron remitidas en unos sobres que, además de incluir el nombre y apellidos del reclamante, así su domicilio, incluían unas leyendas informativas sobre el contenido de la notificación. En concreto, “diligencia de embargo” y “providencia de apremio”. SEGUNDO: Mediante escrito de 9/01/2025 dirigido a esta Agencia tras el acuerdo de inicio de presente procedimiento sancionador, el Ayuntamiento reconoce los hechos y asegura que “las dos notificaciones administrativas recibidas por el interesado fueron practicadas en el curso del procedimiento administrativo de apremio núm. ***NÚMERO.1”. Asimismo, acredita la adopción de medidas consistentes en la eliminación de los sobres de cualquier referencia al contenido de la notificación, sustituyéndolo por la expresión genérica “notificación administrativa”. FUNDAMENTOS DE DERECHO I Competencia C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 7/14 De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. II Procedimiento El artículo 63.2 de la LOPDGDD determina que “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos.” III Cuestiones previas En el supuesto de hecho analizado, de acuerdo con lo establecido en los artículos 4.1 y 4.2. del RGPD, consta la realización de un tratamiento de datos personales de la parte reclamante efectuado por el AYUNTAMIENTO quien, para el cumplimiento de las funciones que tiene legalmente atribuidas necesita tratar datos de carácter personal de los ciudadanos, entre dichas funciones, y por lo que ahora interesa, cabe mencionar las que le competen en materia de gestión recaudatoria El artículo 4.2. del RGPD define el tratamiento como “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción En virtud del artículo 4.7 del RGPD el AYUNTAMIENTO tiene la condición de responsable del tratamiento de datos de la parte reclamante que es objeto de examen en el presente procedimiento, pues es quien determinó los fines y medios de esa operación de tratamiento. El artículo 4.7 del RGPD define al responsable como “la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros”. El tratamiento objeto de la reclamación consistió en incorporar en los sobres que contenían las notificaciones enviadas a la parte reclamante mediante correo postal certificado, y en los que constaban sus datos de identidad y su domicilio, información sobre el contenido de la notificación - una diligencia de embargo y una providencia de C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 8/14 apremio- facilitando con ello el acceso ilícito de terceros a datos que conciernen al interesado y menoscabando su derecho fundamental a la protección de datos que el RGPD garantiza. IV Obligación incumplida. Artículo 5.1.
- f)del RGPD. Principio de integridad y confidencialidad. La letra f del artículo 5.1. del RGPD, dispone: “Los datos personales serán:[…]
- f)tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas (integridad y confidencialidad)” La norma transcrita impone al responsable de cualquier tratamiento de datos personales la obligación de garantizar su confidencialidad mediante la aplicación de medidas técnicas o/y organizativas adecuadas, obligación que comprende la protección contra el tratamiento no autorizado o ilícito y, por consiguiente, implica la inexistencia de filtraciones o brechas de confidencialidad. El considerando 39 del RGPD así lo confirma, pues dice: “Los datos personales deben tratarse de un modo que garantice una seguridad y confidencialidad adecuadas de los datos personales, inclusive para impedir el acceso o uso no autorizados de dichos datos y del equipo utilizado en el tratamiento.” (El subrayado es nuestro) A propósito de la confidencialidad de los datos cabe mencionar la Sentencia del Tribunal Constitucional (STC) 292/2000, que, con ocasión de analizar el contenido del derecho fundamental a la protección de datos personales, dice en su Fundamento de Derecho 7: “[…] resulta que el contenido del derecho fundamental a la protección de datos consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el Estado o un particular.” (El subrayado es nuestro) En tal sentido, tal y como se ha detallado anteriormente y ha reconocido el propio AYUNTAMIENTO, en los sobres utilizados por el AYUNTAMIENTO para notificar a la parte reclamante sendos acuerdos de la Unidad de Recaudación Ejecutiva, se incluían junto con sus datos de identidad y de domicilio, las indicaciones “Notificación Providencia de Apremio” y “Diligencia de Embargo”, por lo que esas leyendas informaban a quienes tuvieran acceso a los sobres (al menos, al personal del servicio C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 9/14 de correos) de que el destinatario de la carta (la parte reclamante) tenía una deuda pendiente de pago en vía ejecutiva; que esa Administración Pública local había ordenado la ejecución contra su patrimonio (ex artículo 70 del Real Decreto 939/2005, de 29 de julio, por el que se aprueba el Reglamento General de Recaudación) y de que se había despachado embargo de sus bienes para el cobro de la deuda impagada. Es más, también era accesible, pues se incluyen en el anverso de los sobres, las referencias que identifican el expediente de embargo y el procedimiento de apremio. El artículo 4.1 del RGPD define los “datos personales” como “toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona”. Debemos precisar que el concepto de dato de carácter personal ha de interpretarse en un sentido amplio, comprendiendo no sólo los datos personales recabados y conservados por el responsable del tratamiento, sino toda la información resultante de dicho tratamiento. En tal sentido, se menciona la STJUE de 04/05/2023, asunto C487/21, que establece: “26. Así, como ha señalado, en esencia, el Abogado General en los puntos 36 a 39 de sus conclusiones, la definición amplia del concepto de «datos personales» no abarca únicamente los datos recabados y conservados por el responsable del tratamiento, sino que incluye también toda la información resultante de un tratamiento de datos personales que se refiera a una persona identificada o identificable, como la apreciación de su solvencia o la capacidad de pago”. El AYUNTAMIENTO, como responsable del tratamiento de los datos personales de la parte reclamante -tratamiento amparado en la base de licitud del artículo 6.1.
- c)RGPDtiene el deber de cumplir los principios que presiden el tratamiento de datos de carácter personal, en particular, por lo que ahora interesa, el principio de confidencialidad (artículo 5.1.f, RGPD) Estaba obligado a garantizar la confidencialidad de los datos de la parte reclamante con ocasión de haberle notificado por correo postal los acuerdos adoptados, debiendo aplicar a tal fin medidas técnicas y organizativas apropiadas impidiendo así el acceso a los datos por quienes no estaban legitimados para tratarlos. Procede recordar que el artículo 5.2. del RGPD dispone: “El responsable del tratamiento será responsable del cumplimiento de lo dispuesto en el apartado 1 y capaz de demostrarlo («responsabilidad proactiva»).” A propósito del principio de responsabilidad proactiva el Dictamen 3/2010, del Grupo de Trabajo del artículo 29 (GT29) -WP 173- emitido durante la vigencia de la Directiva 95/46/CEE, derogada por el RGPD, pero cuyas reflexiones son aplicables en la actualidad, afirma que la “esencia” de la responsabilidad proactiva “es la obligación del responsable del tratamiento de aplicar medidas que, en circunstancias normales, garanticen que en el contexto de las operaciones de tratamiento se cumplen las C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 10/14 normas en materia de protección de datos y en tener disponibles documentos que demuestren a los interesados y a las Autoridades de control qué medidas se han adoptado para alcanzar el cumplimiento de las normas en materia de protección de datos.” El artículo 24 del RGPD, “Responsabilidad del responsable del tratamiento”, desarrolla la disposición del artículo 5.2. y establece: “1.Teniendo en cuenta la naturaleza, el ámbito, el contexto y los fines del tratamiento, así como los riesgos de diversa probabilidad y gravedad para los derechos y libertades de las personas físicas, el responsable del tratamiento aplicará medidas técnicas y organizativas apropiadas a fin de garantizar y poder demostrar que el tratamiento es conforme con el presente Reglamento. Dichas medidas se revisarán y actualizarán cuando sea necesario. 2.Cuando sean proporcionadas en relación con las actividades de tratamiento, entre las medidas mencionadas en el apartado 1 se incluirá la aplicación, por parte del responsable del tratamiento, de las oportunas políticas de protección de datos. 3.La adhesión a códigos de conducta aprobados a tenor del artículo 40 o a un mecanismo de certificación aprobado a tenor del artículo 42 podrán ser utilizados como elementos para demostrar el cumplimiento de las obligaciones por parte del responsable del tratamiento.” (El subrayado es nuestro)”. En atención a las consideraciones precedentes se pone de manifiesto, por una parte, que los datos personales del reclamante se han visto afectados por una pérdida de confidencialidad fruto del tratamiento realizado por el AYUNTAMIENTO, tal y como ha sido reconocido por este mismo y, de otra, que, teniendo en cuenta las características del tratamiento analizado la parte reclamada no había adoptado, en el momento en el que se produjeron los hechos (aun cuando acredite haberlo hecho con posterioridad), ninguna medida técnica o/y organizativa de todo tipo para garantizar el cumplimiento de los principios que presiden el derecho a la protección de datos, particularmente, medidas dirigidas a no incluir en el sobre información concerniente al reclamante que resultaba innecesaria para la finalidad perseguida (pues lo son únicamente, los datos de identidad y el domicilio) y cuya incorporación ha generado la pérdida de confidencialidad de datos personales que conciernen al reclamante. Por tanto, de conformidad con las evidencias de las que se dispone en este momento de resolución de procedimiento sancionador, se concluye que el AYUNTAMIENTO ha incurrido en una infracción del artículo 5.1.
- f)del RGPD, al no haber garantizado la confidencialidad de los datos personales de la parte reclamante relativos a relativos a la existencia de una deuda pendiente, al inicio de un procedimiento de apremio y al embargo de sus bienes para el cobro de la deuda permitiendo su acceso no autorizado por terceros. V Tipificación de la infracción del artículo 5.1.
- f)del RGPD y calificación a efectos de prescripción C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 11/14 El artículo 83.5 del RGPD tipifica como infracción administrativa la vulneración del artículo siguiente, que se sancionará, de acuerdo con el apartado 2, con multas administrativas de 20.000.000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
- a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9;" Por su parte, la LOPDGDD en su artículo 71, Infracciones, señala que: “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A los solos efectos del plazo de prescripción, el artículo 72.1 de la LOPDGDD establece lo siguiente: "En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes: a.- El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679." VI Declaración de infracción El artículo 70 de la LOPDGDD - “Sujetos responsables”- dispone en su apartado 1 que “Están sujetos al régimen sancionador establecido en el Reglamento (UE) 2016/679 y en la presente ley orgánica:
- a)Los responsables de los tratamientos. […]” El artículo 83 del RGPD, “Condiciones generales para la imposición de multas administrativas”, establece en su apartado 7: “Sin perjuicio de los poderes correctivos de las autoridades de control en virtud del artículo 58, apartado 2, cada Estado miembro podrá establecer normas sobre si se puede, y en qué medida, imponer multas administrativas a autoridades y organismos públicos establecidos en dicho Estado miembro.” El artículo 77 de la LOPDGDD, “Régimen aplicable a determinadas categorías de responsables o encargados del tratamiento”, ha hecho uso de tal habilitación y dispone: “1. El régimen establecido en este artículo será de aplicación a los tratamientos de los que sean responsables o encargados: […]
- c)La Administración General del Estado, las Administraciones de las comunidades autónomas y las entidades que integran la Administración Local. C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 12/14 […] 2. Cuando los responsables o encargados enumerados en el apartado 1 cometiesen alguna de las infracciones a las que se refieren los artículos 72 a 74 de esta ley orgánica, la autoridad de protección de datos que resulte competente dictará resolución declarando la infracción y estableciendo, en su caso, las medidas que proceda adoptar para que cese la conducta o se corrijan los efectos de la infracción que se hubiese cometido, con excepción de la prevista en el artículo 58.2.i del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016. La resolución se notificará al responsable o encargado del tratamiento, al órgano del que dependa jerárquicamente, en su caso, y a los afectados que tuvieran la condición de interesado, en su caso. 3. Sin perjuicio de lo establecido en el apartado anterior, la autoridad de protección de datos propondrá también la iniciación de actuaciones disciplinarias cuando existan indicios suficientes para ello. En este caso, el procedimiento y las sanciones a aplicar serán las establecidas en la legislación sobre régimen disciplinario o sancionador que resulte de aplicación. Asimismo, cuando las infracciones sean imputables a autoridades y directivos, y se acredite la existencia de informes técnicos o recomendaciones para el tratamiento que no hubieran sido debidamente atendidos, en la resolución en la que se imponga la sanción se incluirá una amonestación con denominación del cargo responsable y se ordenará la publicación en el Boletín Oficial del Estado o autonómico que corresponda. 4. Se deberán comunicar a la autoridad de protección de datos las resoluciones que recaigan en relación con las medidas y actuaciones a que se refieren los apartados anteriores. 5. Se comunicarán al Defensor del Pueblo o, en su caso, a las instituciones análogas de las comunidades autónomas las actuaciones realizadas y las resoluciones dictadas al amparo de este artículo.” (El subrayado es nuestro) 6. Cuando la autoridad competente sea la Agencia Española de Protección de Datos, esta publicará en su página web con la debida separación las resoluciones referidas a las entidades del apartado 1 de este artículo, con expresa indicación de la identidad del responsable o encargado del tratamiento que hubiera cometido la infracción. Cuando la competencia corresponda a una autoridad autonómica de protección de datos se estará, en cuanto a la publicidad de estas resoluciones, a lo que disponga su normativa específica.” Por consiguiente, puesto que el AYUNTAMIENTO, en tanto que responsable del tratamiento está encuadrado en el apartado
- c)del artículo 77.1. de la LOPDGDD (es una entidad local), se ha de declarar la infracción del artículo 5.1
- f)del RGPD. VII Medidas correctivas C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 13/14 Ta y como se recogía en el acuerdo de inicio, una vez confirmada la infracción, el artículo 77 de la LOPDGDD prevé que la resolución que se dicte pueda establecer las medidas que la entidad infractora deberá adoptar para que cese la conducta infractora, se corrijan los efectos de la infracción que se hubiese cometido y se lleve a cabo la necesaria adecuación, en este caso, a las exigencias contempladas en el artículo 5.1.
- f)del RGPD, debiendo, además, aportar a la AEPD los medios acreditativos del cumplimiento de lo requerido. No obstante, en el presente caso, el AYUNTAMIENTO ha acreditado haber adoptado medidas, por lo que no se considera necesario su imposición. De acuerdo con la legislación aplicable, la Presidencia de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR que el AYUNTAMIENTO DE VIGO, con NIF P3605700H, ha infringido lo dispuesto en el artículo 5.1.
- f)del RGPD, infracción tipificada en el artículo 83.5 del RGPD. SEGUNDO: NOTIFICAR la presente resolución a AYUNTAMIENTO DE VIGO. TERCERO: Comunicar la presente resolución al Defensor del Pueblo, de conformidad con lo establecido en el artículo 77.5 de la LOPDGDD. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública. La publicación se realizará una vez la resolución sea firme en vía administrativa. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
- a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeaepd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 14/14 contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es