1/13 Expediente N.º: EXP202303130 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 25 de enero de 2023, A.A.A. (en adelante, la parte reclamante) interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra AYUNTAMIENTO DE ZARAGOZA con NIF P5030300G (en adelante, la parte reclamada). Los motivos en que basa la reclamación son la difusión de sus datos de salud a través de correo electrónico "sin ningún tipo de precinto o indicación que lo marcara como confidencial". Según expone, tuvo problemas de salud derivados de conflictos en el ámbito laboral y acudió al Servicio de Prevención y Seguridad Laboral del Ayuntamiento, que emitió un informe médico que le recomendaba dirigirse a la Unidad de Vigilancia de la Salud para valorar una adaptación o un cambio de puesto de trabajo. Aporta copia del informe médico, de fecha 13 de agosto de 2021. Dicha Unidad de Vigilancia dictaminó, en fecha 17 de agosto de 2021, la adaptación de las tareas de su puesto de trabajo (adjunta el documento). Manifiesta que dicho dictamen, que debía de ser notificado al interesado y al ***PUESTO.1, fue enviado el 28 de agosto de 2021, junto al informe médico del Servicio de Prevención y Seguridad Laboral del Ayuntamiento, sin adoptar medidas de seguridad adecuadas, propiciando que el ***PUESTO.2 accediera a sus datos de salud. Especifica que el Ayuntamiento de Zaragoza, para poder llevar a cabo comunicaciones confidenciales, dispone de cuentas de correo electrónico nominales corporativas y un Servicio Interno de Comunicaciones —SIC—, pero en su caso, no se hizo uso ni del correo electrónico, ni del SIC, y se optó por notificar el dictamen, con ambos informes, por correo interno sin ningún tipo de precinto o indicación que lo marcara como confidencial. Junto al escrito de reclamación se aporta copia de los informes y dictámenes referidos. También aporta copia de los correos electrónicos que contienen sus datos de salud, donde se aprecia, en cada comunicación, el siguiente texto : C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/13 "Advertencia legal: ESTE CORREO ELECTRÓNICO PUEDE CONTENER INFORMACIÓN CONFIDENCIAL REFERENTE A PERSONAS FÍSICAS." Se aprecia como dato adjunto el informe médico del Servicio de Prevención y Seguridad Laboral del Ayuntamiento. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada, el 10 de marzo de 2023, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 13 de marzo de 2023 como consta en el acuse de recibo que obra en el expediente. Con fecha 11 de abril de 2023 se recibe en esta Agencia escrito de respuesta indicando lo siguiente: La Jefatura del Servicio Deportivo del ayuntamiento de Zaragoza mantuvo una reunión a comienzos del año 2021 con el Delegado Municipal de Protección de Datos, de la que se derivó un posterior trabajo conjunto de puesta al día en cuanto a normativa vigente en esta materia de forma tal que, se elaboraron las fichas de actividad de tratamiento de datos que atañen al Servicio para su posterior registro y se adoptaron el resto de medidas recomendadas por el Delegado Municipal responsable de la protección, entre ellas las referidas al traslado de documentación por correo electrónico. El día 18 de agosto de 2021, el informe emitido al ***PUESTO.1 por el (…) en relación al trabajador D. A.A.A., se traslada -en archivo adjunto por correo electrónico- al responsable directo de dicho trabajador, el (…) D. B.B.B.. En relación al informe al que se dio traslado, es preciso destacar que el Servicio de Prevención y Salud Laboral, responsable del tratamiento de datos de salud de los trabajadores, no emite ni a este ni a otro Servicio municipal informes médicos ni datos de salud de los trabajadores. El documento trasladado contenía el dictamen del Servicio de Prevención y Salud Laboral sobre las medidas de adaptación de las funciones a desempeñar por el trabajador D. A.A.A., medidas que tenían que ser conocidas y aplicadas por su inmediato superior D. B.B.B.. Si bien para este traslado de documentación no se utilizó la cuenta nominal corporativa de D. B.B.B. ni el Servicio Interno de Comunicaciones -SIC-, la cuenta utilizada ***EMAIL.1 es de uso prioritario del responsable del centro, el señor B.B.B. y en su ausencia solo es apto para abrirla el personal en quien él específicamente delegue. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/13 No obstante a esto, el mensaje contenía todas las garantías de seguridad y protección de datos, esto es no solo el nombre de su destinatario y el contenido del archivo que se trasladaba sino la advertencia legal/cláusula que tanto el Reglamento de Protección de Datos como la Ley de Protección de Datos establecen con toda la información necesaria tanto para garantizar la confidencialidad como, en su caso, para poder ejercer los derechos de acceso/ rectificación, cancelación y oposición en cualquier momento, Se adjunta copia del mensaje enviado TERCERO: Con fecha 25 de abril de 2023, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: Con fecha 27 de junio de 2023, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, por la presunta infracción del artículo 5.1.
- f)del RGPD y artículo 32 del RGPD, tipificada en el artículo 83.5 del RGPD y artículo 83.4 del RGPD. QUINTO: Con fecha 10 de julio de 2023, se recibe escrito en esta Agencia en respuesta al acuerdo de inicio del presente procedimiento sancionador, donde el reclamado manifiesta lo siguiente: “A juicio de la AEPD se evidencia una brecha de seguridad de datos personales que consistió en haber trasladado el 18 de agosto de 2021 al (…) D. B.B.B. -en documento adjunto por correo electrónico- el informe emitido por el Servicio Municipal de Prevención y Salud Laboral en relación al trabajador D. A.A.A.. Si bien es cierto que la cuenta utilizada ***EMAIL.1para el traslado de la documentación es de uso prioritario del responsable del centro, el señor B.B.B.y en su ausencia solo es apto para abrirla el personal en quien él específicamente delegue, informamos que en el momento en que se produjo el incidente este Servicio se encontraba en proceso de implementar las medidas indicadas por el Delegado Municipal de Protección de Datos, en aquel momento D. C.C.C., pudiendo existir todavía algunos desajustes como fue no utilizar, en el caso objeto de la reclamación de D. A.A.A., las medidas más seguras para el traslado de documentación como son el Sistema Interno de Comunicaciones (SIC) o las cuentas de correo electrónico nominales corporativas. Este Servicio no duda en afirmar que éste fue un hecho aislado a partir del cual se tomaron las medidas oportunas designando los medios y el personal autorizado que haría este tipo de traslados de documentación con total seguridad por delegación expresa de la Jefatura de Servicio.” SEXTO: Con fecha 24 de julio de 2023 se formuló propuesta de resolución, proponiendo que por la Directora de la Agencia Española de Protección de Datos : Se declare que AYUNTAMIENTO DE ZARAGOZA, con NIF P5030300G ha infringido lo dispuesto en el artículo 5.1.
- f)del RGPD y artículo 32 del RGPD, tipificada en el artículo 83.5 del RGPD y artículo 83.4 del RGPD. Se ordene al AYUNTAMIENTO DE ZARAGOZA, con NIF P5030300G, que en virtud del artículo 58.2.
- d)del RGPD, en el plazo de 10 días, acredite que su C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/13 actuación se ha adecuado a la normativa de protección de datos indicada, de manera que tales medidas impidan la difusión de datos de salud a través de correo electrónico, y se acredite que se han adoptado las medidas oportunas para el tratamiento de estos datos personales se realice con total seguridad. SEPTIMO: El 27 de julio de 2023, la parte reclamada, en respuesta a la propuesta de resolución indicada, manifiesta lo siguiente: “Reiteramos lo ya expresado por el ***PUESTO.1 en su informe de 6 de julio de 2023, del que se dio traslado el 10 de julio de 2023 a esa agencia, en el que se reconoce el error cometido y se indica que se han tomado las medidas necesarias para que no pudiera repetirse dicha situación, designando los medios y el personal autorizado que haría el traslado de documentación con total seguridad por delegación expresa de dicha Jefatura de Servicio.” A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes, HECHOS PROBADOS PRIMERO: El 28 de agosto de 2021 se lleva a cabo la difusión de datos de salud del reclamante por el Servicio de Prevención y Seguridad Laboral del Ayuntamiento de Zaragoza utilizando un correo electrónico "sin ningún tipo de precinto o indicación que lo marcara como confidencial", pese a la existencia de un correo electrónico corporativo o servicio interno de comunicaciones, para la remisión de este tipo de información, lo que permitió que el ***PUESTO.2 accediera a los datos de salud del reclamante. SEGUNDO: El ayuntamiento reconoce los hechos denunciados, pero afirma que se trata de un hecho aislado a partir del cual se tomaron las medidas oportunas designando los medios y el personal autorizado que haría este tipo de traslados de documentación con total seguridad por delegación expresa de la Jefatura de Servicio. FUNDAMENTOS DE DERECHO I De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/13 reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II En el presente caso, de acuerdo con lo establecido en el artículo 4.1 del RGPD, consta la realización de un tratamiento de datos personales, toda vez que AYUNTAMIENTO realiza, entre otros tratamientos, la recogida, conservación, utilización y difusión de datos personales de los vecinos del municipio, tales como: nombre y apellidos y dirección de correo electrónico…etc. El AYUNTAMIENTO realiza esta actividad en su condición de responsable del tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud del citado artículo 4.7 del RGPD. El artículo 4 apartado 12 del RGPD define, de un modo amplio, las “violaciones de seguridad de los datos personales” (en adelante brecha de seguridad) como “todas aquellas violaciones de la seguridad que ocasionen la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos.” En el presente caso, consta una brecha de seguridad de datos personales de fecha 18 de agosto de 2021, mediante el informe emitido al ***PUESTO.1 por el (…) en relación al trabajador D. A.A.A., donde se traslada -en archivo adjunto por correo electrónicoal responsable directo de dicho trabajador, (…) D. B.B.B.. El documento trasladado contenía el dictamen del Servicio de Prevención y Salud Laboral sobre las medidas de adaptación de las funciones a desempeñar por el trabajador D. A.A.A., medidas que tenían que ser conocidas y aplicadas por su inmediato superior D. B.B.B.. En su defensa el ayuntamiento ha indicado que si bien para este traslado de documentación no se utilizó la cuenta nominal corporativa de D. B.B.B. ni el Servicio Interno de Comunicaciones -SIC-, la cuenta utilizada ***EMAIL.1 es de uso prioritario del responsable del centro, el señor B.B.B. y en su ausencia solo es apto para abrirla el personal en quien él específicamente delegue. Hay que señalar que la recepción de una reclamación sobre una brecha de seguridad no implica la imposición de una sanción de forma directa, ya que es necesario analizar la diligencia de responsables y encargados y las medidas de seguridad aplicadas, de conformidad con lo dispuesto en el artículo 32 del RGPD. III El artículo 5.1.
- f)“Principios relativos al tratamiento” del RGPD establece: “1. Los datos personales serán: (…) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/13
- f)tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»).” En el presente supuesto, se presenta reclamación porque el día 18 de agosto de 2021, se ha emitido un informe al ***PUESTO.1 por el (…) D. A.A.A., a través de correo electrónico "sin ningún tipo de precinto o indicación que lo marcara como confidencial". En este sentido, el ayuntamiento de Zaragoza responde que si bien para este traslado de documentación no se utilizó la cuenta nominal corporativa de D. B.B.B. ni el Servicio Interno de Comunicaciones -SIC-, la cuenta utilizada ***EMAIL.1 es de uso prioritario del responsable del centro, el señor B.B.B. y en su ausencia solo es apto para abrirla el personal en quien él específicamente delegue, por lo que el ayuntamiento de Zaragoza considera que el mensaje contenía todas las garantías de seguridad y protección de datos, esto es no solo el nombre de su destinatario y el contenido del archivo que se trasladaba sino la advertencia legal/cláusula que tanto el Reglamento de Protección de Datos como la Ley de Protección de Datos establecen con toda la información necesaria tanto para garantizar la confidencialidad como, en su caso, para poder ejercer los derechos de acceso/ rectificación, cancelación y oposición en cualquier momento. Pese a tales afirmaciones, se ha constatado que el ayuntamiento ha estado tratando los siguientes datos personales de la parte reclamante: el nombre y apellidos, así como datos personales de salud, sin respetar el principio de integridad y confidencialidad en su tratamiento. Estos hechos implican que la parte reclamada está vulnerando el artículo 5.1
- f)del RGPD, indicado en el fundamento de derecho II por infringir el deber de confidencialidad de los datos personales que trata al haberse constatado se remitió un mensaje a la dirección ***EMAIL.1 que según el Ayuntamiento es de uso prioritario del responsable del centro, el señor B.B.B. y en su ausencia solo es apto para abrirla el personal en quien él específicamente delegue. Si bien informan “ que en el momento en que se produjo el incidente este Servicio se encontraba en proceso de implementar las medidas indicadas por el Delegado Municipal de Protección de Datos, en aquel momento D.C.C.C., pudiendo existir todavía algunos desajustes como fue no utilizar, en el caso objeto de la reclamación de D. A.A.A., las medidas más seguras para el traslado de documentación como son el Sistema Interno de Comunicaciones (SIC) o las cuentas de correo electrónico nominales corporativas. Por lo tanto, esta Agencia considera que la puesta a disposición de los datos a personas no autorizadas supone una infracción del art. 5.1.
- f)del RGPD imputable en este caso al AYUNTAMIENTO DE ZARAGOZA. IV C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/13 La citada infracción del artículo 5.1.
- f)del RGPD supone la comisión de las infracciones tipificadas en el artículo 83.5 del RGPD que bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
- a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9; (…)” A este respecto, la LOPDGDD, en su artículo 71 “Infracciones” establece que: “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A efectos del plazo de prescripción, el artículo 72 “Infracciones consideradas muy graves” de la LOPDGDD indica: “1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
- a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679. (…)” V El artículo 83 “Condiciones generales para la imposición de multas administrativas” del RGPD apartado 7 establece: “Sin perjuicio de los poderes correctivos de las autoridades de control en virtud del artículo 58, apartado 2, cada Estado miembro podrá establecer normas sobre si se puede, y en qué medida, imponer multas administrativas a autoridades y organismos públicos establecidos en dicho Estado miembro.” Asimismo, el artículo 77 “Régimen aplicable a determinadas categorías de responsables o encargados del tratamiento” de la LOPDGDD dispone lo siguiente: “1. El régimen establecido en este artículo será de aplicación a los tratamientos de los que sean responsables o encargados: ...
- c)La Administración General del Estado, las Administraciones de las comunidades autónomas y las entidades que integran la Administración Local… C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/13 2. Cuando los responsables o encargados enumerados en el apartado 1 cometiesen alguna de las infracciones a las que se refieren los artículos 72 a 74 de esta ley orgánica, la autoridad de protección de datos que resulte competente dictará resolución declarando la infracción y estableciendo, en su caso, las medidas que proceda adoptar para que cese la conducta o se corrijan los efectos de la infracción que se hubiese cometido, con excepción de la prevista en el artículo 58.2.i del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016. La resolución se notificará al responsable o encargado del tratamiento, al órgano del que dependa jerárquicamente, en su caso, y a los afectados que tuvieran la condición de interesado, en su caso. 3. Sin perjuicio de lo establecido en el apartado anterior, la autoridad de protección de datos propondrá también la iniciación de actuaciones disciplinarias cuando existan indicios suficientes para ello. En este caso, el procedimiento y las sanciones a aplicar serán las establecidas en la legislación sobre régimen disciplinario o sancionador que resulte de aplicación. Asimismo, cuando las infracciones sean imputables a autoridades y directivos, y se acredite la existencia de informes técnicos o recomendaciones para el tratamiento que no hubieran sido debidamente atendidos, en la resolución en la que se imponga la sanción se incluirá una amonestación con denominación del cargo responsable y se ordenará la publicación en el Boletín Oficial del Estado o autonómico que corresponda. 4. Se deberán comunicar a la autoridad de protección de datos las resoluciones que recaigan en relación con las medidas y actuaciones a que se refieren los apartados anteriores. 5. Se comunicarán al Defensor del Pueblo o, en su caso, a las instituciones análogas de las comunidades autónomas las actuaciones realizadas y las resoluciones dictadas al amparo de este artículo. (…)” A los efectos previstos en el art. 64.2
- b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, la sanción sería de multa administrativa. Por tanto, la citada infracción del artículo 5.1.
- f)del RGPD, de acuerdo con el art. 83.7 del RGPD, y lo dispuesto por el artículo 77.2 de la LOPDGDD, por la categoría del sujeto presuntamente responsable de la infracción, se sustituye por la declaración de infracción al AYUNTAMIENTO DE ZARAGOZA. VI El artículo 32 “Seguridad del tratamiento” del RGPD establece: “1. Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas aproC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/13 piadas para garantizar un nivel de seguridad adecuado al riesgo, que en su caso incluya, entre otros:
- a)la seudonimización y el cifrado de datos personales;
- b)la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento;
- c)la capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente físico o técnico;
- d)un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento. 2. Al evaluar la adecuación del nivel de seguridad se tendrán particularmente en cuenta los riesgos que presente el tratamiento de datos, en particular como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos. 3. La adhesión a un código de conducta aprobado a tenor del artículo 40 o a un mecanismo de certificación aprobado a tenor del artículo 42 podrá servir de elemento para demostrar el cumplimiento de los requisitos establecidos en el apartado 1 del presente artículo. 4. El responsable y el encargado del tratamiento tomarán medidas para garantizar que cualquier persona que actúe bajo la autoridad del responsable o del encargado y tenga acceso a datos personales solo pueda tratar dichos datos siguiendo instrucciones del responsable, salvo que esté obligada a ello en virtud del Derecho de la Unión o de los Estados miembros”. En el presente caso, en el momento de producirse la brecha de seguridad, no consta que el AYUNTAMIENTO DE ZARAGOZA dispusiese de medidas de seguridad razonables en función de los posibles riesgos estimados. Esto es así, ya que el AYUNTAMIENTO no ha tenido en cuenta aspectos básicos como la utilización de cuentas corporativas nominativas y asimismo el envío mediante un sistema de mensajería que garantice que la entrega se realiza únicamente al cargo que por razón de sus funciones debe tener acceso a la documentación. Por lo tanto, se considera que los hechos conocidos son constitutivos de una infracción, imputable al AYUNTAMIENTO DE ZARAGOZA, por vulneración del artículo 32 del RGPD. VII La citada infracción del artículo 32 del RGPD supone la comisión de las infracciones tipificadas en el artículo 83.4 del RGPD que bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 10 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 2 % como máximo del volumen de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/13 negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: 5) las obligaciones del responsable y del encargado a tenor de los artículos 8, 11, 25 a 39, 42 y 43; (…)” A este respecto, la LOPDGDD, en su artículo 71 “Infracciones” establece que “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A efectos del plazo de prescripción, el artículo 73 “Infracciones consideradas graves” de la LOPDGDD indica: “En función de lo que establece el artículo 83.4 del Reglamento (UE) 2016/679 se consideran graves y prescribirán a los dos años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes: …
- f)La falta de adopción de aquellas medidas técnicas y organizativas que resulten apropiadas para garantizar un nivel de seguridad adecuado al riesgo del tratamiento, en los términos exigidos por el artículo 32.1 del Reglamento (UE) 2016/679.”. (…) VIII El artículo 83 “Condiciones generales para la imposición de multas administrativas” del RGPD apartado 7 establece: “Sin perjuicio de los poderes correctivos de las autoridades de control en virtud del artículo 58, apartado 2, cada Estado miembro podrá establecer normas sobre si se puede, y en qué medida, imponer multas administrativas a autoridades y organismos públicos establecidos en dicho Estado miembro.” Asimismo, el artículo 77 “Régimen aplicable a determinadas categorías de responsables o encargados del tratamiento” de la LOPDGDD dispone lo siguiente: “1. El régimen establecido en este artículo será de aplicación a los tratamientos de los que sean responsables o encargados: …
- c)La Administración General del Estado, las Administraciones de las comunidades autónomas y las entidades que integran la Administración Local… 2. Cuando los responsables o encargados enumerados en el apartado 1 cometiesen alguna de las infracciones a las que se refieren los artículos 72 a 74 de esta ley orgánica, la autoridad de protección de datos que resulte competente dictará resolución sancionando a las mismas con apercibimiento. La resolución establecerá asimismo las medidas que proceda adoptar para que cese la conducta o se corrijan los efectos de la infracción que se hubiese cometido. 3. Sin perjuicio de lo establecido en el apartado anterior, la autoridad de protección de datos propondrá también la iniciación de actuaciones disciplinarias cuando existan C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/13 indicios suficientes para ello. En este caso, el procedimiento y las sanciones a aplicar serán las establecidas en la legislación sobre régimen disciplinario o sancionador que resulte de aplicación. Asimismo, cuando las infracciones sean imputables a autoridades y directivos, y se acredite la existencia de informes técnicos o recomendaciones para el tratamiento que no hubieran sido debidamente atendidos, en la resolución en la que se imponga la sanción se incluirá una amonestación con denominación del cargo responsable y se ordenará la publicación en el Boletín Oficial del Estado o autonómico que corresponda. 4. Se deberán comunicar a la autoridad de protección de datos las resoluciones que recaigan en relación con las medidas y actuaciones a que se refieren los apartados anteriores. 5. Se comunicarán al Defensor del Pueblo o, en su caso, a las instituciones análogas de las comunidades autónomas las actuaciones realizadas y las resoluciones dictadas al amparo de este artículo.” A los efectos previstos en el artículo 64.2
- b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, la sanción que corresponde es de multa administrativa. Por tanto, la citada infracción del artículo 32 del RGPD, de acuerdo con el artículo 83.7 del RGPD, y lo dispuesto por el artículo 77.2 de la LOPDGDD, por la categoría del sujeto presuntamente responsable de la infracción, dicha sanción se sustituye por la declaración de infracción al AYUNTAMIENTO. IX De acuerdo con lo establecido en el citado artículo 58.2
- d)del RGPD, según el cual cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…”. En concreto se requerirá que se acredite que su actuación se ha adecuado a la normativa de protección de datos indicada en los fundamentos de derecho, de manera que tales medidas impidan la difusión de datos de salud a través de correo electrónico, y se acredite que se han adoptado las medidas oportunas para que el tratamiento de estos datos personales se realice con total seguridad y acorde a la normativa de protección de datos anteriormente indicada. La imposición de esta medida es compatible con la sanción consistente en declaración de infracción administrativa, según lo dispuesto en el artículo 83.2 del RGPD. La parte reclamada manifiesta que en el momento en que se produjo el incidente se encontraba en proceso de implementar las medidas indicadas por el Delegado Municipal de Protección de Datos, pudiendo existir todavía algunos desajustes, al no utilizar medidas más seguras para el traslado de documentación como son el Sistema C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/13 Interno de Comunicaciones (SIC) o las cuentas de correo electrónico nominales corporativas. Asimismo, la parte reclamada reconoce el error cometido e indica que se han tomado las medidas necesarias para que no pudiera repetirse dicha situación, designando los medios y el personal autorizado que haría el traslado de documentación con total seguridad por delegación expresa de dicha Jefatura de Servicio. Sin embargo, en las alegaciones presentadas a lo largo del procedimiento, no se han aportado documentos que permitan constatar la adopción de estas nuevas medidas de seguridad que eviten la reiteración de los hechos denunciados. Se advierte que no atender la orden de adopción de medidas impuestas por este organismo en la resolución sancionadora podrá ser considerado como una infracción administrativa conforme a lo dispuesto en el RGPD, tipificada como infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la apertura de un ulterior procedimiento administrativo sancionador. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR que el AYUNTAMIENTO DE ZARAGOZA, con NIF P5030300G, ha infringido lo dispuesto en el artículo 5.1.
- f)del RGPD y artículo 32 del RGPD, infracciones tipificadas en el artículo 83.5 del RGPD y artículo 83.4 del RGPD respectivamente. SEGUNDO: ORDENAR al AYUNTAMIENTO DE ZARAGOZA, con NIF P5030300G, que en virtud del artículo 58.2.
- d)del RGPD, en el plazo de 3 meses, acredite que su actuación se ha adecuado a la normativa de protección de datos indicada, de manera que tales medidas impidan la difusión de datos de salud a través de correo electrónico, y se acredite que se han adoptado las medidas oportunas para que el tratamiento de estos datos personales se realice con total seguridad. TERCERO: NOTIFICAR la presente resolución a AYUNTAMIENTO DE ZARAGOZA. CUARTO: COMUNICAR la presente resolución al Defensor del Pueblo, de conformidad con lo establecido en el artículo 77.5 de la LOPDGDD. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/13 la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
- a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-010623 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es