1/18 Expediente N.º: EXP202407018 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: A.A.A. (en adelante, A.A.A.) con fecha 26 de marzo de 2024 interpuso reclamación ante la Agencia Española de Protección de Datos. Los hechos reclamados ponen de manifiesto una posible infracción imputable a AYUNTAMIENTO R.R.R. con NIF ***NIF.1 (en adelante, EL AYUNTAMIENTO). Los hechos conocidos son los siguientes: A.A.A., manifiesta que el AYUNTAMIENTO ha vulnerado la normativa de protección de datos al remitir el 24/05/2023 un escrito al ***AYUNTAMIENTO.1 (administración en la que trabaja (...) reclamante). Asimismo, pone de manifiesto que, en el Pleno celebrado en fecha 29 de julio de 2021, se divulgaron datos sensibles referidos a unos procedimientos judiciales que mantenía con el AYUNTAMIENTO, habiéndose publicado dicha acta en la sede electrónica del Ayuntamiento recientemente. Junto a la reclamación aporta: - un escrito titulado “Instancia ***AYUNTAMIENTO.1, por A.A.A. general” registrado el 27/05/23 en el - el escrito remitido por el AYUNTAMIENTO el 24/05/23 a la administración en la que trabaja, donde consta la relación de instancias supuestamente registradas por A.A.A. ante la sede del AYUNTAMIENTO durante la realización de su jornada laboral en el ***AYUNTAMIENTO.1. En este escrito se puede ver un listado de los escritos enviados al Ayuntamiento por A.A.A. tanto en horario laborable como en horario no laborable, la fecha y la hora de su envío, y el siguiente texto: (…) - la resolución dictada por la Agencia el 14/11/23 para resolver el expediente EXP202309147. - el acta del Pleno celebrada el 29/07/21. En dicha acta se puede leer: (…) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/18 (…)” SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. La notificación del traslado de la reclamación, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue realizada en fecha 13/05/2024 como consta en el acuse de recibo que obra en el expediente. Con fecha 12/06/2024 se recibe en esta Agencia escrito de respuesta, en el que se adjunta, asimismo, un informe del delegado de protección de datos relativo a la reclamación de la Agencia Española de Protección de Datos. En la contestación al traslado efectuada por el Ayuntamiento se pone de manifiesto: Decisión adoptada acerca de la reclamación. Que la decisión adoptada acerca de la reclamación es oponerse sobre la base de que el Ayuntamiento actuó ejercitando sus competencias dentro del marco de lo previsto en el artículo 6 del RGPD, sin que se hayan revelado datos personales más allá de lo estrictamente necesario para el ejercicio de dichas competencias. Se debe considerar que a la vista de la fecha de presentación de la reclamación la infracción estaría prescrita en aplicación del artículo 73 y 74 de la LOPDGDD, ya que el tratamiento de los datos no se ha efectuado sobre categorías especiales de datos ni supone una vulneración sustancial de la normativa de protección de datos. Causas que han motivado la incidencia. Las causas que han motivado la incidencia han sido la necesidad de dar cuenta al pleno del Ayuntamiento de la situación producida por la interposición de actuaciones judiciales contra (A.A.A.) y cumplir con las obligaciones de transparencia mediante la publicación del Acta de dicho Pleno al objeto de cumplir con las obligaciones de transparencia activa a que está obligado el Ayuntamiento en virtud de la normativa de transparencia. Medidas adoptadas para evitar que se produzcan incidencias similares. Teniendo en cuenta que resulta difícil para un ayuntamiento de reducidos recursos cuya población es de 126 habitantes y que dispone de Secretario solamente un día a la semana lo que dificulta atender las cuestiones legales, máxime cuando tienen la complejidad propia de la normativa de protección de datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/18 Se han dictado instrucciones por la Alcaldía para establecer un régimen de comunicación más eficiente teniendo en cuenta los recursos disponibles por el ayuntamiento y recordar la necesidad de compatibilizar la obligación de transparencia del Ayuntamiento con la aplicación de la normativa de protección de datos de la forma más estricta posible, solicitando asesoramiento previo en caso de duda al Delegado de Protección de Datos. TERCERO: Con fecha 24 de junio de 2024, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por A.A.A. CUARTO: Consta que, en fecha 3 de julio de 2024, la publicación del acta con los datos señalados por A.A.A., sigue figurando en el portal de transparencia del AYUNTAMIENTO. QUINTO: Con fecha 22 de julio de 2024, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, con arreglo a lo dispuesto en los artículos 63 y 64 de la LPACAP, por la presunta infracción del artículo 5.1.
- c)del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (en adelante, RGPD), tipificada en el artículo 83.5.
- a)del RGPD. Como medida provisional, en este acuerdo de inicio de procedimiento sancionador se ordenaba al AYUNTAMIENTO R.R.R., de acuerdo con lo dispuesto en el artículo 69 de la LOPDGDD y artículo 56 de la LPACAP, la suspensión temporal del tratamiento de datos de carácter personal objeto de la reclamación a través de la retirada del contenido publicado en la web del Ayuntamiento, que el Ayuntamiento debería acreditar a esta Agencia en un plazo de diez días hábiles. SEXTO: Notificado el citado acuerdo de inicio conforme a las normas establecidas en la LPACAP, la parte reclamada presentó escrito de alegaciones en el que, en síntesis, manifestaba que: Había procedido a cumplir con la medida cautelar provisional indicada, y que ya se habría dado cuenta de ello a esta Agencia. Indica que se afirma y ratifica en las manifestaciones efectuadas a lo largo del procedimiento, y añade que, sin perjuicio de que, efectivamente el interés público en el acceso a la información no es ilimitado, quiere manifestar que no significaría que el AYUNTAMIENTO haya traspasado los límites legales, habida cuenta de que se habría limitado a dar cuenta a los vecinos de un procedimiento en el que la propia Corporación ha sido parte, y que la presentación de escritos del denunciante, enviados dentro o fuera del horario de trabajo, son un elemento relevante a la hora de dar cuenta de una situación abusiva, que ha perjudicado la marcha de la corporación. Insiste en que la actuación del AYUNTAMIENTO ha sido legitima y proporcionada, e insiste en que eliminar datos desvirtuaría la transparencia en la gestión, que ha sido ratificada por los Tribunales en contra del criterio del denunciante. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/18 A su vez, el AYUNTAMIENTO manifiesta que no se habrían publicado categorías especiales de datos conforme al artículo 9.1 del RGPD, y que cualquier infracción si esta se hubiera producido, se encontraría prescrita. Por ello solicita que se proceda al archivo del expediente y se deje sin efecto la medida cautelar impuesta. SÉPTIMO: En fecha 6 de mayo de 2025 se accede al portal de transparencia del Ayuntamiento y se comprueba que el acta de fecha 29 de julio de 2021 continúa publicada en el mismo, y al acceder a su contenido se observa que el nombre de la parte reclamante y de su cónyuge han sido sustituidos por sus iniciales, tal y como se puede comprobar en la diligencia incorporada al expediente. OCTAVO: En fecha 9 de mayo de 2025 se formuló propuesta de resolución proponiendo que por la Presidencia de la Agencia Española de Protección de Datos se declare que el AYUNTAMIENTO ha infringido lo dispuesto en el artículo 5.1.
- c)del RGPD, tipificada en el artículo 83.5.
- a)del RGPD. Asimismo, se formulaba propuesta de resolución proponiendo que por la Presidencia de la Agencia Española de Protección de Datos se ordene a AYUNTAMIENTO R.R.R., con NIF ***NIF.1, que en virtud del artículo 58.2.
- d)del RGPD, en el plazo de 6 meses, acredite haber adoptado de las medidas necesarias para garantizar que no se publiquen las actas de las reuniones del Ayuntamiento con datos que no sean adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados. NOVENO: Notificada la propuesta de resolución conforme a las normas establecidas en la LPACAP, no consta que, por la parte reclamada, se hayan presentado alegaciones. De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS PRIMERO: Consta que en fecha 29 de julio de 2021, en una reunión del Pleno del AYUNTAMIENTO R.R.R. se trataron, entre otras, cuestiones que afectaban a la parte reclamante, constando su nombre y apellidos, así como cuestiones relativas a procedimientos judiciales que mantiene con el consistorio. SEGUNDO: Consta que el acta que se levantó en dicho Pleno fue publicada en la sede electrónica del AYUNTAMIENTO, continuando publicada en fecha 3 de julio de 2024. TERCERO: Consta que, en dicha acta, se recogía el siguiente contenido: (…) (…)” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/18 CUARTO: En fecha 6 de mayo de 2025 se accede al portal de transparencia del AYUNTAMIENTO, y se comprueba que el acta de fecha 29 de julio de 2021 continúa publicada, habiéndose sustituido el nombre de la parte reclamante por las iniciales. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del RGPD, otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la LOPDGDD, es competente para resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Contestación a las alegaciones al acuerdo de inicio En respuesta a las alegaciones presentadas por la entidad reclamada se debe señalar lo siguiente: En primer lugar, el AYUNTAMIENTO manifiesta que su actuación habría sido legítima y proporcionada, y que eliminar los datos desvirtuarían la transparencia en la gestión. Entiende que se habría limitado a dar cuenta a los vecinos de un procedimiento en el que la corporación habría sido parte, y que los hechos son relevantes a la hora de dar cuenta de una situación abusiva que ha perjudicado la marcha de la corporación. Por otro lado, el AYUNTAMIENTO quiere manifestar que no se habrían publicado categorías especiales de datos conforme al artículo 9.1 del RGPD, y que en todo caso la infracción estaría prescrita. En relación con esta cuestión, el artículo 70 de la Ley 7/1985, de 2 de abril, Reguladora de las Bases del Régimen Local establece: “1. Las sesiones del Pleno de las corporaciones locales son públicas. No obstante, podrán ser secretos el debate y votación de aquellos asuntos que puedan afectar al derecho fundamental de los ciudadanos a que se refiere el artículo 18.1 de la Constitución, cuando así se acuerde por mayoría absoluta. No son públicas las sesiones de la Junta de Gobierno Local. 2. Los acuerdos que adopten las corporaciones locales se publican o notifican en la forma prevista por la Ley. Las ordenanzas, incluidos el articulado de las normas de los C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/18 planes urbanísticos, así como los acuerdos correspondientes a éstos cuya aprobación definitiva sea competencia de los entes locales, se publicarán en el "Boletín Oficial" de la Provincia y no entrarán en vigor hasta que se haya publicado completamente su texto y haya transcurrido el plazo previsto en el artículo 65.2 salvo los presupuestos y las ordenanzas fiscales que se publican y entran en vigor en los términos establecidos en la Ley 39/1988, de 28 de diciembre, reguladora de las Haciendas Locales. Las Administraciones públicas con competencias urbanísticas deberán tener, a disposición de los ciudadanos que lo soliciten, copias completas del planeamiento vigente en su ámbito territorial. 3. Todos los ciudadanos tienen derecho a obtener copias y certificaciones acreditativas de los acuerdos de las corporaciones locales y sus antecedentes, así como a consultar los archivos y registros en los términos que disponga la legislación de desarrollo del artículo 105, párrafo b), de la Constitución. La denegación o limitación de este derecho, en todo cuanto afecte a la seguridad y defensa del Estado, la averiguación de los delitos o la intimidad de las personas, deberá verificarse mediante resolución motivada”. Por otro lado, la disposición Adicional Segunda de la LOPDGDD, relativa a la “protección de datos y transparencia y accesos a la información pública” establece que “La publicidad activa y el acceso a la información pública regulados en el Título I de la Ley 19/2013, de 9 de diciembre, de transparencia, acceso a la información pública y buen gobierno, así como las obligaciones de publicidad activa establecidas por la legislación autonómica, se someterán, cuando la información contenga datos personales, a lo dispuesto en los artículos 5.3 y 15 de la Ley 19/2013, en el Reglamento (UE) 2016/679, y en la presente ley orgánica.” En este sentido, el artículo 5.1 de la Ley 19/2013 establece que se publicará de forma periódica y actualizada la información cuyo conocimiento sea relevante para garantizar la transparencia de su actividad relacionada con el funcionamiento y control de la actuación pública. Asimismo, en el apartado 3 se establece: “Serán de aplicación, en su caso, los límites al derecho de acceso a la información pública previstos en el artículo 14 y, especialmente, el derivado de la protección de datos de carácter personal, regulado en el artículo 15. A este respecto, cuando la información contuviera datos especialmente protegidos, la publicidad sólo se llevará a cabo previa disociación de los mismos” A su vez, el artículo 15 establece: “1. Si la información solicitada contuviera datos personales que revelen la ideología, afiliación sindical, religión o creencias, el acceso únicamente se podrá autorizar en caso de que se contase con el consentimiento expreso y por escrito del afectado, a menos que dicho afectado hubiese hecho manifiestamente públicos los datos con anterioridad a que se solicitase el acceso. Si la información incluyese datos personales que hagan referencia al origen racial, a la salud o a la vida sexual, incluyese datos genéticos o biométricos o contuviera datos relativos a la comisión de infracciones penales o administrativas que no conllevasen la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/18 amonestación pública al infractor, el acceso solo se podrá autorizar en caso de que se cuente con el consentimiento expreso del afectado o si aquel estuviera amparado por una norma con rango de ley. 2. Con carácter general, y salvo que en el caso concreto prevalezca la protección de datos personales u otros derechos constitucionalmente protegidos sobre el interés público en la divulgación que lo impida, se concederá el acceso a información que contenga datos meramente identificativos relacionados con la organización, funcionamiento o actividad pública del órgano. 3. Cuando la información solicitada no contuviera datos especialmente protegidos, el órgano al que se dirija la solicitud concederá el acceso previa ponderación suficientemente razonada del interés público en la divulgación de la información y los derechos de los afectados cuyos datos aparezcan en la información solicitada, en particular su derecho fundamental a la protección de datos de carácter personal. Para la realización de la citada ponderación, dicho órgano tomará particularmente en consideración los siguientes criterios:
- a)El menor perjuicio a los afectados derivado del transcurso de los plazos establecidos en el artículo 57 de la Ley 16/1985, de 25 de junio, del Patrimonio Histórico Español.
- b)La justificación por los solicitantes de su petición en el ejercicio de un derecho o el hecho de que tengan la condición de investigadores y motiven el acceso en fines históricos, científicos o estadísticos.
- c)El menor perjuicio de los derechos de los afectados en caso de que los documentos únicamente contuviesen datos de carácter meramente identificativo de aquéllos.
- d)La mayor garantía de los derechos de los afectados en caso de que los datos contenidos en el documento puedan afectar a su intimidad o a su seguridad, o se refieran a menores de edad. 4. No será aplicable lo establecido en los apartados anteriores si el acceso se efectúa previa disociación de los datos de carácter personal de modo que se impida la identificación de las personas afectadas. 5. La normativa de protección de datos personales será de aplicación al tratamiento posterior de los obtenidos a través del ejercicio del derecho de acceso. Por su parte, el artículo 8 de esa misma Ley recoge la información relativa a los actos de gestión administrativa con repercusión económica o presupuestaria que deberán hacerse públicos, que son: “
- a)Todos los contratos, con indicación del objeto, duración, el importe de la licitación y de adjudicación, el procedimiento utilizado para su celebración, los instrumentos a través de los que, en su caso, se ha publicitado, el número de licitadores participantes en el procedimiento y la identidad del adjudicatario, así como las modificaciones del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/18 contrato. Igualmente serán objeto de publicación las decisiones de desistimiento y renuncia de los contratos. La publicación de la información relativa a los contratos menores podrá realizarse trimestralmente. Asimismo, se publicarán datos estadísticos sobre el porcentaje en volumen presupuestario de contratos adjudicados a través de cada uno de los procedimientos previstos en la legislación de contratos del sector público. Además, se publicará información estadística sobre el porcentaje de participación en contratos adjudicados, tanto en relación con su número como en relación con su valor, de la categoría de microempresas, pequeñas y medianas empresas (pymes), entendidas como tal según el anexo I del Reglamento (UE) n.º 651/2014 de la Comisión, de 17 de junio de 2014, para cada uno de los procedimientos y tipologías previstas en la legislación de contratos del sector público. La publicación de esta información se realizará semestralmente, a partir de un año de la publicación de la norma.
- b)La relación de los convenios suscritos, con mención de las partes firmantes, su objeto, plazo de duración, modificaciones realizadas, obligados a la realización de las prestaciones y, en su caso, las obligaciones económicas convenidas. Igualmente, se publicarán las encomiendas de gestión que se firmen, con indicación de su objeto, presupuesto, duración, obligaciones económicas y las subcontrataciones que se realicen con mención de los adjudicatarios, procedimiento seguido para la adjudicación e importe de la misma.
- c)Las subvenciones y ayudas públicas concedidas con indicación de su importe, objetivo o finalidad y beneficiarios.
- d)Los presupuestos, con descripción de las principales partidas presupuestarias e información actualizada y comprensible sobre su estado de ejecución y sobre el cumplimiento de los objetivos de estabilidad presupuestaria y sostenibilidad financiera de las Administraciones Públicas.
- e)Las cuentas anuales que deban rendirse y los informes de auditoría de cuentas y de fiscalización por parte de los órganos de control externo que sobre ellos se emitan.
- f)Las retribuciones percibidas anualmente por los altos cargos y máximos responsables de las entidades incluidas en el ámbito de la aplicación de este título. Igualmente, se harán públicas las indemnizaciones percibidas, en su caso, con ocasión del abandono del cargo.
- g)Las resoluciones de autorización o reconocimiento de compatibilidad que afecten a los empleados públicos así como las que autoricen el ejercicio de actividad privada al cese de los altos cargos de la Administración General del Estado o asimilados según la normativa autonómica o local.
- h)Las declaraciones anuales de bienes y actividades de los representantes locales, en los términos previstos en la Ley 7/1985, de 2 de abril, Reguladora de las Bases del Régimen Local. Cuando el reglamento no fije los términos en que han de hacerse públicas estas declaraciones se aplicará lo dispuesto en la normativa de conflictos de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/18 intereses en el ámbito de la Administración General del Estado. En todo caso, se omitirán los datos relativos a la localización concreta de los bienes inmuebles y se garantizará la privacidad y seguridad de sus titulares.
- i)La información estadística necesaria para valorar el grado de cumplimiento y calidad de los servicios públicos que sean de su competencia, en los términos que defina cada administración competente. (…) 3. Las Administraciones Públicas publicarán la relación de los bienes inmuebles que sean de su propiedad o sobre los que ostenten algún derecho real.” Por otro lado, la Sentencia del Tribunal Constitucional 14/2003, de 28 de enero: “En otras palabras, de conformidad con una reiterada doctrina de este Tribunal, la constitucionalidad de cualquier medida restrictiva de derechos fundamentales viene determinada por la estricta observancia del principio de proporcionalidad. A los efectos que aquí importan basta con recordar que, para comprobar si una medida restrictiva de un derecho fundamental supera el juicio de proporcionalidad, es necesario constatar si cumple los tres requisitos o condiciones siguientes: si la medida es susceptible de conseguir el objetivo propuesto (juicio de idoneidad); si, además, es necesaria, en el sentido de que no exista otra medida más moderada para la consecución de tal propósito con igual eficacia (juicio de necesidad); y, finalmente, si la misma es ponderada o equilibrada, por derivarse de ella más beneficios o ventajas para el interés general que perjuicios sobre otros bienes o valores en conflicto (juicio de proporcionalidad en sentido estricto; SSTC 66/1995, de 8 de mayo [ RTC 1995, 66] , F. 5; 55/1996, de 28 de marzo [ RTC 1996, 55] , FF. 7, 8 y 9; 270/1996, de 16 de diciembre [ RTC 1996, 270] , F. 4.e; 37/1998, de 17 de febrero [ RTC 1998, 37] , F. 8; 186/2000, de 10 de julio [ RTC 2000, 186] , F. 6).” La misma doctrina sostiene el Tribunal de Justicia de la Unión Europea (TJUE), por todas STJUE de 6 de octubre de 2020, asunto C-623/17, que señala que “Cabe añadir que el requisito de que cualquier limitación del ejercicio de los derechos fundamentales deba ser establecida por ley implica que la base legal que permita la injerencia en dichos derechos debe definir ella misma el alcance de la limitación del ejercicio del derecho de que se trate (sentencia de 16 de julio de 2020, Facebook Ireland y Schrems, C-311/18, EU:C:2020:559, apartado 175 y jurisprudencia citada).” En el caso que nos ocupa, la parte reclamante ponía de manifiesto que, en el Pleno celebrado en fecha 29 de julio de 2021 se divulgaron datos sensibles referidos a unos procedimientos judiciales que mantenía con el AYUNTAMIENTO, habiéndose publicado dicha acta en la sede electrónica del Ayuntamiento. El AYUNTAMIENTO ha puesto de manifiesto que se habría limitado a dar cuenta a los vecinos de un procedimiento en el que la corporación habría sido parte, y que los hechos son relevantes para dar cuenta de una situación abusiva que ha perjudicado la marcha de la corporación. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 10/18 En este sentido, conviene aclarar que una cosa sería las cuestiones que se tratan en el pleno, teniendo en cuenta que dichas sesiones serán públicas, tal y como se recoge en el artículo 88.1 del Real Decreto 2568/1986, de 28 de noviembre, por el que se aprueba el Reglamento de Organización, Funcionamiento y Régimen Jurídico de las Entidades Locales (ROF), y otra muy distinta sería publicar las actas del pleno sin tener en cuenta si hay datos personales que puedan verse afectados. De este modo, y de conformidad con la normativa señalada nos encontraríamos con: - la publicidad de los acuerdos de las corporaciones locales, - la publicidad resumida del contenido de las sesiones plenarias y de los acuerdos del Pleno y de la Comisión de Gobierno, las resoluciones del Alcalde y las que se dicten por delegación, pero no se considera necesario para publicitar los acuerdos o resúmenes mencionados suministrar datos personales. En consecuencia, en el caso que nos ocupa, únicamente cabría la posibilidad de dar publicidad a los datos personales de la parte reclamante si son adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados, teniendo en cuenta que el interés público en el acceso a la información no es ilimitado, encontrando un límite precisamente en la garantía de los derechos de los interesados cuyos datos personales pueden verse afectados. En este sentido, (…). Además, para este supuesto concreto hay que tener en cuenta lo dispuesto en el artículo 10 del RGPD, relativo al tratamiento de datos personales relativos a condenas e infracciones penales, que establece: “El tratamiento de datos personales relativos a condenas e infracciones penales o medidas de seguridad conexas sobre la base del artículo 6, apartado 1, sólo podrá llevarse a cabo bajo la supervisión de las autoridades públicas o cuando lo autorice el Derecho de la Unión o de los Estados miembros que establezca garantías adecuadas para los derechos y libertades de los interesados. Solo podrá llevarse un registro completo de condenas penales bajo el control de las autoridades públicas.” Por lo tanto, de conformidad con todo lo expuesto, no procede la publicación del acta en cuestión en la página web del AYUNTAMIENTO, y, por lo tanto, procede desestimar la presente alegación. Por otro lado, el AYUNTAMIENTO pone de manifiesto que está dando cumplimiento a la medida cautelar provisional. De este modo, en fecha 6 de mayo de 2025 se accede al portal de transparencia del AYUNTAMIENTO y se comprueba que la referida acta continúa publicada, y que se ha sustituido el nombre y apellidos de la parte reclamante y su cónyuge, por sus iniciales. Desde esta Agencia se considera que publicar el acta con las iniciales de la parte reclamante y su cónyuge no es suficiente para considerar cumplida la medida impuesta, en la medida en que sigue siendo identificable en un municipio pequeño. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 11/18 Por otro lado, el AYUNTAMIENTO pone de manifiesto que la infracción se encontraría prescrita. En relación con esta cuestión, ha quedado constatado, mediante diligencia incorporada al expediente, que el acta del Pleno en el que se recogían los datos relativos a la parte reclamante se encontraba publicada en fecha 3 de julio de 2024. En este sentido, esta conducta se ha tipificado como una infracción del artículo 5.1.
- c)del RGPD, que establece. "1. Los datos personales serán: (…)
- c)adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados («minimización de datos»);" Por su parte, el artículo 83.5 del RGPD tipifica como infracción administrativa la vulneración del artículo siguiente, que se sancionará, de acuerdo con el apartado 2, con multas administrativas de 20.000.000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: "
- a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9;" A los solos efectos del plazo de prescripción, el artículo 72.1 de la LOPDGDD establece lo siguiente: "En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
- a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679." Por lo tanto, las infracciones al artículo 5 del RGPD prescriben a los 3 años, tal y como se recoge en el artículo 72.1 de la LOPDGDD. Teniendo en cuenta que el acta se encontraba publicado en fecha 3 de julio de 2024, no puede considerarse que la misma esté prescrita, procediendo rechazar la presente alegación. III Obligación incumplida. Principios relativos al tratamiento La letra
- c)del artículo 5.1 del RGPD propugna: "1. Los datos personales serán: (…) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 12/18
- c)adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados («minimización de datos»);" En el presente caso, las cuestiones que se plantean son dos: 1. Publicación de un acta del Ayuntamiento en la web de este, conteniendo datos personales de A.A.A. En relación con esta publicación, consta acreditado en el expediente la inclusión del nombre y apellidos de A.A.A., así como el de su cónyuge. En este sentido, el AYUNTAMIENTO ha procedido a publicar en la web el acta sin haber procedido a omitir o suprimir estos datos personales, y junto a estos datos personales se ha procedido a publicar el conflicto que mantiene A.A.A., con el AYUNTAMIENTO, recogiéndose lo siguiente: (…) (…)” De este modo, se está publicando junto a su nombre y apellidos el resultado de un proceso penal, y que se está incurso en otro, así como las causas que han motivado dicha situación. El Ayuntamiento pone de manifiesto que la publicación de dicha acta se produjo sobre la base de que el Ayuntamiento actuó ejercitando sus competencias dentro del marco de lo previsto en el artículo 6 del RGPD, sin que se hayan revelado datos personales más allá de lo estrictamente necesario para el ejercicio de dichas competencias. Además, entiende que el tratamiento de los datos no se produce sobre categorías especiales de datos ni supone una vulneración sustancial de dicha normativa. Las causas que han motivado la incidencia han sido la necesidad de dar cuenta al pleno del Ayuntamiento de la situación producida por la interposición de acciones judiciales contra (A.A.A.) y cumplir con las obligaciones de transparencia activa a la que está obligado el Ayuntamiento. A este respecto, no se pone en entredicho la necesidad de que deban publicarse las actas, en virtud de la Ley 19/2013, de 9 de diciembre, de transparencia, acceso a la información pública y buen gobierno (en adelante LTAIBG), pero si deben tenerse en cuenta las obligaciones que establece esta Ley, así como la LOPDGDD que, en su disposición Adicional Segunda, relativa a la “protección de datos y transparencia y accesos a la información pública” establece que “La publicidad activa y el acceso a la información pública regulados en el Título I de la Ley 19/2013, de 9 de diciembre, de transparencia, acceso a la información pública y buen gobierno, así como las obligaciones de publicidad activa establecidas por la legislación autonómica, se someterán, cuando la información contenga datos personales, a lo dispuesto en los artículos 5.3 y 15 de la Ley 19/2013, en el Reglamento (UE) 2016/679, y en la presente ley orgánica.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 13/18 Por otro lado, el propio Ayuntamiento ha manifestado en su escrito remitido en fecha 12 de junio de 2024, “se han dado instrucciones por la Alcaldía para establecer un régimen de comunicación más eficiente teniendo en cuenta los recursos disponibles por el ayuntamiento y recordar la necesidad de compatibilizar la obligación de transparencia del Ayuntamiento con la aplicación de la normativa de protección de datos de la forma más estricta posible, solicitando asesoramiento previo en caso de duda al Delegado de Protección de Datos.” Por tanto, el interés público en el acceso a la información no es ilimitado, encontrando un límite precisamente en la garantía de los derechos de los interesados cuyos datos personales pueden verse afectados. 2. Comunicación de escritos remitidos por el AYUNTAMIENTO al Ayuntamiento en el que A.A.A., trabaja. En relación con esta comunicación, se considera que recoge contenido excesivo, al figurar escritos enviados fuera del horario de trabajo. Por tanto, se considera que los hechos conocidos son constitutivos de una infracción, imputable a AYUNTAMIENTO, por vulneración del artículo 5.1.
- c)RGPD. IV Tipificación de la infracción del artículo 5.1.
- c)del RGPD y calificación a efectos de prescripción El artículo 83.5 del RGPD tipifica como infracción administrativa la vulneración del artículo siguiente, que se sancionará, de acuerdo con el apartado 2, con multas administrativas de 20.000.000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: "
- a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9;" Por su parte, la LOPDGDD en su artículo 71, Infracciones, señala que: “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A los solos efectos del plazo de prescripción, el artículo 72.1 de la LOPDGDD establece lo siguiente: "En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 14/18
- a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679." V Declaración de infracción El artículo 83 “Condiciones generales para la imposición de multas administrativas” del RGPD, en su apartado 7, establece: “Sin perjuicio de los poderes correctivos de las autoridades de control en virtud del artículo 58, apartado 2, cada Estado miembro podrá establecer normas sobre si se puede, y en qué medida, imponer multas administrativas a autoridades y organismos públicos establecidos en dicho Estado miembro.” El artículo 77 “Régimen aplicable a determinadas categorías de responsables o encargados del tratamiento” de la LOPDGDD dispone lo siguiente: “1. El régimen establecido en este artículo será de aplicación a los tratamientos de los que sean responsables o encargados:
- a)Los órganos constitucionales o con relevancia constitucional y las instituciones de las comunidades autónomas análogas a los mismos.
- b)Los órganos jurisdiccionales.
- c)La Administración General del Estado, las Administraciones de las comunidades autónomas y las entidades que integran la Administración Local.
- d)Los organismos públicos y entidades de Derecho público vinculadas o dependientes de las Administraciones Públicas.
- e)Las autoridades administrativas independientes.
- f)El Banco de España.
- g)Las corporaciones de Derecho público cuando las finalidades del tratamiento se relacionen con el ejercicio de potestades de derecho público.
- h)Las fundaciones del sector público.
- i)Las Universidades Públicas.
- j)Los consorcios.
- k)Los grupos parlamentarios de las Cortes Generales y las Asambleas Legislativas autonómicas, así como los grupos políticos de las Corporaciones Locales. 2. Cuando los responsables o encargados enumerados en el apartado 1 cometiesen alguna de las infracciones a las que se refieren los artículos 72 a 74 de esta ley orgánica, la autoridad de protección de datos que resulte competente dictará resolución declarando la infracción y estableciendo, en su caso, las medidas que proceda adoptar para que cese la conducta o se corrijan los efectos de la infracción que se hubiese cometido, con excepción de la prevista en el artículo 58.2.i del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016. La resolución se notificará al responsable o encargado del tratamiento, al órgano del que dependa jerárquicamente, en su caso, y a los afectados que tuvieran la condición de interesado, en su caso. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 15/18 3. Sin perjuicio de lo establecido en el apartado anterior, la autoridad de protección de datos propondrá también la iniciación de actuaciones disciplinarias cuando existan indicios suficientes para ello. En este caso, el procedimiento y las sanciones a aplicar serán las establecidas en la legislación sobre régimen disciplinario o sancionador que resulte de aplicación. Asimismo, cuando las infracciones sean imputables a autoridades y directivos, y se acredite la existencia de informes técnicos o recomendaciones para el tratamiento que no hubieran sido debidamente atendidos, en la resolución en la que se imponga la sanción se incluirá una amonestación con denominación del cargo responsable y se ordenará la publicación en el Boletín Oficial del Estado o autonómico que corresponda. 4. Se deberán comunicar a la autoridad de protección de datos las resoluciones que recaigan en relación con las medidas y actuaciones a que se refieren los apartados anteriores. 5. Se comunicarán al Defensor del Pueblo o, en su caso, a las instituciones análogas de las comunidades autónomas las actuaciones realizadas y las resoluciones dictadas al amparo de este artículo. 6. Cuando la autoridad competente sea la Agencia Española de Protección de Datos, esta publicará en su página web con la debida separación las resoluciones referidas a las entidades del apartado 1 de este artículo, con expresa indicación de la identidad del responsable o encargado del tratamiento que hubiera cometido la infracción. Cuando la competencia corresponda a una autoridad autonómica de protección de datos se estará, en cuanto a la publicidad de estas resoluciones, a lo que disponga su normativa específica.” Este precepto establece que los procedimientos que tengan causa en infracciones en materia de protección de datos personales cometidas por las categorías de responsables o encargados del tratamiento enumerados en su apartado 1 se resolverán, en todo caso, declarando la infracción. VI Medidas correctivas De acuerdo con lo establecido en el artículo 77 de la LOPDGDD, la resolución que se dicte puede establecer las medidas que la entidad infractora deberá adoptar para que cese la conducta infractora, se corrijan los efectos de la infracción que se hubiese cometido y se lleve a cabo la necesaria adecuación, en este caso, a las exigencias contempladas en el Artículo 5.1.
- c)del RGPD, debiendo, además, aportar a la AEPD los medios acreditativos del cumplimiento de lo requerido. En el presente acto se establece cuál es la presunta infracción cometida y los hechos que podrían dar lugar a esa posible vulneración de la normativa de protección de datos, de lo que se infiere con claridad cuáles son las medidas a adoptar, sin perjuicio de que el tipo de procedimientos, mecanismos o instrumentos concretos para implementarlas corresponda a la parte sancionada, pues es el responsable del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 16/18 tratamiento quien conoce plenamente su organización y ha de decidir, en base a la responsabilidad proactiva y en enfoque de riesgos, cómo cumplir con el RGPD y la LOPDGDD. No obstante, en este caso, se requiere al AYUNTAMIENTO para que, en el plazo de 6 meses, a contar desde la fecha de ejecutividad de la resolución finalizadora de este procedimiento, adopte las medidas siguientes: -Acreditar la adopción de las medidas necesarias para garantizar que no se publiquen las actas de las reuniones del Ayuntamiento con datos que no sean adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados. Se advierte que no atender la posible orden de adopción de medidas impuestas por este organismo en la resolución del presente procedimiento podrá ser considerado como una infracción administrativa conforme a lo dispuesto en el RGPD, tipificada como infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la apertura de un ulterior procedimiento administrativo sancionador. VII Medida provisional De conformidad con lo establecido en el artículo 69 de la LOPDGDD, en el acuerdo de apertura del presente procedimiento sancionador se estimó procedente adoptar la medida provisional consistente en la suspensión temporal del tratamiento de los datos personales que constituye el objeto de las presentes actuaciones, relativos a la parte reclamante y su cónyuge. Esta medida provisional debía llevarse a cabo desde la notificación del referido acuerdo de inicio hasta la resolución final del procedimiento, en que deberá ser confirmada, modificada o levantada. Procede, por tanto, pronunciarse al respecto. Esta Agencia ha comprobado que, en atención al cumplimiento de la citada medida provisional, el AYUNTAMIENTO modificó la publicación del Acta en cuestión, sustituyendo la mención a los nombre y apellidos de los interesados por sus iniciales respectivas. Sin embargo, según se ha indicado en los Fundamentos de Derecho que preceden, y de conformidad con los argumentos expuestos, se considera que publicar el acta con las iniciales de la parte reclamante y su cónyuge no es suficiente para considerar cumplida la medida impuesta, en la medida en que sigue siendo identificable en un municipio pequeño. En consecuencia, procede elevar a definitiva la medida provisiona impuesta y requerir al AYUNTAMIENTO para que, en el plazo de 10 días a contar desde que la presente resolución sea firme y ejecutiva, proceda a retirar del portal de transparencia el Acta correspondiente al Pleno celebrado en fecha 29/07/2021 o bien proceda de anonimización completa para poder llevar a cabo su publicación. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 17/18 Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Presidencia de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR que AYUNTAMIENTO R.R.R., con NIF ***NIF.1, ha infringido lo dispuesto en el Artículo 5.1.
- c)del RGPD, infracción tipificada en el Artículo 83.5.
- a)del RGPD. SEGUNDO: ORDENAR a AYUNTAMIENTO R.R.R., con NIF ***NIF.1, que en virtud del artículo 58.2.
- d)del RGPD, en el plazo de 6 meses desde que la presente resolución sea firme y ejecutiva, acredite haber procedido a adoptar las medidas necesarias para garantizar que no se publiquen las actas de las reuniones del AYUNTAMIENTO con datos que no sean adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados. TERCERO: ELEVAR A DEFINITIVA LA MEDIDA PROVISIONAL acordada en el acuerdo de apertura del presente procedimiento sancionador. En consecuencia, se requiere. a AYUNTAMIENTO R.R.R. con NIF ***NIF.1 que en virtud del artículo 58.2.
- d)del RGPD, en el plazo de 10 días desde que la presente resolución sea firme y ejecutiva, acredite ante esta AEPD haber procedido al cumplimiento de las medidas consistentes en la retirada del tratamiento de datos de carácter personal objeto de reclamación a través de la retirada del acta de fecha 29 de julio de 2021 del portal de transparencia de la página web del AYUNTAMIENTO, con el alcance expresado en el Fundamento de Derecho VII. CUARTO: NOTIFICAR la presente resolución a AYUNTAMIENTO R.R.R.. QUINTO: COMUNICAR la presente resolución al Defensor del Pueblo, de conformidad con lo establecido en el artículo 77.5 de la LOPDGDD. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
- a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 18/18 del Registro Electrónico de la Agencia [https://sedeaepd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-100325 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es