1/7 Procedimiento Nº: PS/00340/2020 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes: ANTECEDENTES RIMERO: La Agencia Española de Protección de Datos procedió a la apertura de la tutela de derecho, TD/00091/2020, al tener conocimiento de los siguientes hechos: Con fecha 2 de diciembre de 2019, D. A.A.A. (en adelante, el reclamante) interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra el Ayuntamiento de Yecla con NIF P3004300D (en adelante, el reclamado). El reclamante manifiesta, que la Junta de Gobierno Local está publicando los acuerdos completos, incluyendo datos personales, incumpliéndose los preceptos legales aplicables sobre el tratamiento y custodia de los datos personales en distintos ficheros. Ejerció su derecho de oposición a la publicación de sus datos personales en la web de la Junta de Gobierno Local. El 14 de mayo de este año, el reclamante amplía su reclamación, manifestando que en la Junta de Gobierno Local de 28 de abril de 2020 se publicó parte de un informe médico del reclamante con sus datos personales, en el tablón de anuncios de la página web del Ayuntamiento y en el portal de transparencia. SEGUNDO: La Directora de la Agencia Española de Protección de Datos, dictó el 10 de julio de 2020, resolución de tutela de derecho TD/00091/2020, procediéndose a “ESTIMAR la reclamación formulada por D. A.A.A. e instar a AYUNTAMIENTO DE YECLA con NIF P3004300D, para que, en el plazo de los diez días hábiles siguientes a la notificación de la presente resolución, remita a la parte reclamante certificación en la que haga constar que ha atendido el derecho de supresión ejercido por éste o se deniegue motivadamente indicando las causas por las que no procede la supresión solicitada. Las actuaciones realizadas como consecuencia de la presente Resolución deberán ser comunicadas a esta Agencia en idéntico plazo. El incumplimiento de esta resolución podría comportar la comisión de la infracción tipificada en el artículo 72.1.
- m)de la LOPDGDD, que se sancionará, de acuerdo con el art. 58.2 del RGPD”. Siendo notificado al Ayuntamiento el 16 de julio de este año. TERCERO: Con fechas 1 de septiembre de 2020, el Ayuntamiento de Yecla, manifiesta: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/7 - - “La resolución de la Agencia Española de Protección de Datos, fue cumplida por mediante acuerdo de la Junta de Gobierno Local en sesión de 21 de julio de 2020, acuerdo que fue ejecutado el día 29 de julio de 2020. En el expediente municipal correspondiente al procedimiento de referencia existe constancia de que el citado acuerdo fue notificado a la Agencia Española de Protección de Datos, quedando reflejado en el oportuno acuse de recibo que aunque tuvo registro de entrada en ese organismo el día 7 de agosto de 2020 a las 12:08:25, la recepción del documento fue firmada por un empleado de esa institución el 12 de agosto de 2020. Igualmente consta en el expediente municipal que el reclamante, recibió notificación electrónica de la certificación del citado acuerdo el día 1 de agosto de 2020, a las 11:11 horas”. CUARTO: El 30 de agosto y el 5 de septiembre de 2020, se recibió en esta Agencia sendos escritos del reclamante en los cuales manifiesta que la notificación de esta Agencia del 13 de julio de 2020, y su requerimiento han sido omitidos por el Ayuntamiento de Yecla. El reclamante se reafirma en lo ya expuesto y, presenta numerosa documentación respecto a diferentes publicaciones de otros casos ampliando la reclamación por la publicación sin autorización de sus datos médicos. Aportando el reclamante diversos enlaces, donde figuran sus datos personales, su condición de agente de la Policía Local y el contenido de informes médicos el documento remitido por el reclamado, de fecha 19 de diciembre de 2019 que reitera los datos que ya se le notificó anteriormente, lo que dio lugar a la resolución de tutela de derecho TD/00091/2020. QUINTO: Con fecha 27 de noviembre de 2020, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador al reclamado, con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por la presunta infracción del Artículo 17 del RGPD, tipificada en el Artículo 83.5 del RGPD. SEXTO: Notificado el citado acuerdo de inicio, el reclamado presentó escrito de alegaciones en el que, en síntesis, manifestaba que: “como puede comprobarse en la página web municipal, www.yecla.es, desde el pasado 29 de julio de 2020, los datos personales de D. A.A.A. ya no constan en ninguna de las actas de la Junta de Gobierno publicadas en el portal de transparencia municipal, y no solo eso, sino que desde el 21 de julio de 2020, en atención a la doctrina de esa Agencia todas las actas de la Junta de Gobierno Local se publican previamente anonimizadas” SÉPTIMO: Con fecha 14 de diciembre de 2020, el instructor del procedimiento acordó la apertura de un período de práctica de pruebas, teniéndose por incorporadas las actuaciones previas de investigación, TD/00091/2020, así como los documentos aportados por el reclamado. OCTAVO: Con fecha 18 de enero de 2021 se formuló propuesta de resolución, proponiendo que se imponga al Ayuntamiento de Yecla con NIF P3004300D, por una C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/7 infracción del artículo 17 del RGPD, tipificada en el artículo 83.5
- b)del RGPD, una sanción de apercibimiento, y se envió copia del expediente. NOVENO: Con fecha 3 de febrero de 2021, el reclamado manifiesta que: “el Ayuntamiento atendió al requerimiento de la AEPD, y lo único que ha ocurrido (como ya aventurábamos en nuestro escrito de alegaciones a la resolución de inicio del procedimiento sancionador), es que se cometieron algunos errores en el borrado de enlaces, permaneciendo activos los que habían quedado archivados en el servidor de la página web municipal, www.yecla.es, cosa de la que no se era consciente hasta que el Sr. Instructor del procedimiento sancionador ha remitido el expediente al Ayuntamiento, y se han podido conocer los enlaces que el interesado citaba en sus escritos de 30 de agosto y 5 de septiembre de 2020. Con el fin de corregir tales errores y otros que pudieran existir, y a pesar de que como se ha expuesto, los datos del reclamante ya se anonimizaron, se han realizado las siguientes nuevas actuaciones: por un lado se han eliminado momentáneamente del portal de transparencia de la página web municipal (www.yecla.
- es)todas las actas de la Junta de Gobierno Local publicadas en los años 2017 a 2020, para volverlas a publicar de nuevo (con los datos del interesado anonimizados, claro está) con menor margen de error, y por otro, se ha procedido a eliminar los enlaces que por error quedaron activos y que fueron comunicados por el interesado a la AEPD ( que no al Ayuntamiento) en sus referidos escritos de 30 de agosto y 5 de septiembre de 2020. Ambos extremos pueden comprobarse por la instrucción del expediente”. A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes, HECHOS PROBADOS PRIMERO: La Junta de Gobierno Local del Ayuntamiento de Yecla está publicando los acuerdos completos, incluyendo datos personales, incumpliéndose los preceptos legales aplicables sobre el tratamiento y custodia de los datos personales en distintos ficheros. SEGUNDO: El reclamante ejerció su derecho de oposición a la publicación de sus datos personales en la web de la Junta de Gobierno Local. TERCERO: El 28 de abril de 2020, la Junta de Gobierno Local publicó parte de un informe médico del reclamante con sus datos personales, en el tablón de anuncios de la página web del Ayuntamiento y en el portal de transparencia. CUARTO: La Directora de la Agencia Española de Protección de Datos, dictó el 10 de julio de 2020, resolución de tutela de derecho TD/00091/2020, estimando la reclamación del reclamante. El Ayuntamiento de Yecla el 1 de septiembre de 2020, manifiesta que la anterior resolución fue cumplida. QUINTO: El 30 de agosto y el 5 de septiembre de 2020, el reclamante manifiesta que no ha sido cumplido el requerimiento de esta Agencia, aportando diversa C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/7 documentación respecto a diferentes publicaciones de otros casos ampliando la reclamación por la publicación sin autorización de sus datos médicos. Aportando el reclamante diversos enlaces, donde figuran sus datos personales, su condición de agente de la Policía Local y el contenido de informes médicos, y el documento remitido por el reclamado de fecha 19 de diciembre de 2019 que reitera los datos que ya se le notificó anteriormente, lo que dio lugar a la resolución de tutela de derecho TD/00091/2020. SEXTO: El reclamado manifiesta que desde el pasado 29 de julio de 2020, los datos personales del reclamante ya no constan en ninguna de las actas de la Junta de Gobierno publicadas en el portal de transparencia municipal, y no solo eso, sino que desde el 21 de julio de 2020, en atención a la doctrina de esa Agencia todas las actas de la Junta de Gobierno Local se publican previamente anonimizadas. SÉPTIMO: Consta acreditado por el reclamado en su escrito de 3 de febrero de 2021, los mensajes que se leen en pantalla, después de intentar activar en Google los enlaces que se reflejaron por el reclamante en sus citados escritos de 30 de agosto y 5 de septiembre de 2020 (clave no válida, la página no se puede encontrar, 404. eso es un error, la URL solicitada/SEARCH no se encontró en este servidor. Eso es todo lo que sabemos). FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de control, y según lo establecido en los artículos 47 y 48 de la LOPDGDD, la Directora de la Agencia Española de Protección de Datos es competente para iniciar y para resolver este procedimiento. II El artículo 83.7 del RGPD indica: “Sin perjuicio de los poderes correctivos de las autoridades de control en virtud del artículo 58, apartado 2, cada Estado miembro podrá establecer normas sobre si se puede, y en qué medida, imponer multas administrativas a autoridades y organismos públicos establecidos en dicho Estado miembro” El artículo 58.2 del RGPD dispone:” Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación:
- b)sancionar a todo responsable o encargado del tratamiento con apercibimiento cuando las operaciones de tratamiento hayan infringido lo dispuesto en el presente Reglamento;
- d)ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/7 En tal sentido, el artículo 77.1
- c)y 2, 4 y 5 de la LOPGDD, establece: 1. El régimen establecido en este artículo será de aplicación a los tratamientos de los que sean responsables o encargados:
- c)La Administración General del Estado, las Administraciones de las Comunidades autónomas y las entidades que integran la Administración Local. 2 “Cuando los responsables o encargados enumerados en el apartado 1 cometiesen alguna de las infracciones a las que se refieren los artículos 72 a 74 de esta ley orgánica, la autoridad de protección de datos que resulte competente dictará resolución sancionando a las mismas con apercibimiento. La resolución establecerá asimismo las medidas que proceda adoptar para que cese la conducta o se corrijan los efectos de la infracción que se hubiese cometido. La resolución se notificará al responsable o encargado del tratamiento, al órgano del que dependa jerárquicamente, en su caso, y a los afectados que tuvieran la condición de interesado, en su caso.” 4.Se deberán comunicar a la autoridad de protección de datos las resoluciones que recaigan en relación con las medidas y actuaciones a que se refieren los apartados anteriores. 5.Se comunicarán al Defensor del Pueblo o, en su caso, a las instituciones análogas de las comunidades autónomas las actuaciones realizadas y las resoluciones dictadas al amparo de este artículo.” III En el supuesto aquí analizado, la parte reclamante ejercitó su derecho de supresión y su solicitud no obtuvo la respuesta legalmente exigible. Asimismo, tras las evidencias obtenidas, no consta que el reclamado adoptara las medidas correctoras solicitadas por la Directora de la Agencia de Protección de Datos, en la resolución estimatoria de la tutela de derecho, TD/00091/2020, consistentes en remitir al reclamante certificación en la que se haga constar que ha atendido el derecho de supresión ejercido por éste, o se le deniegue motivadamente indicando las causas por las que no procede la supresión solicitada. El reclamado manifiesta que desde el pasado 29 de julio de 2020, los datos personales del reclamante ya no constan en ninguna de las actas de la Junta de Gobierno publicadas en el portal de transparencia municipal, y no solo eso, sino que desde el 21 de julio de 2020, en atención a la doctrina de esa Agencia todas las actas de la Junta de Gobierno Local se publican previamente anonimizadas. Pues bien, el 30 de agosto y el 5 de septiembre de 2020, se recibió en esta Agencia sendos escritos del reclamante en los cuales manifiesta que la notificación de esta Agencia del 13 de julio de 2020, y su requerimiento han sido omitidos por el Ayuntamiento de Yecla. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/7 El reclamante se reafirma en lo ya expuesto y, presenta numerosa documentación respecto a diferentes publicaciones de otros casos ampliando la reclamación por la publicación sin autorización de sus datos médicos. Aportando el reclamante diversos enlaces, donde figuran sus datos personales, su condición de agente de la Policía Local y el contenido de informes médicos el documento remitido por el reclamado, de fecha 19 de diciembre de 2019 que reitera los datos que ya se le notificó anteriormente, lo que dio lugar a la resolución de tutela de derecho TD/00091/2020. Teniendo en cuenta que según se especifica en la Disposición adicional séptima de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDP), “cuando sea necesaria la publicación de un acto administrativo que contuviese datos personales del afectado, se identificará al mismo mediante su nombre y apellidos, añadiendo cuatro cifras numéricas aleatorias del documento nacional de identidad, número de identidad de extranjero, pasaporte o documento equivalente”, especificándose además que “en ningún caso debe publicarse el nombre y apellidos de manera conjunta con el número completo ...” Publicar con nombres y apellidos determinadas situaciones personales como la alta o baja médica, los cursos que se solicitan y se deniegan o las solicitudes de posibles traslados, no tienen relevancia para ser publicadas en los medios digitales identificando a los interesados, pero sí vulneran la privacidad del individuo en cuestión, por lo que, se tendrán que anonimizar los datos de los interesados para que se proteja su intimidad y no se entre en conflicto con la Ley de transparencia. Por tanto, el reclamado deberá tomar las medidas necesarias para proteger los datos sensibles, médicos, profesionales o de identidad de lo publicado en la página web. En este sentido, el reclamado ha comunicado las posibles medidas que va a aplicar para que situaciones como la denunciada no se reiteren. Esas medidas, además, deberían incorporarse de forma documentada a su protocolo de actuación, con el fin de que pueda acreditar en el futuro el cumplimiento del RGPD. Por lo tanto, de conformidad con las evidencias de las que se dispone en el presente momento los hechos expuestos podrían constituir, por parte del reclamado, infracción a lo dispuesto en el artículo 17 del RGPD. No obstante, se ha acreditado en virtud de los documentos aportados con las alegaciones presentadas al acuerdo de inicio y a la propuesta de resolución por el reclamado, que ha adoptado una serie de medidas adecuadas, en el sentido de que los datos del reclamante se anonimizaron y se han realizado las siguientes nuevas actuaciones: por un lado se han eliminado momentáneamente del portal de transparencia de la página web municipal (www.yecla.
- es)todas las actas de la Junta de Gobierno Local publicadas en los años 2017 a 2020, para volverlas a publicar de nuevo (con los datos del interesado anonimizados) con menor margen de error, y por otro, se ha procedido a eliminar los enlaces que por error quedaron activos y que fueron comunicados por el interesado a la AEPD en sus referidos escritos de 30 de agosto y 5 de septiembre de 2020. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/7 Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a AYUNTAMIENTO DE YECLA, con NIF P3004300D, por una infracción del Artículo 17 del RGPD, tipificada en el Artículo 83.5 del RGPD, una sanción de apercibimiento. SEGUNDO: NOTIFICAR la presente resolución a AYUNTAMIENTO DE YECLA. TERCERO: COMUNICAR la presente resolución al Defensor del Pueblo, de conformidad con lo establecido en el artículo 77.5 de la LOPDGDD. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
- a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es