1/8 Procedimiento Nº: PS/00347/2019 938-0419 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR En el procedimiento sancionador PS/00347/2019, instruido por la Agencia Española de Protección de Datos al Ayuntamiento de SANT LLUIS (Islas Baleares), (en adelante, “la entidad reclamada”), vista la denuncia presentada por D. A.A.A.”), (en adelante, “el reclamante”), y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha 10/08/18, tuvo entrada en esta Agencia escrito, presentado por el reclamante, en el que exponía, entre otras, lo siguiente: “El Ayuntamiento de Sant Lluís, ha contratado los servicios de la empresa Rodríguez y Viñals S.L. para la elaboración de una Relación de Puestos de Trabajo, donde esta debe realizar un inventario de los puestos de trabajo con descripción de las tareas y su valoración, lo que finalizará en una negociación colectiva. El Ayuntamiento redacta y entrega a todos y cada uno de los trabajadores de la administración, un documento que deben rellenar, en el cual, además de las características de su puesto de trabajo, deben consignar sus datos personales: Nombre, apellidos, puesto de trabajo, área o unidad a la que pertenece, etc. Este documento ha sido entregado a la citada empresa, sin que conste para ello conformidad del interesado en cuando a sus datos personales. Se ha solicitado acceso a dichos datos para conocer las personas que han tenido acceso a los mismos y este nos remite a la empresa contratada. La empresa manifiesta que con la aplicación del nuevo RGDP ha desaparecido la obligación de inscribir ficheros en la Agencia Española de Protección de Datos. Se considera que, en el escrito facilitado por el Ayuntamiento de Sant Lluís, no existe la información relativa al consentimiento del interesado donde conste que los Datos de Carácter Personal puedan ser ofrecidos a un tercero (en este caso la empresa contratada Rodríguez y Viñals S.L.). Ni ha sido facilitada la información debida para ejercitar los derechos de acceso, rectificación, cancelación y oposición. Además, la empresa Rodríguez y Viñals S.L., ha obtenido del Ayuntamiento de Sant Lluís, datos de carácter personal concerniente a personas físicas identificadas, registrados en un soporte físico y por tanto, susceptibles a tratamiento, por lo que dichos datos deberían encontrarse registrados en el Registro General de Protección de Datos”. Se anexa a la denuncia, la siguiente documentación: a). Cuestionario de puesto de trabajo. Toma de datos de los puestos, de las funciones y tareas, jornada, equipo y materiales utilizados, titularidad del funcionario que desempeña el puesto y nivel de estudios. b). Solicitud del reclamante de los cuestionarios a la consultora. c). Respuesta de la consultora. SEGUNDO: A la vista de los hechos expuestos en la reclamación y de los documentos aportados por el reclamante, la Subdirección General de Inspección de Datos procedió a realizar actuaciones para su esclarecimiento, al amparo de los poderes de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/8 investigación otorgados a las autoridades de control en el artículo 57.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD). Así, con fecha 04/10/18, se dirige un requerimiento informativo al Ayuntamiento reclamado. TERCERO: Con fecha 30/10/18, el Ayuntamiento de Sant Lluís, remite a esta Agencia, entre otras, la siguiente información: 1. Que se envió al reclamante escrito de alegaciones a la reclamación trasladada por esta Agencia con justificante de entrega. 2. La petición del reclamante y su respuesta fueron verbales, no existe documento escrito que haya llegado por cauces oficiales, no obstante, existe constancia de la entrega del informe respuesta a las alegaciones presentadas por el reclamante a título personal y de una copia del documento completo de valoración de los trabajos realizados por la empresa para la revisión, valoración y elaboración de la RPT. 3. Que, en cuanto al reclamado C.C.C., identificado en la denuncia formulada por el reclamante, pone de manifiesto que en ningún momento actuó como persona física, ya que pertenece a la plantilla de EL AYUNTAMIENTO como personal eventual (funcionario de ocupación), y por tanto, actuó como trabajador municipal y en representación e interlocutor del Equipo de Gobierno, por lo que se considera que en ningún momento deberían figurar sus datos personales en la reclamación. 4. Que LA CONSULTORA, a través de un escrito dirigido a EL AYUNTAMIENTO, hace las siguientes aclaraciones: a. Desde el comienzo de los trabajos se trasladó a todos los actores implicados, y también en la reunión mantenida con los representantes de personal, la voluntariedad de la participación en todas las fases. b. En la leyenda explicativa del cuestionario de recogida de información en relación con el campo “Nombre del titular” (punto octavo del escrito de reclamación), se trata evidentemente de una instrucción de cumplimentación de dicho campo en caso de que voluntariamente decida rellenarse, es decir, simplemente se indica qué información debe reflejarse en el citado apartado. c. Que en el documento “Nota Informativa General” que se envió a todos los funcionarios, “no solo se vuelve a reiterar el carácter voluntario de la participación de los empleados (…), sino que se expone claramente el objeto de dicha recogida de información” d. Que el único dato de carácter personal ha sido el nombre del empleado, en aquellos casos que se haya tenido a bien cumplimentarlo, “y que su tratamiento lo ha sido únicamente a los efectos de los trabajos contratados de confección de la RPT, y más concretamente con el único objeto de facilitar el desarrollo de aquellas fases en que el conocimiento de dichos nombre pudiese suponer una facilidad adicional o una mayor agilidad (….), ya que la documentación final entregada de la RPT y valoración de Puestos de Trabajo no recoge información de los titulares actuales de los puestos”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/8 5. Que han adoptado la medida de incorporar a los próximos cuestionarios un escrito de cláusulas informativas ajustadas al cumplimiento del RGPD y adjunta la siguiente documentación: - Escrito de alegaciones de la delegada de protección de datos de EL AYUNTAMIENTO a la reclamación trasladada por esta Agencia dirigido al reclamante con justificante de entrega, en que manifiesta, entre otros, los siguientes aspectos: - Que el reclamado C.C.C. es trabajador de EL AYUNTAMIENTO por lo que en todo momento actuó como interlocutor y en representación del equipo de gobierno por lo no procede identificarle como persona física. - Que en el momento de la recogida datos (entrega de los formularios en 2017) el consentimiento estaba contemplado por la Ley Orgánica 15/1999 (en adelante, LOPD) sobre Protección de Datos, como tácito. o Que LA CONSULTORA se comprometía según la ley vigente a que, una vez finalizada su relación laboral con EL AYUNTAMIENTO, destruiría y eliminaría tanto los datos como la información que hubieran podido recabar. - Que en el momento de hacer entrega de los formularios se indicó de forma verbal que era para recabar información del lugar de trabajo y remitir los mencionados formularios a la empresa contratada para llevar a cabo una revisión de los puestos de trabajo y elaborar un RPT, por lo que se considera que en el momento de entregar el formulario estaba implícita la autorización a que sus datos pudieran ser facilitados a la empresa encargada de realizar el mencionado RPT. - Que con la entrada en vigor del obligado cumplimiento del RGPD el 25 de mayo de 2018, no es necesario el registro del fichero de datos en la Agencia Española de Protección de Datos. - Clausula informativa que incorporarán los próximos cuestionarios adaptada al RGPD que se deberá firmar al cumplimentar los cuestionarios. - Nota informativa general remitida por LA CONSULTORA a los trabajadores al principio de los trabajos de la asistencia técnica para la valoración de los puestos de trabajo y elaboración de la RPT. - Justificante entrega documento completo valoración trabajos al Sr. A.A.A. como (…), recibido por otro miembro del Comité de Funcionarios. - Escrito, procedente de LA CONSULTORA, detallando el trámite de alegaciones a seguir al documento de valoración de los puestos de trabajo y justificante de entrega. - Justificante de entrega remitida por la CONSULTORA al reclamante en respuesta a su escrito de alegaciones. CUARTO: Con fecha 02/10/19, la Directora de la Agencia Española de Protección de Datos acordó iniciar Procedimiento de Declaración de Infracción de Administraciones Públicas al Ayuntamiento de Sant Lluis, por la presunta infracción del artículo 13 del RGPD, tipificada como “muy grave”, a efectos de prescripción, en el artículo 72.1.
- h)de LOPDGDD, siendo, a los efectos previstos en el art. 64.2
- b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, la sanción que pudiera corresponder de APERCIBIMIENTO. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/8 QUINTO: Notificado el acuerdo de inicio, la entidad reclamada, mediante escrito de fecha 05/11/19, formuló, en síntesis, las siguientes alegaciones: “El apartado segundo del artículo 6 de la Ley 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, aplicable al momento en que se produjo el hecho denunciado, establecía que “No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento...” En el caso que nos ocupa estamos, por un lado ante una relación laboral, y por otra ante el ejercicio de funciones propias de la Administración en el ámbito de sus competencias. Así, el RDL 5/2015, de 30 de octubre, por el que se aprueba el texto refundido de la Ley del Estatuto Básico del Empleado Público – TREBEP- regula, en su art. 74, la ordenación de puestos de trabajo como sigue: “Las Administraciones Públicas estructurarán su organización a través de relaciones de puestos de trabajo u otros instrumentos organizativos similares que comprenderán, al menos, la denominación de los puestos, los grupos de clasificación profesional, los cuerpos o escalas, en su caso, a que estén adscritos, los sistemas de provisión y las retribuciones complementarias. Dichos instrumentos serán públicos”. Por su parte, el art. 15 de la Ley 30/1984, de 2 de agosto, de medidas para la Reforma de la Función Pública, que sigue siendo de aplicación en este ámbito en virtud de lo dispuesto en la Disp Final 4ª del EBEP: “1. (P) el instrumento técnico a través del cual se realiza la ordenación del personal, de acuerdo con las necesidades de los servicios y se precisan los requisitos para el desempeño de cada puesto (P). 3. Las relaciones de puestos de trabajo serán públicas”. A la vista de las consideraciones anteriores queda acreditado que no es necesario el consentimiento del interesado para el tratamiento de sus datos personales. Segunda.- Por otra parte, el artículo 11 del mismo cuerpo normativo establece que: “Los datos de carácter personal objeto del tratamiento sólo podrán ser comunicados a un tercero para el cumplimiento de los fines directamente relacionados con las funciones legítimas del cedente y del cesionario con el previo consentimiento del interesado.” No obstante, en su apartado segundo el art. 11 establece que el consentimiento no será preciso en determinados supuestos. Pero es más, el art. 12 señala que “1. No se considerará comunicación de datos el acceso de un tercero a los datos cuando dicho acceso sea necesario para la prestación de un servicio al responsable del tratamiento”. El caso que no ocupa lo entendemos encuadrable en el supuesto de hecho regulado en el último precepto transcrito en tanto el mismo efectivamente se refiere a la realización de un estudio a los efectos de una posible reorganización del personal del Ayuntamiento; un estudio éste que se lleva a cabo por un tercero contratado a tales C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/8 efectos por el Ayuntamiento y cuya elaboración requiere el acceso, por parte del contratista a datos de carácter personal de los actuales empleados municipales. Efectivamente el Ayuntamiento suscribió un contrato menor con la empresa “Rodríguez y Viñals” y si bien en el mismo no consta por escrito la regulación del tratamiento de datos personales, si que se da el supuesto previsto en el apartado segundo del art. 12: “...deberá estar regulada en un contrato que deberá constar por escrito o en alguna otra forma que permita acreditar su celebración y contenido...”. Pues bien, tal como señaló el Ayuntamiento en su momento y la propia empresa contratada, antes del inicio de los trabajos se trasladó tanto a los representantes de los trabajadores (no olvidemos que A.A.A. es uno de los representantes) como a todos los trabajadores la voluntariedad de su participación y se efectuó una reunión explicativa con dichos representantes; es más, el documento “Nota informativa general”, que fue aportada en escrito anterior ante esta Agencia y que fue repartida en su momento a todos los empleados al comienzo de los trabajos indicaba claramente el carácter voluntario de la participación de los mismos y, por tanto, el consentimiento otorgado por todos aquellos que llegaron a realizar el cuestionario. Por otra parte, tanto el Ayuntamiento como la empresa informó verbalmente a la representación de los trabajadores que el tratamiento de los datos (nombre y apellidos) lo sería únicamente a los efectos de los trabajos contratados de confección de la RPT, y que una vez finalizado el trabajo, destruiría y eliminaría los datos facilitados. Tercera.- No olvidemos por otra parte que los únicos datos personales obrantes en los cuestionarios son el nombre y apellidos, ya que el resto de información solicitada en el cuestionario (denominación del puesto de trabajo, área o unidad de pertenencia, tareas desempeñadas, etc) es una información relativa a los puestos de trabajo de la organización y ajena a sus titulares, ya que será la misma sea quien sea el titular en cada momento y no puede considerarse como información de carácter personal. A la vista de todo lo anterior y considerando: - Que en virtud del art. 6 de la Ley 15/99, de 13 de diciembre no es preciso el consentimiento para el ejercicio de las funciones propias del Ayuntamiento en el ámbito de sus competencias. - Que en virtud del art. 12.1 no se considera comunicación de datos el acceso de un tercero a los datos cuando dicho acceso es necesario para la prestación de un servicio al responsable del tratamiento. - Que la realización del tratamiento por cuenta de tercero (B.B.B.) no se realizó por escrito pero si de forma verbal (art. 12.2 “...en alguna otra forma que permita acreditar su celebración”). SE SOLICITA que proceda al archivo del procedimiento de declaración de infracción de Administraciones Públicas SEXTO: Con fecha 25/11/19, se inició el período de práctica de pruebas, acordándose: a).- dar por reproducidos a efectos probatorios la denuncia interpuesta por la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/8 denunciante y su documentación, los documentos obtenidos y generados que forman parte del expediente E/1820/2019 y b).- dar por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio del PS/00347/2019, presentadas por la entidad denunciada. SEPTIMO: Con fecha 24/02/19, se notifica al reclamado la propuesta de resolución en la que se propone que, por la Directora de la Agencia Española de Protección de Datos se sancione con “apercibimiento” con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), por la presunta infracción del artículo 13 del RGPD, tipificada como grave, a efectos de prescripción, en el artículo 72.1.
- h)de la LOPDGDD, concediéndole un plazo de diez días hábiles para alegar cuanto considere en su defensa y presentar los documentos e informaciones que considere pertinentes, de acuerdo con el artículo 89.2 en relación con el art. 82.2 de la LPACAP. SÉPTIMO: Notificada la propuesta de resolución, la entidad reclamada no presenta alegaciones a la propuesta en el periodo concedido al efecto. A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes, HECHOS PROBADOS 1.- La información facilitada a los funcionarios sobre la recogida de datos para la elaboración de la RPT procedió de una “Nota Informativa General”, remitida por la consultora y de forma verbal, en una reunión con los representantes de personal de la que no consta acta alguna. 2.- En la “Nota Informativa General”, que la consultora hizo llegar a los funcionarios, se indica que la participación de los empleados en las fases era voluntaria, si bien, en caso de no participar, la información sería proporcionada por los responsables técnicos y/o políticos”. 3.- En el contrato firmado por el Ayuntamiento con la consultora, en el apartado “II Normativa Aplicable”, solo se hace referencia a la Ley de Contratos del Sector Público, así como el Real Decreto 1098/2001, de 12 de octubre, por el que se aprueba el Reglamento General de la Ley de Contratos de las Administraciones Públicas. Se observa que no se hace referencia a la normativa vigente en materia de Protección de Datos ni la obligación de su cumplimiento por parte de la consultora en un contrato donde existe tratamiento de datos personales. 4.- Con respecto a la información en los formularios sobre el ejercicio de derechos de los interesados en materia de protección de datos, se comprueba que en los formularios no aparece información alguna en este sentido. FUNDAMENTOS DE DERECHO I C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/8 Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el art. 58.2 del RGPD en el art. 47 de LOPDGDD. II En el supuesto presente, se ha verificado que, la información facilitada a los funcionarios sobre la recogida de datos para la elaboración de la RPT procedió de una “Nota Informativa General”, remitida por la consultora y en una reunión con los representantes de personal de la que no consta acta. Aunque se ha solicitado al Ayuntamiento si emitió algún comunicado informativo oficial en este sentido, no se ha recibido en esta Agencia ningún documento al respecto. En la “Nota Informativa General”, que la consultora hizo llegar a los funcionarios, se indica que la participación de los empleados en las fases era voluntaria, si bien, en caso de no participar, la información necesaria al respecto para la ejecución de los trabajos sería proporcionada por los responsables técnicos y/o políticos”. En el contrato firmado por el Ayuntamiento con la consultora, en el apartado “II Normativa Aplicable”, solo se hace referencia a la Ley de Contratos del Sector Público, así como el Real Decreto 1098/2001, de 12 de octubre, por el que se aprueba el Reglamento General de la Ley de Contratos de las Administraciones Públicas. Se observa que no se hace referencia a la normativa vigente en materia de Protección de Datos ni la obligación de su cumplimiento por parte de la consultora en un contrato donde existe tratamiento de datos personales. Con respecto a la carencia de información en los formularios sobre el ejercicio de derechos de los interesados, se comprueba que en los formularios no aparece información alguna en este sentido. III Los hechos conocidos son constitutivos de una infracción, imputable al Ayuntamiento de Sant Lluis, por vulneración del artículo 13 del RGPD, respecto de la falta de Información que se proporcionó a los trabajadores y funcionarios del Ayuntamiento cuando se obtuvieron sus datos personales para la elaboración de la relación de puestos de trabajo (RPT). Por su parte, el artículo 72.1.h), de la LOPDGDD considera como infracción muy grave, a efectos de prescripción: “La omisión del deber de informar al afectado acerca del tratamiento de sus datos personales, conforme a lo dispuesto en los artículos 13 y 14 del Reglamento (UE) 2016/679 y 12 de esta Ley”. Esta infracción puede ser sancionada con multa de 20.000.000 € como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía, de acuerdo con el artículo 83.5.
- b)del RGPD. No obstante, el art. 83.7 del RGPD, indica que: "Sin perjuicio de los poderes correctivos de las autoridades de control… cada Estado miembro podrá establecer normas sobre si se puede, y en qué medida, imponer multas administrativas a autoridades y organismos públicos establecidos en dicho Estado miembro", estableciéndose así, en el art. 77 de la LOPDGDD el régimen aplicable a las “entidades que integran la Administración Local (apartado 1.c.), indicando al respecto que: “Cuando los responsables C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/8 o encargados enumerado en el apartado 1 cometiesen alguna de las infracciones a las que se refieren los artículos 72 a 74 de esta ley orgánica, las autoridades de protección de datos que resulte competente dictará resolución sancionando a las mismas con apercibimiento. La resolución establecerá así mismo las medidas que proceda adoptar para que cese la conducta o se corrijan los efectos de la infracción que se hubiere cometido”. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: APERCIBIR: al Ayuntamiento de SANT LLUIS (Islas Baleares) por infracción del artículo del artículo 13 del RGPD, tipificada como grave, a efectos de prescripción, en el art. 72.1.
- h)de la LOPDGDD. SEGUNDO: NOTIFICAR la presente resolución al Ayuntamiento de SANT LLUIS (Islas Baleares). Contra esta resolución, que pone fin a la vía administrativa y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Mar España Martí Directora de la Agencia Española de Protección de Datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es