1/9 Procedimiento Nº: PS/00347/2020 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes: ANTECEDENTES PRIMERO: D. A.A.A. (en adelante, el reclamante), con fecha 14/02/2020, interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra el AYUNTAMIENTO DE EL ESCORIAL con NIF P2805400E (en adelante, el reclamado). Los motivos en que basa la reclamación son: el reclamante, trabajador del Ayuntamiento, manifiesta que al publicarse la relación de concesión de ayudas de acción social se vulnera la normativa de protección de datos; señala que en el listado consta la cantidad asignada a cada trabajador en relación a la ayuda solicitada; según el reclamante el listado de ayudas ha sido remitido a todos los trabajadores del consistorio. Aporta impresión del listado publicado. SEGUNDO: Tras la recepción de la reclamación, la Subdirección General de Inspección de Datos procedió a realizar las siguientes actuaciones: El 03/06/2020, fue trasladada al reclamado la reclamación presentada para su análisis y comunicación al reclamante de la decisión adoptada al respecto. Igualmente, se le requería para que en el plazo de un mes remitiera a la Agencia determinada información: - Copia de las comunicaciones, de la decisión adoptada que haya remitido al reclamante a propósito del traslado de esta reclamación, y acreditación de que el reclamante ha recibido la comunicación de esa decisión. - Informe sobre las causas que han motivado la incidencia que ha originado la reclamación. - Informe sobre las medidas adoptadas para evitar que se produzcan incidencias similares. - Cualquier otra que considere relevante. El 11/09/2020 el reclamado remitió escrito en el que señalaba, en síntesis: que la reclamación se refiere a la remisión interna de las resoluciones provisionales y definitivas de ayudas concedidas a los empleados municipales en el marco de fondo de acción social municipal y que dichas resoluciones solo contienen el nombre, apellidos y cantidades asignadas a cada trabajador y requerimiento de subsanaciones en la aportación de documentación. Que resulta necesario para el trabajador conocer ambos datos pues de lo contrario carecería de sentido abrir un trámite de información pública y que el trabajador conociera la asignación concreta de cantidades que le permitirían ejercer su derecho a reclamar o subsanar la documentación necesaria. En este sentido hay que destacar que la Ley 19/2013, de 9 de diciembre, de transparencia, acceso a la información pública y buen C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/9 gobierno, impuso la publicidad obligatoria de todas las subvenciones y demás ayudas públicas. La notificación de las resoluciones no permite conocer ningún dato personal protegido o que vulnere la confidencialidad necesaria. Que la concesión y tramitación de las ayudas se realiza conforme al reglamento vigente aprobado por la representación social de la que forma parte el reclamante. Este reglamento establece expresamente que las ayudas se tramitaran y estudiaran por una comisión formada por miembros en representación de la parte social y empresa. La secretaria encargada de la formalización de documentos y publicación de las ayudas recae en la parte social. Que no es el Ayuntamiento o la Concejalía delegada de personal y recursos humanos la encargada de la tramitación y resolución de estas ayudas y por tanto tampoco puede resultar responsable de las actuaciones de este órgano colegiado. No obstante, si se considerara que esta publicación de nombres y cantidades asignadas pudiera vulnerar algún precepto de la ley de protección de datos, a través de la presidencia se propondrá a este órgano la modificación de su reglamento de gestión para que en un futuro la secretaria de este órgano lleve a cabo la notificación individualizada a cada trabajador de la cantidad asignada. TERCERO: El 30/09/2020, de conformidad con el artículo 65 de la LOPDGDD, la Directora de la Agencia Española de Protección de Datos acordó admitir a trámite la reclamación presentada por el reclamante contra el reclamado. CUARTO: Con fecha 16/11/2019, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador al reclamado por la presunta infracción del artículo 5.1.
- f)del RGPD, contemplada en el artículo 83.5.
- a)del citado Reglamento. QUINTO: Notificado el acuerdo de inicio, el reclamado, en fecha 27/11/2020, presentó escrito de alegaciones señalando que el proceso de concesión de ayudas no es de concurrencia competitiva, de conformidad con el Reglamento municipal en la materia; que en ningún momento se hizo pública la información en páginas web de libre acceso por terceros; que dicha comunicación se realizó con el objeto de cumplir lo especificado en el artículo 8.1.
- c)de la Ley 19/2013; que se propondrá la modificación del reglamento de gestión para que se lleve a cabo la notificación individualizada a cada trabajador de la cantidad asignada. SEXTO: Con fecha 14/12/2020 se inició un período de práctica de pruebas, acordándose las siguientes - Dar por reproducidos a efectos probatorios la reclamación interpuesta por el reclamante y su documentación, los documentos obtenidos y generados por los Servicios de Inspección que forman parte del expediente E/10062/2019. - Dar por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio presentadas por el reclamado SEPTIMO: Con fecha 31 de marzo de 2021 se formuló propuesta de resolución, proponiendo que por la Directora de la Agencia Española de Protección de Datos se sanC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/9 cione al AYUNTAMIENTO DE EL ESCORIAL, por una infracción del Artículo 5.1.
- f)del RGPD, tipificada en el Artículo 83.5 del RGPD, con sanción de apercibimiento. HECHOS PROBADOS PRIMERO: El 03/12/2018 tiene entrada en la Agencia Española de Protección de Datos escrito del reclamante, Presidente del Comité de Empresa, manifestando que desde el año 2016 se viene publicando el listado con la relación de ayudas del denominado Fondo de Acción Social concedidas por el Ayuntamiento conteniendo el nombre y apellidos de los trabajadores que han solicitado ayuda, la cuantía que percibirán del Fondo de Acción Social y facilitando información sobre si la ayuda corresponde a gasto de odontología, ortodoncia, ortopedia, etc. SEGUNDO: Consta aportada impresión de pantalla en formato excell del Listado de ayudas concedidas. TERCERO: El reclamado mediante escrito de 25/09/2020 ha señalado que:” la concesión y tramitación de las ayudas se realiza conforme al reglamento vigente y aprobado por la representación social de la que forma parte el reclamante. Este reglamento establece expresamente que las ayudas se tramitaran y estudiaran por una comisión formada por miembros en representación de la parte social y empresa. La secretaria encargada de la formalización de documentos y publicación de las ayudas recae en la parte social”. CUARTO: El reclamado en escrito de 26/11/2020 señala que: “No obstante y si se considerara que esta publicación de nombres y cantidades asignadas pudiera vulnerar algún precepto de la ley de protección de datos, a través de la presidencia se propondrá a este órgano la modificación de su reglamento de gestión para que en un futuro la secretaria de este órgano lleve a cabo la notificación individualizada a cada trabajador de la cantidad asignada”. QUINTO: Consta aportado Reglamento Conjunto de la Comisión de Acción Social del Personal Funcionario y Laboral del Ayuntamiento de El Escorial y su Organismo autónomo. FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de control, y según lo establecido en los artículos 47 y 48 de la LOPDGDD, la Directora de la Agencia Española de Protección de Datos es competente para iniciar y para resolver este procedimiento. II C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/9 Los hechos denunciados se materializan en la publicación de la relación de concesión de ayudas de acción social en cuyo listado figuran datos de carácter personal, así como las cantidades concedidas, causas de denegación, etc., vulnerándose el deber de confidencialidad. El artículo 58 del RGPD, Poderes, señala: “2. Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación: (…)
- b)sancionar a todo responsable o encargado del tratamiento con apercibimiento cuando las operaciones de tratamiento hayan infringido lo dispuesto en el presente Reglamento; (…)” El artículo 5, Principios relativos al tratamiento, del RGPD establece que: “1. Los datos personales serán: (…)
- f)tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»). (…) También el artículo 5, Deber de confidencialidad, de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), señala que: “1. Los responsables y encargados del tratamiento de datos, así como todas las personas que intervengan en cualquier fase de este estarán sujetas al deber de confidencialidad al que se refiere el artículo 5.1.
- f)del Reglamento (UE) 2016/679. 2. La obligación general señalada en el apartado anterior será complementaria de los deberes de secreto profesional de conformidad con su normativa aplicable. 3. Las obligaciones establecidas en los apartados anteriores se mantendrán aun cuando hubiese finalizado la relación del obligado con el responsable o encargado del tratamiento”. III Por otra parte, el artículo 83.5
- a)del RGPD, considera que la infracción de “los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9” es sancionable, de acuerdo con el apartado 5 del mencionado artículo 83 del citado RGPD, “con multas administrativas de 20.000.000€ C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/9 como máximo o, tratándose de una empresa, de una cuantía equivalente al 4% como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía”. La LOPDGDD en su artículo 72 indica: “Infracciones consideradas muy graves: 1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
- a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679. (…) IV La documentación obrante en el expediente ofrece indicios evidentes de que el reclamado, vulneró el artículo 5 del RGPD, principios relativos al tratamiento, en relación con el artículo 5 de la LOPGDD, deber de confidencialidad, al ser publicada la relación de concesión de ayudas de acción social y, además, ser remitido a todos los trabajadores el listado de ayudas. Este deber de confidencialidad es una obligación que incumbe no sólo al responsable y encargado del tratamiento sino a todo aquel que intervenga en cualquier fase del tratamiento y complementaria del deber de secreto profesional. Como ya se informaba en el acuerdo de inicio en el caso de ayudas sociales había que distinguir entre aquellas que se conceden en régimen de concurrencia competitiva y de concurrencia no competitiva, distinguiéndose por tanto dos escenarios: En los casos de concurrencia competitiva, y por tanto sin un número máximo de solicitudes a aceptar por parte la entidad, la notificación debería ser individualizada de manera que los datos de carácter personal no deberían ser accesibles para terceros. En los casos de concurrencia no competitiva, los solicitantes – nunca los terceros al procedimiento- podrán conocer el listado de adjudicación de las ayudas, pero no datos no necesarios o prescindibles (ej., número de DNI). Por consiguiente, las entidades que pretendan conceder ayudas con cargo a un fondo de acción social no pueden publicar el listado de ayudas adjudicadas y/o denegadas en una página web de libre acceso, o en un tablón de anuncios situado en una zona abierta al público, porque permitiría que terceros ajenos al procedimiento tuvieran acceso a datos de carácter personal. El reclamado en su respuesta al acuerdo de inicio del procedimiento señalaba que el procedimiento puesto en cuestión no era de concurrencia competitiva, realidad que podía comprobarse tras la lectura del REGLAMENTO CONJUNTO DE LA COMISION DE ACCION SOCIAL DEL PERSONAL FUNCIONARIO Y LABORAL DEL AYUNTAMIENTO DE EL ESCORIAL Y SU ORGANISMO AUTONOMO. Asimismo, señalaba que el listado conteniendo la información relativa a las ayudas no se había publicado en páginas web de libre acceso por terceros, sino que la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/9 notificación se realizó a través del programa propio de gestor documental siendo necesario o tener acceso a dicho software y con el objetivo cumplir lo especificado en artículo 8.1.
- c)de la Ley 19/2013, de 9 de diciembre, de transparencia, acceso a la información pública y buen gobierno que señala: “1. Los sujetos incluidos en el ámbito de aplicación de este título deberán hacer pública, como mínimo, la información relativa a los actos de gestión administrativa con repercusión económica o presupuestaria que se indican a continuación: (…)
- c)Las subvenciones y ayudas públicas concedidas con indicación de su importe, objetivo o finalidad y beneficiarios. (…)” En un informe de la IGAE se indica que “las ayudas por Acción Social y los anticipos no reembolsables concedidos al personal de las administraciones públicas no son subvenciones ni ayudas públicas, sino que entran dentro del ámbito retributivo del personal, y tienen el tratamiento fiscal y presupuestario de estos gastos” Indica el reclamado que, si se pudiera considerar que dicha notificación de nombres y cantidades asignadas pudiera vulnerar algún precepto de la ley de protección de datos, se propondría la modificación de su reglamento de gestión para que se lleve a cabo la notificación individualizada a cada trabajador de la cantidad asignada. Con arreglo a lo indicado, debería procederse a la modificación señalada. V La LOPDGDD en su artículo 77, Régimen aplicable a determinadas categorías de responsables o encargados del tratamiento, establece lo siguiente: “1. El régimen establecido en este artículo será de aplicación a los tratamientos de los que sean responsables o encargados:
- a)Los órganos constitucionales o con relevancia constitucional y las instituciones de las comunidades autónomas análogas a los mismos.
- b)Los órganos jurisdiccionales.
- c)La Administración General del Estado, las Administraciones de las comunidades autónomas y las entidades que integran la Administración Local.
- d)Los organismos públicos y entidades de Derecho público vinculadas o dependientes de las Administraciones Públicas.
- e)Las autoridades administrativas independientes.
- f)El Banco de España.
- g)Las corporaciones de Derecho público cuando las finalidades del tratamiento se relacionen con el ejercicio de potestades de derecho público.
- h)Las fundaciones del sector público.
- i)Las Universidades Públicas.
- j)Los consorcios.
- k)Los grupos parlamentarios de las Cortes Generales y las Asambleas Legislativas autonómicas, así como los grupos políticos de las Corporaciones Locales. 2. Cuando los responsables o encargados enumerados en el apartado 1 cometiesen alguna de las infracciones a las que se refieren los artículos 72 a 74 de esta ley C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/9 orgánica, la autoridad de protección de datos que resulte competente dictará resolución sancionando a las mismas con apercibimiento. La resolución establecerá asimismo las medidas que proceda adoptar para que cese la conducta o se corrijan los efectos de la infracción que se hubiese cometido. La resolución se notificará al responsable o encargado del tratamiento, al órgano del que dependa jerárquicamente, en su caso, y a los afectados que tuvieran la condición de interesado, en su caso. 3. Sin perjuicio de lo establecido en el apartado anterior, la autoridad de protección de datos propondrá también la iniciación de actuaciones disciplinarias cuando existan indicios suficientes para ello. En este caso, el procedimiento y las sanciones a aplicar serán las establecidas en la legislación sobre régimen disciplinario o sancionador que resulte de aplicación. Asimismo, cuando las infracciones sean imputables a autoridades y directivos, y se acredite la existencia de informes técnicos o recomendaciones para el tratamiento que no hubieran sido debidamente atendidos, en la resolución en la que se imponga la sanción se incluirá una amonestación con denominación del cargo responsable y se ordenará la publicación en el Boletín Oficial del Estado o autonómico que corresponda. 4. Se deberán comunicar a la autoridad de protección de datos las resoluciones que recaigan en relación con las medidas y actuaciones a que se refieren los apartados anteriores. 5. Se comunicarán al Defensor del Pueblo o, en su caso, a las instituciones análogas de las comunidades autónomas las actuaciones realizadas y las resoluciones dictadas al amparo de este artículo. 6. Cuando la autoridad competente sea la Agencia Española de Protección de Datos, esta publicará en su página web con la debida separación las resoluciones referidas a las entidades del apartado 1 de este artículo, con expresa indicación de la identidad del responsable o encargado del tratamiento que hubiera cometido la infracción. Cuando la competencia corresponda a una autoridad autonómica de protección de datos se estará, en cuanto a la publicidad de estas resoluciones, a lo que disponga su normativa específica”. En el supuesto examinado, la publicación de los datos relativos a la concesión de ayudas en materia de acción social vulnera la normativa en materia de protección de datos de carácter personal al considerarse que vulnera el principio de confidencialidad. De conformidad con las evidencias de las que se dispone, dicha conducta constituye, por parte del reclamado la infracción a lo dispuesto en el artículo 5.1.
- f)del RGPD. No obstante, hay que señalar que el RGPD, sin perjuicio de lo establecido en su artículo 83, contempla en su artículo 77 la posibilidad de acudir a la sanción de apercibimiento para corregir los tratamientos de datos personales que no se adecúen a sus previsiones, cuando los responsables o encargados enumerados en el apartado C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/9 1 cometiesen alguna de las infracciones a las que se refieren los artículos 72 a 74 de esta ley orgánica. Asimismo, se contempla que la resolución que se dicte establecerá las medidas que proceda adoptar para que cese la conducta, se corrijan los efectos de la infracción que se hubiese cometido y su adecuación a las exigencias contempladas en el artículo 5.1.
- f)del RGPD del RGPD, así como la aportación de medios acreditativos del cumplimiento de lo requerido. No obstante, el reclamado ha informado a esta Agencia de las circunstancias en las que se produjo la incidencia que propició la reclamación, así como las medidas a adoptar a fin de evitar que hechos como el reclamado vuelvan a producirse en el futuro, como es que se propondrá la modificación de su reglamento de gestión a fin de llevar a cabo la notificación individualizada a cada trabajador de la cantidad asignada del fondo de acción social, por lo que se le requiere para que informe si lo hubiera llevado a cabo o cualquier otra medida adoptada. Asimismo, teniendo en cuenta la ausencia de mala fe en la citada publicación, que en ningún momento se hizo pública la información en páginas web de libre acceso por terceros, que se realizó una notificación a través del programa interno del gestor documental y que para acceder al mismo era necesario tener acceso al software, se considera que la respuesta ha sido razonable, reconociendo los hechos e intentando subsanar el error cometido, no teniéndose constancia de otras reclamaciones por parte de las personas afectadas, por lo que no procede instar al reclamado la adopción de medidas adicionales. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a AYUNTAMIENTO DE EL ESCORIAL, con NIF P2805400E, por una infracción del Artículo 5.1.
- f)del RGPD, tipificada en el Artículo 83.5 del RGPD, una sanción de apercibimiento. SEGUNDO: NOTIFICAR la presente resolución a AYUNTAMIENTO DE EL ESCORIAL. TERCERO: COMUNICAR la presente resolución al Defensor del Pueblo, de conformidad con lo establecido en el artículo 77.5 de la LOPDGDD. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicioC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/9 nal cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contenciosoadministrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
- a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-131120 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es