1/14 Expediente N.º: EXP202301249 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 9 de diciembre de 2022 interpuso reclamación ante la Agencia Española de Protección de Datos, A.A.A. y B.B.B. (en adelante, la parte reclamante). La reclamación se dirige contra ALTERNATIVA CORELLANA INDEPENDIENTE (ACI) con NIF G31782295 (en adelante, la parte reclamada). En el escrito recibido se informa de lo siguiente: Los reclamantes, policías locales del Ayuntamiento de Corella, reclaman contra la agrupación electoral del referido Ayuntamiento, Alternativa Corellana Independiente (ACI), por publicar en un blog de la plataforma Wordpress la sentencia n º 000262/2022 del Juzgado Contencioso- Administrativo n º 2 de Pamplona en la que constan los datos identificativos de nombre y apellidos de los reclamantes como codemandados, sin anonimizar. En particular, en la dirección web: https://acicorella.com/2022/11/04/quieren-otro-jefede-policia-que-sea-docil-y-navarro/ se publica, con fecha 04/11/22, la referida sentencia junto con una noticia con el titular: "Quieren otro jefe de policía que sea dócil y navarro". La sentencia publicada es fruto de la interposición de un recurso de alzada por los reclamantes, en su condición de Delegados de Personal en el Ayuntamiento, contra la resolución de la Alcaldía nombrando a un nuevo jefe de la policía municipal que finalmente fue declarada nula en sede judicial. La parte reclamante alega una total desproporción entre la que sería una finalidad legítima de poner la sentencia en conocimiento de la población de Corella y el medio utilizado consistente en su publicación en el Blog sin previamente haberla anonimizado, suprimiendo los datos personales de los dos trabajadores implicados en el proceso. Asimismo, añade que la parte reclamada no era parte del procedimiento judicial, sino que lo era el Ayuntamiento de Corella, por lo que tuvo conocimiento de la sentencia por su condición de equipo de gobierno y agrupación de electores, haciendo uso fraudulento de su condición al publicar la sentencia en su Blog. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/14 acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP) mediante notificación electrónica el 3 de febrero de 2023, no fue recogido por el responsable, dentro del plazo de puesta a disposición, entendiéndose rechazada conforme a lo previsto en el art. 43.2 de la LPACAP en fecha 14 de febrero de 2023, como consta en el certificado que obra en el expediente. Aunque la notificación se practicó válidamente por medios electrónicos, dándose por efectuado el trámite conforme a lo dispuesto en el artículo 41.5 de la LPACAP, a título informativo se envió una copia por correo postal, en fecha 15 de febrero de 2023, fue devuelto por desconocido. TERCERO: Con fecha 8 de marzo de 2023, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: - No se ha localizado por la Inspección de datos en el blog “acicorella.com” información legal ni información relativa a la política de privacidad. Se ha comprobado la existencia de un contenido publicado el día 28/3/2011 en este blog en la que ALTERNATIVA CORELLANA INDEPENDIENTE se define como una Agrupación de Vecinos. Se ha verificado por la Inspección de Datos que en el Registro de Asociaciones, Fundaciones y Colegios profesionales de Navarra consta inscrita desde el 30/8/2004 la asociación ALTERNATIVA CORELLANA INDEPENDIENTE con el número de registro 4896 y clasificada como “Vecinales y de acción sociocomunitaria”. - Con fecha 13/4/2023 se comprobó por la Inspección de Datos que constaba publicado desde la fecha 4/11/2022, de acceso público y sin restricciones, en el blog “acicorella.com” un artículo con el título “Quieren otro jefe de policía que sea dócil y navarro", el cual incluye el enlace a la sentencia n º 000262/2022 del Juzgado Contencioso- Administrativo n º 2 de Pamplona, sin anonimizar, en la que figuran los datos identificativos de nombre y apellidos de los reclamantes como codemandados. - Con fechas 13/4/2023 y 25/4/2023 se envió requerimiento de la siguiente información y documentación al reclamado, mediante notificación electrónica y postal respectivamente, resultando en ambos casos infructuosos: • Aportación de los informes técnicos o recomendaciones elaborados por el Delegado de Protección de Datos o por el responsable de seguridad, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/14 cualquiera que fuera su formato, respecto de los tratamientos sobre los que se solicita información, así como sobre las acciones posteriores adoptadas o su ausencia, derivadas de los citados informes técnicos o recomendaciones. • Política de privacidad e información proporcionada al interesado a la que se refiere el art. 13. RGPD. • Procedimiento habilitado para que los afectados puedan oponerse a la publicación de sus datos personales o para solicitar la supresión de sus datos. • Documento justificativo del consentimiento de las personas afectadas para la publicación o, en su caso, de la base jurídica que legitimaría la publicación (ejemplo, si la publicación se basa en el interés legítimo del responsable, "prueba del sopesamiento" de la que se desprenda la existencia de un interés legítimo prevalente). • Documento justificativo de la supresión de los datos, en su caso. • Documento justificativo de haber atendido el derecho de oposición al tratamiento de los datos personales, en su caso. La decisión adoptada a propósito de esta reclamación. Informe sobre las causas que han motivado la incidencia que ha originado la reclamación. Informe sobre las medidas adoptadas para evitar que se produzcan incidencias similares, fechas de implantación y controles efectuados para comprobar su eficacia. Cualquier otra que considere relevante. - Con fecha 17/5/2023 se envió nuevamente dicho requerimiento de información y documentación al reclamado, mediante notificación postal remitida, esta vez, a la dirección aportada a la Inspección de Datos por el Ayuntamiento de Corella, teniendo entrada con fecha 8/6/2023 escrito del reclamado en el que pone de manifiesto lo siguiente: - En noviembre de 2022 la agrupación electoral ACI publicó en su blog una sentencia del Juzgado de lo Contencioso Administrativo sin percatarse de que contenía los datos personales de dos personas empleadas del Ayuntamiento. - Han sido alertados del error al recibir la comunicación de la Agencia Española de Protección de Datos (AEPD). Manifiestan que en ningún momento las dos personas afectadas se han dirigido a esa agrupación solicitando la supresión d los datos publicados. - La incidencia se produjo por error de la persona encargada de la publicación que se apercibió de que no habían eliminado los datos identificativos de las personas que constaban en la sentencia. En el momento en que recibieron la comunicación de la AEPD fueron conscientes del error y procedieron a eliminar los datos del blog. - C/ Jorge Juan, 6 28001 – Madrid Informan, además, que ACI es una agrupación de electores constituida para un proceso electoral concreto. En concreto ACI se constituyó para el www.aepd.es sedeagpd.gob.es 4/14 proceso electoral anterior del año 2019, por lo que con la convocatoria de elecciones el 28 de mayo esta agrupación se da por extinguida. - Con fecha 20/6/2023 se requirió por la Inspección de Datos a ACI, para que aporte la siguiente información y documentación en un plazo de 10 días: 1. Datos identificativos del titular de dicho blog (Nombre o razón social y NIF). 2. Política de privacidad e información proporcionada a los interesados a la que se refiere el art. 13. RGPD. 3. Procedimiento habilitado para que los interesados puedan oponerse a la publicación de sus datos personales o para solicitar la supresión de sus datos. 4. Copia del Registro de Actividad de Tratamientos, del análisis de riesgos y medidas de seguridad implantadas en relación con los tratamientos de datos personales. Dicho requerimiento fue entregado a su destinatario el día 27/6/2023, según consta en el acuse de recibo del servicio de Correos, sin que hasta la fecha del presente informe se haya recibido respuesta al mismo. - Con fecha de 12/6/2023, se comprobó por la Inspección de Datos que se ha suprimido el enlace a la sentencia n º 000262/2022 del Juzgado ContenciosoAdministrativo n º 2 de Pamplona en el blog “acicorella.com”. QUINTO: Con fecha 27 de octubre de 2023 fue notificado el acuerdo de inicio, firmado por la Directora de la Agencia Española de Protección de Datos el 16 de octubre de 2023, donde acordó iniciar procedimiento sancionador a la parte reclamada, con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por la presunta infracción del Artículo 5.1.
- c)del RGPD, tipificada en el Artículo 83.5 del RGPD. SEXTO: Notificado el citado acuerdo de inicio conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), la parte reclamada presentó escrito de alegaciones en el que, en síntesis, manifestaba que “La Agrupación no recibió requerimientos hasta que la agencia se dirigió al Ayuntamiento en demanda de dirección a la que notificar a ACI, y cuando se le mandaron a dirección correcta, se recogieron las citaciones y requerimientos realizados. De este modo, y como se prueba en los hechos de la propia resolución, ante la primera recepción de requerimiento, 17 de mayo de 2023, recepcionado por esta parte el 24 de mayo, se contestó aportando el escrito de alegaciones en el que se reconoce un “error de actuación”, que los afectados no han solicitado rectificación y que detectado el error por la comunicación de la APD, se procedió a eliminar los datos del blog en el que fueron publicados, adjuntando el enlace para su comprobación. Igualmente, se exponía que ACI es una agrupación de electores por la que se accedió a los cargos que actualmente se ostentan en el Ayuntamiento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/14 Los requerimientos de junio y julio de 2023, no se contestaron no porque se tuviera actitud obstruccionista, al contrario, sino por cuanto que creía haber cumplido con el requerimiento de la AEPD con el escrito de alegaciones y la rectificación de los datos. Además, en esas fechas se estaba constituyendo y conformando el Ayuntamiento, y los plazos otorgados eran muy difíciles de cumplir dada la atención e importancia de la constitución del Ayuntamiento y, una vez elegido Alcalde, a la organización de la Corporación. En este sentido, y en cumplimiento de lo requerido, se informa que: Datos identificativos INDEPENDIENTE) del titular del blog (ALTERNATIVA CORELLANA Política de privacidad e información proporcionada a los interesados a que se refiere el artículo 13 del RGPD. Ambos denunciantes son funcionarios, policías municipales, en el Ayuntamiento de Corella. Ambos interpusieron un recurso dentro del ámbito laboral, y la sentencia recaída en este ámbito fue la que se publicó en el Blog, al igual que la noticia de tal sentencia fue publicada por su relevancia en distintos medios de comunicación. En consecuencia, y a efectos de cumplimiento de lo dispuesto en el artículo 13, los funcionarios están sujetos a la política de protección de datos municipal, y el Ayuntamiento cuenta con ficheros y delegado de protección de datos. Se adjunta contrato con experto y documento de actuaciones con los empleados municipales sobre sus datos y derechos. Procedimiento habilitado para que los interesados puedan oponerse a la publicación de sus datos personales o para solicitar la supresión de sus datos. Es el establecido por el Ayuntamiento, ya que, reiteramos, son funcionarios. Se adjunta el procedimiento señalado por el delegado de protección de datos. Copia del registro de actividad de tratamientos, del análisis de riesgos y medidas de seguridad implantadas en relación con los tratamientos de datos personales. El artículo 6 de la Ley Orgánica 3/2018, LOPD, regula el consentimiento para el tratamiento de los datos personales en el caso de relación contractual. En este caso, se cumple el requisito para entender que existe tal consentimiento y la publicitación de sus datos lo ha sido guardando claramente relación con el mantenimiento, desarrollo y control de la relación contractual. De hecho, ellos mismos han publicitado en redes y prensa numerosas informaciones y opiniones sobre la relación contractual que tienen con el Ayuntamiento y con el Alcalde como su jefe. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/14 A mayor abundamiento, la disposición adicional duodécima, establece que los tratamientos de los registros de personal del sector público se entenderán realizados en el ejercicio de los poderes públicos conferidos a sus responsables y tienen una regulación añadida que permite su tratamiento diferenciado. A tenor de los dispuesto en el artículo 65 de la Ley Orgánica 3/2018, tras la admisión a trámite y el escrito de alegaciones, se entendió que se había dado cumplimiento a la normativa de modo que, aunque eran funcionarios, se procedió a retirar los datos identificativos, medida drástica a fin de solventar la queja de los interesados. Por ello, se dio por atendido su derecho de rectificación puesto que no se pretendía ni infringir la normativa ni que se identificaran, tan solo dar información pública del resultado de un conflicto laboral que había estado publicitado previamente por ambas partes. Aunque es evidente que, por sus muchas declaraciones previas públicas, y por la población pequeña de Corella, no alcanza 10.000 habitantes quien leyera las noticias de la sentencia, no solo en el blog, sabían a qué funcionarios se refería. Por tanto, considerada la reclamación de los funcionarios como una petición de rectificación, se atendió a modo de ver de esta parte procediendo de inmediato a la eliminación de sus datos de la publicación referida. Consideramos, por tanto, que no ha existido infracción alguna cometida por ACI, ya que por una parte se contestó a la AEPD al requerimiento efectuado constatando que se había eliminado la identificación de datos en el blog y por otra parte, no se contestó al segundo requerimiento porque se pensaba ya solventada la situación y sobre todo porque las fechas en las que se produjo no daban margen a la respuesta. Esta no respuesta no puede tipificarse como se hace en la resolución puesto que queda demostrado que no existe resistencia u obstrucción a la AEPD y su función, y en consecuencia, no es procedente ni adecuada la propuesta de sanción que no se corresponde con hechos que alcancen la tipificación señalada. En el caso de entenderse que existe infracción de falta de respuesta a la AEPD (cosa que ya decimos que no lo creemos) lo sería por mera formalidad, sin ninguna intencionalidad, lo que implica una falta muy leve dada la nula afectación a los derechos de los funcionarios y la actuación, en base al requerimiento de la AEPD, de proceder inmediatamente a resolver la situación mediante la eliminación de los datos en el blog. La voluntad mostrada por este representante de ACI no es en absoluto, y así queda patente, ni desobedecer a la AEPD, ni ser rebelde para facilitar información, ni mucho menos, todo lo contrario, y mediante el presente documento y sus adjuntos, se procede a cumplir exhaustivamente con lo requerido en la resolución recibida. Por lo expuesto, solicito se admita el presente documento y sus adjuntos, se entienda cumplimentado el trámite de alegaciones, y en su virtud, previos los trámites legales de rigor, se dicte propuesta por la Instructora del expediente por la que se acuerde C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/14 elevar a la directora de la Agencia de Protección de Datos, el archivo del expediente sancionador por no existir la infracción tipificada por la que se incoa.” SÉPTIMO: Con fecha 27 de noviembre de 2023, el instructor del procedimiento acordó dar por reproducidos a efectos probatorios la reclamación interpuesta por A.A.A. y B.B.B., así como la documentación, los documentos obtenidos y generados durante la fase de admisión a trámite de la reclamación, y el informe de actuaciones previas de investigación que forman parte del procedimiento AI/00078/2023. Asimismo, se da por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio del procedimiento sancionador referenciado, presentadas por ALTERNATIVA CORELLANA INDEPENDIENTE (ACI), y la documentación que a ellas acompaña. OCTAVO: Con fecha 11 de diciembre de 2023, se formuló propuesta de resolución, siendo esta notificada por vía electrónica proponiendo que por la Directora de la Agencia Española de Protección de Datos se sancione a ALTERNATIVA CORELLANA INDEPENDIENTE (ACI), con NIF G31782295, por una infracción del artículo 5.1.
- c)del RGPD, tipificada en el artículo 83.5 del RGPD, con una multa de 500 € (QUINIENTOS euros). Como la parte reclamada no ha accedido a la propuesta de resolución realizada por vía electrónica, se considera como fecha de la notificación el 22 de diciembre de 2023, de conformidad con el artículo 43.2 de la ley 39/2015 de 1 de octubre, de Procedimiento Administrativo Común de las Administraciones Públicas, donde se indica que “cuando la notificación por medios electrónicos sea de carácter obligatorio, o haya sido expresamente elegida por el interesado, se entenderá rechazada cuando hayan transcurrido diez días naturales desde la puesta a disposición de la notificación sin que se acceda a su contenido.” ALTERNATIVA CORELLANA INDEPENDIENTE (ACI), con NIF G31782295, es una persona jurídica, por lo que de conformidad con el artículo 14.2 de la ley 39/2015 de 1 de octubre, de Procedimiento Administrativo Común de las Administraciones Públicas, en todo caso, está obligada a relacionarse a través de medios electrónico con las Administraciones Públicas para la realización de cualquier trámite de un procedimiento administrativo. Pese a que el 23 de febrero de 2023 mediante vía postal se le ha requerido a la parte reclamada la necesidad de que facilite una dirección de correo electrónico, para avisarle de las notificaciones que pudiese recibir, y pese a que se realizó por vía postal la notificación del acuerdo de inicio del presente procedimiento sancionador el 27 de octubre de 2023, el reclamado no ha facilitado una dirección de correo electrónico. Por lo tanto, es de aplicación lo indicado en el artículo 43 del Real Decreto 203/2021, de 30 de marzo, reglamento de actuación y funcionamiento del Sector Público por medios electrónicos, donde se establece que el aviso sólo se practicará en caso de que el interesado o su representante hayan comunicado a la Administración un dispositivo electrónico o dirección de correo electrónico al efecto. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/14 Además, dicho precepto señala también que la falta de práctica de este aviso, de carácter meramente informativo, no impedirá que la notificación sea considerada plenamente válida. De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS PRIMERO: Se ha procedido a la publicación en un blog de la plataforma Wordpress la sentencia n º 000262/2022 del Juzgado Contencioso- Administrativo n º 2 de Pamplona en la que constan los datos identificativos de nombre y apellidos de los reclamantes como codemandados, sin anonimizar. En particular, en la dirección web: https://acicorella.com/2022/11/04/quieren-otro-jefede-policia-que-sea-docil-y-navarro/ se publica, con fecha 04/11/22, la referida sentencia junto con una noticia con el titular: "Quieren otro jefe de policía que sea dócil y navarro". La sentencia publicada es fruto de la interposición de un recurso de alzada por los reclamantes, en su condición de Delegados de Personal en el Ayuntamiento, contra la resolución de la Alcaldía nombrando a un nuevo jefe de la policía municipal que finalmente fue declarada nula en sede judicial. SEGUNDO: Se presentan alegaciones el 30 de octubre de 2023 por el reclamado indicando que se trata de un error de actuación, y que ya se procedió a eliminar los datos del blog en el que fueron publicados. FUNDAMENTOS DE DERECHO I De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/14 El artículo 6.1 de la LOPDGDD, establece que “de conformidad con lo dispuesto en el artículo 4.11 del Reglamento (UE) 2016/679, se entiende por consentimiento del afectado toda manifestación de voluntad libre, específica, informada e inequívoca por la que este acepta, ya sea mediante una declaración o una clara acción afirmativa, el tratamiento de datos personales que le conciernen”. El artículo 6.1 del RGPD, establece los supuestos que permiten considerar lícito el tratamiento de datos personales. Por su parte, el artículo 5 del RGPD establece que “los datos personales serán: “
- a)tratados de manera lícita, leal y transparente en relación con el interesado («licitud, lealtad y transparencia»);
- b)recogidos con fines determinados, explícitos y legítimos, y no serán tratados ulteriormente de manera incompatible con dichos fines; de acuerdo con el artículo 89, apartado 1, el tratamiento ulterior de los datos personales con fines de archivo en interés público, fines de investigación científica e histórica o fines estadísticos no se considerará incompatible con los fines iniciales («limitación de la finalidad»);
- c)adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados («minimización de datos»);
- d)exactos y, si fuera necesario, actualizados; se adoptarán todas las medidas razonables para que se supriman o rectifiquen sin dilación los datos personales que sean inexactos con respecto a los fines para los que se tratan («exactitud»);
- e)mantenidos de forma que se permita la identificación de los interesados durante no más tiempo del necesario para los fines del tratamiento de los datos personales; los datos personales podrán conservarse durante períodos más largos siempre que se traten exclusivamente con fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos, de conformidad con el artículo 89, apartado 1, sin perjuicio de la aplicación de las medidas técnicas y organizativas apropiadas que impone el presente Reglamento a fin de proteger los derechos y libertades del interesado («limitación del plazo de conservación»);
- f)tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»). El responsable del tratamiento será responsable del cumplimiento de lo dispuesto en el apartado 1 y capaz de demostrarlo («responsabilidad proactiva»).” La comunicación de información personal constituye un tratamiento de datos de carácter personal y como tal debe respetar los principios de protección de datos, en particular, el principio de minimización de datos que requiere que no se realicen operaciones de tratamiento salvo que sea absolutamente necesario para una determinada finalidad. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/14 Como recoge el Comité Europeo de Protección de datos en sus Directrices 4/2019 relativas al artículo 25 Protección de datos desde el diseño y por defecto Versión 2.0 adoptadas el 20 de octubre de 2020 “(…) el hecho de que determinados datos personales sean necesarios para una determinada finalidad no implica que se puedan aplicar todo tipo de operaciones de tratamiento a dichos datos ni con cualquier frecuencia (…) III Para la determinación de la infracción, es oportuno recordar que los hechos que nos ocupan son la publicación en un blog de la plataforma Wordpress la sentencia n º 000262/2022 del Juzgado Contencioso- Administrativo n º 2 de Pamplona en la que constan los datos identificativos de nombre y apellidos de los reclamantes como codemandados, sin anonimizar. A través de las actuaciones de investigación realizadas por este Organismo, se ha constatado que con fecha 13 de abril de 2023 constaba publicado desde la fecha 4 de noviembre de 2022, de acceso público y sin restricciones, en el blog “acicorella.com” un artículo con el título “Quieren otro jefe de policía que sea dócil y navarro", el cual incluye el enlace a la sentencia n º 000262/2022 del Juzgado ContenciosoAdministrativo n º 2 de Pamplona, sin anonimizar, en la que figuran los datos identificativos de nombre y apellidos de los reclamantes como codemandados. El reclamado ha manifestado que la incidencia se produjo por error de la persona encargada de la publicación que se apercibió de que no habían eliminado los datos identificativos de las personas que constaban en la sentencia. El 30 de octubre de 2023 se remiten alegaciones al acuerdo de inicio del presente procedimiento sancionador, transcrito en el antecedente quinto, insistiendo en que se trata de un “error de actuación”, y que los afectados no han solicitado rectificación. Asimismo se indica que detectado el error por la comunicación de la APD, se procedió a eliminar los datos del blog en el que fueron publicados, adjuntando el enlace para su comprobación, por lo que en su actuación no existe resistencia u obstrucción a la AEPD. No obstante, la parte reclamada manifiesta que en el caso de entenderse que existe infracción de falta de respuesta, lo sería por mera formalidad, sin ninguna intencionalidad, lo que implica una falta muy leve dada la nula afectación a los derechos de los funcionarios y la actuación, en base al requerimiento de la AEPD, de proceder inmediatamente a resolver la situación mediante la eliminación de los datos en el blog. En respuesta a tales alegaciones la AEPD ha de indicar que con fecha de 12 de junio de 2023, se ha comprobado por la Inspección de Datos que se ha suprimido el enlace a la sentencia n º 000262/2022 del Juzgado Contencioso- Administrativo n º 2 de Pamplona en el blog “acicorella.com”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/14 Por lo tanto, tras analizar los hechos que nos ocupan, la AEPD considera que la parte reclamada habría vulnerado el artículo 5.1
- c)del RGPD, tal y como se ha indicado en el fundamento de derecho II ya que la parte reclamada reconoce espontáneamente su culpabilidad y ha procedido a la regularización de la situación irregular de forma diligente, lo cual es tenido en cuenta a la hora de imponer la multa por la infracción cometida. IV El artículo 83.5 del RGPD establece que las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4% como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
- a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9; El artículo 72.1
- a)de la LOPDGDD señala que “en función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679, se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y en particular, las siguientes:
- a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679.” V El artículo 58.2 del RGPD dispone lo siguiente: “Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación:
- d)ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado;
- i)imponer una multa administrativa con arreglo al artículo 83, además o en lugar de las medidas mencionadas en el presente apartado, según las circunstancias de cada caso particular; Así las cosas, se ordena a la parte reclamada que en el plazo designado proceda a realizar las actuaciones necesarias para que el tratamiento de los datos personales utilizados se ajuste a las disposiciones del RGPD. VI A fin de determinar la multa administrativa a imponer se han de observar las previsiones de los artículos 83.1 y 83.2 del RGPD, preceptos que señalan: “Cada autoridad de control garantizará que la imposición de las multas administrativas con arreglo al presente artículo por las infracciones del presente Reglamento C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/14 indicadas en los apartados 4, 9 y 6 sean en cada caso individual efectivas, proporcionadas y disuasorias.” “Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras
- a)a
- h)y j). Al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
- a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;
- b)la intencionalidad o negligencia en la infracción;
- c)cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados;
- d)el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32;
- e)toda infracción anterior cometida por el responsable o el encargado del tratamiento;
- f)el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
- g)las categorías de los datos de carácter personal afectados por la infracción;
- h)la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida;
- i)cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas previamente contra el responsable o el encargado de que se trate en relación con el mismo asunto, el cumplimiento de dichas medidas;
- j)la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación aprobados con arreglo al artículo 42, y
- k)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción.” Respecto al apartado
- k)del artículo 83.2 del RGPD, la LOPDGDD, artículo 76, “Sanciones y medidas correctivas”, dispone: “2. De acuerdo a lo previsto en el artículo 83.2.
- k)del Reglamento (UE) 2016/679 también podrán tenerse en cuenta:
- a)El carácter continuado de la infracción.
- b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales.
- c)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
- d)La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión de la infracción. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/14
- e)La existencia de un proceso de fusión por absorción posterior a la comisión de la infracción, que no puede imputarse a la entidad absorbente.
- f)La afectación a los derechos de los menores.
- g)Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
- h)El sometimiento por parte del responsable o encargado, con carácter voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que existan controversias entre aquellos y cualquier interesado.” De acuerdo con los preceptos transcritos, se considera que procede graduar la sanción a imponer de acuerdo con los siguientes criterios que establece el artículo 76.2
- b)de la LOPDGDD, relativo a la vinculación de la actividad del infractor con la realización de tratamientos de datos personales. A efectos de fijar el importe de la sanción a imponer en el presente caso a la entidad reclamada por una infracción tipificada en el artículo 83.5 del RGPD, procede graduar la sanción a imponer a la reclamada y fijarla en la cuantía de 500 € de conformidad con el artículo 58.2 del RGPD. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a ALTERNATIVA CORELLANA INDEPENDIENTE (ACI), con NIF G31782295, por una infracción del artículo 5.1.
- c)del RGPD, tipificada en el artículo 83.5 del RGPD, una multa de 500,00 euros (QUINIENTOS euros). SEGUNDO: NOTIFICAR la presente resolución a ALTERNATIVA CORELLANA INDEPENDIENTE (ACI). TERCERO: Esta resolución será ejecutiva una vez finalice el plazo para interponer el recurso potestativo de reposición (un mes a contar desde el día siguiente a la notificación de esta resolución) sin que el interesado haya hecho uso de esta facultad. Se advierte al sancionado que deberá hacer efectiva la sanción impuesta una vez que la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el art. 98.1.
- b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante LPACAP), en el plazo de pago voluntario establecido en el art. 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso, indicando el NIF del sancionado y el número de procedimiento que figura en el encabezamiento de este documento, en la cuenta restringida nº IBAN: ES00-0000-0000-0000-0000-0000 (BIC/Código SWIFT: CAIXESBBXXX), abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A.. En caso contrario, se procederá a su recaudación en período ejecutivo. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/14 Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
- a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-16012024 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es