← España

PS-00385-2024

1/25  Expediente N.º: EXP202310872 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 29 de junio de 2023 se interpuso una denuncia ante la Agencia Española de Protección de Datos por una posible infracción imputable a AYUNTAMIENTO DE JEREZ DE LOS CABALLEROS con NIF P0607000G (en adelante, el Ayuntamiento). Los hechos que se pone en conocimiento de esta autoridad son los siguientes: La denuncia la presenta (…). El (…) recibió una notificación a través del programa municipal ***PROGRAMA.1 en la que figura como persona gestora A.A.A.. Según afirma, la gestora que le ha remitido la notificación no tiene una relación laboral con el Ayuntamiento de Jerez de los Caballeros (parte denunciada). En este sentido, indica que la gestora es (…). La denunciante destaca que para acceder al programa "***PROGRAMA.1" la parte denunciada debe facilitar una contraseña y, para obtenerla, resulta necesario contar con una relación laboral que habilite su uso, toda vez que a través de dicho programa se accede a expedientes administrativos, incluidos expedientes sancionadores, que contienen datos de tipo personal. En el escrito de denuncia aporta una impresión de pantalla de la notificación remitida el (…). SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a Ayuntamiento, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El 11 de agosto de 2023 tuvo entrada en la AEPD una solicitud de copia de la impresión de pantalla aportada por la denunciante por parte del DPD del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/25 Ayuntamiento, procediéndose al envío de la documentación solicitada con fecha 1 de septiembre de 2023. TERCERO: Con fecha 29 de septiembre de 2023, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VIII, de la LOPDGDD. En el marco de las actuaciones previas de investigación, se tuvo conocimiento de las siguientes cuestiones: 1.Recomendación del DPD al Ayuntamiento para el correcto tratamiento de datos personales por el personal autorizado de dicho Consistorio: En fecha 16/11/2023, se solicitó por la Subdirección General de Inspección de Datos al denunciado, mediante notificación electrónica, posteriormente con fecha 05/02/2024 mediante notificación postal, por resultar la anterior expirada, la siguiente documentación e información: “1.- Aportación de los informes técnicos o recomendaciones elaborados por el Delegado de Protección de Datos o por el responsable de seguridad, cualquiera que fuera su formato, respecto de los tratamientos sobre los que se solicita información, así como sobre las acciones posteriores adoptadas o su ausencia, derivadas de los citados informes técnicos o recomendaciones. Asimismo, se solicita la identificación nominal de la autoridad o directivo responsable del tratamiento en el momento de la emisión de los citados informes técnicos o recomendaciones. 2.- La decisión adoptada a propósito de esta reclamación. 3.- Informe sobre las causas que han motivado la incidencia que ha originado la reclamación. 4.- Informe sobre las medidas adoptadas para evitar que se produzcan incidencias similares, fechas de implantación y controles efectuados para comprobar su eficacia. 5.- Cualquier otra que considere relevante.” Con fecha 06/03/2024, tuvo entrada en la AEPD un escrito del Delegado de Protección de Datos del Ayuntamiento en el que informaba a la Agencia del envío a la Secretaría del Ayuntamiento de un escrito, cuya copia acompañaba, con la siguiente recomendación: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/25 “ANTECEDENTES DE HECHO Primero.- La Agencia Española de Protección de Datos recibida la reclamación indicada, solicita una serie de documentación e informes. Habiéndose solicitado por el DPD, a su vez, información al Ayuntamiento de Jerez de los hechos relatados en ella reclamación, se puede desprender que, efectivamente, en el momento en el cual se produjo el acceso y permiso en la aplicación “***PROGRAMA.1” no existía nombramiento formal de la persona mencionada en la reclamación. FUNDAMENTOS DE DERECHO (…) Tercero.- Dado que ha podido existir una irregularidad con el acceso anticipado a una aplicación por parte de una persona que formalmente aún no tuviera el nombramiento de la relación laboral/funcionarial que corresponda, dicho acceso puede suponer que los datos existentes en la mencionada aplicación pueden ser tratados por personal ajeno a la Administración. Cuarto.- Por ello, y en aras de evitar futuros problemas, es recomendables que se establezca un protocolo de actuación a los efectos de otorgar los permisos de acceso a la aplicación “***PROGRAMA.1”, estableciendo qué documentos deben ser remitidos a la misma a los efectos de determinar cuándo debe producirse el acceso, qué expedientes o documentos pueden ser tratados por los usuarios, y siempre con una certificación por quien corresponda de que el inicio de la relación laboral se ha producido. Por todo lo anterior, SE INFORMA: Primero.- A efectos de evitar posibles vulneraciones del RGPD y la LOPDGDD, es preciso establecer un protocolo específico para otorgar los accesos y permisos a la aplicación “***PROGRAMA.1” y siempre con una certificación por quien corresponda de que el inicio de la relación laboral se ha producido.” 2.Acceso a la aplicación de la persona que se menciona en la denuncia con anterioridad a su toma de posesión en un puesto del Ayuntamiento: En fecha 11/03/2024 se solicitó, mediante notificación electrónica, al denunciado, información y documentación sobre la existencia de credenciales de acceso a la aplicación “***PROGRAMA.1” y la relación laboral o profesional con el Ayuntamiento de la usuaria identificada como A.A.A.. El requerimiento fue accedido por el destinatario el día 12/03/2024, sin que se obtuviera respuesta. Con fecha 10/04/2024, se reiteró el requerimiento, teniendo entrada en la AEPD en fecha 12/04/2024, escrito de respuesta del Alcalde del Ayuntamiento, en el que pone de manifiesto lo siguiente: “Esta alcaldía, como representante de la entidad local y en cumplimiento del artículo 21.1 de la Ley 7/1985, de 2 de abril, de procedimiento administrativo común de las administraciones públicas, en relación con el artículo 52.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales comunica lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/25 1. B.B.B., con DNI ***NIF.1, presta servicios para el Ayuntamiento de Jerez de los Caballeros como personal (...), conforme a los términos recogidos en el (…) Texto Refundido del Estatuto Básico del Empleado Público, aprobado por Real Decreto Legislativo 2/2015. Para la acreditación de este extremo, se adjunta expediente administrativo en el que consta el procedimiento de nombramiento de la trabajadora durante el año 2023. La Consideración de personal (...), en los términos que se recogen en la normativa en vigor, se refiere a personal (…), como así se indica en el mencionado artículo, pues realiza funciones (…), lo que obliga a entender que el acceso de la trabajadora a los expedientes y documentación del Ayuntamiento sea plena, al mismo nivel que la propia alcaldía, ya que se trataría de una necesidad innata a la propia consideración del puesto a desempeñar, por lo que existe una relación justificada y suficiente entre el acceso previsto para la trabajadora en el gestor documental “***PROGRAMA.1” con esas funciones (…). Así, desde esta parte no se considera que la trabajadora no tenga justificación suficiente al acceso a los todos los expedientes a los que tiene acceso la alcaldía en la toma de decisiones, esto es, la totalidad de los expedientes que se generan en el Ayuntamiento, puesto que son necesarios para ejercer sus funciones (…). 2. Para ello, se adjunta también el informe que proporciona de manera automática al solicitarlo el gestor documental sobre la actividad de la trabajadora durante las fechas solicitadas, indicando que en la actualidad sigue teniendo acceso a ***PROGRAMA.1 en los mismos términos, ya que sigue desempeñando el puesto de personal (...) de este Ayuntamiento.” En relación con el acceso por parte de la persona mencionada en la denuncia a la aplicación ***PROGRAMA.1 del Ayuntamiento, se señala: - Que el Alcalde del Ayuntamiento de Jerez de los Caballeros manifiesta que B.B.B., con DNI ***NIF.1, (datos identificativos de la usuaria A.A.A.) presta servicios para el Ayuntamiento de Jerez de los Caballeros como personal (...), conforme a los términos recogidos en el (…) Texto Refundido del Estatuto Básico del Empleado Público, aprobado por Real Decreto Legislativo 2/2015. Aporta copia del expediente administrativo en el que consta la resolución de la alcaldía de fecha (…) en la que se resuelve nombrar a B.B.B. como personal (...), para ocupar el puesto de trabajo de (…). Aporta un informe de auditoría de accesos a la aplicación “***PROGRAMA.1”, gestor documental, (…), del que se desprende que desde dicha fecha constan accesos (…).” 3.Solicitud de información al Ayuntamiento sobre el procedimiento de gestión de usuarios, las medidas de seguridad, técnicas y organizativas asociadas al control de accesos, así como acreditación de su aplicación en el caso de la usuaria mencionada en la denuncia: En fecha 22/05/2024 se solicitó, mediante notificación electrónica al denunciado, para que en el plazo de 10 días aporte la siguiente información: “1.- Descripción del procedimiento de gestión de usuarios: altas, bajas, modificación. Autoridades que lo solicitan y medio por el que se solicita. Documentación del procedimiento de la que se disponga. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/25 2.- Información, en su caso, de los distintos perfiles de privilegios de acceso asociados a los usuarios y descripción del procedimiento de asignación de perfiles de acceso. 3.- Medidas de seguridad técnicas y organizativas asociadas al control de accesos: identificación y autenticación de los usuarios, procedimiento de asignación y comunicación de los identificadores de usuarios y contraseñas, obligación del cambio de contraseñas en el primer acceso y periódicamente. 4.- Copia de la documentación acreditativa de que se han llevado a cabo los procedimientos y protocolos de gestión de usuarias para el alta, y en su caso, baja de la usuaria “A.A.A.”. Copia, en su caso, de la solicitud de alta/baja y de la comunicación del código de usuario y credenciales de acceso a la usuaria.” La notificación fue accedida por el destinatario el día 27/05/2024 y reiterado con fecha 20/06/2024, sin que se recibiera respuesta en el marco de las actuaciones previas de investigación. QUINTO: Con fecha 14 de agosto de 2024 tuvo entrada en la AEPD la documentación remitida por el Ayuntamiento, en contestación al requerimiento de información del Inspector de 22 de mayo de 2023. La documentación recibida estaba integrada por los siguientes documentos: Documento 1. Certificado del Pleno del Ayuntamiento de fecha 6 de agosto de 2020, que acredita que dicho Pleno en la sesión extraordinaria celebrada el 30 de julio de 2020 acordó aprobar un Acuerdo de colaboración entre el Ayuntamiento de Jerez de los Caballeros y la Diputación de Badajoz para la gestión de la protección de datos de carácter personal. Documento 2. Acuerdo de colaboración de fecha 19 de agosto de 2020 entre el Ayuntamiento de Jerez de los Caballeros y la Diputación de Badajoz para la prestación del Servicio de “Delegado de Protección de Datos”. Documento 3. Condiciones de uso y “***PROGRAMA.1” a integrar en la contratación. recomendaciones del servicio Documentos 4 y 5. Informes de auditoría de la usuaria A.A.A. (***NIF.1) correspondientes a los meses de (…). Acompañando a dicha documentación, se remitía un escrito firmado por el Alcalde de fecha 13 de agosto de 2024 en el que se indicaba: “CUARTO. Una vez recopilada la información se expone a continuación el contenido de la misma que va a ser remitida a la AEPD: 1. Descripción del procedimiento de gestión de usuarios: altas, bajas, modificación. Autoridades que lo solicitan y medio por el que se solicita. Documentación del procedimiento de la que se disponga. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/25 Respecto a este punto, se adjunta el Aviso legal y la política de privacidad de la plataforma ***PROGRAMA.1, debidamente compulsada por este Ayuntamiento (Documento número 3) en el que se señala la descripción del procedimiento de alta de usuarios en los puntos 6 y 7. Además, se señala que, (…). El proceso de alta de los usuarios se realiza por parte únicamente de los administradores del ***PROGRAMA.1 que a fecha junio de 2023 que en la entidad solamente están representados por (…). La plataforma permite realizar una auditoría de los expedientes y usuarios con cierta información limitada, que sobre la creación del usuario A.A.A. se adjunta en los documentos 4 y 5. En ellos se observa que el usuario fue creado el día (…) y que realizó cierta actividad durante los días siguientes, probablemente derivada de la labora de asesoramiento en la que en la actualidad trabaja la interesada, que fue nombrada personal (...) con fecha (…) [El documento en este punto contiene una errata, ya que la fecha es el (…)] También se observa que con fecha (…) (documento número 5), fecha en la que efectivamente fue nombrada como personal (...), para evitar problemas sobre el acceso a la plataforma que se derivaron de la queja realizada a este Ayuntamiento por C.C.C.. [El documento en este punto contiene dos erratas, ya que las fechas son (…)] 2.- Información, en su caso, de los distintos perfiles de privilegios de acceso asociados a los usuarios y descripción del procedimiento de asignación de perfiles de acceso. En este punto se hace referencia, de igual manera a la información facilitada en la política de privacidad en los puntos 6 y 7 de la misma que se adjunta como documento número 3. 3.- Medidas de seguridad técnicas y organizativas asociadas al control de accesos: identificación y autenticación de los usuarios, procedimiento de asignación y comunicación de los identificadores de usuarios y contraseñas, obligación del cambio de contraseñas en el primer acceso y periódicamente. En este punto se realiza una remisión al mismo documento de aviso legal adjunto como documento número 3 a partir del punto 7 y 8, donde se regula el acceso al mismo. 4.- Copia de la documentación acreditativa de que se han llevado a cabo los procedimientos y protocolos de gestión de usuarias para el alta, y en su caso, baja de la usuaria “A.A.A.”. Copia, en su caso, de la solicitud de alta/baja y de la comunicación del código de usuario y credenciales de acceso a la usuaria. En este punto se remite a los informes de auditoría adjuntos como documento número 4 y 5. En ellos se observa que, si bien en un primer momento, por la premura y cierta confusión derivado del cambio de gobierno por las elecciones C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/25 municipales que se produjeron en mayo de 2023 unido a la (…), se produjeran algunos errores, entre ellos el alta de la usuaria y el trabajo (…) antes de su nombramiento oficial por parte de la resolución de alcaldía de fecha (…) lo que es cierto que pudo provocar una falta de cumplimiento estricto del protocolo sobre acceso a la base de datos de documentación administrativa que maneja esta administración pero que, en ningún caso, supuso un incumplimiento de las obligaciones en materia de protección de datos ni de revelación de datos personales por parte de esta entidad.” [El documento en este punto contiene una errata, ya que la fecha es el (…)] SEXTO: Con fecha 5 de diciembre de 2024, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por la presunta: - Del Artículo 5.1.

  1. f)del RGPD, tipificada en el Artículo 83.5 del RGPD. - Del Artículo 32 del RGPD, tipificada en el Artículo 83.4 del RGPD. SÉPTIMO: Notificado el citado acuerdo de inicio conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), la parte reclamada presentó escrito de alegaciones. En dicho escrito, en síntesis, el Ayuntamiento manifestaba que, de acuerdo con la normativa vigente, el (...). La jurisprudencia (entre otras, la Sentencia de la Sala de lo Contencioso Administrativo del Tribunal Supremo de 25 de abril de 2008 (Recurso de Casación núm. 3010/2005), señala la excepcionalidad (...), recuerda su total exclusión de las actuaciones profesionales propias de funcionarios públicos y aclara el significado de la expresión “(…)”, el nombramiento y cese de dicho personal es libre y corresponde al Presidente de la Corporación Local. (…). La trabajadora a la que hace referencia el acuerdo de (…). La parte reclamada señala que (…). El Ayuntamiento destaca que el puesto es excepcional, su duración está condicionada al cese del Alcalde, lo que indicaría que sus cometidos se circunscriben a las funciones (…). El Consistorio reconoce que la trabajadora tuvo acceso al ***PROGRAMA.1 con carácter previo a su nombramiento. Señala que dicho acceso era para realizar consultas para tareas que no son propias de personal público, sino de cargos políticos. Finalmente señala, que con el objetivo de cumplir con la normativa vigente RGDP, LOPDGG, se ha procedido a elaborar un Protocolo de Gestión de Usuarios en los Gestores Documentales del Ayuntamiento de Jerez de los Caballeros y en los archivos documentales (que se acompaña como anexo), así como una declaración responsable C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/25 dirigida a todos los usuarios, por la que declaren, mediante firma, el conocimiento y la aplicación del nuevo Protocolo (que también se acompaña). Asimismo, se remite un certificado expedido por la ***PUESTO.1 que acredita que en la sesión celebrada el 20 de diciembre de 2024 en la que se acordó, en relación con las medidas reflejadas en el acuerdo de inicio de la AEPD, 5 de diciembre de 2024, la aprobación del Protocolo, dando publicidad del mismo en la página web del Ayuntamiento, trasladarlo a todo el personal funcionario, laboral y (...) del Ayuntamiento y trasladar las medidas adoptadas a la AEPD. El protocolo remitido por el Ayuntamiento refleja medidas de seguridad adoptadas por dicho Consistorio. OCTAVO: Con fecha 11 de julio de 2025 se formuló propuesta de resolución, proponiendo que por la Presidencia de la Agencia Española de Protección de Datos se declare que AYUNTAMIENTO DE JEREZ DE LOS CABALLEROS, con NIF P0607000G, ha infringido lo dispuesto. - En el Artículo 5.1.
  2. f)del RGPD, infracción tipificada en el Artículo 83.5 del RGPD. - En el Artículo 32 del RGPD, infracción tipificada en el Artículo 83.4 del RGPD. Notificada la citada propuesta de resolución conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP) y transcurrido el plazo otorgado para la formulación de alegaciones, se ha constatado que no se ha recibido alegación alguna por parte del Ayuntamiento. A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes, HECHOS PROBADOS PRIMERO: El Ayuntamiento de Jerez de los Caballeros habilitó a B.B.B. como usuaria de la aplicación ***PROGRAMA.1 antes del (…) (fecha de su nombramiento y toma de posesión en un puesto de personal (...) en el Ayuntamiento). Así lo reconoce el propio Ayuntamiento en sus escritos a la AEPD de 13 de agosto de 2024 y de 20 de enero de 2024 en los que recoge, entre otras, la siguiente manifestación: “(…) la trabajadora tuvo acceso al sistema de ***PROGRAMA.1 con carácter previo al nombramiento de la misma (…)”, El DPD del Ayuntamiento, en un escrito dirigido a la AEPD el 6 de marzo de 2024, reconocía que la trabajadora había tenido acceso a la aplicación ***PROGRAMA.1 del Ayuntamiento, con carácter previo a su nombramiento como personal (...) al señalar: “(…) ha podido existir una irregularidad con el acceso anticipado a una aplicación por parte de una persona que formalmente aún no tuviera el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/25 nombramiento de la relación laboral/funcionarial que corresponda, dicho acceso puede suponer que los datos existentes en la mencionada aplicación pueden ser tratados por personal ajeno a la Administración(…)” . SEGUNDO: La aplicación ***PROGRAMA.1, entre otras funcionalidades, incluye el gestor documental de los expedientes administrativos que tramita dicho consistorio. TERCERO: La creación por parte del Ayuntamiento del usuario A.A.A. con identificador ***NIF.1 vinculado a B.B.B. e identificador ***NIF.1 se produjo el (…). De acuerdo con los informes de auditoría de la usuaria aportados por el Ayuntamiento, desde el (…) accedió a la aplicación ***PROGRAMA.1 del Ayuntamiento, consultando el contenido de expedientes administrativos, y, en ocasiones, descargando documentos que formaban parte de los mismos, como, por ejemplo, el (…). CUARTO: El (…) el Ayuntamiento desactivó el usuario con el nombre A.A.A. e identificador ***NIF.1 vinculado a B.B.B.. Posteriormente, el (…) el Ayuntamiento volvió a activar dicho usuario. QUINTO: En el momento en el que se produjeron los accesos a la aplicación ***PROGRAMA.1 por parte de B.B.B. examinados en este expediente, el Ayuntamiento no disponía de un protocolo específico para otorgar los accesos y permisos a la mencionada aplicación, que garantizase que dicho acceso por parte de personas físicas no se produjera con carácter previo al inicio de su relación laboral con el Ayuntamiento. Así lo reconocía el Ayuntamiento en su escrito de 13 de agosto de 2024 al indicar: “(…) a pesar de (…)”. SEXTO: En marzo de 2024, su DPD remitió al Ayuntamiento un escrito en el que le recomendaba la implementación de un protocolo sobre accesos y permisos respecto a la aplicación ***PROGRAMA.1 en los siguientes términos: “A efectos de evitar posibles vulneraciones del RGPD y la LOPDGDD, (…).” SÉPTIMO: El Ayuntamiento carecía de medidas de seguridad adecuadas al riesgo relativas, más allá de las propias de determinar los accesos y permisos a la aplicación ***PROGRAMA.1, sin que hubiera adoptado e implementado medidas tendentes a desarrollar las recomendaciones y advertencias de seguridad dirigidas al Ayuntamiento, en tanto que responsable de los datos, en el documento “Condiciones de uso y recomendaciones del servicio “***PROGRAMA.1” a integrar en la contratación” elaborado por el creador de la plataforma. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 10/25 Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Cuestiones previas El artículo 4.1 del RGPD, define «dato personal» como: “toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona”. El artículo 4.2 del RGPD, define «tratamiento» como: “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción.” El artículo 4.7 del RGPD define al «responsable del tratamiento» o «responsable» como: “la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento;(…)” En el presente caso, de acuerdo con lo establecido en el artículo 4.1 y 4.2 del RGPD, consta la realización de un tratamiento de datos personales, toda vez que Ayuntamiento realiza, entre otros tratamientos, la recogida, registro, conservación, modificación, consulta, utilización, comunicación por transmisión de datos personales de personas físicas. Los referidos datos personales figuran en los expedientes administrativos que figuran en la aplicación ***PROGRAMA.1. Ayuntamiento realiza esta actividad en su condición de responsable del tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del RGPD. III Alegaciones del Ayuntamiento de Jerez de los Caballeros En su escrito de alegaciones al acuerdo de inicio el Ayuntamiento reconoce que la trabajadora, a la que hace referencia el acuerdo de inicio de la AEPD de fecha 5 de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 11/25 diciembre de 2024 (B.B.B.), tuvo acceso al ***PROGRAMA.1 del Ayuntamiento con carácter previo a su nombramiento. En respuesta a dichas alegaciones, el hecho de que una persona ocupe (...) o realice consultas por razones políticas, no exime del cumplimiento de lo dispuesto en el RGPD. Los hechos que obran en el expediente reflejan que, en el presente caso, se produjo una brecha de datos personales (artículo 5. 1
  3. f)del RGPD), tal y como se expone en el fundamento de derecho IV. En cuanto a las medidas previstas en el acuerdo de inicio (entre ellas, adopción de medidas de seguridad apropiadas para el cumplimiento de lo dispuesto en el artículo 32 del RGPD), la parte denunciada ha aprobado un Protocolo de Gestión de Usuarios en los Gestores Documentales del Ayuntamiento de Jerez de los Caballeros y en los archivos documentales, ordenando dar publicidad del mismo en su página web y traslado a todo el personal funcionario, laboral y (...) del Ayuntamiento. Asimismo, ha aprobado una declaración responsable dirigida a todos los usuarios, por la que declaran, mediante firma, el conocimiento y la aplicación del nuevo Protocolo. Corresponde al Ayuntamiento, como responsable del tratamiento, que conoce plenamente su organización, decidir, en base a la responsabilidad proactiva y en el enfoque de riesgos, cómo cumplir con el RGPD y la LOPDGDD. Cabe recordar que las medidas que adopte habrán de ser revisadas y adaptadas a los riesgos partiendo de un enfoque dinámico, que tenga en cuenta que los riesgos varían a lo largo del tiempo. Tal y como se ha indicado en el antecedente octavo, el Ayuntamiento no ha formulado alegaciones a la propuesta de resolución. IV Obligación incumplida. Integridad y confidencialidad La letra
  4. f)del artículo 5.1 del RGPD propugna: "1. Los datos personales serán: (…)
  5. f)tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»)." 1. El Ayuntamiento habilitó a B.B.B. para tener acceso a la aplicación ***PROGRAMA.1 antes de su nombramiento y toma de posesión en un puesto de dicho Ayuntamiento: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 12/25 En el presente caso, el Ayuntamiento habilitó a B.B.B. como usuaria de la aplicación ***PROGRAMA.1, que, entre otras funcionalidades, incluye el gestor documental de los expedientes administrativos que tramita dicho Consistorio (hecho probado segundo), antes del (…) (fecha de su nombramiento y toma de posesión en un puesto de (...) en el Ayuntamiento), hecho probado primero. 1.1. Informes de auditoría de la usuaria aportados por el Ayuntamiento: El Ayuntamiento ha aportado tres informes de auditoría de la usuaria A.A.A. (***NIF.1):    Informe de auditoría del 26 de junio al 25 de julio de 2023 Informe de auditoría desde el 1 hasta el 30 de junio de 2024 Informe de auditoría desde el 1 de julio hasta el 30 de julio de 2023. El examen de dichos informes refleja lo siguiente: El (…) el Ayuntamiento creó un usuario a nombre de B.B.B. e identificador ***NIF.1 (hecho probado tercero). Posteriormente, ese mismo día, se guardó dicho usuario con el nombre A.A.A. e identificador ***NIF.1. Desde el (…) dicha usuaria accedió a la aplicación ***PROGRAMA.1 del Ayuntamiento, consultando el contenido de expedientes administrativos, en ocasiones, descargó documentos que formaban parte de los mismos. A modo de ejemplo, en un registro del informe de auditoría de fecha (…) se indica: “(…)” El (...) el Ayuntamiento desactivó usuario con el nombre A.A.A. e identificador ***NIF.1 (hecho probado cuarto). Posteriormente, el (…) el Ayuntamiento volvió a activar dicho usuario (hecho probado cuarto). 1.2. Escrito del DPD del Ayuntamiento, remitido a la AEPD el 6 de marzo de 2024: El acceso de dicha usuaria a la aplicación ***PROGRAMA.1 con carácter previo a su nombramiento como (...) ha sido reconocido, tanto por el DPD como por el propio Ayuntamiento. El 6 de marzo de 2024 tuvo entrada en la Agencia un escrito del DPD del Ayuntamiento por el que enviaba copia del escrito remitido por dicho DPD a la Secretaría del Consistorio. En la mencionada comunicación al Ayuntamiento de Jerez de los Caballeros, se indica: “ANTECEDENTES DE HECHO Primero.- La Agencia Española de Protección de Datos recibida la reclamación indicada, solicita una serie de documentación e informes. Habiéndose solicitado por el DPD, a su vez, información al Ayuntamiento de Jerez de los hechos relatados en ella reclamación, se puede desprender que, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 13/25 efectivamente, en el momento en el cual se produjo el acceso y permiso en la aplicación “***PROGRAMA.1” no existía nombramiento formal de la persona mencionada en la reclamación. FUNDAMENTOS DE DERECHO (…) Tercero.- Dado que ha podido existir una irregularidad con el acceso anticipado a una aplicación por parte de una persona que formalmente aún no tuviera el nombramiento de la relación laboral/funcionarial que corresponda, dicho acceso puede suponer que los datos existentes en la mencionada aplicación pueden ser tratados por personal ajeno a la Administración. Cuarto.- Por ello, y en aras de evitar futuros problemas, (…). Por todo lo anterior, SE INFORMA: Primero.- A efectos de evitar posibles vulneraciones del RGPD y la LOPDGDD, es preciso (…).” (subrayado de la AEPD). 1.3. Escritos de la Alcaldía de 11 de abril y 13 de agosto de 2024: Asimismo, en el escrito de la Alcaldía de 11 de abril de 2024, elaborado en respuesta al requerimiento de información de la AEPD de fecha 11 de marzo de 2024, reiterado el de 10 de abril, se señala: “Esta alcaldía, como representante de la entidad local y en cumplimiento del artículo 21.1 de la Ley 7/1985, de 2 de abril, de procedimiento administrativo común de las administraciones públicas, en relación con el artículo 52.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales comunica lo siguiente: 1. B.B.B., con DNI ***NIF.1, presta servicios para el Ayuntamiento de Jerez de los Caballeros como personal (...), conforme a los términos recogidos en el (…) Texto Refundido del Estatuto Básico del Empleado Público, aprobado por Real Decreto Legislativo 2/2015. Para la acreditación de este extremo, se adjunta expediente administrativo en el que consta el procedimiento de nombramiento de la trabajadora durante el año 2023. La Consideración de personal (...), en los términos que se recogen en la normativa en vigor, se refiere a personal (…), como así se indica en el mencionado artículo, pues realiza funciones (…), lo que obliga a entender que el acceso de la trabajadora a los expedientes y documentación del Ayuntamiento sea plena, al mismo nivel que la propia alcaldía, ya que se trataría de una necesidad innata a la propia consideración del puesto a desempeñar, por lo que existe una relación justificada y suficiente entre el acceso previsto para la trabajadora en el gestor documental “***PROGRAMA.1” con esas funciones (…). Así, desde esta parte no se considera que la trabajadora no tenga justificación suficiente al acceso a los todos los expedientes a los que tiene C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 14/25 acceso la alcaldía en la toma de decisiones, esto es, la totalidad de los expedientes que se generan en el Ayuntamiento, puesto que son necesarios para ejercer sus funciones (…). 2.Para ello, se adjunta también el informe que proporciona de manera automática al solicitarlo el gestor documental sobre la actividad de la trabajadora durante las fechas solicitadas, indicando que en la actualidad sigue teniendo acceso a ***PROGRAMA.1 en los mismos términos, ya que sigue desempeñando el puesto de personal (...) de este Ayuntamiento.” (subrayado de la AEPD). En este mismo sentido, en el escrito de la Alcaldía de 13 de agosto de 2024, elaborado en contestación al requerimiento de información de 22 de mayo de 2024, reiterado en dos ocasiones y realizado en el marco de las actuaciones previas de investigación se indica: “CUARTO. Una vez recopilada la información se expone a continuación el contenido de la misma que va a ser remitida a la AEPD: 1. Descripción del procedimiento de gestión de usuarios: altas, bajas, modificación. Autoridades que lo solicitan y medio por el que se solicita. Documentación del procedimiento de la que se disponga. Respecto a este punto, se adjunta el Aviso legal y la política de privacidad de la plataforma ***PROGRAMA.1, debidamente compulsada por este Ayuntamiento (Documento número 3) en el que se señala la descripción del procedimiento de alta de usuarios en los puntos 6 y 7. Además, se señala que, (…). El proceso de alta de los usuarios se realiza por parte únicamente de los administradores del ***PROGRAMA.1 que a fecha junio de 2023 que en la entidad solamente están representados (…), como personas autorizadas a crear los roles. (…). La plataforma permite realizar una auditoría de los expedientes y usuarios con cierta información limitada, que sobre la creación del usuario A.A.A. se adjunta en los documentos 4 y 5. En ellos se observa que el usuario fue creado el día (…) y que realizó cierta actividad durante los días siguientes, probablemente derivada de la labora de asesoramiento en la que en la actualidad trabaja la interesada, que fue nombrada personal (...) con fecha (…) [El documento en este punto contiene una errata, ya que la fecha es el (…)] También se observa que con fecha (…) (documento número 5), fecha en la que efectivamente fue nombrada como personal (...), para evitar problemas sobre el acceso a la plataforma que se derivaron de la queja realizada a este Ayuntamiento por C.C.C.. [El documento en este punto contiene dos erratas, ya que las fechas son (…)] (…) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 15/25 4.- Copia de la documentación acreditativa de que se han llevado a cabo los procedimientos y protocolos de gestión de usuarias para el alta, y en su caso, baja de la usuaria “A.A.A.”. Copia, en su caso, de la solicitud de alta/baja y de la comunicación del código de usuario y credenciales de acceso a la usuaria. En este punto se remite a los informes de auditoría adjuntos como documento número 4 y 5. En ellos se observa que, si bien en un primer momento, por la premura y cierta confusión derivado del cambio de gobierno por las elecciones municipales que se produjeron en mayo de 2023 unido a la inexistencia de una figura de Secretaría por la baja de su titular, se produjeran algunos errores, entre ellos el alta de la usuaria y el trabajo (…) antes de su nombramiento oficial por parte de la resolución de alcaldía de fecha (…) lo que es cierto que pudo provocar una falta de cumplimiento estricto del protocolo sobre acceso a la base de datos de documentación administrativa que maneja esta administración pero que, en ningún caso, supuso un incumplimiento de las obligaciones en materia de protección de datos ni de revelación de datos personales por parte de esta entidad.” (subrayado de la AEPD). [El documento en este punto contiene una errata, ya que la fecha es el (…)] En consecuencia, la persona mencionada en la denuncia tuvo acceso, con anterioridad a su nombramiento y toma de posesión, a la aplicación ***PROGRAMA.1 del Ayuntamiento, pudiendo consultar el contenido de expedientes administrativos y teniendo acceso a los datos personales que constaban en los mismos, lo que supondría la revelación de dichos datos de carácter personal. 2. En el momento en el que se produjeron los hechos reflejados en el acuerdo de inicio, el Ayuntamiento (…): La información aportada, tanto por el DPD del Ayuntamiento como por el propio Ayuntamiento durante las actuaciones previas de investigación, refleja que, en el momento en el que se produjeron los hechos analizados en el acuerdo de inicio, el Ayuntamiento de Jerez de los Caballeros (…). 2.1. Recomendación del DPD al Ayuntamiento: Así se desprende del contenido de la recomendación remitida por el DPD del Ayuntamiento a la Secretaría de dicho Consistorio (escrito que tuvo entrada en la AEPD con fecha 6 de marzo de 2024): “ANTECEDENTES DE HECHO Primero.- La Agencia Española de Protección de Datos recibida la reclamación indicada, solicita una serie de documentación e informes. Habiéndose solicitado por el DPD, a su vez, información al Ayuntamiento de Jerez de los hechos relatados en ella reclamación, se puede desprender que, efectivamente, en el momento en el cual se produjo el acceso y permiso en la aplicación “***PROGRAMA.1” no existía nombramiento formal de la persona mencionada en la reclamación. FUNDAMENTOS DE DERECHO (…) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 16/25 Tercero.- Dado que ha podido existir una irregularidad con el acceso anticipado a una aplicación por parte de una persona que formalmente aún no tuviera el nombramiento de la relación laboral/funcionarial que corresponda, dicho acceso puede suponer que los datos existentes en la mencionada aplicación pueden ser tratados por personal ajeno a la Administración. Cuarto.- Por ello, y en aras de evitar futuros problemas, (…). Por todo lo anterior, SE INFORMA: Primero.- A efectos de evitar posibles vulneraciones del RGPD y la LOPDGDD, (…).” (subrayado de la AEPD). 2.2. Escrito de la Alcaldía de 13 de agosto de 2024: Dicha ausencia del protocolo también se refleja en el escrito de remisión de información de fecha 13 de agosto de 2024 firmado por el Alcalde, en el que se señala: “CUARTO. Una vez recopilada la información se expone a continuación el contenido de la misma que va a ser remitida a la AEPD: 1. Descripción del procedimiento de gestión de usuarios: altas, bajas, modificación. Autoridades que lo solicitan y medio por el que se solicita. Documentación del procedimiento de la que se disponga. Respecto a este punto, se adjunta el Aviso legal y la política de privacidad de la plataforma ***PROGRAMA.1, debidamente compulsada por este Ayuntamiento (Documento número 3) en el que se señala la descripción del procedimiento de alta de usuarios en los puntos 6 y 7. Además, se señala que, a pesar de (…). El proceso de alta de los usuarios se realiza por parte únicamente de los administradores del ***PROGRAMA.1 que a fecha junio de 2023 que en la entidad solamente están representados por (…), como personas autorizadas a crear los roles. (…). La plataforma permite realizar una auditoría de los expedientes y usuarios con cierta información limitada, que sobre la creación del usuario A.A.A. se adjunta en los documentos 4 y 5. En ellos se observa que el usuario fue creado el día (…) y que realizó cierta actividad durante los días siguientes, probablemente derivada de la labora de asesoramiento en la que en la actualidad trabaja la interesada, que fue nombrada personal (...) con fecha (…) [El documento en este punto contiene una errata, ya que la fecha es el (…)] También se observa que con fecha (…) (documento número 5), fecha en la que efectivamente fue nombrada como personal (...), para evitar problemas sobre el acceso a la plataforma que se derivaron de la queja realizada a este Ayuntamiento por C.C.C..” [El documento en este punto contiene dos erratas, ya que las fechas son (…)] C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 17/25 (…) 4.- Copia de la documentación acreditativa de que se han llevado a cabo los procedimientos y protocolos de gestión de usuarias para el alta, y en su caso, baja de la usuaria “A.A.A.”. Copia, en su caso, de la solicitud de alta/baja y de la comunicación del código de usuario y credenciales de acceso a la usuaria. En este punto se remite a los informes de auditoría adjuntos como documento número 4 y 5. En ellos se observa que, si bien en un primer momento, por la premura y cierta confusión derivado del cambio de gobierno por las elecciones municipales que se produjeron en mayo de 2023 unido a la inexistencia de una figura de (…), se produjeran algunos errores, entre ellos el alta de la usuaria y el trabajo de asesoramiento antes de su nombramiento oficial por parte de la resolución de alcaldía de fecha (…) lo que es cierto que pudo provocar una falta de cumplimiento estricto del protocolo sobre acceso a la base de datos de documentación administrativa que maneja esta administración pero que, en ningún caso, supuso un incumplimiento de las obligaciones en materia de protección de datos ni de revelación de datos personales por parte de esta entidad.” (subrayado de la AEPD). [El documento en este punto contiene una errata, ya que la fecha es el (…)] Como puede observarse, la ausencia de un protocolo específico para otorgar los accesos y permisos a la aplicación ***PROGRAMA.1, que garantizase que dicho acceso por parte de personas físicas no se produjera con carácter previo al inicio de su relación laboral con el Ayuntamiento, contribuyó a que la brecha de datos personales se produjera. La documentación obrante en el expediente refleja, y así lo ha reconocido el Ayuntamiento, cómo este habilitó a B.B.B. como usuaria de la aplicación ***PROGRAMA.1, que, entre otras funcionalidades, incluye el gestor documental de los expedientes administrativos que tramita dicho Consistorio, antes del (…) (fecha de su nombramiento y toma de posesión en un puesto de (...) en el Ayuntamiento). De tal manera que la misma pudo acceder al contenido de los expedientes administrativos que tramitaba dicho Ayuntamiento, consultar el contenido de los documentos que figuraban en los mismos y descargarlos, a pesar de no haber sido aún nombrada ni haber tomado posesión en un puesto de trabajo de dicho Ayuntamiento. Con posterioridad, el Ayuntamiento ha aprobado un protocolo de gestión de usuarios en los gestores documentales del citado Ayuntamiento, dando traslado del mismo a todo el personal funcionario, laboral y (...) del Consistorio. A la vista de lo expuesto, se considera que los hechos conocidos son constitutivos de una infracción, imputable a Ayuntamiento de Jerez de los Caballeros, por vulneración del artículo 5.1
  6. f)del RGPD. V Tipificación de la infracción del artículo 5.1.
  7. f)del RGPD y calificación a efectos de prescripción C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 18/25 El artículo 83.5 del RGPD tipifica como infracción administrativa la vulneración de los artículos siguientes, que se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20.000.000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: "
  8. a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9;" Por su parte, la LOPDGDD en su artículo 71, Infracciones, señala que: “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A los solos efectos del plazo de prescripción, el artículo 72.1 de la LOPDGDD establece lo siguiente: "En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
  9. a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679." VI Obligación incumplida. Seguridad del tratamiento El artículo 32 del RGPD estipula lo siguiente: "1. Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, que en su caso incluya, entre otros:
  10. a)la seudonimización y el cifrado de datos personales;
  11. b)la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento;
  12. c)la capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente físico o técnico;
  13. d)un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento. 2. Al evaluar la adecuación del nivel de seguridad se tendrán particularmente en cuenta los riesgos que presente el tratamiento de datos, en particular como C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 19/25 consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos. 3. La adhesión a un código de conducta aprobado a tenor del artículo 40 o a un mecanismo de certificación aprobado a tenor del artículo 42 podrá servir de elemento para demostrar el cumplimiento de los requisitos establecidos en el apartado 1 del presente artículo. 4. El responsable y el encargado del tratamiento tomarán medidas para garantizar que cualquier persona que actúe bajo la autoridad del responsable o del encargado y tenga acceso a datos personales solo pueda tratar dichos datos siguiendo instrucciones del responsable, salvo que esté obligada a ello en virtud del Derecho de la Unión o de los Estados miembros." Con fecha 22 de mayo de 2024, en el marco de las actuaciones previas de investigación, la AEPD formuló un requerimiento de información al Ayuntamiento con el siguiente contenido: “1.- Descripción del procedimiento de gestión de usuarios: altas, bajas, modificación. Autoridades que lo solicitan y medio por el que se solicita. Documentación del procedimiento de la que se disponga. 2.- Información, en su caso, de los distintos perfiles de privilegios de acceso asociados a los usuarios y descripción del procedimiento de asignación de perfiles de acceso. 3.- Medidas de seguridad técnicas y organizativas asociadas al control de accesos: identificación y autenticación de los usuarios, procedimiento de asignación y comunicación de los identificadores de usuarios y contraseñas, obligación del cambio de contraseñas en el primer acceso y periódicamente. 4.- Copia de la documentación acreditativa de que se han llevado a cabo los procedimientos y protocolos de gestión de usuarias para el alta, y en su caso, baja de la usuaria “A.A.A.”. Copia, en su caso, de la solicitud de alta/baja y de la comunicación del código de usuario y credenciales de acceso a la usuaria.” A continuación, se incluye una tabla en la que se reflejan la cuestión 3, que figuraba en dicho requerimiento de información, así como la información facilitada por el Ayuntamiento en relación con dicha cuestión: Cuestión 3 del requerimiento de información del Inspector de 22 de mayo de 2024 “3.- Medidas de seguridad técnicas y organizativas asociadas al control de accesos: identificación y autenticación de los usuarios, procedimiento de asignación y comunicación de los identificadores de usuarios y contraseñas, obligación del cambio de contraseñas en el primer acceso y periódicamente.” Información facilitada por el Ayuntamiento a la cuestión 3 “En este punto se realiza una remisión al mismo documento de aviso legal adjunto como documento número 3 a partir del punto 7 y 8, donde se regula el acceso al mismo.” (subrayado de la AEPD). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 20/25 Resulta necesario aclarar que el documento número 3 al que hace referencia el Ayuntamiento de Jerez de los Caballeros es del documento denominado “Condiciones de uso y recomendaciones del servicio “***PROGRAMA.1” a integrar en la contratación”. Examinado el contenido de los apartados 6, 7 y 8 de dicho escrito, se observa que en el mismo figuran numerosas advertencias y recomendaciones al Ayuntamiento sobre cuestiones relacionadas con el cumplimiento de lo dispuesto en el RGPD, y, en particular, con la seguridad de los datos de carácter personal. A continuación, se reproduce parcialmente el contenido de los citados apartados, destacando recomendaciones y advertencias relativas a la seguridad de los datos personales que figuran en el referido documento: “6. USUARIOS AUTORIZADOS. (…). (…). (…). (…). (…). (…). 7.CLAVES O CONTRASEÑAS DE ACCESO. (…). (…). (…): • (…). • (…). • (…). • (…). (…) (…). (…). (…). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 21/25 (…). (…). 8.FIRMA ELECTRÓNICA. (…) (…). (…).” El contenido de dicho documento refleja que, para cumplir con lo dispuesto en el RGPD no basta con disponer de un servicio contratado con una empresa para la gestión por medios electrónicos de los procesos administrativos, sino que resulta necesario que el Ayuntamiento adopte distintas medidas encaminadas a garantizar un adecuado cumplimiento de lo previsto en dicho Reglamento y, en particular, medidas del artículo 32, que está siendo analizado en el presente fundamento de derecho. A modo de ejemplo, en el referido documento se contemplan las siguientes medidas de seguridad por parte del Ayuntamiento de Jerez de los Caballeros: 1. (…). 2. (…). 3. (…). 4. Generación y uso de contraseñas: En cuanto a la generación y uso de contraseñas de acceso a la aplicación ***PROGRAMA.1. El Ayuntamiento debería facilitar indicaciones a su personal, entre otras cuestiones, sobre los siguientes aspectos:    (…). (…). (…). (…). 5. Recomendación de uso de certificados digitales y medidas relativas a la firma electrónica: (…). (…). 6. (…): (…). Durante las actuaciones previas de investigación, al ser preguntado sobre medidas de seguridad el Ayuntamiento se limitó a remitirse al documento denominado “Condiciones de uso y recomendaciones del servicio “***PROGRAMA.1” a integrar en C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 22/25 la contratación” sin indicar medidas de seguridad concretas adoptadas por dicho Ayuntamiento, lo que reflejaba que en ese momento carecía de dichas medidas. Posteriormente, el Ayuntamiento de Jerez de los Caballeros ha adoptado un protocolo de gestión de usuarios en los gestores documentales del Ayuntamiento de Jerez de los Caballeros, que contiene diversas medidas de seguridad destinadas a cumplir con lo dispuesto en el artículo 32 del RGPD. A la vista de lo expuesto en este fundamento, se considera que los hechos conocidos son constitutivos de una infracción, imputable a Ayuntamiento, por vulneración del artículo 32 del RGPD. VII Tipificación de la infracción del artículo 32 del RGPD y calificación a efectos de prescripción El artículo 83.4 del RGPD tipifica como infracción administrativa la vulneración de los artículos siguientes, se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 10.000.000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 2 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: "
  14. a)las obligaciones del responsable y del encargado a tenor de los artículos 8, 11, 25 a 39, 42 y 43;
  15. b)las obligaciones de los organismos de certificación a tenor de los artículos 42 y 43;
  16. c)las obligaciones de la autoridad de control a tenor del artículo 41, apartado 4." Por su parte, la LOPDGDD en su artículo 71, Infracciones, señala que: “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A los solos efectos del plazo de prescripción, el artículo 73 de la LOPDGDD establece lo siguiente: "En función de lo que establece el artículo 83.4 del Reglamento (UE) 2016/679 se consideran graves y prescribirán a los dos años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
  17. f)La falta de adopción de aquellas medidas técnicas y organizativas que resulten apropiadas para garantizar un nivel de seguridad adecuado al riesgo del tratamiento, en los términos exigidos por el artículo 32.1 del Reglamento (UE) 2016/679." VIII Declaración de infracción C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 23/25 El artículo 83 “Condiciones generales para la imposición de multas administrativas” del RGPD, en su apartado 7, establece: “Sin perjuicio de los poderes correctivos de las autoridades de control en virtud del artículo 58, apartado 2, cada Estado miembro podrá establecer normas sobre si se puede, y en qué medida, imponer multas administrativas a autoridades y organismos públicos establecidos en dicho Estado miembro.” El artículo 77 “Régimen aplicable a determinadas categorías de responsables o encargados del tratamiento” de la LOPDGDD dispone lo siguiente: “1. El régimen establecido en este artículo será de aplicación a los tratamientos de los que sean responsables o encargados:
  18. a)Los órganos constitucionales o con relevancia constitucional y las instituciones de las comunidades autónomas análogas a los mismos.
  19. b)Los órganos jurisdiccionales.
  20. c)La Administración General del Estado, las Administraciones de las comunidades autónomas y las entidades que integran la Administración Local.
  21. d)Los organismos públicos y entidades de Derecho público vinculadas o dependientes de las Administraciones Públicas.
  22. e)Las autoridades administrativas independientes.
  23. f)El Banco de España.
  24. g)Las corporaciones de Derecho público cuando las finalidades del tratamiento se relacionen con el ejercicio de potestades de derecho público.
  25. h)Las fundaciones del sector público.
  26. i)Las Universidades Públicas.
  27. j)Los consorcios.
  28. k)Los grupos parlamentarios de las Cortes Generales y las Asambleas Legislativas autonómicas, así como los grupos políticos de las Corporaciones Locales. 2. Cuando los responsables o encargados enumerados en el apartado 1 cometiesen alguna de las infracciones a las que se refieren los artículos 72 a 74 de esta ley orgánica, la autoridad de protección de datos que resulte competente dictará resolución declarando la infracción y estableciendo, en su caso, las medidas que proceda adoptar para que cese la conducta o se corrijan los efectos de la infracción que se hubiese cometido, con excepción de la prevista en el artículo 58.2.i del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016. La resolución se notificará al responsable o encargado del tratamiento, al órgano del que dependa jerárquicamente, en su caso, y a los afectados que tuvieran la condición de interesado, en su caso. 3. Sin perjuicio de lo establecido en el apartado anterior, la autoridad de protección de datos propondrá también la iniciación de actuaciones disciplinarias cuando existan indicios suficientes para ello. En este caso, el procedimiento y las sanciones a aplicar serán las establecidas en la legislación sobre régimen disciplinario o sancionador que resulte de aplicación. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 24/25 Asimismo, cuando las infracciones sean imputables a autoridades y directivos, y se acredite la existencia de informes técnicos o recomendaciones para el tratamiento que no hubieran sido debidamente atendidos, en la resolución en la que se imponga la sanción se incluirá una amonestación con denominación del cargo responsable y se ordenará la publicación en el Boletín Oficial del Estado o autonómico que corresponda. 4. Se deberán comunicar a la autoridad de protección de datos las resoluciones que recaigan en relación con las medidas y actuaciones a que se refieren los apartados anteriores. 5. Se comunicarán al Defensor del Pueblo o, en su caso, a las instituciones análogas de las comunidades autónomas las actuaciones realizadas y las resoluciones dictadas al amparo de este artículo. 6. Cuando la autoridad competente sea la Agencia Española de Protección de Datos, esta publicará en su página web con la debida separación las resoluciones referidas a las entidades del apartado 1 de este artículo, con expresa indicación de la identidad del responsable o encargado del tratamiento que hubiera cometido la infracción. Cuando la competencia corresponda a una autoridad autonómica de protección de datos se estará, en cuanto a la publicidad de estas resoluciones, a lo que disponga su normativa específica.” Este precepto establece que los procedimientos que tengan causa en infracciones en materia de protección de datos personales cometidas por las categorías de responsables o encargados del tratamiento enumerados en su apartado 1 se resolverán, en todo caso, declarando la infracción. A tenor de los hechos expuestos, se considera que corresponde imputar una sanción a la parte reclamada por: - La vulneración del artículo 5.1
  29. f)del RGPD, infracción tipificada en el artículo 83.5 del RGDP. - La vulneración del artículo 32 del RGPD, infracción tipificada en el artículo 83.4 del RGDP. En ambos casos la sanción que corresponde imponer es la declaración de infracción. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Presidencia de la Agencia Española de Protección de Datos RESUELVE: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 25/25 PRIMERO: DECLARAR que AYUNTAMIENTO DE JEREZ DE LOS CABALLEROS, con NIF P0607000G, ha infringido lo dispuesto en el artículo 5.1
  30. f)del RGPD, infracción tipificada en el Artículo 83.5 del RGPD. SEGUNDO: DECLARAR que AYUNTAMIENTO DE JEREZ DE LOS CABALLEROS, con NIF P0607000G, ha infringido lo dispuesto en el artículo 32 del RGPD, infracción tipificada en el Artículo 83.4 del RGPD. TERCERO: NOTIFICAR la presente resolución a AYUNTAMIENTO DE JEREZ DE LOS CABALLEROS. CUARTO: COMUNICAR la presente resolución al Defensor del Pueblo, de conformidad con lo establecido en el artículo 77.5 de la LOPDGDD. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública. La publicación se realizará una vez la resolución sea firme en vía administrativa. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
  31. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeaepd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-180725 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.