PS-00392-2018

1/13 824-150719 Procedimiento Nº PS/00392/2018 RESOLUCIÓN: R/00416/2019 Del procedimiento de Declaración de Infracción de Administraciones Públicas instruido por la Agencia Española de Protección de Datos a la DIPUTACIÓN DE GRANADA y en base a los siguientes: ANTECEDENTES PRIMERO: Con fecha 19 de diciembre de 2017 se dictó por la Directora de la Agencia Española de Protección de Datos la Resolución del procedimiento de Tutela de Derechos TD/01821/2017, en la que se resolvía: “ESTIMAR la reclamación formulada por D. A.A.A. contra DIPUTACIÓN DE GRANADA instando a esta entidad para que adopte las medidas necesarias para evitar la indexación de los datos personales del reclamante en sus páginas, con objeto de que en el futuro los motores de búsqueda de internet no puedan asociarlas al mismo en el enlace reclamado.” En dicha resolución se recogían los siguientes Hechos: “PRIMERO: D. A.A.A. (en lo sucesivo, el reclamante) solicitó a la DIPUTACIÓN DE GRANADA (en lo sucesivo, la Diputación) la oposición al tratamiento de sus datos personales publicados en el Boletín Oficial de la provincia en la URL ***URL.1 Es un edicto de 2005 de un Ayuntamiento en el que se publican los datos del reclamante al no haber sido posible practicar la notificación de actos de gestión recaudatoria tal como establece el artículo 59 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (en lo sucesivo, LRJPAC). Ante la falta de respuesta de la Diputación, el interesado presentó ante esta Agencia, con fecha 19 de enero de 2017, reclamación por denegación del derecho de oposición por no haber sido debidamente atendido su derecho. Por ello, se instruyó el procedimiento de Tutela de Derechos TD/00258/2017, cuya resolución estimaba la reclamación del interesado y se instaba a la Diputación a que remitiese al reclamante certificación en la que hiciese constar que había atendido el derecho o denegase fundada y motivadamente el mismo. Como cumplimentación a dicha resolución la Diputación le remitió un escrito en el que deniegan la oposición solicitada indicando que, según el artículo 6.2 de la Ley Orgánica 15/1999, no es preciso el consentimiento del interesado cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias, y de los artículos 1 y 9 de la Ley 5/2002, reguladora de los Boletines Oficiales de las Provincias. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/13 SEGUNDO: Disconforme con esa denegación el interesado presentó ante esta Agencia una nueva reclamación contra la Diputación por no haber sido debidamente atendido su derecho de oposición. TERCERO: Se dio la reclamación al responsable del fichero para que presentase las alegaciones que, a su derecho, estimase convenientes, sin que haya tenido entrada en esta Agencia respuesta alguna.” Asimismo, en el Fundamento de Derecho Octavo de dicha resolución se indicaba: “OCTAVO: En el presente supuesto, ha quedado acreditado que el reclamante solicitó la oposición al tratamiento de sus datos publicados en la notificación de un acto administrativo en un boletín de 2005 por no haber sido posible su notificación al interesado, conforme lo establecido en el artículo 59 de la derogada LRJPAC en la URL ***URL.1 Como se acaba de señalar, la Ley prevé la inserción de la publicación de los datos en el Boletín Oficial de las provincias en los términos expuestos. No obstante, para determinar la adecuación de la actuación del Boletín Oficial a la normativa de protección de datos, se requiere realizar el siguiente análisis: Los Diarios y Boletines Oficiales como el Boletín Oficial tienen el carácter de “fuentes accesibles al público” de conformidad con lo dispuesto en el artículo 3 apartado

1. j)de la LO 15/1999, de 13 de diciembre, de protección de datos. Asimismo existe normativa legal, tal como ya se ha indicado en los anteriores fundamentos de derecho, que exige la publicación en la notificación en el Diario Oficial cuando no sea posible la misma al interesado. Por otra parte, la Sentencia de la Audiencia Nacional de la Sala de lo Contencioso, Sección 1, de 20 de abril de 2009, recaída en el recurso 561/2007, manifiesta lo siguiente: “… la conducta que consiste en hacer referencia, en una página web, a diversas personas y en identificarlas por su nombre o por otros medios, como su número de teléfono o información relativa a sus condiciones de trabajo y a sus aficiones, constituye un tratamiento total o parcialmente automatizado de datos personales en el sentido del artículo 3, apartado 1, de la Directiva 95/46.” Consecuentemente, el Boletín Oficial al publicar en su página web los datos personales de ciudadanos, está realizando un tratamiento de datos total o parcialmente automatizado; y ello aunque exista una obligación legal de publicar determinados actos administrativos y de que sea considerado una fuente de acceso público. En consecuencia el Boletín Oficial, al utilizar como medio de publicación la edición electrónica, está obligado a adoptar las medidas necesarias, y adecuadas según el estado actual de la tecnología, para evitar la indexación de los datos personales del reclamante en sus páginas, con objeto de que en el futuro los motores de búsqueda de internet no puedan asociarlas al reclamante y con ello se impida la divulgación de manera indiscriminada de sus datos personales. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/13 En el presente caso, dado que la notificación en la que constan los datos del reclamante en 2005 ya ha cumplido la función para la que fue publicada, procede estimar la presente reclamación de Tutela de Derechos.” La reseñada resolución fue notificada a la DIPUTACIÓN DE GRANADA con fecha 22 de diciembre de 2017. SEGUNDO: Con fecha 24 de enero de 2018, se registra de entrada en esta Agencia escrito del reclamante poniendo de manifiesto que no había recibido ninguna respuesta de la DIPUTACIÓN DE GRANADA, (en adelante, el reclamando), y que sus datos personales seguían resultando accesibles. A la vista de lo cual, desde la Subdirección General de Inspección de Datos se requirió a dicha entidad para que, en el plazo de cinco días hábiles, atendiera el derecho de oposición solicitado por el reclamante y cumplimentase el deber de respuesta, advirtiendo que de no hacerlo podría procederse de conformidad con lo dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal. Dicho cumplimento fue requerido mediante escrito de 31 de enero de 2018, que consta como notificado al reclamado con fecha 7 del mismo mes. Transcurrido ampliamente el plazo otorgado para que se procediese a realizar las actuaciones requeridas y no teniéndose constancia en esta Agencia de que las mismas se hubieran llevado a efecto, y habiendo recibido escrito del reclamante exigiendo el cumplimiento de la Resolución de la Directora de la Agencia Española de Protección de Datos, con fecha 28 de febrero de 2019 se acordó, REQUERIR a la DIPUTACIÓN DE GRANADA para que: “1.- En el plazo de diez días hábiles contados desde el siguiente a la notificación del presente escrito, remita al reclamante certificación dando cumplimiento a la resolución arriba referenciada en los términos en ella descritos. 2.- En el plazo de quince días hábiles, notifique a esta Agencia las medidas adoptadas en cumplimiento del requerimiento efectuado en el punto anterior. “ Notificado con fecha 11 de marzo de 2019 este segundo requerimiento de cumplimiento de la resolución, no consta en esta Agencia que dicha entidad haya dado cumplimiento a lo interesado en el mismo. TERCERO: Con fecha 8 de abril de 2019 se constata que al introducir en el buscador de Google el nombre y apellidos del reclamante, en el primer lugar de la lista de resultados aparece la siguiente información: “[PDF] BOP XXX (…).qxd - Diputación de Granada ***URL.1 (…) A.A.A..” Asimismo, se comprueba que al pinchar ese resultado se accede a un anuncio del Área de Economía y Hacienda del Ayuntamiento de Granada publicado en el Boletín Oficial de la Provincia de Granada nº XXX, de fecha ***FECHA.1, a los efectos de practicar la notificación pendiente de una serie de actos de gestión recaudatoria dictados en los procedimientos seguidos por dicho Ayuntamiento contra los sujetos pasivos que se relacionan en dicho Edicto, comprobándose que en la página YY del citado Boletín figura la información correspondiente a un expediente C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/13 seguido al reclamante. En concreto aparece el nº y referencia del expediente, apellidos, nombre y NIF del reclamante, concepto/año correspondiente al acto en cuestión a notificar e importe principal de la deuda. CUARTO: Con fecha 15 de abril de 2019, la Directora de la Agencia Española de Protección de Datos acordó, iniciar procedimiento de declaración de infracción de Administraciones Públicas a la DIPUTACIÓN DE GRANADA, de conformidad con lo dispuesto en el artículo 46 la de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de los Datos de Carácter Persona, (en adelante LOPD), por la presunta infracción del artículo 37.1.
2. f)de la LOPD, tipificada como grave en el artículo 44.3.
3. i)de la citada Ley Orgánica. Dicho acuerdo fue notificado al reclamado con fecha 8 de mayo de 2019, según consta en el Certificado emitido por la Sociedad Estatal Correos y Telégrafos, S.A. QUINTO: Transcurrido el plazo de diez días hábiles concedido para formular alegaciones, con fecha 22 de julio de 2019 se registró de entrada en esta Agencia escrito de alegaciones del reclamado de fecha 15 de julio de 2019 al citado acuerdo, en el que se señalaba: “-Que con anterioridad al primer requerimiento de la AEPD, de fecha 19 de diciembre de 2017, para que se evitara que los motores de Internet indexaran el contenido del Boletín Oficial de la Provincia, esta Administración Pública ya había adoptado dichas medidas , tal como se hace constar en informe del Responsable de la Seguridad de la Diputación de Granada de 29 de junio de 2017 por la que se denegaba a A.A.A. la pretensión de que sus datos personales aparecieran publicados en el BOP. Dicho informe hacía constar expresamente que:” (…) en el Boletín Oficial de la Provincia de Granada actualmente se ha incorporado un código de limitación de indexación de datos para evitar que los motores de búsqueda a través de Internet asocien dichos datos, por lo que la información contenida en este Boletín Oficial únicamente debe estar disponible si la búsqueda se realiza en la página web del BOP. - Que con fecha 11 de julio de 2019 el funcionario Responsable de Seguridad de Protección de Datos ha evacuado informe por el que se ratifica en el ya citado en el párrafo anterior, y se indica que se siguieron punto por punto todas las recomendaciones que la AEPD realiza al respecto de la limitación de la indexación del contenido de los BOP, y en concreto:
4. a)Introducción en el código fuente de la página desde donde se tiene acceso a los BOPx de Granada: ***URL.2, la siguiente metaetiqueta:”<meta name=”robots” content=”noindex,nofollow”/>”
5. b)Creación del fichero “robots.txt” cuando nos llegó la primera reclamación de este tipo.
6. c)Introducción de la URL problema en “robots.txt”: ***URL.1. Que queda fuera del alcance de esta Diputación controlar que los otores de búsqueda de internet puedan seguir rastreando el contenido de los boletines Oficiales en determinados casos como, por ejemplo, que existan vínculos de terceras páginas webs hacia los mismos. En estos casos lo que procede es que el interesado solicite a los diversos buscadores, en el ejercicio de su “derecho al olvido”, que su nombre deje de aparecer en el listado de resultados, mediante la cumplimentación de los formularios que tienen habilitado para ello, solicitud a la que probablemente deba anexar copia digital de una identificación oficial, como pudiera ser el DNI.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/13 SEXTO: Con fecha 23 de julio de 2019 se constata que al introducir en el buscador de Google Chrome el nombre y apellidos del reclamante como parámetro de búsqueda el primer resultado que aparece es el siguiente: “[PDF] BOP XXX …..qxd - Diputación de Granada ***URL.1 - C.C.C. ….. 39 RRR/2005 ***FECHA.2 (…) PASEO…… A.A.A..” Al clicar dicho resultado se accede al Boletín Oficial de la Provincia de Granada nº XXX, de fecha ***FECHA.1, en el que figura publicado un anuncio del Área de Economía y Hacienda del Ayuntamiento de Granada a los efectos de practicar la notificación pendiente de una serie de actos de gestión recaudatoria dictados en los procedimientos seguidos por dicho Ayuntamiento contra los sujetos pasivos que se relacionan en dicho Edicto, comprobándose que en la página YY del citado Boletín figura la información correspondiente a un expediente seguido al reclamante. Posteriormente, con fecha 29 de julio de 2019 se introduce en el buscador Google Chrome el nombre y apellidos de otra persona que aparecía relacionada en la misma página del BOP de Granada nº XXX del año 2005 en la que figuraban los datos del reclamante, comprobándose que al introducir los datos correspondientes a B.B.B., (en adelante, B.B.B.), el segundo resultado obtenido muestra la siguiente información: “[PDF] BOP XXX (…).qxd - Diputación de Granada ***URL.1 (…)…... FLQ. C/….. (…) …… INFRACCION….. B.B.B.. 34…..” Al clicar dicho resultado se accede al reseñado Boletín Oficial de la Provincia de Granada nº XXX, de fecha ***FECHA.1, en cuya página YY figura la información correspondiente a los expedientes seguidos a Dña. B.B.B.. SÉPTIMO: Con fecha 30 de julio de 2019 se formuló la siguiente propuesta de resolución: “PRIMERO: Que por la Directora de la Agencia Española de Protección de Datos se declare que la DIPUTACIÓN DE GRANADA, ha infringido lo dispuesto en el artículo 37.1.
7. f)de la LOPD, tipificada como infracción grave en el artículo 44.3.
8. i)de dicha norma SEGUNDO: Que por la Directora de la Agencia Española de Protección de Datos se requiera a la DIPUTACIÓN DE GRANADA, de acuerdo con lo establecido en el apartado 3 del artículo 46 de la Ley 15/1999, para que en el plazo de un mes desde la notificación de ese acto, adopte las medidas necesarias para atender en forma efectiva lo instado en la resolución de la TD/01821/2017. TERCERO: Que se notifique la Resolución que se adopte a la DIPUTACIÓN DE GRANADA, con NIF (…) CUARTO: Que se comunique la Resolución que se adopte al Defensor del Pueblo.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/13 OCTAVO: Notificada la propuesta de resolución, con fecha 14 de agosto de 2019 se registró de entrada en esta Agencia escrito de alegaciones del reclamado a la citada propuesta de resolución, en el que además de reiterar lo expresado en sus anteriores alegaciones aduce, en síntesis, los siguientes argumentos: - Cuestiona que la falta de presentación de los informes de fechas 29 de junio de 2017 y 11 de julio de 2019 conlleve la falta de acreditación de que el reclamado haya adoptado las medidas necesarias para impedir en forma efectiva que los motores de búsqueda de Internet puedan seguir rastreando el contenido de los Boletines Oficiales para impedir la indexación de los datos personales del reclamante. Según el reclamado dicho razonamiento “implica por un lado asumir que existe una sola causa para un resultado, cuando en realidad puede haber un conjunto distinto de causas que pueden provocarlos (relación espuria). En realidad, el hecho de que siga apareciendo en el buscador de Google el nombre del reclamante en el Boletín Oficial de la Provincia de referencia no acredita que por esta Administración no se hayan tomado las medidas disponibles para evitar la desindexación del citado Boletín. Lo único que indica es que Google ha rastreado e indexado el mismo, con independencia y a pesar de que por parte de nuestros informáticos se tomaran las medidas disponibles para evitarlo. Como ya se dijo en el primer escrito de alegaciones, queda fuera del alcance de esta Diputación controlar situaciones tales como que terceras páginas contengan vínculos a concretos Boletines Oficiales, lo cual constituye una puerta de entrada a su indexación por parte de Google y similares.” - Determinar como probado que se ha cometido la infracción imputada en base a una pretendida falta de acreditación de que no se ha cometido la misma atetaría contra el principio de presunción de inocencia y de las reglas de la carga de la prueba, por lo que la resolución propuesta incurriría en nulidad de pleno derecho, conforme al artículo 47.1 de la Ley 39/2015, de 1 de octubre. - La Instructora no ha comprobado la existencia de la metaetiqueta “<meta name=”robots” cntent=”noindex,nofollow”/> a la que hace referencia el Responsable de Seguridad de Protección de Datos del reclamado en sus informes de fechas 29 de junio de 2017 y 11 de julio de 2019. La puesta en duda de la existencia los mismos contraviene el principio de buena fe, confianza legítima y lealtad institucional recogido en el artículo 3.1 de la Ley 40/2015, de 1 de octubre. - El reclamado adjunta copia digitalizada de dichos informes en orden a acreditar su existencia y veracidad. HECHOS PROBADOS 1) Con fecha 19 de diciembre de 2017 se dictó por la Directora de la Agencia Española de Protección de Datos la Resolución del procedimiento de Tutela de Derechos TD/01821/2017, en la que se resolvía: “ESTIMAR la reclamación formulada por D. A.A.A. contra DIPUTACIÓN DE GRANADA instando a esta entidad para que adopte las medidas necesarias para evitar la indexación de los datos personales del reclamante en sus páginas, con objeto de que en el futuro los motores de búsqueda de internet no puedan asociarlas al mismo en el enlace reclamado.” 2) Con fecha 24 de enero de 2018, se registra de entrada en esta Agencia escrito de Don A.A.A. (el reclamante) poniendo de manifiesto que no había recibido ninguna C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/13 respuesta de la DIPUTACIÓN DE GRANADA (el reclamado) y que sus datos personales no se habían desindexado en el Boletín Oficial de la provincia de Granada en la URL ***URL.1, por lo que seguían resultando accesibles . 3) Con fecha 7 de febrero de 2018 se notificó al reclamado el requerimiento de fecha 31 de enero de 2018 para que, en el plazo de cinco días hábiles, atendiera el derecho de oposición solicitado por el reclamante y cumplimentase su deber de respuesta. 4) Con fecha 11 de marzo de 2019 se notificó al reclamado el requerimiento de fecha 28 de febrero de 2019 requiriéndole el cumplimiento de la resolución de la TD/01821/2017 en los siguientes términos: “Dado que ha transcurrido ampliamente el plazo otorgado para que se procediese a realizar las actuaciones requeridas en dicha resolución sin que esta Agencia haya tenido constancia de que las mismas se hayan llevado a efecto, y habiendo recibido escrito del reclamante exigiendo el cumplimiento de la Resolución de la Directora de la Agencia Española de Protección de Datos, se acuerda, REQUERIR a la entidad DIPUTACIÓN DE GRANADA para que: 1.- En el plazo de diez días hábiles contados desde el siguiente a la notificación del presente escrito, remita al reclamante certificación dando cumplimiento a la resolución arriba referenciada en los términos en ella descritos. 2.- En el plazo de quince días hábiles, notifique a esta Agencia las medidas adoptadas en cumplimiento del requerimiento efectuado en el punto anterior.” 5) Con fechas 8 de abril y 23 de julio de 2019 se constata que al introducir en el buscador de Google Chrome el nombre y apellidos del reclamante como parámetro de búsqueda el primer resultado que aparece es el siguiente: “[PDF] BOP XXX (…).qxd - Diputación de Granada ***URL.1 C.C.C. ….. 39 RRR/2005 ***FECHA.2 (…) PASEO…… A.A.A..” Al clicar dicho resultado se accede al Boletín Oficial de la Provincia de Granada nº XXX, de fecha ***FECHA.1, en el que figura publicado un anuncio del Área de Economía y Hacienda del Ayuntamiento de Granada a los efectos de practicar la notificación pendiente de una serie de actos de gestión recaudatoria dictados en los procedimientos seguidos por dicho Ayuntamiento contra los sujetos pasivos que se relacionan en dicho Edicto, comprobándose que en la página YY del citado Boletín figura la información correspondiente a un expediente seguido al reclamante. FUNDAMENTOS DE DERECHO I En virtud lo establecido en los artículos 47 y 48 de la Ley Orgánica 3/2018, de Protección de Datos y Garantías de los Derechos Digitales (LOPDGDD), la Directora de la Agencia Española de Protección de Datos es competente para resolver este procedimiento. II C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/13 El Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (Reglamento General de Protección de Datos, en adelante RGPD) establece en su artículo 99 bajo la rúbrica “Entrada en vigor y aplicación “lo siguiente: 1. El presente Reglamento entrará en vigor a los veinte días de su publicación en el Diario Oficial de la Unión Europea. 2. Será aplicable a partir del 25 de mayo de 2018. En el presente caso la conducta infractora objeto de la reclamación queda sometida a las disposiciones de la Ley Orgánica 15/1999, de Protección de Datos de Carácter Personal (en adelante, LOPD), y a su Reglamento de desarrollo aprobado por el Real Decreto 1720/2007 (en lo sucesivo, RLOPD). Se toma en consideración para ello, por una parte, que el Reglamento (UE) 2016/679, General de Protección de Datos (RGPD) es de aplicación efectiva desde el 25/05/2018 y, por otra, que el incumplimiento de lo instado al reclamado en la resolución de la TD/01821/2017 (en adelante, la Tutela), de fecha 19 de diciembre de 2017 se produce con anterioridad a la aplicación del citado RGPD. Así se desprende del escrito registrado de entrada en esta Agencia con fecha 24 de enero de 2018 en el que el reclamante daba cuenta de que los datos personales del mismo publicados en un BOP de Granada del año 2005 continuaban sin desindexar por parte del reclamado. Amén de que a raíz del citado escrito del reclamante, con fecha 31 de enero de 2018 desde esta Agencia se requirió al reclamado para que diera cumplimiento al derecho de oposición conforme a lo instado en la resolución del procedimiento de TD/01821/2017. III En el presente supuesto, consta que con fecha 24 de enero de 2018, el reclamante presentó ante esta Agencia escrito en el que comunicaba el incumplimiento de la resolución del procedimiento TD/01821/2017 por parte del reclamado, ya que los datos personales del reclamante que aparecían en el enlace ***URL.1 continuaban sin desindexar a fin de evitar que los motores de búsqueda de internet pudieran asociarlos a los datos identificativos del reclamante. Esta situación irregular se ha producido después de que la mencionada resolución de TD/01821/2017 fuera notificada al reclamado con fecha 22 de diciembre de 2017, continuando después de que dicha entidad recibiera el requerimiento efectuado por la AEPD el 31 de enero de 2018 instándole a dar cumplimiento a lo requerido en la resolución de la citada Tutela de Derecho, y que fue enviado al reclamado mediante escrito de fecha 1 de febrero de 2018. Incluso ha persistido después de que el reclamado recibiera un segundo requerimiento efectuado con fecha 28 de febrero de 2019 en el que se le instaba, a través de escrito dirigido al mismo con fecha 5 de marzo de 2019, para que remitiera al reclamante certificación dando cumplimiento a la resolución de la citada Tutela de Derecho en los términos descritos en la misma y, a su vez, notificase a esta Agencia las medidas adoptadas en cumplimiento de tal requerimiento. De hecho, no consta en el procedimiento que el reclamado diera cumplimiento a lo instado en la mencionada resolución tras su notificación, como C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/13 tampoco consta que realizase actuación alguna tendente a atender los dos requerimientos anteriormente citados que le fueron remitidos a fin de hacer efectivo el derecho de oposición ejercitado por el reclamante en la forma señalada en la resolución del procedimiento de TD/01821/2017, y que le fueron notificados con fechas 7 de febrero de 2018 y 11 de marzo de 2019. En las alegaciones al acuerdo de inicio del presente procedimiento el reclamado niega la existencia de la infracción imputada aduciendo que con anterioridad a la resolución de la Tutela ya se había incorporado en el Boletín Oficial de la Provincia de Granada un código de limitación de indexación de datos para evitar que los motores de búsqueda a través de Internet asociasen dichos datos, por lo que la información contenida en ese Boletín Oficial únicamente debía estar disponible si la búsqueda se realizaba en la página web del BOP, añadiendo que dicha circunstancia figuraba reseñada en el informe evacuado con fecha 29 de junio de 2017 por el responsable de la seguridad de la Diputación de Granada denegado al reclamante la pretensión de que sus datos personales no aparecieran publicados en el BOP Granada en cuestión que fue aportado. En relación con dicha afirmación ha podido constatarse por esta Agencia lo siguiente:
9. a)Que el informe de fecha 29 de junio de 2017 figuraba mencionado en la copia de la certificación de la resolución dictada el 30 de junio de 2017 por la Diputada de Deportes y Administración Electrónica de la Diputación Provincial de Granada, en virtud de la cual se denegaba al reclamante el derecho de oposición y cancelación a que sus datos personales aparecieran publicados en Internet en el BOP, nº XXX, de ***FECHA.1. La copia de la certificación citada acompañaba al escrito del reclamado registrado de entrada en esta Agencia con fecha 7 de julio de 2017 en contestación al requerimiento que le había sido efectuado en una resolución anterior a la que ahora nos ocupa, en concreto la resolución acordada el 14 de junio de 2017 en el procedimiento de TD/00258/2017, y en la que la Directora de la Agencia Española de Protección de Datos acordaba estimar una reclamación anterior del reclamante instando al reclamado para que, en el plazo de los diez días hábiles siguientes a la notificación de la misma remitiera al reclamante “certificación en la que se haga constar que ha atendido el derecho de cancelación ejercido” o denegase “ fundada y motivadamente el mismo, pudiendo incurrir en su defecto en una de las infracciones previstas en el artículo 44 de la LOPD.” A su vez, se acordaba que “Las actuaciones realizadas como consecuencia de la presente Resolución deberán ser comunicadas a esta Agencia en idéntico plazo
10. b)La copia de la certificación de la resolución dictada el 30 de junio de 2017 se limitaba a citar el reseñado informe en los siguientes términos: “Visto el informe del Responsable de Seguridad de la Diputación de Granada de 29 de junio de 2017”, no incluyéndose mención alguna relativa al asunto o contenido del informe en cuestión en la copia de la certificación aportada o en el escrito de remisión de dicho documento, registrado de entrada en esta Agencia el 7 de julio de 2017, al igual que tampoco se acompañaba copia alguna del informe invocado junto con dicho oficio de remisión. La falta de aportación en el reseñado escrito de alegaciones de copia del citado informe de fecha 29 de junio de 2017 impedía acreditar, en forma fehaciente, las manifestaciones vertidas en dicho escrito por el reclamado en el sentido de que en C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/13 el mismo figurase que :” (…) en el Boletín Oficial de la Provincia de Granada actualmente se ha incorporado un código de limitación de indexación de datos para evitar que los motores de búsqueda a través de Internet asocien dichos datos, por lo que la información contenida en este Boletín Oficial únicamente debe estar disponible si la búsqueda se realiza en la página web del BOP.” De igual forma, el reseñado escrito de alegaciones no incluía copia del informe de fecha 11 de julio de 2019 que también se invocaba en las mismas como emitido por el funcionario Responsable de Seguridad de Protección de Datos. En relación con la carga de la prueba referida a la comisión por parte del reclamado de la infracción objeto de imputación, consta acreditado en el procedimiento que al introducir con fechas 8 de abril y 23 de julio de 2019 el nombre y apellidos del reclamante en el buscador de Google Chrome aparecía en el primer resultado un enlace a la URL ***URL.1/, que al ser pulsado permitía acceder al contenido íntegro del BOP de Granada nº XXX de fecha ***FECHA.1, en cuya página YY figuraban los datos publicados del reclamante. Precisamente, la obtención de estos resultados con origen en la página web del Boletín Oficial de la Provincia de Granada evidencia que el reclamado no había atendido el requerimiento efectuado en la resolución del procedimiento de la TD/01821/2018. A mayor abundamiento, al introducir con fecha 29 de julio de 2019 en el citado buscador el nombre y apellidos de otra persona física cuyos datos también aparecían publicados en esa misma página del citado BOP, se constató que en el segundo resultado obtenido aparecía un enlace a la URL antes citada, que al ser pulsado permitía acceder contenido íntegro del reseñado boletín y, consecuentemente, a la información publicada en la página YY del mismo con los datos de esa tercera persona (Dña B.B.B.). A la vista de lo cual, en la propuesta de resolución del presente procedimiento, formulada con fecha 30 de julio de 2019, se estimó que el reclamado no había acreditado mediante ningún medio de prueba válido en derecho sus manifestaciones relativas al contenido de los informes a los que se refería en sus alegaciones al acuerdo de inicio ni su relación directa con el caso estudiado, al igual que no había probado que se hubiera hecho efectiva la limitación de la indexación del contenido de los BOP en la forma que se indicaba en el escrito de alegaciones, como tampoco había justificado la fecha concreta en que se implementó la limitación de la indexación del contenido de los BOP alegada o su correcto funcionamiento, circunstancias todas ellas en las que la carga de la prueba recaía sobre el reclamado en tanto que se trataba de sus propias manifestaciones. Será al formular alegaciones a la propuesta de resolución que el reclamado aportó copia de los informes técnicos emitidos con fechas 29 de junio de 2017 y 11 de julio de 2019 por el funcionario Responsable de Seguridad de Protección de Datos de ese organismo, ninguno de los cuales había sido presentado ante esta Agencia en el marco de los procedimientos de Tutela de Derechos instruidos al mismo o como respuesta a los dos requerimientos que se le dirigieron ni en fases anteriores del presente procedimiento. Por otra parte, con fecha 28 de agosto de 2019 se realizó una nueva búsqueda a raíz de la cual pudo constatarse que al introducir en el buscador de Google Chrome el nombre y apellidos del reclamante ya no se mostraba en la primera página de resultados obtenida el enlace a la URL ***URL.1. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/13 Respecto de las medidas que el reclamado alega haber tomado para evitar la dexindesación del citado Boletín se observa que, en cualquier caso, no han funcionado correctamente desde en el periodo comprendido entre junio de 2017,fecha en la que se habrían adoptado conforme se desprende del informe de fecha 29 de junio de 2017 emitido por el responsable de seguridad de protección de datos de la Diputación de Granada-, y el 23 de julio de 2019, -fecha en la que se levantó Diligencia relativa al resultado de la búsqueda efectuada por esta Agencia con esa misma fecha-, circunstancia que, como mínimo, pone de manifiesto la falta de diligencia mostrada por el reclamado a los efectos de constatar la efectividad de las medidas que señala haber adoptado. Por otra parte, se pone de manifiesto que los resultados de esas búsquedas no enlazan con terceras páginas con vínculos al archivo “pdf” que contiene ese concreto BOP, sino con la página web desde la que se accede a los boletines oficiales de la provincia de Granada. A la vista de todo lo expresado, se considera que no consta acreditado que el reclamado haya adoptado, conforme se le requirió en la resolución de la TD/01821/2017 y posteriores requerimientos de fechas 31 de enero de 2018 y 28 de febrero de 2019, las medidas necesarias para impedir, en forma efectiva y fehaciente, que los motores de búsqueda de Internet pudieran seguir rastreando el contenido de los Boletines Oficiales de la Provincia de Granada, y en particular, evitar la indexación de los datos personales del reclamante en la URL ***URL.1/, situación que no ha sido subsanada hasta la actualidad. Así, hasta el 23 de julio de 2019 al introducir el nombre y apellidos del reclamante en el buscador de Google Chrome aparecía el BOP de Granada señalado que contenía publicados en su página YY los datos del reclamante, no siendo hasta el 28 de agosto de 2019 que ha podido constatarse que ya no se producía dicha indexación de los datos personales del reclamante por el motor de búsqueda de Google Chrome. IV Los hechos expuestos constituyen infracción del artículo 37.1.f de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de los Datos de Carácter Persona, que establece, entre las funciones de la Agencia de Protección de Datos: “
11. f)Requerir a los responsables y los encargados de los tratamientos, previa audiencia de estos, la adopción de las medidas necesarias para la adecuación del tratamiento de datos a las disposiciones de esta ley y, en su caso, ordenar la cesación de los tratamientos y la cancelación de los ficheros, cuando no se ajuste a sus disposiciones” El artículo 44.3.
12. i)de la LOPD considera que es infracción grave “no atender los requerimientos o apercibimientos de la Agencia Española de Protección de Datos o no proporcionar a aquélla cuantos documentos e informaciones sean solicitados por la misma.” En el presente caso ha quedado acreditado que el reclamado no atendió en forma efectiva lo interesado por la Directora de la AEPD en la resolución del procedimiento de TD/01821/2017, ya que se ha comprobado que al introducir el nombre y apellidos del reclamante en el buscador de Google Chrome el primer resultado obtenido mostraba un enlace que dirigía al ejemplar del BOP de Granada del año 2005 que contenía en una sus páginas los datos personales del reclamante sin dexindexar, situación que se ha mantenido, al menos, hasta el 23 de julio de 2019. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/13 V El artículo 46 de la LOPD, “Infracciones de las Administraciones Públicas”, dispone que: «1. Cuando las infracciones a que se refiere el artículo 44 fuesen cometidas en ficheros de titularidad pública o en relación con tratamientos cuyos responsables lo serían de ficheros de dicha naturaleza, el órgano sancionador dictará una resolución estableciendo las medidas que procede adoptar para que cesen o se corrijan los efectos de la infracción. Esta resolución se notificará al responsable del fichero, al órgano del que dependa jerárquicamente y a los afectados si los hubiera. 2. El órgano sancionador podrá proponer también la iniciación de actuaciones disciplinarias, si procedieran. El procedimiento y las sanciones a aplicar serán las establecidas en la legislación sobre régimen disciplinario de las Administraciones Públicas. 3. Se deberán comunicar al órgano sancionador las resoluciones que recaigan en relación con las medidas y actuaciones a que se refieren los apartados anteriores.» 4. El Director de la Agencia comunicará al Defensor del Pueblo las actuaciones que efectúe y las resoluciones que dicte al amparo de los apartados anteriores”. En el presente caso, no se considera necesario requerir al reclamado la adopción de las medidas técnicas necesarias para dar cumplimiento efectivo a lo instado en la resolución de la Tutela de Derechos TD/01821/2017, toda vez que en la actualidad los datos personales del reclamante no aparecen indexados en los resultados del buscador Google Chrome al BOP de Granada anteriormente reseñado ni a la página del mismo en la que se incluyen. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR que la DIPUTACIÓN DE GRANADA ha infringido lo dispuesto en el artículo 37.1.
13. f)de la LOPD, tipificada como infracción grave en el artículo 44.3.
14. i)de dicha norma SEGUNDO: NOTIFICAR la presente Resolución a la DIPUTACIÓN DE GRANADA, con NIF P1800000J TERCERO: COMUNICAR la presente Resolución al Defensor del Pueblo. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDPGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/13 día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
15. a)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es