← España

PS-00396-2021

1/12  Expediente Nº: PS/00396/2021 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: A.A.A. (en adelante, la parte reclamante) con fecha 20 de noviembre de 2020, interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra el AYUNTAMIENTO DE SAN JAVIER con NIF P3003500J (en adelante, el AYUNTAMIENTO). Los motivos en que basa la reclamación son los siguientes: El Ayuntamiento de San Javier ha publicado en su página web el Acta de la Junta de Gobierno celebrada el 21/10/20, y en ella se publican los datos relativos al complemento de productividad de los trabajadores identificados mediante su nombre y sus apellidos. Junto a la reclamación se aporta impresión de pantalla de la página web del AYUNTAMIENTO y el acta controvertida. Se expone también que ya se declaró infracción del Ayuntamiento de San Javier por el mismo motivo: publicación de datos personales en las actas de las Juntas de Gobierno Local. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación al AYUNTAMIENTO, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. No consta que el reclamado haya dado respuesta al traslado efectuado por la Agencia Española de Protección de Datos. TERCERO: De conformidad con el artículo 65 de la LOPDGDD, con fecha 15/02/2021, la Directora de la Agencia Española de Protección de Datos acordó admitir a trámite la reclamación presentada por la parte reclamante. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de los poderes de investigación otorgados a las autoridades de control en el artículo 57.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: Con fecha 20 de noviembre de 2020, la parte reclamante presentó una reclamación sobre los hechos descritos (presunta vulneración del Artículo 5 del RGPD). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/12 Con fecha 12/02/2021 se recibe en la AEPD escrito de comunicación de brecha de seguridad con número O00007128e2100005749 remitida por el Ayuntamiento de San Javier en relación con la publicación en la web del Acta de la Junta de Gobierno de 27 de octubre de 2020. RESULTADO DE LAS ACTUACIONES DE INVESTIGACIÓN 1.- Con fecha 11 de marzo de 2021 se recibió respuesta del AYUNTAMIENTO y de la misma se desprende lo siguiente: Respecto de la parte reclamada  El Ayuntamiento de San Javier tiene suscrito un contrato para la realización de las funciones de DPD con una tercera entidad. Respecto de la cronología de los hechos. Acciones tomadas con objeto de minimizar los efectos adversos y medidas adoptadas para su resolución final  El 21 de octubre de 2020, tiene lugar la Junta de Gobierno Local. Tanto el Acta como el Extracto de la misma son expuestas al público entre los días 2 al 16 de noviembre de 2020. A este respecto han aportado Acta de la Junta de Gobierno que contiene una relación de empleados con datos personales y Extracto en la que no figuran datos personales de empleados.  El 2 de febrero de 2021 el AYUNTAMIENTO tiene constancia del traslado de la reclamación interpuesta ante la AEPD sobre la publicación del Acta, y el 9 de febrero se comprueba que se produjo el error de enviar a exposición pública tanto el acta como su extracto, cuando lo habitual y reiterado es sólo exponer el extracto.  El día 12 de febrero de 2021 se procedió a la notificación de brecha de seguridad a la AEPD.  Entre el 12 de febrero y el 19 de febrero se determinaron los afectados, (…).  El día 22 de febrero (…).  El día 11 de marzo de 2021 el DPD recibió un requerimiento de la AEPD solicitándole información y el día 12 de marzo se recibió en el registro del Ayuntamiento la misma solicitud. Respecto de los datos afectados  Se han visto afectados por la publicación los datos de: (…).  El AYUNTAMIENTO ha aportado escrito dirigido a los afectados comunicando la brecha.  El AYUNTAMIENTO manifiesta que de la reclamación interpuesta por dos empleados que se vieron afectados por la brecha, no se desprende que hayan sufrido perjuicio derivado de dicha publicación, ni tampoco alegaron posibles consecuencias negativas debido a la publicación de tales datos, más allá de la propia infracción de la normativa por revelar más información de la debida en los términos de la presente brecha.  El AYUNTAMIENTO manifiesta que no se tiene constancia de la utilización por terceros de los datos personales obtenidos a través de la brecha. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/12 El acta publicada (…). Respecto de las medidas de seguridad implantadas  El AYUNTAMIENTO manifiesta que no ha fallado ninguna medida de seguridad y han operado correctamente los mecanismos de control de accesos y autenticación. (…).  El AYUNTAMIENTO manifiesta que se están preparando materiales audiovisuales formativos (píldoras informativas) de concienciación en materia de protección de datos para el personal, en donde se concreten buenas prácticas y pautas concretas y concisas. (…). Respecto de la notificación con posterioridad a las 72 horas (…) Información sobre la recurrencia de estos hechos y número de eventos análogos acontecidos en el tiempo  El Ayuntamiento de San Javier fue apercibido en un procedimiento sancionador tramitado por la AEPD (AP/00007/2013), por unos hechos acaecidos el pasado 11 de mayo de 2012, (…). QUINTO: Con fecha 1 de septiembre de 2021, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador al AYUNTAMIENTO, por la presunta infracción del Artículo 5.1.

  1. f)del RGPD, tipificada en el Artículo 83.5 del RGPD, Artículo 32 del RGPD, tipificada en el Artículo 83.4 del RGPD y Artículo 33 del RGPD, tipificada en el Artículo 83.4 del RGPD. SEXTO: Con fecha 4 de octubre de 2021 se formuló propuesta de resolución, proponiendo que, por la infracción de los artículos 5.1.f), 32 y 33 del RGPD, tipificadas respectivamente en los artículos 83.5 y 83.4 del RGPD, la Directora de la Agencia Española de Protección de Datos dirija un APERCIBIMIENTO al AYUNTAMIENTO DE SAN JAVIER, con NIF P3003500J. SEPTIMO: Con fecha 22 de octubre de 2021 el AYUNTAMIENTO presenta un nuevo escrito de alegaciones. HECHOS PROBADOS PRIMERO: Consta acreditado que el Ayuntamiento de San Javier ha publicado en su página web el Acta de la Junta de Gobierno celebrada el 21/10/20, y en ella se publican los datos relativos al complemento de productividad de los trabajadores identificados mediante su nombre y sus apellidos. Junto a la reclamación se aporta impresión de pantalla de la página web del AYUNTAMIENTO y el acta controvertida. SEGUNDO: Consta acreditado que se han visto afectados por la publicación los datos de: nombre y apellidos, cargo, complementos de productividad y horas extras de 126 empleados. TERCERO: No se tiene constancia de la utilización por parte terceros de los datos personales obtenidos a través de la brecha. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/12 CUARTO: El acta publicada no estuvo indexada en la web, de forma que solo se podía acceder a la misma si se conocía la ruta o URL. Por ello, no se pudo acceder a la misma introduciendo en el navegador o indexador datos identificativos de los interesados afectados. QUINTO: Consta acreditado que, según manifiesta el AYUNTAMIENTO, la publicidad de los datos se debió a un error humano de carácter aislado. FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de control, y según lo establecido en los arts. 47 y 48.1 de la LOPDGDD, la Directora de la Agencia Española de Protección de Datos es competente para resolver este procedimiento. II En relación con las alegaciones presentadas a la propuesta de resolución, el AYUNTAMIENTO insiste nuevamente en el hecho de que no hubo falta de diligencia por su parte en la resolución de la brecha de seguridad, sino que esta fue debida al albur de que los empleados públicos formularon reclamación ante la AEPD en vez de informar, como indica que era su deber, al responsable del tratamiento de la brecha de seguridad acontecida. Así, considera que esta actuación negligente de los empleados públicos lo que provocó una actuación tardía por el Ayuntamiento. Sin embargo, el reclamante no actuó en su condición de empleado público vinculado por una relación estatutaria al Ayuntamiento y, por ende, obligado a comunicarle la incidencia en el marco de sus deberes estatutarios, sino que actuó como interesado, como afectado por la brecha de seguridad, contando con toda la legitimidad para reclamar a la AEPD directamente, tal y como le permite el ordenamiento jurídico. III Se imputa al AYUNTAMIENTO la comisión de una infracción por vulneración del Artículo 5.1.
  2. f)del RGPD, articulo 32 RGP y articulo 33 RGPD. El artículo 5.1.
  3. f)RGPD señala que: “1. Los datos personales serán: (…)
  4. f)tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»).” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/12 La citada infracción del artículo 5.1.
  5. f)del RGPD podría suponer la comisión de las infracciones tipificadas en el artículo 83.5 del RGPD que bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
  6. a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9; (…)” A este respecto, la LOPDGDD, en su artículo 71 “Infracciones” establece que: “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A efectos del plazo de prescripción, el artículo 72 “Infracciones consideradas muy graves” de la LOPDGDD indica: “1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
  7. a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679. (…)” Dado que se ha demostrado a lo largo de la instrucción del procedimiento, que los datos de 126 empleados públicos han quedado indebidamente expuestos, debido a la publicación del Acta de la Junta de Gobierno de fecha 21/10/2020 en el BOP, datos que no deberían ser accesibles a terceros en virtud de lo establecido en el artículo 70 de la Ley 7/1995 de 2 de abril, reguladora de las Bases de Régimen Local, en relación con el artículo 18 de la Ley 40/2015 de 1 de octubre, de Régimen Jurídico del Sector Público, queda acreditada la infracción al citado artículo 5.1.
  8. f)del RGPD. IV El artículo 83 apartado 7 del RGPD, dispone lo siguiente: “Sin perjuicio de los poderes correctivos de las autoridades de control en virtud del artículo 58 apartado 2, cada Estado miembro podrá establecer normas sobre si se puede, y en qué medida, imponer multas administrativas a autoridades y organismos públicos establecidos en dicho Estado miembro.” Asimismo, el artículo 77 “Régimen aplicable a determinadas categorías de responsables o encargados del tratamiento” de la LOPDGDD dispone lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/12 “1. El régimen establecido en este artículo será de aplicación a los tratamientos de los que sean responsables o encargados: (…)
  9. c)La Administración General del Estado, las Administraciones de las comunidades autónomas y las entidades que integran la Administración Local. (…) 2. Cuando los responsables o encargados enumerados en el apartado 1 cometiesen alguna de las infracciones a las que se refieren los artículos 72 a 74 de esta ley orgánica, la autoridad de protección de datos que resulte competente dictará resolución sancionando a las mismas con apercibimiento. La resolución establecerá asimismo las medidas que proceda adoptar para que cese la conducta o se corrijan los efectos de la infracción que se hubiese cometido. (…) 5. Se comunicarán al Defensor del Pueblo o, en su caso, a las instituciones análogas de las comunidades autónomas las actuaciones realizadas y las resoluciones dictadas al amparo de este artículo. (…)” V El Artículo 32 “Seguridad del tratamiento” del RGPD establece: “1. Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, que en su caso incluya, entre otros:
  10. a)la seudonimización y el cifrado de datos personales;
  11. b)la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento;
  12. c)la capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente físico o técnico;
  13. d)un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento. 2. Al evaluar la adecuación del nivel de seguridad se tendrán particularmente en cuenta los riesgos que presente el tratamiento de datos, en particular como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos. 3. La adhesión a un código de conducta aprobado a tenor del artículo 40 o a un mecanismo de certificación aprobado a tenor del artículo 42 podrá servir de elemento para demostrar el cumplimiento de los requisitos establecidos en el apartado 1 del presente artículo. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/12 4. El responsable y el encargado del tratamiento tomarán medidas para garantizar que cualquier persona que actúe bajo la autoridad del responsable o del encargado y tenga acceso a datos personales solo pueda tratar dichos datos siguiendo instrucciones del responsable, salvo que esté obligada a ello en virtud del Derecho de la Unión o de los Estados miembros”. La infracción del artículo 32 del RGPD podría suponer la comisión de las infracciones tipificadas en el artículo 83.4 del RGPD que bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 10 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 2 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
  14. a)las obligaciones del responsable y del encargado a tenor de los artículos 8, 11, 25 a 39, 42 y 43; (…)” A este respecto, la LOPDGDD, en su artículo 71 “Infracciones” establece que “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A efectos del plazo de prescripción, el artículo 73 “Infracciones consideradas graves” de la LOPDGDD indica: “En función de lo que establece el artículo 83.4 del Reglamento (UE) 2016/679 se consideran graves y prescribirán a los dos años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes: (…)
  15. f)La falta de adopción de aquellas medidas técnicas y organizativas que resulten apropiadas para garantizar un nivel de seguridad adecuado al riesgo del tratamiento, en los términos exigidos por el artículo 32.1 del Reglamento (UE) 2016/679. (…) El hecho de que los datos personales de los empleados públicos se publicasen en el BOP sin haberse procedido previamente a su anonimización, indica que el Ayuntamiento no contaba con las medidas organizativas y técnicas apropiadas, por lo que se considera cometida la infracción del citado artículo 32 del RGPD. El Ayuntamiento afirma que la brecha de seguridad se produjo consecuencia de un error humano. Pues bien, las medidas de seguridad organizativas y técnicas apropiadas han de garantizar un nivel de seguridad adecuado al riesgo considerando, a todo punto, todos los riesgos presentes en el tratamiento de datos personales. Así, el error humano es un factor de riesgo presente en todos los tratamientos en los que participen personas, lo que implica que ha de ser debidamente considerado e implementadas todas las medidas de seguridad apropiadas para evitarlos. Es necesario contar con C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/12 medidas adecuadas que impidan que, debido a un error humano, se produzcan situaciones como la sustanciada en el presente procedimiento. VI El artículo 83 apartado 7 del RGPD, dispone lo siguiente: “Sin perjuicio de los poderes correctivos de las autoridades de control en virtud del artículo 58 apartado 2, cada Estado miembro podrá establecer normas sobre si se puede, y en qué medida, imponer multas administrativas a autoridades y organismos públicos establecidos en dicho Estado miembro.” Asimismo, el artículo 77 “Régimen aplicable a determinadas categorías de responsables o encargados del tratamiento” de la LOPDGDD dispone lo siguiente: “1. El régimen establecido en este artículo será de aplicación a los tratamientos de los que sean responsables o encargados: (…)
  16. c)La Administración General del Estado, las Administraciones de las comunidades autónomas y las entidades que integran la Administración Local. (…) 2. Cuando los responsables o encargados enumerados en el apartado 1 cometiesen alguna de las infracciones a las que se refieren los artículos 72 a 74 de esta ley orgánica, la autoridad de protección de datos que resulte competente dictará resolución sancionando a las mismas con apercibimiento. La resolución establecerá asimismo las medidas que proceda adoptar para que cese la conducta o se corrijan los efectos de la infracción que se hubiese cometido. (…) 5. Se comunicarán al Defensor del Pueblo o, en su caso, a las instituciones análogas de las comunidades autónomas las actuaciones realizadas y las resoluciones dictadas al amparo de este artículo. (…)” VII El Artículo 33 “Notificación de una violación de la seguridad de los datos personales a la autoridad de control” del RGPD establece: “1. En caso de violación de la seguridad de los datos personales, el responsable del tratamiento la notificará a la autoridad de control competente de conformidad con el artículo 55 sin dilación indebida y, de ser posible, a más tardar 72 horas después de que haya tenido constancia de ella, a menos que sea improbable que dicha violación de la seguridad constituya un riesgo para los derechos y las libertades de las personas físicas. Si la notificación a la autoridad de control no tiene lugar en el plazo de 72 horas, deberá ir acompañada de indicación de los motivos de la dilación. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/12 2. El encargado del tratamiento notificará sin dilación indebida al responsable del tratamiento las violaciones de la seguridad de los datos personales de las que tenga conocimiento. 3. La notificación contemplada en el apartado 1 deberá, como mínimo:
  17. a)describir la naturaleza de la violación de la seguridad de los datos personales, inclusive, cuando sea posible, las categorías y el número aproximado de interesados afectados, y las categorías y el número aproximado de registros de datos personales afectados;
  18. b)comunicar el nombre y los datos de contacto del delegado de protección de datos o de otro punto de contacto en el que pueda obtenerse más información;
  19. c)describir las posibles consecuencias de la violación de la seguridad de los datos personales;
  20. d)describir las medidas adoptadas o propuestas por el responsable del tratamiento para poner remedio a la violación de la seguridad de los datos personales, incluyendo, si procede, las medidas adoptadas para mitigar los posibles efectos negativos. 4. Si no fuera posible facilitar la información simultáneamente, y en la medida en que no lo sea, la información se facilitará de manera gradual sin dilación indebida. 5. El responsable del tratamiento documentará cualquier violación de la seguridad de los datos personales, incluidos los hechos relacionados con ella, sus efectos y las medidas correctivas adoptadas. Dicha documentación permitirá a la autoridad de control verificar el cumplimiento de lo dispuesto en el presente artículo.” La infracción del artículo 33 del RGPD podría suponer la comisión de las infracciones tipificadas en el artículo 83.4 del RGPD que bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 10 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 2 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
  21. a)las obligaciones del responsable y del encargado a tenor de los artículos 8, 11, 25 a 39, 42 y 43; (…)” A este respecto, la LOPDGDD, en su artículo 71 “Infracciones” establece que “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A efectos del plazo de prescripción, el artículo 73 “Infracciones consideradas graves” de la LOPDGDD indica: “En función de lo que establece el artículo 83.4 del Reglamento (UE) 2016/679 se consideran graves y prescribirán a los dos años las infracciones que supongan una C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/12 vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes: (…)
  22. r)El incumplimiento del deber de notificación a la autoridad de protección de datos de una violación de seguridad de los datos personales de conformidad con lo previsto en el artículo 33 del Reglamento (UE) 2016/679. (…)” En el presente caso consta que la notificación de la brecha de seguridad a la AEPD se produjo con posterioridad al plazo señalado en el artículo 33 del RGPD, sin que haya ningún tipo de circunstancias que avalen la indebida dilación. VIII El artículo 83 apartado 7 del RGPD, dispone lo siguiente: “Sin perjuicio de los poderes correctivos de las autoridades de control en virtud del artículo 58 apartado 2, cada Estado miembro podrá establecer normas sobre si se puede, y en qué medida, imponer multas administrativas a autoridades y organismos públicos establecidos en dicho Estado miembro.” Asimismo, el artículo 77 “Régimen aplicable a determinadas categorías de responsables o encargados del tratamiento” de la LOPDGDD dispone lo siguiente: “1. El régimen establecido en este artículo será de aplicación a los tratamientos de los que sean responsables o encargados: (…)
  23. c)La Administración General del Estado, las Administraciones de las comunidades autónomas y las entidades que integran la Administración Local. (…) 2. Cuando los responsables o encargados enumerados en el apartado 1 cometiesen alguna de las infracciones a las que se refieren los artículos 72 a 74 de esta ley orgánica, la autoridad de protección de datos que resulte competente dictará resolución sancionando a las mismas con apercibimiento. La resolución establecerá asimismo las medidas que proceda adoptar para que cese la conducta o se corrijan los efectos de la infracción que se hubiese cometido. (…) 5. Se comunicarán al Defensor del Pueblo o, en su caso, a las instituciones análogas de las comunidades autónomas las actuaciones realizadas y las resoluciones dictadas al amparo de este artículo. (…)” IX C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/12 Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la Agencia Española de Protección de Datos, RESUELVE: PRIMERO: SANCIONAR al AYUNTAMIENTO DE SAN JAVIER, con NIF P3003500J, por una infracción del Artículo 5.1.
  24. f)del RGPD, con un APERCIBIMIENTO. SANCIONAR al AYUNTAMIENTO DE SAN JAVIER, con NIF P3003500J, por una infracción del Artículo 32 del RGPD, con un APERCIBIMIENTO. SANCIONAR al AYUNTAMIENTO DE SAN JAVIER, con NIF P3003500J, por una infracción del Artículo 33 del RGPD, tipificada en el Artículo 83.5 del RGPD, con un APERCIBIMIENTO. SEGUNDO: NOTIFICAR la presente resolución a AYUNTAMIENTO DE SAN JAVIER. TERCERO: COMUNICAR la presente resolución al Defensor del Pueblo, de conformidad con lo establecido en el artículo 77.5 de la LOPDGDD. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
  25. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-26102021 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/12 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.