PS-00407-2021

1/7  Expediente Nº: PS/00407/2021 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: A.A.A. (en adelante, la parte reclamante) con fecha 8 de marzo de 2021 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra AYUNTAMIENTO DE MONFORTE DE LEMOS con NIF P2703100D (en adelante, AYTO. DE MONFORTE). Los motivos en que basa la reclamación son los siguientes: -Buscando en Google su nombre y apellidos, o su DNI, aparece un documento, con la totalidad de sus datos personales, presentado en una alegación a las preguntas de un examen de acceso a plaza de Policía Local para el AYTO. DE MONFORTE, así como los datos completos de otros dos opositores más. -Habiendo contactado con el AYTO. DE MONFORTE, requiriéndole que borraran dicho documento, recibe la respuesta de que ha sido borrado. No obstante, seis meses después de dicho requerimiento, el documento sigue disponible en la web del AYTO DE MONFORTE. Junto a la reclamación aporta copia de los documentos, que se pueden visualizar al acceder al link: ***URL.1. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado se remitió con fecha 12/04/2021 a través de GEISER (gestión integrada de servicios de registro), siendo recepcionado el día 13/04/2021. Con fecha 28/04/2021 se recibe en esta Agencia escrito de respuesta indicando que: -En el marco de un proceso de selección para una plaza de Agente de la Policía Municipal, en el año 2018, se publicó en la página web del AYTO. DE MONFORTE un escrito de reclamación presentado por la parte reclamante, al objeto de darle la debida publicidad. -El día 04/10/2020 se recibe un correo electrónico de la parte reclamante solicitando la retirada de sus datos. El día 06/10/2020 se solicita a la empresa concesionaria de la gestión de la web municipal que proceda a borrar los datos. Ese mismo día la empresa contesta por correo electrónico que se ha procedido a borrar los datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/7 -El día 07/10/2021 se envía correo electrónico al solicitante, indicándole que se ha procedido a retirar el contenido y que ya no hay datos suyos visibles en la web del AYTO. DE MONFORTE. -Recibida solicitud de información de la Agencia Española de Protección de Datos (AEPD), nuevamente se solicita a la empresa concesionaria de la gestión de la web municipal confirmación de la retirada de la publicación, quien remite justificantes de que introduciendo los datos personales de la parte reclamante en google, no aparecen ya publicaciones del AYTO. DE MONFORTE. TERCERO: Con fecha 08/06/2021 se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: Con fecha 29 de octubre de 2021, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, por la presunta infracción del Artículo 17 del RGPD, tipificada en el Artículo 83.5 del RGPD. QUINTO: Con fecha 13/12/2021, la instructora del procedimiento acordó la apertura de un período de práctica de pruebas, considerándose las siguientes: Dar por reproducidos a efectos probatorios: -La reclamación interpuesta por la parte reclamante y su documentación, los documentos obtenidos y generados durante la fase de admisión a trámite de dicha reclamación. -Las alegaciones al acuerdo de inicio PS/00407/2021 AYUNTAMIENTO y la documentación que a ellas acompaña. presentadas por el -Resultado de las comprobaciones llevadas a cabo por la instructora, a fecha 03/12/2021, incorporadas al expediente mediante diligencia de fecha 13/12/2021, consistentes en realizar una búsqueda en google acotada al sitio “monfortedelemos.es” del término “A.A.A.”, que da como resultado el enlace ***URL.1, mediante el cual se accede al escrito de reclamación presentado en su día por la parte reclamante ante el AYUNTAMIENTO. SEXTO: Con fecha 26 de enero de 2022 se formuló propuesta de resolución, proponiendo que, por la infracción del artículo 17 del RGPD, tipificada en el artículo 83.5 del RGPD, la Directora de la Agencia Española de Protección de Datos sancione con un APERCIBIMIENTO al AYUNTAMIENTO DE MONFORTE DE LEMOS, con NIF P2703100D. SÉPTIMO: Con fecha 15/02/2022 el AYUNTAMIENTO presenta un nuevo escrito de alegaciones. HECHOS PROBADOS PRIMERO: Consta acreditado que, en el marco de un proceso de selección para una plaza de Agente de la Policía Municipal, en el año 2018, se publicó en la página web C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/7 del AYUNTAMIENTO un escrito de reclamación presentado por la parte reclamante, al objeto de darle la debida publicidad. SEGUNDO: Consta acreditado que, a raíz de la recepción en el AYUNTAMIENTO de un correo electrónico de la parte reclamante, en el que se solicitaba la retirada de dicho escrito, el AYUNTAMIENTO contactó con la empresa concesionaria de la gestión de la página web municipal al objeto de llevar a cabo lo solicitado, y que recibió respuesta en el sentido de haberse llevado a cabo lo solicitado. TERCERO: Consta acreditado que el escrito de reclamación al proceso selectivo, presentado en su día por la parte reclamante, continuó accesible seis meses después de haber solicitado al AYUNTAMIENTO su retirada, e incluso posteriormente, durante la sustanciación del presente procedimiento sancionador, como se ha puesto de manifiesto con la práctica de la prueba efectuada a tal efecto, de la que se ha dado traslado al AYUNTAMIENTO. FUNDAMENTOS DE DERECHO I De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos.” II En relación con las alegaciones presentadas a la propuesta de resolución el Ayuntamiento reitera las ya presentadas anteriormente, insistiendo en que la parte reclamante nunca había solicitado el borrado de sus datos personales presentando escrito ante el AYUNTAMIENTO por cualquiera de los medios previstos en el artículo 16.4 de le Ley 39/2015 de 1 de octubre del Procedimiento Administrativo Común de las Administraciones Publicas, no obstante, el AYUNTAMIENTO solicitó a la empresa concesionaria de la gestión de la web municipal que procediese a borrarlos, recibiendo respuesta de que ya se había procedido a lo solicitado. Una vez recibida copia del expediente administrativo, constatan que en el mismo obra una diligencia según la cual se puede acceder al escrito de reclamaciones presentado por la parte reclamante a través del enlace facilitado. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/7 A este respecto, el AYUNTAMIENTO manifiesta que técnica y humanamente se tomaron las medidas necesarias para eliminar los datos de la parte reclamante sin dilación, pero Internet tiene memoria y se conservan enlaces de búsqueda, por lo que se precisa cierto tiempo para que todo desaparezca, siendo además necesario que se limpien las cookies y la cache. Sin embargo, cuando esta Agencia recibió la reclamación de la parte reclamante y comprobó el enlace facilitado, la alegación presentada al proceso de selección de plazas de Policía Local del AYUNTAMIENTO era perfectamente accesible, por lo que cabe concluir que no se había procedido a su retirada, o, cuando menos, no se había hecho de forma correcta. III Se imputa al AYUNTAMIENTO la comisión de una infracción por vulneración del artículo 17 del RGPD. La falta de atención del derecho de supresión se regula en el 17 del RGPD, que indica: Artículo 17 “Derecho de supresión” “1. El interesado tendrá derecho a obtener sin dilación indebida del responsable del tratamiento la supresión de los datos personales que le conciernan, el cual estará obligado a suprimir sin dilación indebida los datos personales cuando concurra alguna de las circunstancias siguientes:

1. a)los datos personales ya no sean necesarios en relación con los fines para los que fueron recogidos o tratados de otro modo;
2. b)el interesado retire el consentimiento en que se basa el tratamiento de conformidad con el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), y este no se base en otro fundamento jurídico;
3. c)el interesado se oponga al tratamiento con arreglo al artículo 21, apartado 1, y no prevalezcan otros motivos legítimos para el tratamiento, o el interesado se oponga al tratamiento con arreglo al artículo 21, apartado 2;
4. d)los datos personales hayan sido tratados ilícitamente;
5. e)los datos personales deban suprimirse para el cumplimiento de una obligación legal establecida en el Derecho de la Unión o de los Estados miembros que se aplique al responsable del tratamiento;
6. f)los datos personales se hayan obtenido en relación con la oferta de servicios de la sociedad de la información mencionados en el artículo 8, apartado 1. 2. Cuando haya hecho públicos los datos personales y esté obligado, en virtud de lo dispuesto en el apartado 1, a suprimir dichos datos, el responsable del tratamiento, teniendo en cuenta la tecnología disponible y el coste de su aplicación, adoptará medidas razonables, incluidas medidas técnicas, con miras a informar a los responsables que estén tratando los datos personales de la solicitud del interesado de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/7 supresión de cualquier enlace a esos datos personales, o cualquier copia o réplica de los mismos. 3. Los apartados 1 y 2 no se aplicarán cuando el tratamiento sea necesario:
7. a)para ejercer el derecho a la libertad de expresión e información;
8. b)para el cumplimiento de una obligación legal que requiera el tratamiento de datos impuesta por el Derecho de la Unión o de los Estados miembros que se aplique al responsable del tratamiento, o para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable;
9. c)por razones de interés público en el ámbito de la salud pública de conformidad con el artículo 9, apartado 2, letras
10. h)e i), y apartado 3;
11. d)con fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos, de conformidad con el artículo 89, apartado 1, en la medida en que el derecho indicado en el apartado La infracción figura referenciada en el RGPD, artículo 83: “5. Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
12. b)los derechos de los interesados a tenor de los artículos 12 a 22” Su prescripción figura referida en la LOPDGDD, artículo 72.1.
13. k)que determina: “1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
14. k)El impedimento o la obstaculización o la no atención reiterada del ejercicio de los derechos establecidos en los artículos 15 a 22 del Reglamento (UE) 2016/679.” Ha quedado demostrado que el AYUNTAMIENTO no procedió a retirar de la web el documento de alegación que en su día presentó la parte reclamante, ya que seis meses después de haberlo solicitado aún se podía acceder al mismo. IV El artículo 83 apartado 7 del RGPD, dispone lo siguiente: “Sin perjuicio de los poderes correctivos de las autoridades de control en virtud del artículo 58 apartado 2, cada Estado miembro podrá establecer normas sobre si se puede, y en qué medida, imponer multas administrativas a autoridades y organismos públicos establecidos en dicho Estado miembro.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/7 Asimismo, el artículo 77 “Régimen aplicable a determinadas categorías de responsables o encargados del tratamiento” de la LOPDGDD dispone lo siguiente: “1. El régimen establecido en este artículo será de aplicación a los tratamientos de los que sean responsables o encargados: (…)
15. c)La Administración General del Estado, las Administraciones de las comunidades autónomas y las entidades que integran la Administración Local. (…) 2. Cuando los responsables o encargados enumerados en el apartado 1 cometiesen alguna de las infracciones a las que se refieren los artículos 72 a 74 de esta ley orgánica, la autoridad de protección de datos que resulte competente dictará resolución sancionando a las mismas con apercibimiento. La resolución establecerá asimismo las medidas que proceda adoptar para que cese la conducta o se corrijan los efectos de la infracción que se hubiese cometido. (…) 5. Se comunicarán al Defensor del Pueblo o, en su caso, a las instituciones análogas de las comunidades autónomas las actuaciones realizadas y las resoluciones dictadas al amparo de este artículo. (…)”. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER al AYUNTAMIENTO DE MONFORTE DE LEMOS, con NIF P2703100D, por una infracción del Artículo 17 del RGPD, tipificada en el Artículo 83.5 del RGPD, una sanción de apercibimiento. SEGUNDO: NOTIFICAR la presente resolución al AYUNTAMIENTO DE MONFORTE DE LEMOS. TERCERO: COMUNICAR la presente resolución al Defensor del Pueblo, de conformidad con lo establecido en el artículo 77.5 de la LOPDGDD. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/7 día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
16. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-150222 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es