PS-00422-2023

1/14  Expediente N.º: EXP202308946 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: A.A.A. (en adelante, la parte reclamante) con fecha 19 de mayo de 2023 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra AYUNTAMIENTO DE VALDEMORILLO con NIF P2816000J (en adelante, la parte reclamada). En dicho escrito, la parte reclamante afirma ser miembro de la corporación municipal reclamada y haber participado en el pleno de dicha entidad celebrado el día ***FECHA.1. Este evento tuvo lugar en la sede del ayuntamiento y se caracterizó por su naturaleza pública, con asistencia presencial de ciudadanos del municipio. Indica, asimismo, que fue retransmitido en directo a través del canal de YouTube del ayuntamiento y permanece accesible tanto en dicho canal como en la página web del ayuntamiento. Sostiene la parte reclamada que, durante el mencionado pleno del ***FECHA.1, dos concejales revelaron información privada sobre su situación tributaria. Afirma que dicha información relativa a una providencia de embargo solo podría haber sido conocida por ellos en su condición de concejales, dado que los mismos tienen acceso al Registro General del ayuntamiento. De forma concreta señala que, en fecha ***FECHA.2, se registró en el Ayuntamiento una notificación de la Agencia Tributaria relativa a una providencia de embargo dirigida frente a él. Manifiesta que los citados concejales, teniendo conocimiento de dicha información, hicieron comentarios públicos durante el pleno sobre la recepción en el ayuntamiento de la orden de embargo, instándolo a pagar sus deudas. A efectos acreditativos, la parte reclamante acompaña a su escrito: - Los enlaces del canal de YouTube y de página web del ayuntamiento donde se puede visualizar la retransmisión del pleno referido. - La providencia de embargo que se dirigía frente a él, de cuyo contenido afirma que tuvieron conocimiento los mencionados concejales. - Los intervalos de tiempo concretos del video en los cuales se hizo referencia a dichos datos por determinados miembros de la corporación: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/14 SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, cuya notificación se practicó de forma electrónica conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 29/06/2023 como consta en el acuse de recibo que obra en el expediente. Con fecha 04/08/2023 se recibe en esta Agencia escrito de respuesta de la parte reclamada indicando que de “ninguna manera se informó de datos relativos a la situación administrativa de D. A.A.A. con respecto a este ayuntamiento ya que se cumple escrupulosamente con las recomendaciones que se han elaborado para este Ayuntamiento en cuanto a Protección de Datos.” A tales efectos, adjunta a su escrito las citadas recomendaciones realizadas por una auditoria. TERCERO: Con fecha 19 de agosto de 2023, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: Con fecha 22 de noviembre de 2023, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por la presunta infracción del artículo 5.1.

1. f)del RGPD y artículo 32 del RGPD, tipificada en los artículos 83.5 y 83.4 del RGPD, respectivamente. QUINTO: Notificado el citado acuerdo de inicio conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), la parte reclamada presentó escrito de alegaciones en el que, en síntesis, manifestaba lo siguiente: - Sostiene que no se ha cometido ninguna infracción de la normativa de protección de datos que haya implicado la difusión no consentida de datos personales de particulares. Argumenta que, en el momento de los hechos, el reclamante era (…). Por lo tanto, considera que el reclamante no se encontraba en la misma posición que un particular frente a la Administración, ya que tenía el mismo nivel de acceso a los datos administrativos que cualquier otro miembro de la corporación. - Alega que durante la sesión plenaria no se facilitaron datos concretos sobre la situación del denunciante que pudieran constituir una infracción. Describe los comentarios realizados en el pleno como parte de un intercambio de críticas habituales en el contexto de debates políticos entre los diferentes grupos de la corporación, sin intención de divulgar aspectos específicos más allá de dicha discusión política. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/14 - Manifiesta que cualquier dato más específico relacionado con la situación administrativa del reclamante que se mencionó durante la sesión fue introducido por el propio interesado como parte de la dinámica de discusión política y en respuesta a los temas debatidos en ese momento. SEXTO: Con fecha 12 de marzo de 2024 se formuló propuesta de resolución, proponiendo que por la Directora de la Agencia Española de Protección de Datos se declare que AYUNTAMIENTO DE VALDEMORILLO, con NIF P2816000J, ha infringido los siguientes artículos: - Artículo 5.1
2. f)del RGPD, tipificado en el artículo 83.5 del mismo texto. Artículo 32 del RGPD, tipificado en el artículo 83.4 del mismo texto. SÉPTIMO: Notificada la propuesta de resolución conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP) y transcurrido el plazo otorgado para la formulación de alegaciones, se ha constatado que no se ha recibido alegación alguna por la parte reclamada. De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS PRIMERO: Se ha confirmado que el reclamante, siendo miembro de la corporación municipal, participó en el pleno celebrado el ***FECHA.1. Este evento tuvo lugar en la sede del Ayuntamiento y contó con la asistencia presencial de ciudadanos del municipio, La sesión plenaria fue retransmitida en directo a través del canal de YouTube del ayuntamiento y se encuentra accesible al público tanto en este canal como en la página web oficial de dicha entidad. Dicha circunstancia ha sido corroborada a través de los enlaces proporcionados por la parte reclamante en su escrito. SEGUNDO: Ha quedado constatado que, durante el pleno del ***FECHA.1, dos concejales pertenecientes al ayuntamiento mencionaron datos relativos al estado tributario del reclamante. Dicho hecho se desprende de la propia visualización del pleno, de la cual cabe destacar los siguientes intervalos, donde se indica de forma expresa por parte de los citados concejales información de carácter tributario perteneciente a la parte reclamante: - 2:21:10 - 2:21:30. "pague las deudas que tiene, pague sus deudas con Hacienda" - 2:24:05- 2:24:30 “nosotros tenemos constancia de las órdenes de embargo que pesan sobre Vd.” TERCERO: Ha quedado acreditado que la información de carácter tributario difundida por los citados concejales derivó de una providencia de embargo, referida de forma expresa a la parte reclamante, y que tuvo entrada en el registro general de la parte reclamada el ***FECHA.2 y al cual tenían acceso todos los concejales de dicha corporación. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/14 CUARTO: Queda acreditado que la parte reclamada solicitó la elaboración de un informe de auditoría externa, que tenía como objeto mostrar la situación en relación con todos los aspectos referentes a la normativa vigente en materia de protección de datos. Ha quedado constatado que dicho informe fue expedido el 30/05/2022 y en cuyas conclusiones calificó la situación de la parte reclamada, en relación al nivel de cumplimiento de la legislación en materia de seguridad, como “no favorable”: “En opinión del auditor, la situación del Ayuntamiento de Valdemorillo con relación al nivel de cumplimiento de la legislación vigente en materia de seguridad de los datos de carácter personal respecto de sus tratamientos NO FAVORABLE.” FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Alegaciones al acuerdo de inicio En respuesta a las alegaciones presentadas por la entidad reclamada, procede señalar lo que seguidamente se expone. En primer lugar, en relación a la naturaleza del cargo público que ostenta la parte reclamante y que alega la parte reclamada, conviene destacar que la normativa de protección de datos personales y los derechos derivados de la misma resulta aplicable de manera universal a todas las personas físicas, independientemente de la posición o cargo que ocupen dichas personas. Ello se desprende del propio ámbito de aplicación establecido en el RGPD, cuyo artículo primero establece que: “El presente Reglamento establece las normas relativas a la protección de las personas físicas en lo que respecta al tratamiento de los datos personales y las normas relativas a la libre circulación de tales datos.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/14 Si bien existen excepciones para determinados ámbitos indicados por el artículo segundo de la misma norma, (entre las cuales no se encuentra el caso que nos ocupa), el ámbito de aplicación subjetivo es siempre el mismo, bastando con que el afectado sea una persona física para que proceda su aplicación y que deban respetarse todos los principios reconocidos a la misma. En consecuencia, la parte reclamante, aun miembro de una corporación municipal y sujeto de debate político, mantiene sus derechos bajo la normativa de protección de datos, incluido el derecho a ser protegido contra el tratamiento ilícito o indebido de sus datos personales. Por otro lado, el acceso a la información que tienen los miembros de la corporación municipal que alega la parte reclamada y que se encuentra reconocido por la normativa local, tiene como fin facilitar el ejercicio o el desarrollo de las funciones de los citados miembros. En segundo lugar, respecto a la alegación consistente en la afirmación de que no fueron facilitados datos concretos de la parte reclamante, debe de indicarse que el mero conocimiento de la existencia de una providencia de embargo frente a esta constituye un dato personal relacionado con su situación financiera. El conocimiento de de dicha información, incluso en términos generales, puede tener un impacto negativo significativo en la reputación del individuo afectado, amén de la vulneración del principio de confidencialidad que garantiza el RGPD. Dicha afirmación se encuentra en consonancia con el concepto de “tratamiento” que establece el artículo 4 del RGPD: “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción;” Por último, la parte reclamada sostiene que cualquier dato adicional específico relacionado con la situación administrativa del reclamante fue introducido por la propia parte reclamante como parte de la dinámica de discusión política. A tal respecto resulta oportuno señalar que cualquier dato adicional específico que pudiera haberse manifestado durante las intervenciones en pleno trae causa de la brecha de confidencialidad respecto de los datos del reclamante que se había producido y que fueron posteriormente manifestados en público. Esta reacción de la parte reclamante, consistente en una defensa tras el acceso y la difusión no autorizada y pública de su situación tributaria no debe ser interpretada como una validación del acceso a dicha información que se había producido.. III Obligación incumplida del artículo 5.1
3. f)RGPD De acuerdo con el apartado 1.
4. f)del artículo 5 RGPD los datos deben ser: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/14 “tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»)” De la misma forma, el Considerado 39 RGPD dispone que: “Los datos personales deben tratarse de un modo que garantice una seguridad y confidencialidad adecuadas de los datos personales, inclusive para impedir el acceso o uso no autorizados de dichos datos y del equipo utilizado en el tratamiento.” El principio de confidencialidad, según el mencionado artículo 5.1
5. f)del RGPD, exige la protección de datos personales contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental. Dicho principio resulta esencial para garantizar la seguridad de los datos personales, constituyendo un pilar clave en la protección de los derechos individuales en dicho ámbito. Por el contrario, la violación de este principio puede tener consecuencias no deseadas, reflejando su importancia en el marco normativo de la protección de datos. En el presente supuesto, tras la comprobación de los documentos aportados por ambas partes, se desprende un incumplimiento del mencionado principio de confidencialidad. El cumplimiento del principio de confidencialidad conlleva la adopción e implementación de medidas de todo tipo, tanto técnicas como organizativas. En el presente caso, el hecho de que determinados concejales del Ayuntamiento pudieran acceder a información tributaria personal de la parte reclamada, pone de manifiesto la ausencia o inadecuación de dichas medidas. De forma concreta, la posibilidad de acceder a información personal de uno de los concejales a través del Registro General del Ayuntamiento sugiere una falta de adopción medidas técnicas y organizativas adecuadas para garantizar la seguridad, en este caso, de los datos del reclamante, e impedir el acceso a datos personales por parte de terceros no autorizados. Así, un acceso libre al registro manifiesta una falta de controles de acceso y de perfilado adecuados en el ayuntamiento, que hubieran limitado el acceso a los datos personales basándose en la necesidad y relevancia para las funciones de los concejales. Esto es particularmente relevante en el contexto del Registro General, que almacena documentos dirigidos no solo al ayuntamiento, sino también a otras administraciones, tal y como permite el artículo 16 de la Ley 39/2015 de Procedimiento Administrativo Común de las Administraciones Públicas y entre cuyo contenido se puede encontrar información relativa a categorías especiales de datos personales de los previstos en el artículo 9 del RGPD. Conviene señalar que, si bien el artículo 77 de la 7/1985 de 2 de abril de la Ley de Bases de Régimen Local (LBRL) establece que los miembros de las Corporaciones locales tienen derecho a acceder a datos e informaciones para el desarrollo de su función, dicho acceso se encuentra regulado y no implica un acceso indiscriminado a toda información, especialmente cuando se trata de datos personales. El propio artículo 77 establece, por un lado, un límite material, al establecer que deben resultar precisos para el ejercicio de su función; y otro material, al indicar que deberá realizarse mediante una solicitud que se resolverá de forma motivada dentro de los cinco días C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/14 siguientes. El acceso libre e ilimitado del contenido de los recursos excede el contenido de derecho de acceso por los miembros de las Corporaciones Locales regulado por el mencionado artículo, así como con los artículos 14 a 16 del Reglamento de Organización y Funcionamiento y Régimen Jurídico de las Entidades Locales (ROF) que desarrollan dicho procedimiento. En el caso que nos ocupa, la información sobre la situación tributaria del reclamante procedía de una providencia de embargo que había sido registrada en el Ayuntamiento, a la cual tenían acceso los concejales. Sin embargo, el acceso a esta información debería haberse limitado al personal autorizado y competente dentro del Ayuntamiento para cumplir con los fines administrativos correspondientes, e impedir de esta forma un tratamiento no autorizado de dichos datos personales. La vulneración del principio de confidencialidad radica, por tanto, en que los datos tributarios del reclamante fueron accesibles para todos los concejales del Ayuntamiento, sin una justificación que respaldara tal acceso indiscriminado. La confidencialidad implica, entre otras medidas, limitar el acceso a los datos personales únicamente a las personas que necesiten conocerlos en función de sus responsabilidades específicas y siempre bajo ciertos criterios previamente establecidos. El hecho de no implementar medidas que restringieran adecuadamente este acceso permitiendo el acceso a datos personales sin una razón objetiva, conllevó por parte del Ayuntamiento el incumplimiento de su obligación de garantizar la confidencialidad de los datos del reclamante. En consecuencia, dicha falta de medidas de seguridad vulnera el principio de confidencialidad del artículo 5.1
6. f)al no proteger los datos frente a accesos innecesarios y no autorizados dentro de la misma Corporación. IV Tipificación y calificación de la infracción del artículo 5.1.
7. f)del RGPD La citada infracción del artículo 5.1.
8. f)del RGPD supone la comisión de las infracción tipificada en el artículo 83.5 del RGPD que bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
9. a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9; (…)” A este respecto, la LOPDGDD, en su artículo 71 “Infracciones” establece que “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/14 A efectos del plazo de prescripción, el artículo 72 “Infracciones consideradas muy graves” de la LOPDGDD indica: “1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
10. a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679. (…)” V Obligación incumplida del artículo 32 del RGPD El artículo 32 “Seguridad del tratamiento” del RGPD establece: “1. Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, que en su caso incluya, entre otros:
11. a)la seudonimización y el cifrado de datos personales;
12. b)la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento;
13. c)la capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente físico o técnico;
14. d)un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento. 2. Al evaluar la adecuación del nivel de seguridad se tendrán particularmente en cuenta los riesgos que presente el tratamiento de datos, en particular como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos. 3. La adhesión a un código de conducta aprobado a tenor del artículo 40 o a un mecanismo de certificación aprobado a tenor del artículo 42 podrá servir de elemento para demostrar el cumplimiento de los requisitos establecidos en el apartado 1 del presente artículo. 4. El responsable y el encargado del tratamiento tomarán medidas para garantizar que cualquier persona que actúe bajo la autoridad del responsable o del encargado y tenga acceso a datos personales solo pueda tratar dichos datos siguiendo instrucciones del responsable, salvo que esté obligada a ello en virtud del Derecho de la Unión o de los Estados miembros”. Resulta necesario señalar que el citado precepto no establece un listado de medidas de seguridad concretas de acuerdo con los datos objeto de tratamiento, sino que establece la obligación de que el responsable y el encargado del tratamiento apliquen C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/14 medidas técnicas y organizativas que sean adecuadas al riesgo que conlleve el tratamiento, teniendo en cuenta el estado de la técnica, los costes de aplicación, la naturaleza, alcance, contexto y finalidades del tratamiento, los riesgos de probabilidad y gravedad para los derechos y libertades de las personas interesadas. Asimismo, las medidas de seguridad deben resultar adecuadas y proporcionadas al riesgo detectado, determinando aquellas medidas técnicas y organizativas adecuadas teniendo en cuenta la seudonimización y el cifrado, la capacidad para garantizar la confidencialidad, integridad, disponibilidad y resiliencia, la capacidad para restaurar la disponibilidad y acceso a datos tras un incidente, proceso de verificación (que no auditoría), evaluación y valoración de la eficacia de las medidas. En todo caso, al evaluar la adecuación de las medidas adoptadas se debe tener particularmente en cuenta los riesgos que presente el tratamiento de datos, como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos y que pudieran ocasionar daños y perjuicios físicos, materiales o inmateriales. Por su parte, el considerando 83 del RGPD señala que “