1/17 Expediente N.º: EXP202206288 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: A.A.A. (en adelante, el reclamante) con fecha 9 de mayo de 2022 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra AYUNTAMIENTO DE JEREZ DE LOS CABALLEROS con NIF P0607000G (en adelante el Ayuntamiento). Los motivos en que basa la reclamación son los siguientes: Indica que el 15 de septiembre de 2021 presentó una denuncia ante el Tribunal de Cuentas contra el Ayuntamiento en la que manifestaba que la parte reclamada había efectuado pagos indebidos a varios concejales. En el Pleno celebrado el 31 de enero de 2022 la concejala Dª B.B.B., manifestó que, como consecuencia de la denuncia formulada por la parte reclamante (facilitando su nombre y sus dos apellidos) ante el Tribunal de Cuentas, hay personal del ayuntamiento que tiene problemas de salud y profesionales. Según afirma, la citada concejala no ha ostentado en ningún momento las competencias en materia de pago de haberes, intervención, tesorería, retribuciones a concejales, asistencias a Juntas de Gobierno, ni nada relacionado con las comprobaciones que el Tribunal de Cuentas está llevando a cabo, razón por la cual el acceso a dicha documentación no se encontraría amparado por su condición de concejal. Considera que se han facilitado ilícitamente los datos del expediente a la concejala. En este sentido indica que nunca ha autorizado la cesión de sus datos. Asimismo, significa que, en su caso, antes de permitir el acceso al expediente se le debía de haber dado trasladado de la petición formulada a los efectos de que pudiera realizar alegaciones al respecto, más si cabe cuando debería autorizar de manera expresa el acceso al mismo. No obstante, señala que no consta que la concejala haya solicitado acceso al expediente. Indica que estos mismos hechos descritos en la reclamación fueron planteados ante el Delegado de Protección de Datos del Ayuntamiento, mediante escrito presentado el 7 de marzo de 2022 ante la sede electrónica de la parte reclamada, no habiendo obtenido contestación alguna. Junto a la reclamación aporta: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/17 - Un enlace a la plataforma YouTube que permite acceder a la grabación del pleno en el que se efectuaron las afirmaciones señaladas en la reclamación. Copia del escrito registrado en el que comunica los hechos al Delegado de Protección de Datos. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación al Ayuntamiento para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 13 de junio de 2022 como consta en el acuse de recibo que obra en el expediente. No se ha recibido respuesta a este escrito de traslado. TERCERO: Con fecha 8 de agosto de 2022, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: Con fecha 20 de julio de 2023, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, por la presunta infracción de los artículos 5.1.
- f)y 32 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), tipificadas en los artículos 83.4 y 83.5 del RGPD. QUINTO: Notificado el citado acuerdo de inicio conforme a las normas establecidas en la LPACAP, la parte reclamada presentó escrito de alegaciones en el que, en síntesis, manifestaba lo siguiente: Alega el Ayuntamiento que las declaraciones de la Concejala del Ayuntamiento se enmarcan en un contexto político de transparencia en la gestión administrativa, mediante la cual la Corporación dio toda la información al respecto de las cuentas y situaciones particulares sobre los presupuestos locales correspondientes a ese momento, incluida la denuncia presentada por D. A.A.A.. En este sentido, recuerda el Ayuntamiento que los debates del Pleno municipal son públicos en virtud de lo dispuesto en la Ley 7/1985, reguladora de las Bases de Régimen Local (LrBRL), cuyo artículo 70.1 dispone que “las sesiones del Pleno de las corporaciones locales son públicas. No obstante, podrán ser secretos el debate y votación de aquellos asuntos que puedan afectar al derecho fundamental de los ciudadanos a que se refiere el artículo 18.1 de la Constitución, cuando así se acuerde por mayoría absoluta”. En este supuesto no estaba afectado el derecho al honor, a la intimidad personal y familiar y a la propia imagen de ninguna persona ni se acordó por mayoría absoluta el secreto del debate y votación. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/17 Señala asimismo el Ayuntamiento, que el artículo 69.1 LrBRL establece de forma clara que “las Corporaciones locales facilitarán la más amplia información sobre su actividad y la participación de todos los ciudadanos en la vida local”. En este sentido, se estima que las menciones de la Concejala a la denuncia e identidad del denunciante (que no deja de ser un vecino que participa activamente en la política local mediante reclamaciones, denuncias y otros medios, ejerciendo sus derechos como ciudadano de Jerez de los Caballeros) entran dentro del marco legal, en este caso concreto, pues lo que se quería manifestar con las declaraciones en las que se menciona la identidad de la persona que ahora formula su denuncia ante la AEPD es que existía una concreta situación entre el personal del Ayuntamiento ocasionada por una concreta denuncia que, a su vez, había sido formulada por una concreta persona, eliminando así otras posibilidades o especulaciones en busca siempre de la mayor información y detalle en las actuaciones y situaciones municipales y buscando, en todo caso, la mayor transparencia y bien común y defendiendo la integridad de la Corporación municipal al completo. Afirma el Ayuntamiento que dado que el debate y votación plenarias se celebraron durante la pandemia por covid-19 que asoló nuestro país, el Ayuntamiento, en busca de la mayor transparencia y participación de la ciudadanía, decidió retransmitir los Plenos mediante el sistema denominado streaming con difusión de su contenido tanto en tiempo real como posteriormente, dejándolo para la consulta de cualquier persona con posterioridad. Estima el Ayuntamiento, por tanto, que el supuesto denunciado no constituye una infracción de los principios sobre seguridad y confidencialidad de la información recogidos en el RGPD y la LOPDGDD ni, en consecuencia, estamos ante una brecha de confidencialidad, sino que el supuesto de hecho debe interpretarse a la luz de los principios municipales de actuación contenidos en las leyes reguladoras de las Administraciones locales, las normas de transparencia y las de participación ciudadanas. Señala el Ayuntamiento que podrá realizarse un juicio de ponderación que ponga en la balanza las obligaciones de las Corporaciones locales sobre transparencia en el ejercicio de su actividad, por un lado, y por otro los derechos de privacidad del denunciante y de otras personas que forman parte de la ciudadanía por el otro. Pero en este juicio de ponderación, en este preciso caso, debe recogerse en uno de los pesos de la balanza la situación concreta de la persona denunciante, que tiene un historial bastante amplio de participación en los asuntos públicos del Ayuntamiento y que ha interactuado con la Corporación a través de la formulación de numerosas reclamaciones y denuncias en relación con los presupuestos municipales y otros asuntos financieros y de otro tipo locales. Por tanto, no es un desconocido o anónimo ciudadano cuya identidad ha sido revelada de forma caprichosa o en vano. Aprecia el Ayuntamiento que, por lo que respecta al ejercicio de sus derechos, indica que es cierto que el Ayuntamiento, por un error administrativo ocasionado por diversas situaciones de interinidad, no contestó en tiempo al interesado respecto de su solicitud, a pesar de que existía un informe del Delegado de Protección de Datos (DPD) al respecto. Asimismo, por indicación del DPD, el Ayuntamiento va a adoptar las siguientes medidas provisionales o definitivas: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/17 • Retirada provisional de la retransmisión plenaria hasta que se produzca la resolución del procedimiento sancionador por parte de la AEPD. Una vez producida la resolución del caso se adoptará la decisión que más se ajuste a lo establecido por la AEPD, bien la retirada o eliminación de los datos personales o bien su mantenimiento. • Implantación de un protocolo de actuación para los Concejales y Concejalas de la Corporación para sus declaraciones en el Pleno y en otros espacios públicos con objeto de eludir posibles errores o brechas de confidencialidad. • Establecer mejores y más seguros mecanismos entre el Ayuntamiento y la Diputación Provincial que es quien ejerce las funciones de DPD. SEXTO: Con fecha 14 de junio de 2024 se formuló propuesta de resolución, en la que se dio respuesta a las alegaciones presentadas, se otorgó un plazo de diez días para la presentación de alegaciones y se propuso que se declarara que el AYUNTAMIENTO DE JEREZ DE LOS CABALLEROS, con NIF P0607000G, ha infringido lo dispuesto en el artículo 5.1.
- f)del RGPD y artículo 32 del RGPD, tipificadas, respectivamente, en los artículos 83.4 y 83.5 del RGPD. SÉPTIMO: La propuesta de resolución fue debidamente notificada conforme a las normas establecidas en la LPACAP en fecha 17 de junio de 2024 sin que, transcurrido el plazo otorgado al efecto, se hayan recibido alegaciones del Ayuntamiento. De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS PRIMERO: Durante el pleno ordinario del Ayuntamiento de Jerez de los Caballeros, celebrado el 31 de enero de 2022, una concejala manifiesta lo siguiente: “Triste es decir que hay personal del ayuntamiento en estos momentos que tienen problemas de salud precisamente por una serie de actitudes que viene manteniendo la oposición junto con también A.A.A., que ha denunciado al Ayuntamiento en el Tribunal de Cuentas. Y que precisamente hay profesionales que siguen involucrados precisamente por esta denuncia. Ya les anticipo que hay personas que lo están pasando mal precisamente por este grado de presión y fiscalización excesiva que, en mi opinión, lo que buscan es la paralización del Ayuntamiento.” (4:00:11- 4:00:53) SEGUNDO: Dicho pleno se desarrolló mediante videoconferencia y está publicado íntegramente en internet, en la plataforma YouTube, en el canal “RTV JEREZ”, desde la fecha en que tuvo lugar. TERCERO: Con fecha 14 de junio de 2024, se comprueba que sigue publicado y accesible el mismo de forma íntegra, tal y como ha quedado constatado mediante diligencia formalizada por la Instructora en esa fecha. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/17 FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del RGPD, otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la LOPDGDD, es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Cuestiones previas En el presente caso, de acuerdo con lo establecido en el artículo 4.1 del RGPD, consta la realización de un tratamiento de datos personales, toda vez que el Ayuntamiento, entre otros tratamientos, la recogida, registro, organización, estructuración, conservación, utilización, acceso, etc, de los siguientes datos personales de personas físicas, tales como: nombre y apellidos, número de identificación, datos de contacto, datos de empleo, datos de retribuciones, etc. El Ayuntamiento realiza esta actividad en su condición de responsable del tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del RGPD. El artículo 4 apartado 12 del RGPD define, de un modo amplio, las “violaciones de seguridad de los datos personales” (en adelante brecha de seguridad) como “todas aquellas violaciones de la seguridad que ocasionen la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos.” En el presente caso, consta una brecha de seguridad de datos personales en las circunstancias arriba indicadas, categorizada como una brecha de confidencialidad, al haberse expuesto o comunicado de forma no autorizada datos personales. Dentro de los principios del tratamiento previstos en el artículo 5 del RGPD, la integridad y confidencialidad de los datos personales se garantiza en el apartado 1.
- f)del artículo 5 del RGPD. Por su parte, la seguridad de los datos personales viene regulada en los artículos 32, 33 y 34 del RGPD, que reglamentan la seguridad del tratamiento, la notificación de una violación de la seguridad de los datos personales a la autoridad de control, así como la comunicación al interesado, respectivamente. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/17 III Alegaciones al acuerdo de inicio Antes de abordar las alegaciones formuladas, conviene hacer una especial referencia a la naturaleza del cargo de la persona que ha redactado y firmado el mencionado escrito de alegaciones. Tal y como se observa en dicho documento, las alegaciones han sido elaboradas y firmadas electrónicamente por la unidad de TRANSPARENCIA, PARTICIPACIÓN CIUDADANA, CALIDAD Y ATENCIÓN AL CIUDADANO de la DIPUTACION DE BADAJOZ, que es el Delegado de Protección de Datos designado para el Ayuntamiento de Jerez de los Caballeros y no por el responsable del tratamiento. Dicho hecho obliga a recordar, aunque sea de forma sucinta, las distintas funciones y roles que el RGPD atribuyen a ambas figuras. Así, el artículo 4 punto 7 del RGPD define al “«responsable del tratamiento» o «responsable»: la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros” Por su parte, la figura del Delegado de Protección de Datos (en adelante DPD) se encuentra regulada en la Sección IV del Capítulo IV del RGPD (artículo 37 y
- ss)así como en el capítulo III del Título V de la LOPDGDD (artículos 34 a 37). La exposición de motivos de esta última norma incide en la destacada importancia que ostenta esta figura, tanto en el RGPD como en la propia ley orgánica, que parte del principio de que puede tener un carácter obligatorio o voluntario, estar o no integrado en la organización del responsable o encargado y ser tanto una persona física como una persona jurídica En el caso de un Ayuntamiento, su existencia resulta necesaria, tal y como establece el artículo 37.1 cuando indica que “El responsable y el encargado del tratamiento designarán un delegado de protección de datos siempre que:
- a)el tratamiento lo lleve a cabo una autoridad u organismo público, excepto los tribunales que actúen en ejercicio de su función judicial” Permitiendo, en su apartado 3 que: “Cuando el responsable o el encargado del tratamiento sea una autoridad u organismo público, se podrá designar un único delegado de protección de datos para varias de estas autoridades u organismos, teniendo en cuenta su estructura organizativa y tamaño”. El Considerando 97 del RGPD indica, in fine, que “…Tales delegados de protección de datos, sean o no empleados del responsable del tratamiento, deben estar en condiciones de desempeñar sus funciones y cometidos de manera independiente”. Entre las funciones del mismo, enunciadas en el artículo 39 del RGPD, destaca la de informar y asesorar al responsable o al encargado del tratamiento y a los empleados que se ocupen del tratamiento de las obligaciones que les incumben, supervisar el cumplimiento de lo dispuesto en el RGPD, de otras disposiciones de protección de datos de la Unión o de los Estados miembros y de las políticas del responsable o del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/17 encargado del tratamiento en materia de protección de datos personales, así como cooperar con las Autoridades de Protección de Datos. La naturaleza del DPD implica una especial autonomía e independencia respecto del responsable del tratamiento, tal y como establece tanto en el artículo 38.6 del RGPD como en el 36 de la LOPDGDD, pues es imperativo “garantizar la independencia del delegado de protección de datos dentro de la organización, debiendo evitar cualquier conflicto de intereses.” Por otro lado, en lo que se refiere concretamente a la interposición de alegaciones en un procedimiento sancionador, debe tenerse en cuenta que tal y como dispone el artículo 5.2 del RGPD, es el responsable del tratamiento quien debe garantizar y demostrar el cumplimiento de las obligaciones exigidas por el artículo. Teniendo en cuenta los citados preceptos, debe ser el responsable del tratamiento quien, en caso del presente procedimiento sancionador, presente las alegaciones que estime oportunas frente al acuerdo de iniciación con el fin de acreditar su cumplimiento con la normativa. Por el contrario, la presentación de dichas alegaciones por parte del DPD en nombre y representación de la parte reclamada podría con llevar la existencia de un conflicto de intereses, dado que afecta a la especial autonomía e independencia a la que se ha hecho referencia anteriormente. Si el DPD asume la defensa del responsable en un procedimiento sancionador, su independencia se ve comprometida, pues en tal caso se está actuando en interés del responsable y no en su rol neutral de supervisión. Por tanto, permitir o atribuir a un DPD la defensa en procedimientos sancionadores en materia de protección de datos implica una interferencia en las funciones del aquel, generando, como se ha señalado, un potencial conflicto de intereses. No obstante, en relación a la pertinencia de las alegaciones presentadas, en virtud del principio in dubio pro actione y con el fin de evitar cualquier tipo de indefensión a la reclamada, se considera oportuno valorar las alegaciones presentadas, sin perjuicio de las posteriores que, en su caso, sean formuladas durante el trámite de audiencia que sigue a la presente propuesta de resolución. En respuesta a las alegaciones presentadas se debe señalar lo siguiente: Primero: Alega el Ayuntamiento que las declaraciones vertidas por una concejala durante uno de los Plenos se enmarcan en un contexto político de transparencia en la gestión administrativa, mediante la cual la Corporación dio toda la información al respecto de las cuentas y situaciones particulares sobre los presupuestos locales correspondientes a ese momento, incluida la denuncia presentada por el ahora reclamante. En este sentido, recuerda el Ayuntamiento que los debates del Pleno municipal son públicos, de conformidad con la Ley 7/1985, reguladora de las Bases del Régimen Local (LRBRL). Asimismo, el Ayuntamiento sostiene que las menciones de la Concejala respecto de la denuncia y e identidad del ahora reclamante entran dentro del marco legal en este caso concreto, porque lo que se quería manifestar es que existía una concreta situación entre el personal del Ayuntamiento ocasionada por una concreta denuncia, todo ello de conformidad con el artículo 69.1 LRBRL, que indica que “Las C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/17 corporaciones locales facilitarán la más amplia información sobre su actividad y la participación de todos los ciudadanos en la vida local” Frente a ello, procede señalar que no se pone en cuestión que los debates de los plenos municipales sean públicos, ni que para satisfacer la obligación de transparencia se facilite información sobre la actividad de la corporación local en aras de fomentar la más amplia participación ciudadana en los asuntos municipales. Sin embargo, en el presente caso, consta acreditado que el Pleno ordinario del Ayuntamiento de 31 de enero de 2021 aparece publicado en internet, en el canal “RTV Jerez”, en la plataforma YouTube, durante el cual una concejala del mismo, con ocasión de dar información sobre una denuncia contra el Ayuntamiento presentada por un vecino ante el Tribunal de Cuentas, indica la identidad concreta de dicho vecino denunciante (nombre y dos apellidos), que es el ahora reclamante. En este sentido, se significa que no es en absoluto necesario, en el caso concreto que nos ocupa, difundir el nombre y apellidos de la persona en particular -un vecino de la localidad-, que ha interpuesto contra el Ayuntamiento una denuncia ante el Tribunal de Cuentas. La normativa indicada por el Ayuntamiento ni permite ni exige que para satisfacer las finalidades de transparencia e información en la actividad local, así como para la participación ciudadana en los asuntos municipales, sea imprescindible la difusión de la identidad concreta de la persona que ha presentado una denuncia frente al Ayuntamiento. A estos efectos, el interés público en la transparencia de los asuntos públicos (en este caso, municipales) aparece definido en la Exposición de Motivos de la Ley 19/2013, de 9 de diciembre, de transparencia, acceso a la información pública y buen gobierno (LTAIBG) que comienza recordando que “La transparencia, el acceso a la información pública y las normas de buen gobierno deben ser los ejes fundamentales de toda acción política. Sólo cuando la acción de los responsables públicos se somete a escrutinio, cuando los ciudadanos pueden conocer cómo se toman las decisiones que les afectan, cómo se manejan los fondos públicos o bajo qué criterios actúan nuestras instituciones podremos hablar del inicio de un proceso en el que los poderes públicos comienzan a responder a una sociedad que es crítica, exigente y que demanda participación de los poderes públicos”. De este modo, la finalidad de las normas de transparencia según se expresa en la LTAIBG –que, en todo caso, debe armonizarse con el respeto a lo establecido por el RGPD y la LOPDGD - es la de permitir a las personas conocer los mecanismos que intervienen en los procesos de toma de decisión por parte de los poderes públicos, así como la utilización que aquéllos hacen de los fondos presupuestarios, garantizándose así la participación de los ciudadanos en los asuntos públicos mediante un mejor conocimiento de la acción del Estado. Por tanto, con carácter general, habrá que entender que, en cuanto el acceso a la información contribuya a un mejor conocimiento de los criterios de organización y funcionamiento de las instituciones o a la asignación de los recursos, cabrá considerar la existencia de un interés público prevalente sobre los derechos a la protección de datos y a la intimidad en los términos y con las excepciones establecidas por la LTAIBG. Por el contrario, cuando la información no contribuya a un mayor C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/17 conocimiento de la organización y funcionamiento de las instituciones o de la asignación de los recursos públicos, prevalecerá el respeto a los derechos a la protección de datos o la intimidad. Aplicando este criterio a presente caso, se considera que se dieron a conocer datos no necesarios en relación con la finalidad del tratamiento -transparencia y participación ciudadana- pues la identidad del concreto denunciante no son datos relevantes a los efectos de alcanzar esos objetivos, toda vez que los mismos se cumplen omitiendo aquéllos. Por otro lado, su conocimiento por terceros podría generar riesgos para los derechos y libertades del reclamante, al permitir que sea conocido por el resto de los vecinos del municipio -y por cualquier persona, en cualquier momento y desde cualquier lugar, al estar publicado en internet- el hecho de que ha sido concretamente él el que ha denunciado al Ayuntamiento. Por tanto, se insiste, el conocimiento de la identidad concreta del denunciante no resulta ser relevante a los afectos de alcanzar el objetivo del interés público en la transparencia y en la participación ciudadana en los asuntos públicos, por lo que no resulta ser estrictamente necesario para alcanzar dicha finalidad. En relación a lo manifestado por el Ayuntamiento relativo a que, por indicación del DPD, iba a adoptar determinadas medidas, entre ellas la retirada provisional de la retransmisión plenaria hasta que se produzca la resolución del presente procedimiento sancionador, se pone de manifiesto que dicha sesión plenaria sigue estando en la actualidad publicada y accesible en el canal “RTV Jerez” de la plataforma YouTube, en internet. IV Artículo 5.1.
- f)del RGPD El artículo 5.1.
- f)“Principios relativos al tratamiento” del RGPD establece: “1. Los datos personales serán: (…)
- f)tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»).” Por su parte, el artículo 5 de la LOPDGDD, Deber de confidencialidad, señala lo siguiente: “1. Los responsables y encargados del tratamiento de datos, así como todas las personas que intervengan en cualquier fase de este estarán sujetas al deber de confidencialidad al que se refiere el artículo 5.1.
- f)del Reglamento (UE) 2016/679. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/17 2. La obligación general señalada en el apartado anterior será complementaria de los deberes de secreto profesional de conformidad con su normativa aplicable. 3.Las obligaciones establecidas en los apartados anteriores se mantendrán aun cuando hubiese finalizado la relación del obligado con el responsable o encargado del tratamiento”. En el presente caso, se ha producido una comunicación no autorizada de datos personales del reclamante relativos a la interposición de una denuncia ante el Tribunal de Cuentas Por tanto, se ha producido un acceso no autorizado o ilícito por terceros a datos personales. Ello supone una vulneración de la obligación de garantizar la confidencialidad de los datos, poniendo de manifiesto un incumplimiento de la obligación de tratarlos de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito. Por todo lo expuesto y de conformidad con las evidencias de las que se dispone, se considera que los hechos conocidos son constitutivos de una infracción, imputable al Ayuntamiento, por vulneración del artículo 5.1.
- f)del RGPD. V Tipificación de la infracción del artículo 5.1.
- f)del RGPD La citada infracción del artículo 5.1.
- f)del RGPD supone la comisión de las infracciones tipificadas en el artículo 83.5 del RGPD que bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
- a)Los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9; (…)” A este respecto, la LOPDGDD, en su artículo 71 “Infracciones” establece que “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A efectos del plazo de prescripción, el artículo 72 “Infracciones consideradas muy graves” de la LOPDGDD indica: “1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/17
- a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679. (…)” VI Propuesta de sanción por la infracción del artículo 5.1.
- f)del RGPD Sin perjuicio de lo dispuesto en el artículo 83.5 del RGPD, el citado artículo dispone en su apartado 7 lo siguiente: “7. Sin perjuicio de los poderes correctivos de las autoridades de control en virtud del artículo 58, apartado 2, cada Estado miembro podrá establecer normas sobre si se puede, y en qué medida, imponer multas administrativas a autoridades y organismos públicos establecidos en dicho Estado miembro”. Por su parte, el artículo 77 “Régimen aplicable a determinadas categorías de responsables o encargados del tratamiento” de la LOPDGDD dispone lo siguiente: “1. El régimen establecido en este artículo será de aplicación a los tratamientos de los que sean responsables o encargados:
- c)La Administración General del Estado, las Administraciones de las comunidades autónomas y las entidades que integran la Administración Local. 2. Cuando los responsables o encargados enumerados en el apartado 1 cometiesen alguna de las infracciones a las que se refieren los artículos 72 a 74 de esta ley orgánica, la autoridad de protección de datos que resulte competente dictará resolución declarando la infracción y estableciendo, en su caso, las medidas que proceda adoptar para que cese la conducta o se corrijan los efectos de la infracción que se hubiese cometido, con excepción de la prevista en el artículo 58.2.i del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016. La resolución se notificará al responsable o encargado del tratamiento, al órgano del que dependa jerárquicamente, en su caso, y a los afectados que tuvieran la condición de interesado, en su caso. 3. Sin perjuicio de lo establecido en el apartado anterior, la autoridad de protección de datos propondrá también la iniciación de actuaciones disciplinarias cuando existan indicios suficientes para ello. En este caso, el procedimiento y las sanciones a aplicar serán las establecidas en la legislación sobre régimen disciplinario o sancionador que resulte de aplicación. Asimismo, cuando las infracciones sean imputables a autoridades y directivos, y se acredite la existencia de informes técnicos o recomendaciones para el tratamiento que no hubieran sido debidamente atendidos, en la resolución en la que se imponga la sanción se incluirá una amonestación con denominación del cargo responsable y se ordenará la publicación en el Boletín Oficial del Estado o autonómico que corresponda. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/17 4. Se deberán comunicar a la autoridad de protección de datos las resoluciones que recaigan en relación con las medidas y actuaciones a que se refieren los apartados anteriores. 5. Se comunicarán al Defensor del Pueblo o, en su caso, a las instituciones análogas de las comunidades autónomas las actuaciones realizadas y las resoluciones dictadas al amparo de este artículo.” A tenor de los hechos expuestos, se considera que corresponde imputar una sanción al Ayuntamiento por la vulneración del artículo 5.1
- f)del RGPD, tipificada en el Artículo 83.5 del RGPD. La sanción que corresponde imponer es la declaración de infracción. VII Artículo 32 del RGPD El Artículo 32 “Seguridad del tratamiento” del RGPD establece: “1. Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, que en su caso incluya, entre otros:
- a)la seudonimización y el cifrado de datos personales;
- b)la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento;
- c)la capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente físico o técnico;
- d)un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento. 2. Al evaluar la adecuación del nivel de seguridad se tendrán particularmente en cuenta los riesgos que presente el tratamiento de datos, en particular como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos. 3. La adhesión a un código de conducta aprobado a tenor del artículo 40 o a un mecanismo de certificación aprobado a tenor del artículo 42 podrá servir de elemento para demostrar el cumplimiento de los requisitos establecidos en el apartado 1 del presente artículo. 4. El responsable y el encargado del tratamiento tomarán medidas para garantizar que cualquier persona que actúe bajo la autoridad del responsable o del encargado y tenga acceso a datos personales solo pueda tratar dichos datos siguiendo C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/17 instrucciones del responsable, salvo que esté obligada a ello en virtud del Derecho de la Unión o de los Estados miembros”. El artículo 32 no establece medidas de seguridad estáticas, sino que corresponderá al responsable determinar aquellas medidas de seguridad que son necesarias para garantizar la confidencialidad, la integridad y la disponibilidad de los datos personales. El principio de seguridad de los datos requiere la aplicación de medidas técnicas u organizativas apropiadas en el tratamiento de los datos personales para proteger dichos datos contra el acceso, uso, modificación, difusión, pérdida, destrucción o daño accidental, no autorizado o ilícito. En este sentido, las medidas de seguridad son claves a la hora de garantizar el derecho fundamental a la protección de datos. No es posible la existencia del derecho fundamental a la protección de datos si no es posible garantizar la confidencialidad, la integridad y la disponibilidad de estos. No debe olvidarse que, de conformidad con el artículo 32.1 del RGPD, las medidas técnicas y organizativas a aplicar para garantizar un nivel de seguridad adecuado al riesgo deben tener en cuenta el estado de la técnica, los costes de aplicación, la naturaleza, el alcance, el contexto y los fines del tratamiento, así como los riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas. En este sentido, procede señalar que la actividad de la reclamada conlleva el tratamiento de numerosos datos personales (de ciudadanos vecinos del municipio y de sus trabajadores) y de forma continua. Por ello, derivado de la actividad a la que se dedica y de los datos personales que trata, está obligada realizar un análisis de los riesgos y una implantación de medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo de su actividad para los derechos y libertades de las personas. En el presente caso, no cabe afirmar que el Ayuntamiento contase con las medidas apropiadas para evitar el incidente, puesto que se habría producido una comunicación no autorizada de datos personales del reclamante relativos a la interposición de una denuncia ante el Tribunal de Cuentas, lo cual pone en evidencia la falta de medidas técnicas y organizativas adecuadas o la inobservancia o ineficacia de las que tuviera implantadas. Por todo lo expuesto y de conformidad con las evidencias de las que se dispone, se considera que los hechos conocidos son constitutivos de una infracción, imputable al Ayuntamiento, por vulneración del artículo 32 del RGPD. VIII Tipificación de la infracción del artículo 32 del RGPD La citada infracción del artículo 32 del RGPD supone la comisión de las infracciones tipificadas en el artículo 83.4 del RGPD que bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/17 “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 10 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 2 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
- a)las obligaciones del responsable y del encargado a tenor de los artículos 8, 11, 25 a 39, 42 y 43; (…)” A este respecto, la LOPDGDD, en su artículo 71 “Infracciones” establece que: “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A efectos del plazo de prescripción, el artículo 73 “Infracciones consideradas graves” de la LOPDGDD indica: “En función de lo que establece el artículo 83.4 del Reglamento (UE) 2016/679 se consideran graves y prescribirán a los dos años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
- f)La falta de adopción de aquellas medidas técnicas y organizativas que resulten apropiadas para garantizar un nivel de seguridad adecuado al riesgo del tratamiento, en los términos exigidos por el artículo 32.1 del Reglamento (UE) 2016/679. IV Propuesta de sanción por la infracción del artículo 32 del RGPD Sin perjuicio de lo dispuesto en el artículo 83.5 del RGPD, el citado artículo dispone en su apartado 7 lo siguiente: “7. Sin perjuicio de los poderes correctivos de las autoridades de control en virtud del artículo 58, apartado 2, cada Estado miembro podrá establecer normas sobre si se puede, y en qué medida, imponer multas administrativas a autoridades y organismos públicos establecidos en dicho Estado miembro”. Por su parte, el artículo 77 “Régimen aplicable a determinadas categorías de responsables o encargados del tratamiento” de la LOPDGDD dispone lo siguiente: “1. El régimen establecido en este artículo será de aplicación a los tratamientos de los que sean responsables o encargados:
- b)La Administración General del Estado, las Administraciones de las comunidades autónomas y las entidades que integran la Administración Local. 2. Cuando los responsables o encargados enumerados en el apartado 1 cometiesen alguna de las infracciones a las que se refieren los artículos 72 a 74 de esta ley orgánica, la autoridad de protección de datos que resulte competente dictará C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/17 resolución declarando la infracción y estableciendo, en su caso, las medidas que proceda adoptar para que cese la conducta o se corrijan los efectos de la infracción que se hubiese cometido, con excepción de la prevista en el artículo 58.2.i del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016. La resolución se notificará al responsable o encargado del tratamiento, al órgano del que dependa jerárquicamente, en su caso, y a los afectados que tuvieran la condición de interesado, en su caso. 3. Sin perjuicio de lo establecido en el apartado anterior, la autoridad de protección de datos propondrá también la iniciación de actuaciones disciplinarias cuando existan indicios suficientes para ello. En este caso, el procedimiento y las sanciones a aplicar serán las establecidas en la legislación sobre régimen disciplinario o sancionador que resulte de aplicación. Asimismo, cuando las infracciones sean imputables a autoridades y directivos, y se acredite la existencia de informes técnicos o recomendaciones para el tratamiento que no hubieran sido debidamente atendidos, en la resolución en la que se imponga la sanción se incluirá una amonestación con denominación del cargo responsable y se ordenará la publicación en el Boletín Oficial del Estado o autonómico que corresponda. 4. Se deberán comunicar a la autoridad de protección de datos las resoluciones que recaigan en relación con las medidas y actuaciones a que se refieren los apartados anteriores. 5. Se comunicarán al Defensor del Pueblo o, en su caso, a las instituciones análogas de las comunidades autónomas las actuaciones realizadas y las resoluciones dictadas al amparo de este artículo.” A tenor de los hechos expuestos, se considera que corresponde imputar una sanción al Ayuntamiento por la vulneración del artículo 32 del RGPD, tipificada en el artículo 83.4 del RGPD. La sanción que corresponde imponer es la declaración de infracción. X Imposición de medidas Al haberse confirmado las infracciones, procede imponer al responsable la adopción medidas adecuadas para ajustar su actuación a la normativa mencionada en este acto, de acuerdo con lo establecido en el citado artículo 58.2
- d)del RGPD, según el cual cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…”. En concreto, la adopción de las medidas adecuadas tendentes a que se garantice la debida confidencialidad de los datos personales y que, en general, los tratamientos de datos personales que realiza cumplan con la normativa aplicable en materia de protección de datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/17 Se advierte que no atender la posible orden de adopción de medidas impuestas por este organismo en la resolución sancionadora podrá ser considerado como una infracción administrativa conforme a lo dispuesto en el RGPD, tipificada como infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la apertura de un ulterior procedimiento administrativo sancionador. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR que el AYUNTAMIENTO DE JEREZ DE LOS CABALLEROS, con NIF P0607000G, ha infringido lo dispuesto en los artículos 5.1.
- f)y 32 del RGPD, infracciones tipificadas, respectivamente, en los artículos 83.5 y 83.4 del RGPD. SEGUNDO: ORDENAR a AYUNTAMIENTO DE JEREZ DE LOS CABALLEROS, con NIF P0607000G, que en virtud del artículo 58.2.
- d)del RGPD, en el plazo de 2 meses desde que la presente resolución sea firme y ejecutiva, acredite haber procedido al cumplimiento de las medidas propuestas, consistentes en la adopción de las medidas adecuadas tendentes a que se garantice la debida confidencialidad de los datos personales y que, en general, los tratamientos de datos personales que realiza cumplan con la normativa aplicable en materia de protección de datos. SEGUNDO: NOTIFICAR la presente resolución a AYUNTAMIENTO DE JEREZ DE LOS CABALLEROS. TERCERO: COMUNICAR la presente resolución al Defensor del Pueblo, de conformidad con lo establecido en el artículo 77.5 de la LOPDGDD. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
- a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/17 escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-16012024 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es