PS-00427-2020

1/11  Procedimiento Nº: PS/00427/2020 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: D. A.A.A. (en adelante, el reclamante) con fecha 17/06/2020 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra AYUNTAMIENTO DE GIJÓN, con NIF P3302400A (en adelante, el reclamado). Los motivos en que basa la reclamación son, en síntesis: que el 14/02/2020 remitió correo electrónico al DPD del reclamado para consultar dónde se puede acceder al registro de actividades de tratamiento y si las actividades de tratamiento del Patronato Deportivo Municipal del citado Ayuntamiento (que no tiene declarado DPD) dependen del mismo DPD (el del Ayuntamiento), y dónde puede acceder a ellas. No consta respuesta del DPD. SEGUNDO: Con fecha 14/08/2020, la reclamación fue trasladada al reclamado, de conformidad con lo establecido en el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo, LOPDGDD), a fin de que procediera a su análisis, comunicara al reclamante de la decisión adoptada y aportara a esta Agencia información al respecto. El 22/09/2020 el reclamado remitió respuesta en la que expone las funciones del DPD, plazos de respuesta de las actuaciones que le competen, forma de contactar. Se desprende de esta respuesta que el Ayuntamiento no tiene establecido el registro de actividades de tratamiento. Por otra parte, señala que la consulta dirigida por el reclamante a la DPD no se produjo por los medios establecidos por la entidad local (web municipal u oficinas de atención ciudadana, según se explica en el vínculo “contacto con el Delegado de Protección de Datos”), por lo que no cabe entender que existió falta de respuesta. Y tampoco se produjo un incumplimiento de plazo, previsto únicamente a efectos de responder reclamaciones ex art.37 LOPDGDD; cuando el afectado se dirija a la DPD en reclamación, el plazo de respuesta será de dos meses o un mes, según se presente directamente o se reciba a través de la AEPD; y para lo que no sean reclamaciones (consultas, resolución de dudas, etc.), se trata de un procedimiento sin plazo fijado por lo que regirá el artículo 21.3 Ley 39/2015. Añade que es el responsable del tratamiento quien debe facilitar al interesado el acceso al registro de actividades de tratamiento y que dicho registro se encuentra en proceso de validación y publicación; que a fecha actual los trabajos relacionados con el registro de actividades de tratamiento aún no han alcanzado la fase de publicación, debido a las dilaciones derivadas del inicio de un nuevo mandato de la corporación y sus consecuentes reajustes competenciales, unidas a las dificultades de la actual C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/11 crisis sociosanitaria. TERCERO: El 16/11/2020, de conformidad con el artículo 65 de la LOPDGDD, la Directora de la Agencia Española de Protección de Datos acordó admitir a trámite la reclamación. CUARTO: El 25/01/2021 la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador al reclamado por la presunta infracción del artículo 30 del RGPD, tipificada en el artículo 83.4.

1. a)del citado RGPD. QUINTO: Notificado el acuerdo de inicio, con fecha 10/02/2021, el reclamado presentó escrito de alegaciones señalando, en síntesis, lo siguiente: . Señala el AYUNTAMIENTO DE GIJÓN que el 15/03/2019 se aprobó Hoja de Ruta para la adecuación a la nueva LOPDGDD, entre cuyas medidas se encontraba la elaboración del RAT, y adjunta un correo acerca de los trabajos preparatorios que lleva a cabo. Sobre esta cuestión manifiesta expresamente que “se han iniciado los trabajos aún cuando no se está en condiciones de hacerlo (el registro de actividades de tratamiento) accesible a la ciudadanía mediante su publicación”.; . Que la configuración del equipo de gobierno municipal a mediados de 2019 conllevó una serie de cambios en la organización interna municipal. Así, mediante acuerdo de la Junta de Gobierno Local de 28/07/2020, se aprobó la relación de puestos de trabajo, suprimiéndose el Servicio de Planificación y Modernización y creándose el Servicio de Estrategia y Coordinación de Recursos, a quien se atribuye la asistencia, respaldo técnico y material a la Delegada de Protección de Datos; . Que el reclamado ha tenido limitado en los últimos años el incremento de plantilla y dificultades en el desempeño óptimo de los servicios, a lo que se ha unido la actual crisis sociosanitaria derivada del COVI-19, que ha provocado retrasos en algunos procesos en función de necesidades más perentorias y urgentes; . Que, no obstante, ha decidido dar un impulso e implementación de las políticas de seguridad y protección de datos licitando un contrato, actualmente en tramitación, para las soluciones de gestión de la seguridad perimetral, correlación de eventos de seguridad, capacitación en medidas de seguridad, adaptación al Esquema Nacional de Seguridad (ENS) y al Reglamento General de Protección de datos (RGPD); . Que la inmadurez del RAT, que impide su publicación, contrasta con el compromiso del reclamado con la protección de los derechos de los menores, habiendo adoptado medidas encaminadas a asegurar de forma proactiva la protección de los menores en su relación con la entidad. SEXTO: Con fecha 02/03/2021 se inició un período de práctica de pruebas, acordándose las siguientes - Dar por reproducidos a efectos probatorios la reclamación interpuesta por el reclamante y su documentación, los documentos obtenidos y generados por los Servicios de Inspección que forman parte del expediente E/06737/2020. - Dar por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/11 presentadas por el reclamado y la documentación que acompaña. SEPTIMO: Con fecha 03/06/2021 se formuló propuesta de resolución en el sentido de que por la Directora de la Agencia Española de Protección de Datos se dirija un apercibimiento a la entidad AYUNTAMIENTO DE GIJÓN, por una infracción de los artículos 30 del RGPD y 31 de la LOPDGDD, tipificada en el Artículo 83.4.
2. a)del RGPD. Asimismo, se propuso que por la Directora de la Agencia Española de Protección de Datos se requiera al AYUNTAMIENTO DE GIJÓN para que, en el plazo que se determine, adopte las medidas necesarias para adecuar su actuación a la normativa de protección de datos personales, con el alcance expresado en los Fundamentos de Derechos de la citada propuesta de resolución. OCTAVO: Notificada a la entidad AYUNTAMIENTO DE GIJÓN la propuesta de resolución, con fecha 17/06/2021 se recibió en esta Agencia escrito de alegaciones en el que solicita que se tengan por atendidas las obligaciones respecto del registro de actividades de tratamiento y se acuerde el archivo de las actuaciones en base a las consideraciones siguientes: . Cuestiona lo expresado en el Hecho Probado Segundo, por entender que no recoge las circunstancias expresadas en las alegaciones formuladas al acuerdo de inicio del procedimiento. Considera que ha de tenerse en cuenta el proceso de adaptación al RGPD. . De conformidad con el Considerando 82 del RGPD, el registro de actividades de tratamiento es un instrumento para probar que la actuación del responsable cumple la normativa, de modo que la mera ausencia de publicidad de este inventario de actividades no implica un incumplimiento. Lo contrario supondría una suerte de responsabilidad objetiva. . De la misma forma, los criterios para la imposición de multa establecidos en el artículo 83 del RGPD también son reveladores de la inexistencia de conducta sancionable, incluidos los medios y medidas implementadas, así como las prácticas de tratamiento del Patronato Deportivo Municipal que se aportaron como ejemplificativas, acordes con el RGPD y con el principio de responsabilidad proactiva. . En todo caso, con fecha 04/06/2021, por Resolución de la Alcaldía se aprobó la “Instrucción 2/2021, del Registro de actividades de tratamiento de datos personales”, según el cual el Inventario de actividades de tratamiento será propuesto por la Dirección General de Servicios para su definitiva aprobación por Resolución de Alcaldía y publicación. El Inventario será accesible por medios electrónicos en diversos medios y canales oficiales (Boletín Oficial del Principado de Asturias, web municipal de transparencia y en la Intranet municipal); y se mantendrá actualizado. Y con fecha 16/06/2021 ha sido aprobado finalmente dicho “Inventario del registro de actividades de tratamiento de datos personales” por Resolución de la Alcaldía, y publicado por escrito y en formato electrónico, como puede comprobarse a través de la web “gijon.es” (url “https://www.gijon.es/es/publicaciones/inventario-del-registro-deactividades-de-tratamiento-de-datos-personales”). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/11 Según indica la reclamada, este Inventario, que está sometido a un proceso de adaptación y mejora continua, agrupa los tratamientos por materias comunes y propias de áreas, servicios o unidades administrativas, ascendiendo las mismas a un total de cuarenta y cinco categorías, en la que se comprenden también las que guardan relación con la reclamación e inicio del presente procedimiento sancionador, respecto al Patronato Municipal de Deportes. El escrito de alegaciones incluye un enlace al citado “Inventario”, en su edición inicial, el cual resulta accesible a través de la url antes reseñada. Se comprueba que para cada actividad de tratamiento se detalla su finalidad, base jurídica, categoría de datos personales, categoría de interesados, destinatarios de las comunicaciones, transferencias internacionales, plazos de conservación y medidas técnicas y organizativas. Se detalla, asimismo, la identidad del responsable del tratamiento (AYUNTAMIENTO DE GIJÓN) y los datos de contacto de la Delegada de Protección de Datos. De las actuaciones practicadas en el presente procedimiento, han quedado acreditados los siguientes: HECHOS PROBADOS PRIMERO: El 17/06/2020 tiene entrada en la Agencia Española de Protección de Datos escrito del reclamante manifestando que el 14-02-2020 remitió correo electrónico al DPD del reclamado para consultar dónde se puede acceder al Registro de las Actividades de Tratamiento de la entidad. SEGUNDO: A fecha actual, el Ayuntamiento de Gijón no dispone del Registro de Actividades de Tratamiento. La propia entidad reclamada, en los escritos que ha dirigido a la Agencia Española de Protección de Datos con ocasión de la reclamación reseñada en el Hecho Probado Primero, ha reconocido que el Registro de Actividades de Tratamiento se encuentra en proceso de validación y que los trabajos relacionados con dicho Registro no han alcanzado la fase de publicación. FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de control, y según lo establecido en los artículos 47 y 48 de la LOPDGDD, la Directora de la Agencia Española de Protección de Datos es competente para iniciar y para resolver este procedimiento. II Los hechos reclamados se materializan en la ausencia del Registro de Actividades de Tratamiento por parte del reclamado. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/11 El artículo 30, “Registro de las actividades de tratamiento”, del RGPD establece que: “1. Cada responsable y, en su caso, su representante llevará un registro de las actividades de tratamiento efectuadas bajo su responsabilidad. Dicho registro deberá contener toda la información indicada a continuación:
3. a)el nombre y los datos de contacto del responsable y, en su caso, del corresponsable, del representante del responsable, y del delegado de protección de datos;
4. b)los fines del tratamiento;
5. c)una descripción de las categorías de interesados y de las categorías de datos personales;
6. d)las categorías de destinatarios a quienes se comunicaron o comunicarán los datos personales, incluidos los destinatarios en terceros países u organizaciones internacionales;
7. e)en su caso, las transferencias de datos personales a un tercer país o una organización internacional, incluida la identificación de dicho tercer país u organización internacional y, en el caso de las transferencias indicadas en el artículo 49, apartado 1, párrafo segundo, la documentación de garantías adecuadas;
8. f)cuando sea posible, los plazos previstos para la supresión de las diferentes categorías de datos;
9. g)cuando sea posible, una descripción general de las medidas técnicas y organizativas de seguridad a que se refiere el artículo 32, apartado 1. 2. Cada encargado y, en su caso, el representante del encargado, llevará un registro de todas las categorías de actividades de tratamiento efectuadas por cuenta de un responsable que contenga:
10. a)el nombre y los datos de contacto del encargado o encargados y de cada responsable por cuenta del cual actúe el encargado, y, en su caso, del representante del responsable o del encargado, y del delegado de protección de datos;
11. b)las categorías de tratamientos efectuados por cuenta de cada responsable;
12. c)en su caso, las transferencias de datos personales a un tercer país u organización internacional, incluida la identificación de dicho tercer país u organización internacional y, en el caso de las transferencias indicadas en el artículo 49, apartado 1, párrafo segundo, la documentación de garantías adecuadas;
13. d)cuando sea posible, una descripción general de las medidas técnicas y organizativas de seguridad a que se refiere el artículo 30, apartado 1. 3. Los registros a que se refieren los apartados 1 y 2 constarán por escrito, inclusive en formato electrónico. 4. El responsable o el encargado del tratamiento y, en su caso, el representante del responsable o del encargado pondrán el registro a disposición de la autoridad de control que lo solicite. 5. Las obligaciones indicadas en los apartados 1 y 2 no se aplicarán a ninguna empresa ni organización que emplee a menos de 250 personas, a menos que el tratamiento que realice pueda entrañar un riesgo para los derechos y libertades de los interesados, no sea ocasional, o incluya categorías especiales de datos personales indicadas en el artículo 9, apartado 1, o datos personales relativos a condenas e infracciones penales a que se refiere el artículo 10” . Por otra parte, el artículo 31 de la LOPDGDD establece lo siguiente: “1. Los responsables y encargados del tratamiento o, en su caso, sus representantes deberán mantener el registro de actividades de tratamiento al que se refiere el artículo 30 del Reglamento (UE) 2016/679, salvo que sea de aplicación la excepción prevista en su apartado C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/11 5. El registro, que podrá organizarse en torno a conjuntos estructurados de datos, deberá especificar, según sus finalidades, las actividades de tratamiento llevadas a cabo y las demás circunstancias establecidas en el citado reglamento. Cuando el responsable o el encargado del tratamiento hubieran designado un delegado de protección de datos deberán comunicarle cualquier adición, modificación o exclusión en el contenido del registro. 2. Los sujetos enumerados en el artículo 77.1 de esta ley orgánica harán público un inventario de sus actividades de tratamiento accesible por medios electrónicos en el que constará la información establecida en el artículo 30 del Reglamento (UE) 2016/679 y su base legal”. III Las normas citadas establecen la obligación de los responsables y encargados del tratamiento de datos personales de llevar un registro de las actividades del tratamiento. Además, tratándose de los sujetos enumerados en el artículo 77.1 de la LOPDGDD, entre los que se incluyen las entidades que integran la Administración Local, como el reclamado, se obliga también a hacer público dicho registro y accesible por medios electrónicos. En este caso, la documentación obrante en el expediente acredita que el reclamado vulneró el artículo 30 del RGPD, “Registro de las actividades de tratamiento”, al no haber elaborado y publicado este registro hasta junio de 2021. Según consta en el escrito de alegaciones a la propuesta y en la documentación que adjunta, el “Inventario del registro de actividades de tratamiento de datos personales” del AYUNTAMIENTO DE GIJÓN se aprobó mediante Resolución de la Alcaldía e 16/06/2021. El propio reclamado, con anterioridad al citado trámite de audiencia, había reconocido que corresponde al responsable del tratamiento facilitar al interesado el acceso al RAT; y que, en su caso, dicho registro se encontraba en proceso de validación, sin que, a la fecha en que formula sus alegaciones a la apertura del procedimiento, los trabajos relacionados con dicho registro hubiesen alcanzado la fase de publicación. Y planteó estas alegaciones iniciales a la apertura de acuerdo con este hecho, señalando que ello era debido a dilaciones derivadas del inicio de un nuevo mandato de la corporación municipal a mediados de 2019, de sus consecuentes reajustes competenciales y de las dificultades provocadas por la actual crisis sociosanitaria. Según la entidad reclamada, la configuración del equipo de Gobierno Municipal a mediados de 2019, motivado por las elecciones locales, conllevó una serie de cambios en la organización interna municipal. Por medio del Acuerdo de Junta de Gobierno Local, de 28/07/2020, se aprobó la vigente relación de puesto de trabajo, suprimiéndose el Servicio de Planificación y Modernización y creándose el Servicio de Estrategia y Coordinación de Recursos, a quien se le atribuye, entre otros, la asistencia, respaldo técnico y material a la Delegada de Protección de Datos para el desempeño de sus funciones. Por otra parte, señaló el reclamado que ha visto como en los últimos años por C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/11 circunstancias determinadas se han impuesto una serie de limitaciones y dificultades en el desempeño óptimo de los servicios, a lo que ha venido a unirse la actual crisis sociosanitaria derivada del COVI-19, que ha provocado retrasos en algunos procesos en marcha, en función de necesidades más perentorias y urgentes. Explicó el reclamado que el 15/03/2019 aprobó la “Hoja de Ruta” para la adecuación a la nueva LOPDGDD, entre cuyas medidas se encontraba la elaboración del registro de actividades de tratamiento, y manifestó expresamente que no se encontraba en condiciones de hacerlo accesible a los ciudadanos mediante su publicación. También informó que las políticas de seguridad y protección de datos estaban siendo impulsadas mediante la licitación de un contrato para tratar de dar soluciones de gestión derivada de la seguridad perimetral, correlación de eventos de seguridad, capacitación en medidas de seguridad, adaptación al Esquema Nacional de Seguridad (ENS) y al RGPD, actualmente en tramitación. Por último, señalo que la “inmadurez” actual del registro de actividades de tratamiento impedían su publicación. En definitiva, el reclamado, en sus respuestas a este organismo, adjuntó pruebas que mostrarían la existencia de los trabajos preparatorios de elaboración del indicado registro, si bien tales trabajos no habían finalizado en el momento en que se inicia el presente procedimiento, de modo que dicho Registro no había sido elaborado a esa fecha, ni tampoco en el momento en que se presentan las alegaciones a la apertura. Se admitía expresamente que no se encontraba en condiciones de hacer accesible el registro de actividades de tratamiento a los ciudadanos mediante su publicación. A estas circunstancias se hace referencia en el Hecho Probado Segundo, que resulta de la información facilitada por la propia entidad reclamada. No se entienden, en consecuencia, que las alegaciones a la propuesta de resolución cuestionen lo expresado en este hecho probado. En cuanto a las circunstancias alegadas para justificar esta demora en la adaptación al RGPD, la propuesta de resolución advirtió al reclamado que dicho Reglamento se encuentra vigente desde el 24/05/2016 y plenamente aplicable desde el 25/05/2018. Por tanto, la obligación de elaborar el registro de actividades de tratamiento es muy anterior a la constitución de la nueva corporación municipal y al estallido de la pandemia. Si el citado Ayuntamiento reclamado, para salvar las limitaciones alegadas, inició recientemente los trámites para la licitación de un contrato que tiene por objeto el desarrollo de las tareas necesarias para cumplir aquella adaptación al RGPD, bien podía haber formalizado dicha contratación años antes. Por otra parte, en su escrito de alegaciones a la propuesta de resolución, la entidad reclamada considera que la falta de publicidad del registro de actividades de tratamiento no implica un incumplimiento, teniendo en cuenta que este registro se configura en el Considerando 82 del RGPD únicamente como un instrumento “