PS-00441-2022

1/29  Expediente N.º: EXP202205523 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: A.A.A. (en adelante, la parte reclamante) con fecha 6 de abril de 2022 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra el AYUNTAMIENTO DE CHINCHÓN con NIF P2805200I (en adelante el Ayuntamiento). Los motivos en que basa la reclamación son los siguientes: Manifiesta que el Ayuntamiento ha publicado en su sitio web los presupuestos para el año 2021 y que en el citado documento consta una relación en la que figuran todos los puestos de trabajo junto a la identidad de la persona que los ocupa (nombre y apellidos). A su vez, se facilita la siguiente información: situación de la plaza (funcionario fijo, interino, laboral, grupo de pertenencia a la administración), sueldo base, complemento de destino, complemento específico, trienios, sueldo, seguridad social y la cantidad total de remuneraciones abonadas por el puesto de trabajo. Afirma que solicitó verbalmente que se retirase dicha relación ya que había recibido numerosas quejas de los trabajadores y que el Ayuntamiento se negó a retirar el citado documento. La parte reclamante es el Delegado de Protección de Datos del Ayuntamiento. El 10/12/21 la parte reclamante formuló una consulta a esta Agencia Española de Protección de Datos (en adelante AEPD) en relación con los citados hechos. Junto a la reclamación se aporta: - Copia del documento publicado Escrito de la consulta formulada a la AEPD el 10 de diciembre de 2021. Respuesta dada por la AEPD a la consulta, de fecha 23 de febrero de 2022. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación al Ayuntamiento, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/29 Públicas (en adelante, LPACAP), fue recogido en fecha 12 de mayo de 2022 como consta en el acuse de recibo que obra en el expediente. No se ha recibido respuesta a este escrito de traslado. TERCERO: Mediante escrito de 4 de julio de 2022, se reiteró el traslado de la reclamación y solicitud de información al Ayuntamiento, el cual se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 12 de julio de 2022, como consta en el acuse de recibo que obra en el expediente. No se ha recibido respuesta a este escrito de traslado. CUARTO: Con fecha 6 de julio de 2022, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. QUINTO: Con fecha 27 de junio de 2023, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por la presunta infracción del Artículo 5.1.

1. f)del RGPD y Artículo 32 del RGPD, tipificada en el Artículo 83.5 del RGPD y Artículo 83.4 del RGPD. SEXTO: Notificado el citado acuerdo de inicio conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), la parte reclamada presentó escrito de alegaciones en el que transcribe el contenido literal de un informe del Secretario del Ayuntamiento solicitado al efecto en el que, en síntesis, manifiesta lo siguiente. Primero: Alega el Ayuntamiento que en el presente caso se procedió, sobre la base de aprobación inicial del presupuesto municipal, a la publicación de la plantilla de personal del Ayuntamiento. Así, indica el Ayuntamiento que, en este sentido, hay que tener en cuenta varias cuestiones que se suscitan en el presente caso: La primera de ellas es el artículo 45.1 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas que establece que: “1. Los actos administrativos serán objeto de publicación cuando así lo establezcan las normas reguladoras de cada procedimiento o cuando lo aconsejen razones de interés público apreciadas por el órgano competente. En todo caso, los actos administrativos serán objeto de publicación, surtiendo ésta los efectos de la notificación, en los siguientes casos: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/29
2. a)Cuando el acto tenga por destinatario a una pluralidad indeterminada de personas o cuando la Administración estime que la notificación efectuada a un solo interesado es insuficiente para garantizar la notificación a todos, siendo, en este último caso, adicional a la individualmente realizada”. En este sentido, indica el Ayuntamiento que el documento plantilla va dirigido a una pluralidad de interesados, como es en el presente caso, que va dirigido a los trabajadores para que, en caso de observar discrepancias en su salario, puedan alegar si existe algún error y corregirlo en la aprobación definitiva, como se produjo en el presente caso por al menos un trabajador y es modificado en la aprobación definitiva. Todo ello, con las precisiones de que, en cuanto a su impugnación, se mantiene que la plantilla tiene naturaleza jurídica de disposición de carácter general, por lo que no cabe contra su aprobación interponer recurso de reposición, y ha de acudirse directamente a la jurisdicción contencioso- administrativa. Para ello, trae el Ayuntamiento a colación la STS de 13 de marzo de 2012, por ejemplo, señala con toda claridad que «el Presupuesto General de una Entidad Local, al que ha de unirse el anexo del personal a su servicio en el que se determina su Plantilla Orgánica, no constituye un acto administrativo, sino, más bien, una disposición de carácter general». Y según la STSJ de Castilla La Mancha de fecha 9 de julio de 2012, «lo primero que cabe advertir, en lo atinente a la inadmisión del recurso de reposición acordada por el Ayuntamiento demandado, es que tal inadmisión se fundamenta en que la Plantilla de Personal tiene naturaleza jurídica de disposición de carácter general, de reglamento local, como así lo dice la SSTS de 26 de diciembre de 1990, 24 de enero de 1995 y 28 de septiembre de 1998.» Señala también el Ayuntamiento que el artículo 168.1 del Real Decreto Legislativo 2/2004, de 5 de marzo, por el que se aprueba el texto refundido de la Ley Reguladora de las Haciendas Locales referente al procedimiento de elaboración y aprobación inicial indica que: “1. El presupuesto de la Entidad Local será formado por su Presidente y a él habrá de unirse la siguiente documentación:
3. a)Memoria explicativa de su contenido y de las principales modificaciones que presente en relación con el vigente.
4. b)Liquidación del presupuesto del ejercicio anterior y avance de la del corriente, referida, al menos, a seis meses del ejercicio corriente.
5. c)Anexo de personal de la Entidad Local.
6. d)Anexo de las inversiones a realizar en el ejercicio.
7. e)Anexo de beneficios fiscales en tributos locales conteniendo información detallada de los beneficios fiscales y su incidencia en los ingresos de cada Entidad Local.
8. f)Anexo con información relativa a los convenios suscritos con las Comunidades Autónomas en materia de gasto social, con especificación de la cuantía de las obligaciones de pago y de los derechos económicos que se deben reconocer en el ejercicio al que se refiere el presupuesto general y de las obligaciones pendientes de pago y derechos económicos pendientes de cobro, reconocidos en ejercicios anteriores, así como de la aplicación o partida presupuestaria en la que se recogen, y la referencia a que dichos convenios C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/29 incluyen la cláusula de retención de recursos del sistema de financiación a la que se refiere el artículo 57 bis de la Ley 7/1985, de 2 de abril, reguladora de las Bases del Régimen Local.
9. g)Un informe económico-financiero, en el que se expongan las bases utilizadas para la evaluación de los ingresos y de las operaciones de crédito previstas, la suficiencia de los créditos para atender el cumplimiento de las obligaciones exigibles y los gastos de funcionamiento de los servicios y, en consecuencia, la efectiva nivelación del presupuesto”. En este sentido, indica el Ayuntamiento que el artículo 169.1 del Real Decreto Legislativo 2/2004, de 5 de marzo, por el que se aprueba el texto refundido de la Ley Reguladora de las Haciendas Locales dice que: “Aprobado inicialmente el presupuesto general, se expondrá al público, previo anuncio en el boletín oficial de la provincia o, en su caso, de la comunidad autónoma uniprovincial, por 15 días, durante los cuales los interesados podrán examinarlos y presentar reclamaciones ante el Pleno. El presupuesto se considerará definitivamente aprobado si durante el citado plazo no se hubiesen presentado reclamaciones; en caso contrario, el Pleno dispondrá de un plazo de un mes para resolverlas.” El Real Decreto Legislativo 781/1986, de 18 de abril, por el que se aprueba el texto refundido de las disposiciones legales vigentes en materia de Régimen Local en los artículos 126.1 y 4 y 127 indican: “Art. 126. 1. Las plantillas, que deberán comprender todos los puestos de trabajo debidamente clasificados reservados a funcionarios, personal laboral y eventual, se aprobarán anualmente con ocasión de la aprobación del Presupuesto y habrán de responder a los principios enunciados en el artículo 90.1 de la Ley 7/1985, de 2 de abril. A ellas se unirán los antecedentes, estudios y documentos acreditativos de que se ajustan a los mencionados principios”. ……… 4. Las relaciones de los puestos de trabajo, que tendrán en todo caso el contenido previsto en la legislación básica sobre función pública, se confeccionarán con arreglo a las normas previstas en el artículo 90.2 de la Ley 7/1985, de 2 de abril”. “Art. 127. Una vez aprobada la plantilla y la relación de puestos de trabajo, se remitirá copia a la Administración del Estado y, en su caso, a la de la Comunidad Autónoma respectiva, dentro del plazo de treinta días, sin perjuicio de su publicación íntegra en el «Boletín Oficial de la Provincia», junto con el resumen del Presupuesto”. Por tanto, concluye el Ayuntamiento que el documento se publica para que los interesados puedan realizar alegaciones, las cuales si no están identificados no las podrían interponer. Asimismo, recuerda el Ayuntamiento que la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales establece en C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/29 su Disposición adicional séptima referente a la identificación de los interesados en las notificaciones por medio de anuncios y publicaciones de actos administrativos que: “Cuando sea necesaria la publicación de un acto administrativo que contuviese datos personales del afectado, se identificará al mismo mediante su nombre y apellidos, añadiendo cuatro cifras numéricas aleatorias del documento nacional de identidad, número de identidad de extranjero, pasaporte o documento equivalente. Cuando la publicación se refiera a una pluralidad de afectados estas cifras aleatorias deberán alternarse”. A este respecto, señala el Ayuntamiento que en el presente caso únicamente se indican nombre y apellidos, sin incluir ningún número de DNI. Segundo: Alega el Ayuntamiento que también existe obligación de publicación activa. Así, señala que la siguiente cuestión es que nos encontramos ante empleados públicos lo que supone controversia con el propio artículo 105.c de la CE y la Ley 19/2013, de 9 de diciembre, de transparencia, acceso a la información pública y buen gobierno. En este sentido, indica el Ayuntamiento que procede examinar la interpretación del artículo 19.3 de la LTAIBG analizado en varias sentencias, entre las que cita la Sentencia del Tribunal Supremo del 15 de octubre de 2020, Res. 1338/2020 (Rec. 3846/2019) en la cual recuerda el artículo 15.1.b de la ley 30/1984 de 2 de agosto indicando que “las relaciones de puestos de trabajo incluirán en todo caso, la denominación, tipo y sistema de provisión de los mismos; los requisitos exigidos para su desempeño; el nivel de complemento de destino y, en su caso, el complemento específico que corresponda a los mismos, cuando hayan de ser desempeñados por personal funcionario, o la categoría profesional y régimen jurídico aplicable cuando sean desempeñados por personal laboral.” Y en su apartado 3º, señala que las relaciones de puestos de trabajo serán públicas. Indica el Ayuntamiento que, por su parte el apartado 2º del artículo 15 de la Ley 19/2013, de 9 de diciembre de Transparencia, Acceso a la información Pública y Buen Gobierno, dispone: "2. Con carácter general, y salvo que en el caso concreto prevalezca la protección de datos personales y otros derechos constitucionalmente protegidos sobre el interés público en la divulgación que lo impida, se concederá el acceso a información que contenga datos meramente identificativos relacionados con la organización, funcionamiento o actividad pública del órgano". La citada sentencia añade que: “Cabe recordar aquí el Criterio Interpretativo CI/1/2015, de 24 de junio de 2015 del Consejo de Transparencia y buen Gobierno y de la Agencia de Protección de Datos sobre el alcance de las obligaciones de órganos, organismos y entidades del sector público estatal en materia de acceso a la información pública sobre sus Relaciones de Puestos de Trabajo (RPT), catálogos, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/29 plantillas orgánicas, etc, y las retribuciones de sus empleados o funcionarios, en el que se establecía: "A. En principio y con carácter general, la información referida a la RPT catálogo o plantilla orgánica con o sin identificación de los empleados o funcionarios públicos ocupantes de los puestos se consideran datos meramente identificativos relacionados con la organización, funcionamiento o actividad pública del órgano de modo que, conforme al artículo 15 número, de la Ley 19/2013 y salvo que en el caso concreto prevalezca la protección de datos personales u otros derechos constitucionalmente protegidos sobre el interés público en la divulgación, se concederá el acceso a la información". Precisamente sobre este Criterio Interpretativo, se ha pronunciado la Sala de los Social de este Tribunal Supremo, en la Sentencia de 16 de diciembre de 2019, en la que se examinó la obligación de la Administración General del Estado a facilitar a un sindicato los "listados de ocupación", que han de contener la relación concreta e individualizada de los puestos de trabajo de las Relaciones de Puestos de Trabajo, nombre y apellidos del titular del puesto, en su caso, y el domicilio del centro de trabajo al que está adscrito el puesto. Razona la aludida Sala de lo Social lo siguiente: "En el presente caso la parte demandada deniega la entrega de los listados por precisarse que en éstos figure el nombre y apellidos de los trabajadores, datos básicos que, sin duda, constituyen información precisa para su identificación y ubicación dentro de la estructura organizativa empresarial y que, por ello, resultan necesarios para el desenvolvimiento de la relación laboral correspondiente. Por consiguiente, estamos ante datos que no exigen del consentimiento del afectado para ser recabados por parte de la empresa. (...) Por consiguiente, estará justificado que la empresa comunique datos personales de los trabajadores a los representantes legales y/o sindicales a fin de que éstos puedan ejercer las competencias que la ley les confiere siendo este un escenario que se ajusta a la excepción del art. 11.2
10. a)LOPD. Parece evidente que si, tanto el art. 64 ET, como el 10.3.1 LOLS confieren derechos de información y documentación a los representantes unitarios y sindicales, la obtención de la misma por la comunicación de la empresa se hallará amparada por esa excepción cuando, efectivamente, se trate de datos que tengan directa conexión con el ejercicio de aquellas competencias. Pero en este caso, la necesidad de identificación de los trabajadores que ocupa cada una de los puestos que en la RTP se relaciona no resulta baladí, pues los elementos personales guardan relación con aspectos tales como la formación, titulación, y especialización, siendo también necesarios para delimitar las circunstancias de las vacantes, su cobertura, orden de prioridades, sistemas de sustitución y de promoción, etc." Señala el Ayuntamiento que se ha procedido a una publicación en sede propia para conocimiento de los trabajadores, y los mismos como empleados públicos sin incluir DNI, lo que entiende que es acorde con el Criterio interpretativo C1/001/2015 de 24 de junio de 2015 sobre el alcance de las obligaciones de los órganos, organismos y C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/29 entidades del sector público estatal en materia de acceso a la información pública sobre sus Relaciones de Puestos de Trabajo (RPT), catálogos, plantillas orgánicas, etc…y las retribuciones de sus empleados y funcionarios. Reseña el Ayuntamiento que el citado criterio interpretativo se establece en el criterio interpretativo 1, referente a la información referida a las RPT, catálogos, plantillas orgánicas, etc… de los órganos organismos públicos y entidades del sector público estatal enumerados en el artículo 2 de la LTAIBG. Así, señala el Ayuntamiento que el criterio interpretativo 1A indica que: "A. En principio y con carácter general, la información referida a la RPT catálogo o plantilla orgánica con o sin identificación de los empleados o funcionario públicos ocupantes de los puestos se consideran datos meramente identificativos relacionados con la organización, funcionamiento o actividad pública del órgano de modo que, conforme al artículo 15 número, de la Ley 19/2013 y salvo que en el caso concreto prevalezca la protección de datos personales u otros derechos constitucionalmente protegidos sobre el interés público en la divulgación, se concederá el acceso a la información". A este respecto, alega el Ayuntamiento que, en el presente caso, por parte del Delegado de protección de datos que actúa como denunciante no se informó si existe o puede existir algún caso de los establecidos en el criterio interpretativo 2B, que indica que: “Ello no obstante, y en todo caso:
11. a)La información -siempre en el supuesto de que resulte obligado facilitarla conforme a las reglas del apartado A- no se facilitará cuando el acceso suponga un perjuicio para uno o varios de los bienes enumerados en el artículo 14.1 de la LTAIBG y la limitación sea justificada, proporcionada a su objeto y finalidad de protección y haya tenido en cuenta las circunstancias del caso concreto, especialmente la concurrencia en el mismo de in interés superior que justifique el acceso.
12. b)Tampoco se facilitará cuando el acceso afecte a uno o varios empleados o funcionarios públicos que se en una situación de protección especial -p. ej. La de víctima de violencia de género o la de sujeto de una amenaza terrorista-, que pueda resultar agravada por la divulgación de la información relativa al puesto de trabajo que ocupan. En este último caso, si el órgano, organismo o entidad responsable de la información tuviera conocimiento o pudiera deducir razonablemente de la información de que dispusiese que alguno o alguno de los empleados concernidos por una solicitud de información pudiera hallarse en una situación de protección especial, deberá recabar de o los afectados la información necesaria para dilucidar si efectivamente se da el supuesto y proceder en consecuencia con la respuesta.”. Concluye, por tanto, el Ayuntamiento que parece que la publicación realizada es acorde a derecho, salvo que exista alguna causa del criterio interpretativo 2.B del Criterio interpretativo C1/001/2015 de 24 de junio de 2015, lo cual debería de haber C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/29 sido informado por el Delegado de Protección de Datos si tenía conocimiento de algún caso concreto, para proceder a ocultar los datos que procediesen en su caso, cuestión que no fue realizada por el mismo. Tercero Señala el Ayuntamiento que, en el presente caso, es el propio Delegado de Protección de Datos quien actúa como denunciante y que, asimismo, se observa que es quien ha recibido las notificaciones hasta la fecha, lo que ha impedido el derecho de defensa de este Ayuntamiento hasta el momento. Indica el Ayuntamiento que es el propio reclamante el responsable de protección de datos, el cual no asesoró fundando en derecho a la corporación para conjugar de forma correcta el derecho de protección de datos de los trabajadores con el derecho de acceso a la información regulado en la Ley19/2013, de 9 de diciembre, de transparencia, acceso a la información pública y buen gobierno. Indica el Ayuntamiento que lo anterior, se pone de manifiesto en la consulta realizada por el propio reclamante, la cual tras requerimiento de la AEPD no es contestada por el mismo, lo que previsiblemente da lugar a la apertura del presente expediente. Por todo ello, solicita el Ayuntamiento que se proceda al archivo del expediente sancionador en base a: - No haberse realizado las notificaciones al interesado por haber sido interferidas y recibidas por el propio denunciante. - Encontrarse la publicación amparada en lo analizado anteriormente y en concreto en base al Criterio interpretativo C1/001/2015 de 24 de junio de 2015 SÉPTIMO: Con fecha 13 de mayo de 2024, se formuló propuesta de resolución, en la que se propone que por la Directora se declare que el AYUNTAMIENTO DE CHINCHÓN, con NIF P2805200I, ha infringido lo dispuesto en el Artículo 5.1.
13. f)del RGPD y Artículo 32 del RGPD, tipificadas en el Artículo 83.5 del RGPD y Artículo 83.4 del RGPD, respectivamente. Esta propuesta de resolución fue notificada electrónicamente al Ayuntamiento. Así lo exige el artículo 14.2 de la Ley 39/2015 de Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP) conforme al cual “En todo caso estarán obligados a relacionarse a través de medios electrónicos con las Administraciones Públicas para la realización de cualquier trámite de un procedimiento administrativo, al menos, los siguientes sujetos:
14. a)Las personas jurídicas”. Obra en el expediente Certificado emitido por el Servicio de Dirección Electrónica Habilitada, que deja constancia del envío de la propuesta de resolución, notificación de la AEPD dirigida al Ayuntamiento, a través de ese medio siendo la fecha de puesta a disposición en la sede electrónica del organismo el 13 de mayo de 2024 y la fecha de rechazo automático el 24 de mayo de 2024. El artículo 43.2. de la LPACAP establece que cuando la notificación por medios electrónicos sea de carácter obligatorio -como acontece en el presente caso- “se C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/29 entenderá rechazada cuando hayan transcurrido diez días naturales desde la puesta a disposición de la notificación sin que se acceda a su contenido.” Añadir que los artículos 41.5 y 41.1, párrafo tercero, de la LPACAP establecen, respectivamente, que: Cuando el interesado o su representante rechace la notificación de una actuación administrativa, se hará constar en el expediente especificándose las circunstancias del intento de notificación y el medio, dando por efectuado el trámite y siguiéndose el procedimiento. (El subrayado es de la AEPD) Con independencia del medio utilizado, las notificaciones serán válidas siempre que permitan tener constancia de su envío o puesta a disposición, de la recepción o acceso por el interesado o su representante, de sus fechas y horas, del contenido íntegro, y de la identidad fidedigna del remitente y del destinatario de la misma. La acreditación de la notificación efectuadas se incorporará al expediente. OCTAVO: El artículo 73.1 de la LPCAP determina que el plazo para formular alegaciones al Acuerdo de Inicio es de diez días computados a partir del siguiente al de la notificación. No se han presentado alegaciones a la propuesta de resolución. De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS PRIMERO: El Ayuntamiento de Chichón, en diciembre de 2021, publicó en su página Web los presupuestos para el año 2022. En el citado documento consta una relación en la que figuran todos los puestos de trabajo de los empleados del Ayuntamiento junto a la identidad de la persona que los ocupa (nombre y dos apellidos). Junto a dicha identificación se facilita también la siguiente información: -Denominación del puesto de trabajo que ocupa cada empleado -Situación de la plaza: “funcionario fijo”, “funcionario interino”, “laboral fijo asimilado” “laboral fijo asimilado” “asignación temporal asimilado” “asignación definitiva asimilado” “adscripción definitiva” “adscripción temporal”, y con indicación en todos ellos del grupo de pertenencia a la administración (A1, A2, C1, E, etc). -Importes anuales a percibir del sueldo base, complemento de destino, complemento específico -Cantidad anual a percibir por trienios y según los grupos de pertenencia a la administración que ocupan y han ocupado. -Cantidad anual a abonar a la seguridad social -Cantidad anual a percibir en concepto de “sueldo” -Cantidad anual total final de las remuneraciones a percibir por el puesto de trabajo. -Si están contratados a tiempo completo o a media jornada. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/29 SEGUNDO: El reclamante, además de aparecer en la relación publicada y estar, por tanto, afectado por el tratamiento indicado, es el Delegado de Protección de Datos del Ayuntamiento. TERCERO: El 10 de diciembre de 2021 el reclamante formuló una consulta a esta Agencia Española de Protección de Datos (en adelante AEPD) en relación con estos hechos, respondiendo la misma a título meramente informativo mediante escrito de 23 de febrero de 2022. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos. II Cuestiones previas En el presente caso, de acuerdo con lo establecido en el artículo 4.1 del RGPD, consta la realización de un tratamiento de datos personales, toda vez que el Ayuntamiento realiza, entre otros tratamientos, la recogida, registro, organización, estructuración, conservación, utilización, acceso, etc, de los siguientes datos personales de personas físicas, tales como: nombre y apellidos, número de identificación, datos de contacto, datos de empleo, datos de retribuciones, etc. El Ayuntamiento realiza esta actividad en su condición de responsable del tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del RGPD. III Alegaciones al acuerdo de inicio En respuesta a las alegaciones presentadas al Acuerdo de Inicio por la entidad reclamada se debe señalar lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/29 Primero: El Ayuntamiento justifica la publicación de la plantilla de personal sobre la base de que se estaba ante la aprobación inicial del presupuesto municipal para el ejercicio 2022, que por tener carácter de disposición general, diversa normativa que le aplica a la entidad local (Real Decreto Legislativo 781/1986, de 18 de abril, por el que se aprueba el texto refundido de las disposiciones legales vigentes en materia de Régimen Local; Real Decreto Legislativo 2/2004, de 5 de marzo, por el que se aprueba el texto refundido de la Ley Reguladora de las Haciendas Locales) exigen la publicación tanto de las plantillas, de las Relaciones de Puestos de Trabajo (RPT) como del proyecto del Presupuesto y del Presupuesto final del Ayuntamiento. Expresamente aduce el Ayuntamiento que como el artículo 169.1 del Real Decreto Legislativo 2/2004, de 5 de marzo, exige que antes de la aprobación definitiva del presupuesto, debe exponerse al público por 15 días para que los interesados puedan examinarlo y presentar reclamaciones, por lo que resultaba obligatorio publicar el documento en cuestión para que los interesados pudieran realizar alegaciones y que si no estuvieran identificados no las podrían interponer. Es por ello que sostiene el Ayuntamiento que la publicación del “documento plantilla” obedece, a que, de conformidad con el artículo 45.1 de la LPACAP, procedía la misma dado que va dirigida a una pluralidad de interesados (los trabajadores) para que, en el caso de observar discrepancias en su salario, puedan alegar si existe algún error y corregirlo antes de la aprobación definitiva, ya que como la plantilla de personal tiene naturaleza jurídica de disposición de carácter general no puede ser impugnada en vía administrativa, lo que exigiría acudir directamente a la jurisdicción contenciosoadministrativa. Además, señala el Ayuntamiento que únicamente se ha indicado el nombre y apellidos, sin incluir el D.N.I., cumpliendo así lo exigido por la Disposición Adicional Séptima de la LOPDGDD. A este respecto, procede aclarar y distinguir, por un lado, lo que debe publicarse por exigencias de la normativa aplicable en relación con la elaboración de los presupuestos de una Administración Pública, en este caso, una Entidad Local, así como las exigencias de publicidad de las plantillas, RPT y demás instrumentos afines y, por otro lado, la forma y las circunstancias en la que procede notificar, mediante publicación, actos administrativos. Así, el artículo 168.1 del Real Decreto Legislativo 2/2004, de 5 de marzo, por el que se aprueba el texto refundido de la Ley Reguladora de las Haciendas Locales referente al procedimiento de elaboración y aprobación inicial indica que: “1. El presupuesto de la Entidad Local será formado por su Presidente y a él habrá de unirse la siguiente documentación:
15. a)Memoria explicativa de su contenido y de las principales modificaciones que presente en relación con el vigente.
16. b)Liquidación del presupuesto del ejercicio anterior y avance de la del corriente, referida, al menos, a seis meses del ejercicio corriente.
17. c)Anexo de personal de la Entidad Local. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/29
18. d)Anexo de las inversiones a realizar en el ejercicio.
19. e)Anexo de beneficios fiscales en tributos locales conteniendo información detallada de los beneficios fiscales y su incidencia en los ingresos de cada Entidad Local.
20. f)Anexo con información relativa a los convenios suscritos con las Comunidades Autónomas en materia de gasto social, con especificación de la cuantía de las obligaciones de pago y de los derechos económicos que se deben reconocer en el ejercicio al que se refiere el presupuesto general y de las obligaciones pendientes de pago y derechos económicos pendientes de cobro, reconocidos en ejercicios anteriores, así como de la aplicación o partida presupuestaria en la que se recogen, y la referencia a que dichos convenios incluyen la cláusula de retención de recursos del sistema de financiación a la que se refiere el artículo 57 bis de la Ley 7/1985, de 2 de abril, reguladora de las Bases del Régimen Local.
21. g)Un informe económico-financiero, en el que se expongan las bases utilizadas para la evaluación de los ingresos y de las operaciones de crédito previstas, la suficiencia de los créditos para atender el cumplimiento de las obligaciones exigibles y los gastos de funcionamiento de los servicios y, en consecuencia, la efectiva nivelación del presupuesto”. El artículo 169.1 del citado Real Decreto Legislativo 2/2004 determina que: “Aprobado inicialmente el presupuesto general, se expondrá al público, previo anuncio en el boletín oficial de la provincia o, en su caso, de la comunidad autónoma uniprovincial, por 15 días, durante los cuales los interesados podrán examinarlos y presentar reclamaciones ante el Pleno. El presupuesto se considerará definitivamente aprobado si durante el citado plazo no se hubiesen presentado reclamaciones; en caso contrario, el Pleno dispondrá de un plazo de un mes para resolverlas.” El artículo 170 del citado Real Decreto Legislativo 2/2004, relativo a “Reclamación administrativa: legitimación activa y causas”, establece que: “1. A los efectos de lo dispuesto en el apartado 1 del artículo anterior, tendrán la consideración de interesados:
22. a)Los habitantes en el territorio de la respectiva entidad local.
23. b)Los que resulten directamente afectados, aunque no habiten en el territorio de la entidad local.
24. c)Los colegios oficiales, cámaras oficiales, sindicatos, asociaciones y demás entidades legalmente constituidas para velar por intereses profesionales o económicos y vecinales, cuando actúen en defensa de los que les son propios. 2. Únicamente podrán entablarse reclamaciones contra el presupuesto:
25. a)Por no haberse ajustado su elaboración y aprobación a los trámites establecidos en esta ley.
26. b)Por omitir el crédito necesario para el cumplimiento de obligaciones exigibles a la entidad local, en virtud de precepto legal o de cualquier otro título legítimo.
27. c)Por ser de manifiesta insuficiencia los ingresos con relación a los gastos presupuestados o bien de estos respecto a las necesidades para las que esté previsto”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/29 De lo expuesto se deduce que, a efectos de la elaboración del presupuesto de la entidad local, lo que se está regulando en estos preceptos es el trámite de información pública a que se tiene que someter dicho presupuesto antes de su aprobación definitiva, lo cual no obliga ni justifica en modo alguno la publicación del documento en cuestión con la información que contenía y con identificación del nombre y apellidos de los trabajadores de la entidad, tal y como se pretende. Por otro lado, respecto a la obligación de publicidad de los instrumentos técnicos en los que las administraciones públicas organizan y estructuran sus recursos humanos, como son las plantillas orgánicas o de personal, RPT y demás documentos o instrumentos similares, cualquiera que sea su denominación y que sirvan a la misma finalidad, la normativa aplicable al Ayuntamiento en cuestión indica lo siguiente: El Real Decreto Legislativo 781/1986, de 18 de abril, por el que se aprueba el texto refundido de las disposiciones legales vigentes en materia de Régimen Local en los artículos 126.1 y 4 y 127 indican: “Art. 126. 1. Las plantillas, que deberán comprender todos los puestos de trabajo debidamente clasificados reservados a funcionarios, personal laboral y eventual, se aprobarán anualmente con ocasión de la aprobación del Presupuesto y habrán de responder a los principios enunciados en el artículo 90.1 de la Ley 7/1985, de 2 de abril. A ellas se unirán los antecedentes, estudios y documentos acreditativos de que se ajustan a los mencionados principios”. ……… 4. Las relaciones de los puestos de trabajo, que tendrán en todo caso el contenido previsto en la legislación básica sobre función pública, se confeccionarán con arreglo a las normas previstas en el artículo 90.2 de la Ley 7/1985, de 2 de abril”. “Art. 127. Una vez aprobada la plantilla y la relación de puestos de trabajo, se remitirá copia a la Administración del Estado y, en su caso, a la de la Comunidad Autónoma respectiva, dentro del plazo de treinta días, sin perjuicio de su publicación íntegra en el «Boletín Oficial de la Provincia», junto con el resumen del Presupuesto”. Por su parte, el artículo 90.2 de la citada Ley 7/1985, de 2 de abril Reguladora de las Bases del Régimen Local, determina: “2. Las Corporaciones locales formarán la relación de todos los puestos de trabajo existentes en su organización, en los términos previstos en la legislación básica sobre función pública. Corresponde al Estado establecer las normas con arreglo a las cuales hayan de confeccionarse las relaciones de puestos de trabajo, la descripción de puestos de trabajo tipo y las condiciones requeridas para su creación, así como las normas básicas de la carrera administrativa, especialmente por lo C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/29 que se refiere a la promoción de los funcionarios a niveles y grupos superiores”. En cuanto al contenido de las RPT, el Real Decreto Legislativo 5/2015, de 30 de octubre, por el que se aprueba el texto refundido de la Ley del Estatuto Básico del Empleado Público, indica, en su artículo 74 Ordenación de los puestos de trabajo, lo siguiente: “Las Administraciones Públicas estructurarán su organización a través de relaciones de puestos de trabajo u otros instrumentos organizativos similares que comprenderán, al menos, la denominación de los puestos, los grupos de clasificación profesional, los cuerpos o escalas, en su caso, a que estén adscritos, los sistemas de provisión y las retribuciones complementarias. Dichos instrumentos serán públicos.” Por otro lado, el Ayuntamiento, al traer a colación la Sentencia del Tribunal Supremo de 15 de octubre de 2020 (Rec. 3846/2019) recuerda el artículo 15.1
28. b)de la Ley 30/1984, de 2 de agosto, de medidas para la reforma de la Función Pública (precepto que sigue vigente) que indica “
29. b)Las relaciones de puestos de trabajo indicarán, en todo caso, la denominación, tipo y sistema de provisión de los mismos; los requisitos exigidos para su desempeño; el nivel de complemento de destino y, en su caso, el complemento específico que corresponda a los mismos, cuando hayan de ser desempeñados por personal funcionario, o la categoría profesional y régimen jurídico aplicable cuando sean desempeñados por personal laboral.” De la lectura de los citados preceptos se refleja que las plantillas de personal y/o las RPT deben ser públicas. En cuanto a su contenido, se refiere a la denominación de los puestos, los grupos de clasificación profesional, los cuerpos o escala, los sistemas de provisión y las retribuciones complementarias (nivel de complemento de destino y, en su caso, el complemento específico que corresponda a los mismos, cuando hayan de ser desempeñados por personal funcionario), categoría profesional cuando sean desempeñados por personal laboral, etc. Es decir, a una descripción de los puestos de trabajo. Sin embargo, en ninguno de ellos ni se indica ni se exige la publicación de toda la información contenida en el documento publicado por el Ayuntamiento, y mucho menos con indicación del nombre y apellidos de las personas titulares de los puestos (los trabajadores). Además, parte de esa información se refiere a circunstancias laborales personales de los trabajadores (por ej, los trienios concretos que tiene reconocidos cada empleado y los grupos de pertenencia en los que los cumplieron, lo que refleja y permite conocer la carrera administrativa y antigüedad de cada empleado en concreto) y que son datos personales de los mismos y que ninguna Ley ni obliga ni permite su difusión mediante su publicación en internet. Todo ello pone de manifiesto una publicación de datos personales excesiva y no amparada por la Ley y que ha permitido el acceso por cualquier persona a los mismos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/29 Por otro lado, el Ayuntamiento argumenta que el “documento plantilla”, se publicó para que los empleados pudieran alegar la existencia de algún error o discrepancia y que ello se realizó conforme al artículo 45.1
30. a)LPACAP, ya que va dirigido a una pluralidad de interesados (los trabajadores) y que era necesario publicarlo con su nombre y apellidos porque si no están identificados no podrían reclamar. Asimismo, dicha publicación se realizó conforme a lo dispuesto en la Disposición Adicional 7ª de la LOPDGDD, pues no aparece el D.N.I. Frente a ello, y sin entrar a valorar la oportunidad de que a los empleados del Ayuntamiento se les comunique o se les informe de alguna manera los salarios que van a percibir en un concreto ejercicio presupuestario y con antelación a la aprobación definitiva del Presupuesto de la entidad para que formulen alegaciones, y que para ello el Ayuntamiento decida que se le aplica la normativa indicada, procede señalar que la citada normativa se refiere a la notificación de actos administrativos mediante su publicación. La Disposición adicional séptima de la LOPDGDD referida, relativa a la Identificación de los interesados en las notificaciones por medio de anuncios y publicaciones de actos administrativos, determina en su apartado 1 lo siguiente: 1. Cuando sea necesaria la publicación de un acto administrativo que contuviese datos personales del afectado, se identificará al mismo mediante su nombre y apellidos, añadiendo cuatro cifras numéricas aleatorias del documento nacional de identidad, número de identidad de extranjero, pasaporte o documento equivalente. Cuando la publicación se refiera a una pluralidad de afectados estas cifras aleatorias deberán alternarse. Cuando se trate de la notificación por medio de anuncios, particularmente en los supuestos a los que se refiere el artículo 44 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, se identificará al afectado exclusivamente mediante el número completo de su documento nacional de identidad, número de identidad de extranjero, pasaporte o documento equivalente. Cuando el afectado careciera de cualquiera de los documentos mencionados en los dos párrafos anteriores, se identificará al afectado únicamente mediante su nombre y apellidos. En ningún caso debe publicarse el nombre y apellidos de manera conjunta con el número completo del documento nacional de identidad, número de identidad de extranjero, pasaporte o documento equivalente. Por su lado, la LPCAP distingue notificación, de publicación, en sus artículos 44 y 45. El primero trata de: “Cuando los interesados en un procedimiento sean desconocidos, se ignore el lugar de la notificación o bien, intentada ésta, no se hubiese podido practicar la notificación se hará por medio de un anuncio publicado en el «Boletín Oficial del Estado”, mientras que el artículo 45 se refiere a que “Los actos administrativos serán objeto de publicación cuando así lo establezcan las normas reguladoras de cada procedimiento o cuando lo aconsejen razones de interés público apreciadas por el órgano competente”, y establece que en todo caso se realizaran, con efectos de notificación, en los casos que se señala: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/29 Así, el citado artículo 45 indica: 1. Los actos administrativos serán objeto de publicación cuando así lo establezcan las normas reguladoras de cada procedimiento o cuando lo aconsejen razones de interés público apreciadas por el órgano competente. En todo caso, los actos administrativos serán objeto de publicación, surtiendo ésta los efectos de la notificación, en los siguientes casos:
31. a)Cuando el acto tenga por destinatario a una pluralidad indeterminada de personas o cuando la Administración estime que la notificación efectuada a un solo interesado es insuficiente para garantizar la notificación a todos, siendo, en este último caso, adicional a la individualmente realizada.
32. b)Cuando se trate de actos integrantes de un procedimiento selectivo o de concurrencia competitiva de cualquier tipo. En este caso, la convocatoria del procedimiento deberá indicar el medio donde se efectuarán las sucesivas publicaciones, careciendo de validez las que se lleven a cabo en lugares distintos. (el subrayado es nuestro) Por tanto, para aplicar el supuesto que aduce el Ayuntamiento, no sólo es necesario que sea una pluralidad de destinatarios, sino que debe ser, además, indeterminada, lo cual no procede en el presente caso, pues los trabajadores y empleados del Ayuntamiento están plenamente determinados e identificados, pues forman parte de su propio personal, y tal y como lo refleja, además, el hecho de que el documento publicado contiene perfectamente identificados a todos los empleados y respecto de los puestos que ocupan y demás vicisitudes de los mismos. Por tanto, no procede justificarse, como pretende el Ayuntamiento, en que la notificación mediante publicación se realizó conforme a lo dispuesto en la Disposición Adicional Séptima de la LOPDGDD, pues lo exigido en ella parte de la premisa de cuando sea necesaria la publicación de un acto administrativo. Sin embargo, en el presente caso, no procedía tal publicación sino, en su caso, la notificación individualizada del acto a cada uno de los trabajadores y exclusivamente respecto de sus propias retribuciones y no de las del resto de trabajadores. Pero es que incluso en el supuesto de que hubiera procedido tal notificación mediante su publicación, la misma incumpliría igualmente la normativa aplicable, tanto la de procedimiento administrativo común como la de protección de datos. Así, para la notificación y publicación prevé la LPCAP en el artículo 46 referido a Indicación de notificaciones y publicaciones, que “Si el órgano competente apreciase que la notificación por medio de anuncios o la publicación de un acto lesiona derechos o intereses legítimos, se limitará a publicar en el Diario oficial que corresponda una somera indicación del contenido del acto y del lugar donde los interesados podrán comparecer, en el plazo que se establezca, para conocimiento del contenido íntegro del mencionado acto y constancia de tal conocimiento.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/29 A mayor abundamiento, cualquiera que sea la forma de notificación del acto administrativo a los interesados, lo cierto es que el artículo 40.5 de la LPACAP establece una prevención aplicable a todos los tipos de notificaciones de las resoluciones y actos administrativos que han de realizarse en el seno del procedimiento administrativo, y ello ya se trate de notificaciones electrónicas, en papel, o mediante publicación en tablón de anuncios (electrónico, en este caso, la página web del Ministerio). Este apartado dice así: 5. Las Administraciones Públicas podrán adoptar las medidas que consideren necesarias para la protección de los datos personales que consten en las resoluciones y actos administrativos, cuando éstos tengan por destinatarios a más de un interesado. Lo anterior es consecuencia del derecho de todas las personas en sus relaciones con la Administración, conforme establece el artículo 13
33. h)de la ley 39/2015, a la protección de datos de carácter personal, y en particular a la seguridad y confidencialidad de los datos que figuren en los ficheros, sistemas y aplicaciones de las Administraciones Públicas, lo que determina en definitiva la sumisión de las administraciones públicas en los tratamientos de datos que realicen a lo que prescribe el RGPD, la LOPDGDD y demás normativa en la materia que resulte de aplicación. Consecuencia de ello es que dicha “posibilidad” para la Administración (“podrá”) que establece el art. 40 en su apartado 5 no es en realidad tal, sino una verdadera obligación para la administración de agotar las medidas que preserven el derecho la protección de datos de las personas físicas que se relacionen con ella. Por tanto, tanto si se entendiera que procedía publicar directamente como si hubiera procedido notificar por medio de anuncio, en ambos casos, si con ello se aprecia que puede lesionar derechos o intereses legítimos, debería haberse publicado únicamente una somera indicación del contenido (y cumpliendo lo indicado en la DA7º LOPDGDD) con indicación del lugar donde la interesada podría comparecer en el plazo que se estableciera para conocimiento del contenido íntegro del acto y constancia de tal conocimiento. Por tanto, la publicación realizada se ha realizado vulnerando la confidencialidad de datos personales. Segundo: Sostiene el Ayuntamiento que procedía publicar el documento en cuestión porque existe, asimismo, obligación de publicidad activa, de conformidad con la Ley 19/2013, de 9 de diciembre, de transparencia, acceso a la información pública y buen gobierno (LTAIBG). Para ello, se sostiene en el Criterio Interpretativo CI/001/2015, criterio conjunto del Consejo de Transparencia y Buen Gobierno y la AEPD. Asimismo, se apoya para ello en la Sentencia de la Sala de lo Social del Tribunal Supremo de 16 de diciembre de 2019. A este respecto, procede señalar que no debe confundirse la publicidad activa exigida por las leyes de transparencia que puedan resultar aplicables, del acceso a la información pública también regulado en las mismas y especialmente diferenciar de todo ello el acceso a información al que pueden estar legitimados los Sindicatos y demás representantes legales de los trabajadores. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/29 En el presente caso, no aplica la Sentencia del Tribunal Supremo citada, por cuanto nos encontramos ante una publicación en la web del Ayuntamiento de un documento conteniendo datos personales de sus trabajadores y no ante una cesión de datos a un Sindicato o a representantes de los trabajadores, la cual está legitimada, en el caso de la Sentencia, para permitir el ejercicio de la acción sindical para la promoción y defensa de los intereses económicos y sociales de los trabajadores, como contenido del derecho fundamental a la libertad sindical regulada en la Ley Orgánica 11/1985, de 2 de agosto, de Libertad Sindical. Asimismo, en cuanto al Criterio conjunto CI/001/2015, señala el Ayuntamiento que en el mismo se indica que “la información referida a la RPT, catálogo o plantilla orgánica, con o sin identificación de los empleados o funcionarios públicos ocupantes de los puestos, se consideran datos meramente identificativos relacionados con la organización, funcionamiento o actividad pública del órgano, de modo que conforme al artículo 15, número 2 de la LTAIBG y salvo que en el caso concreto prevalezca la protección de datos personales u otros derechos constitucionalmente protegidos sobre el interés público en la divulgación, se concederá el acceso a la información” Asimismo, señala el Ayuntamiento que, si de conformidad con lo señalado en el punto II.1.B del citado criterio interpretativo, relativo a que no se facilitará la información cuando el acceso suponga un perjuicio para uno o varios de los bienes enumerados en el artículo 14.1 LTAIBG o cuando el acceso afecte a empleados públicos en situación de protección especial, no hubiera procedido la publicación del documento tal y como se hizo, ello debería haber sido informado por el Delegado de Protección de Datos que actúa como denunciante , lo cual no fue realizado por el mismo. Sin embargo, procede señalar que el citado criterio, relativo al “Alcance de las obligaciones de los órganos, organismos y entidades del sector público estatal en materia de acceso a la información pública sobre sus Relaciones de Puestos de Trabajo (RPT) catálogos, plantillas orgánicas, etc, y las retribuciones de sus empleados” no resulta tampoco de aplicación, pues únicamente se refiere al ejercicio del derecho de acceso a la información pública y no a la publicidad activa mediante la publicación de información, como ha sucedido en el caso que nos ocupa. Así, en dicho criterio, en el apartado III ALCANCE, indica expresamente lo siguiente: “Como se ha dicho en el encabezamiento del presente documento, los criterios interpretativos fijados se refieren exclusivamente al acceso a la información pública referida a las cuestiones señaladas expresamente. En ningún caso estos criterios son de aplicación a la publicación de dicha información en el régimen de publicidad activa prevista en los artículos 5 y siguientes de la LTAIBG” (el resaltado es nuestro). En cuanto a que el Delegado de Protección de Datos de la entidad no informó o asesoró a la misma sobre si la publicación realizada era o no acorde con los límites y advertencias indicados en el citado Criterio interpretativo, procede señalar varias cosas. En primer lugar, lo antecitado respecto de que el mencionado Criterio no resulta de aplicación a la publicidad activa (publicaciones en la sede electrónica o web de la administración pública de que se trate). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/29 En segundo lugar, el Ayuntamiento, como responsable del tratamiento que es, es el único responsable del cumplimiento del RGPD y de toda la normativa en materia de protección de datos que le resulta aplicable respecto de los tratamientos de datos personales que realice. Es claro en ello el artículo 24.1 del RGPD, cuando establece que “Teniendo en cuenta la naturaleza, el ámbito, el contexto y los fines del tratamiento, así como los riesgos de diversa probabilidad y gravedad para los derechos y libertades de las personas físicas, el responsable del tratamiento aplicará medidas técnicas y organizativas apropiadas a fin de garantizar y poder demostrar que el tratamiento es conforme con el presente Reglamento. Dichas medidas se revisarán y actualizarán cuando sea necesario”. Por tanto, en modo alguno puede excusar la ilicitud del tratamiento o el incumplimiento de sus obligaciones en la materia alegando una falta o insuficiencia en el asesoramiento de su Delegado de Protección de Datos. Y mucho menos ser admisible, por lo anteriormente citado, lo que indica el Ayuntamiento respecto de que “es el propio reclamante el responsable de protección de datos, el cual no asesoró fundando en derecho a la corporación para conjugar de forma correcta el derecho de protección de datos de los trabajadores con el derecho de acceso a la información regulado en la Ley19/2013, de 9 de diciembre, de transparencia, acceso a la información pública y buen gobierno”, porque, como se ha señalado, es el Ayuntamiento, como responsable del tratamiento de los datos que realiza en el ejercicio de sus funciones, el que debe garantizar y poder demostrar que el tratamiento es conforme con el RGPD. En tercer lugar, no consta ni ha acreditado el Ayuntamiento que se le haya consultado de forma previa a la publicación del documento al Delegado de Protección de Datos de la entidad local reclamada, dándosele con ello la oportunidad de asesorar a la entidad local al respecto. No debe olvidarse que, de conformidad con la responsabilidad proactiva que instaura el RGPD, además de lo señalado en el artículo 24 citado, “El responsable del tratamiento será responsable del cumplimiento de lo dispuesto en el apartado 1 y capaz de demostrarlo («responsabilidad proactiva»)” (artículo 1.2 RGPD) (el subrayado es nuestro). Es más, en la propia reclamación presentada por el Delegado de Protección de Datos, el mismo afirma que “solicitó verbalmente a determinadas personas del equipo de gobierno que se retirase dicha relación ya que había recibido numerosas quejas de los trabajadores debido a las observaciones que muchos vecinos respecto de las retribuciones que perciben y que el Ayuntamiento se negó a retirar el citado documento ya que el Secretario del Ayuntamiento les había indicado que se puede poner el nombre y apellidos siempre que no aparezca junto con el nº del D.N.I.” A este respecto, procede recordar la posición que otorga el RGPD al Delegado de Protección de Datos, cuando en su artículo 38 “Posición del delegado de protección de datos” determina que: 1. El responsable y el encargado del tratamiento garantizarán que el delegado de protección de datos participe de forma adecuada y en tiempo oportuno en todas las cuestiones relativas a la protección de datos personales. 2. El responsable y el encargado del tratamiento respaldarán al delegado de protección de datos en el desempeño de las funciones mencionadas en el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 20/29 artículo 39, facilitando los recursos necesarios para el desempeño de dichas funciones y el acceso a los datos personales y a las operaciones de tratamiento, y para el mantenimiento de sus conocimientos especializados. 3. El responsable y el encargado del tratamiento garantizarán que el delegado de protección de datos no reciba ninguna instrucción en lo que respecta al desempeño de dichas funciones. No será destituido ni sancionado por el responsable o el encargado por desempeñar sus funciones. El delegado de protección de datos rendirá cuentas directamente al más alto nivel jerárquico del responsable o encargado. (el subrayado es nuestro) Tercero: Solicita el Ayuntamiento que procede archivar el expediente por cuanto no se le pudieron realizar las notificaciones, ya que fue el propio denunciante, el Delegado de Protección de Datos de la entidad reclamada, quien las recibió en nombre del Ayuntamiento no informando a los responsables, lo que ha impedido el derecho de defensa del Ayuntamiento hasta el momento. A este respecto, se significa que las notificaciones a las que se refiere el Ayuntamiento fueron las dos veces que esta Agencia remitió la reclamación para que procediese a su análisis e informase a esta Agencia de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos, de conformidad con el artículo 65.4 LOPDGDD. En el caso que nos ocupa, tal y como se ha señalado en los Antecedentes Segundo y Tercero, se realizó el traslado en dos ocasiones, las cuales se practicaron conforme a las normas establecidas en la LPACAP, pues se realizaron mediante notificación electrónica en la Dirección Electrónica Habilitada y fueron recogidas en tiempo y forma tal y como consta en el acuse de recibo que obra en el expediente. A este respecto, procede recordar que el artículo 65.4 LOPDGDD, reza lo siguiente: “4. Antes de resolver sobre la admisión a trámite de la reclamación, la Agencia Española de Protección de Datos podrá remitir la misma al delegado de protección de datos que hubiera, en su caso, designado el responsable o encargado del tratamiento o al organismo de supervisión establecido para la aplicación de los códigos de conducta a los efectos previstos en los artículos 37 y 38.2 de esta ley orgánica. La Agencia Española de Protección de Datos podrá igualmente remitir la reclamación al responsable o encargado del tratamiento cuando no se hubiera designado un delegado de protección de datos ni estuviera adherido a mecanismos de resolución extrajudicial de conflictos, en cuyo caso el responsable o encargado deberá dar respuesta a la reclamación en el plazo de un mes”. Por tanto, por un lado, el traslado que realiza la AEPD de la reclamación presentada al responsable del tratamiento o al delegado de protección de datos, de conformidad con el citado precepto, es potestativo para la misma, es decir, no es obligatorio realizarlo. Por otro lado, es un trámite previo e independiente del inicio de un procedimiento sancionador, el cual se inicia siempre de oficio por la administración competente. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 21/29 En este caso, el Acuerdo de Inicio del presente procedimiento sancionador fue notificado al Ayuntamiento de conformidad con las normas establecidas en la LPACAP, siendo recogido por el mismo. Posteriormente, solicitó a esta Agencia la remisión de copia del expediente completo, la cual fue remitida y, en tiempo y forma, el Ayuntamiento ha presentado las alegaciones al Acuerdo de Inicio que ahora se responden en este apartado. Por tanto, no se ha causado indefensión alguna al Ayuntamiento en el presente procedimiento sancionador por cuanto se le ha notificado, de conformidad con la normativa aplicable, el Acuerdo de Inicio del mismo en el que se le indican los hechos que se le imputan, las infracciones que pudieran constituir así como las sanciones que pudieran imponerse, ofreciéndosele el preceptivo trámite conforme a la LPACAP para formular las alegaciones y aportar la documentación que estime pertinente, tal y como efectivamente ha realizado. Por todo lo anterior, procede desestimar las alegaciones formuladas. IV Artículo 5.1.
34. f)del RGPD El artículo 5.1.
35. f)“Principios relativos al tratamiento” del RGPD establece: “1. Los datos personales serán: (…)
36. f)tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»).” Por su parte, el artículo 5 de la LOPDGDD, Deber de confidencialidad, señala lo siguiente: “1. Los responsables y encargados del tratamiento de datos, así como todas las personas que intervengan en cualquier fase de este estarán sujetas al deber de confidencialidad al que se refiere el artículo 5.1.
37. f)del Reglamento (UE) 2016/679. 2. La obligación general señalada en el apartado anterior será complementaria de los deberes de secreto profesional de conformidad con su normativa aplicable. 3.Las obligaciones establecidas en los apartados anteriores se mantendrán aun cuando hubiese finalizado la relación del obligado con el responsable o encargado del tratamiento”. En el presente caso, se ha producido una publicación en la web del Ayuntamiento de datos personales de los trabajadores del mismo apareciendo sus nombres y apellidos junto con sus datos relativos al empleo: descripción del puesto de trabajo que ocupan, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 22/29 situación laboral (funcionario fijo, grupo, adscripción definitiva o provisional, asignación temporal, etc), así como datos de las diferentes retribuciones que perciben y sus cuantías (sueldo base, complemento de destino, complemento específico, trienios, sueldo, seguridad social y las retribuciones totales). Por tanto, se ha producido un acceso no autorizado o ilícito por terceros a datos personales de los trabajadores a raíz de la publicación indebida realizada por el propio Ayuntamiento. Ello supone una vulneración de la obligación de garantizar la confidencialidad de los datos, poniendo de manifiesto un incumplimiento de la obligación de tratarlos de tal manera que se garantice, a través de medidas técnicas u organizativas apropiadas, una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito, lo que resulta evidente que no se ha hecho. La única medida aplicada por el Ayuntamiento para garantizar la confidencialidad de los datos consistió en no publicar los números de los DNIs de sus titulares, medida que resulta insuficiente e ineficaz para preservar la confidencialidad de todos los datos personales. Por todo lo expuesto y de conformidad con las evidencias de las que se dispone, se considera que los hechos conocidos son constitutivos de una infracción, imputable al Ayuntamiento, por vulneración del artículo 5.1.
38. f)del RGPD. V Tipificación de la infracción del artículo 5.1.
39. f)del RGPD La citada infracción del artículo 5.1.
40. f)del RGPD supone la comisión de las infracciones tipificadas en el artículo 83.5 del RGPD que bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
41. a)Los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9; (…)” A este respecto, la LOPDGDD, en su artículo 71 “Infracciones” establece que “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A efectos del plazo de prescripción, el artículo 72 “Infracciones consideradas muy graves” de la LOPDGDD indica: “1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 23/29
42. a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679. (…)” VI Sanción por la infracción del artículo 5.1.
43. f)del RGPD Sin perjuicio de lo dispuesto en el artículo 83.5 del RGPD, el citado artículo dispone en su apartado 7 lo siguiente: “7. Sin perjuicio de los poderes correctivos de las autoridades de control en virtud del artículo 58, apartado 2, cada Estado miembro podrá establecer normas sobre si se puede, y en qué medida, imponer multas administrativas a autoridades y organismos públicos establecidos en dicho Estado miembro”. Por su parte, el artículo 77 “Régimen aplicable a determinadas categorías de responsables o encargados del tratamiento” de la LOPDGDD dispone lo siguiente: “1. El régimen establecido en este artículo será de aplicación a los tratamientos de los que sean responsables o encargados:
44. c)La Administración General del Estado, las Administraciones de las comunidades autónomas y las entidades que integran la Administración Local. 2. Cuando los responsables o encargados enumerados en el apartado 1 cometiesen alguna de las infracciones a las que se refieren los artículos 72 a 74 de esta ley orgánica, la autoridad de protección de datos que resulte competente dictará resolución declarando la infracción y estableciendo, en su caso, las medidas que proceda adoptar para que cese la conducta o se corrijan los efectos de la infracción que se hubiese cometido, con excepción de la prevista en el artículo 58.2.i del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016. La resolución se notificará al responsable o encargado del tratamiento, al órgano del que dependa jerárquicamente, en su caso, y a los afectados que tuvieran la condición de interesado, en su caso. 3. Sin perjuicio de lo establecido en el apartado anterior, la autoridad de protección de datos propondrá también la iniciación de actuaciones disciplinarias cuando existan indicios suficientes para ello. En este caso, el procedimiento y las sanciones a aplicar serán las establecidas en la legislación sobre régimen disciplinario o sancionador que resulte de aplicación. Asimismo, cuando las infracciones sean imputables a autoridades y directivos, y se acredite la existencia de informes técnicos o recomendaciones para el tratamiento que no hubieran sido debidamente atendidos, en la resolución en la que se imponga la sanción se incluirá una amonestación con denominación del cargo responsable y se ordenará la publicación en el Boletín Oficial del Estado o autonómico que corresponda. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 24/29 4. Se deberán comunicar a la autoridad de protección de datos las resoluciones que recaigan en relación con las medidas y actuaciones a que se refieren los apartados anteriores. 5. Se comunicarán al Defensor del Pueblo o, en su caso, a las instituciones análogas de las comunidades autónomas las actuaciones realizadas y las resoluciones dictadas al amparo de este artículo.” Por tanto, confirmada la infracción del artículo 5.1.
45. f)del RGPD, de acuerdo con el art. 83.7 del RGPD, y lo dispuesto por el artículo 77.2 de la LOPDGDD, por la categoría del sujeto presuntamente responsable de la infracción, dicha sanción se sustituye por la declaración de infracción al Ayuntamiento. VII Artículo 32 del RGPD El Artículo 32 “Seguridad del tratamiento” del RGPD establece: “1. Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, que en su caso incluya, entre otros:
46. a)la seudonimización y el cifrado de datos personales;
47. b)la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento;
48. c)la capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente físico o técnico;
49. d)un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento. 2. Al evaluar la adecuación del nivel de seguridad se tendrán particularmente en cuenta los riesgos que presente el tratamiento de datos, en particular como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos. 3. La adhesión a un código de conducta aprobado a tenor del artículo 40 o a un mecanismo de certificación aprobado a tenor del artículo 42 podrá servir de elemento para demostrar el cumplimiento de los requisitos establecidos en el apartado 1 del presente artículo. 4. El responsable y el encargado del tratamiento tomarán medidas para garantizar que cualquier persona que actúe bajo la autoridad del responsable o del encargado y tenga acceso a datos personales solo pueda tratar dichos datos siguiendo C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 25/29 instrucciones del responsable, salvo que esté obligada a ello en virtud del Derecho de la Unión o de los Estados miembros”. El artículo 32 no establece medidas de seguridad estáticas, sino que corresponderá al responsable determinar aquellas medidas de seguridad que son necesarias para garantizar la confidencialidad, la integridad y la disponibilidad de los datos personales. El principio de seguridad de los datos requiere la aplicación de medidas técnicas u organizativas apropiadas en el tratamiento de los datos personales para proteger dichos datos contra el acceso, uso, modificación, difusión, pérdida, destrucción o daño accidental, no autorizado o ilícito. En este sentido, las medidas de seguridad son claves a la hora de garantizar el derecho fundamental a la protección de datos. No es posible la existencia del derecho fundamental a la protección de datos si no es posible garantizar la confidencialidad, la integridad y la disponibilidad de estos. No debe olvidarse que, de conformidad con el artículo 32.1 del RGPD, las medidas técnicas y organizativas a aplicar para garantizar un nivel de seguridad adecuado al riesgo deben tener en cuenta el estado de la técnica, los costes de aplicación, la naturaleza, el alcance, el contexto y los fines del tratamiento, así como los riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas. En este sentido, procede señalar que la actividad de la reclamada conlleva el tratamiento de numerosos datos personales (de ciudadanos vecinos del municipio y de sus trabajadores) y de forma continua. Por ello, derivado de la actividad a la que se dedica y de los datos personales que trata, está obligada realizar un análisis de los riesgos y una implantación de medidas de seguridad, técnicas y organizativas, apropiadas para garantizar un nivel de seguridad adecuado al riesgo de su actividad para los derechos y libertades de las personas. En el presente caso, no cabe afirmar que el Ayuntamiento contase con las medidas apropiadas, puesto que publicó los datos personales de los trabajadores en la web del consistorio sin establecer ningún sistema de control de accesos, es decir, de forma accesible para cualquier persona, incluso desoyendo las recomendaciones de su propio Delegado de Protección de Datos, lo cual pone en evidencia la falta de medidas técnicas y organizativas adecuadas. De conformidad con las evidencias de las que se dispone, se considera que los hechos conocidos son constitutivos de una infracción, imputable a la reclamada, por vulneración del artículo 32 del RGPD. VIII Tipificación de la infracción del artículo 32 del RGPD La citada infracción del artículo 32 del RGPD supone la comisión de las infracciones tipificadas en el artículo 83.4 del RGPD que bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 26/29 “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 10 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 2 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
50. a)las obligaciones del responsable y del encargado a tenor de los artículos 8, 11, 25 a 39, 42 y 43; (…)” A este respecto, la LOPDGDD, en su artículo 71 “Infracciones” establece que: “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A efectos del plazo de prescripción, el artículo 73 “Infracciones consideradas graves” de la LOPDGDD indica: “En función de lo que establece el artículo 83.4 del Reglamento (UE) 2016/679 se consideran graves y prescribirán a los dos años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
51. f)La falta de adopción de aquellas medidas técnicas y organizativas que resulten apropiadas para garantizar un nivel de seguridad adecuado al riesgo del tratamiento, en los términos exigidos por el artículo 32.1 del Reglamento (UE) 2016/679. IX Sanción por la infracción del artículo 32 del RGPD Sin perjuicio de lo dispuesto en el artículo 83.5 del RGPD, el citado artículo dispone en su apartado 7 lo siguiente: “7. Sin perjuicio de los poderes correctivos de las autoridades de control en virtud del artículo 58, apartado 2, cada Estado miembro podrá establecer normas sobre si se puede, y en qué medida, imponer multas administrativas a autoridades y organismos públicos establecidos en dicho Estado miembro”. Por su parte, el artículo 77 “Régimen aplicable a determinadas categorías de responsables o encargados del tratamiento” de la LOPDGDD dispone lo siguiente: “1. El régimen establecido en este artículo será de aplicación a los tratamientos de los que sean responsables o encargados:
52. b)La Administración General del Estado, las Administraciones de las comunidades autónomas y las entidades que integran la Administración Local. 2. Cuando los responsables o encargados enumerados en el apartado 1 cometiesen alguna de las infracciones a las que se refieren los artículos 72 a 74 de esta ley orgánica, la autoridad de protección de datos que resulte competente dictará C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 27/29 resolución declarando la infracción y estableciendo, en su caso, las medidas que proceda adoptar para que cese la conducta o se corrijan los efectos de la infracción que se hubiese cometido, con excepción de la prevista en el artículo 58.2.i del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016. La resolución se notificará al responsable o encargado del tratamiento, al órgano del que dependa jerárquicamente, en su caso, y a los afectados que tuvieran la condición de interesado, en su caso. 3. Sin perjuicio de lo establecido en el apartado anterior, la autoridad de protección de datos propondrá también la iniciación de actuaciones disciplinarias cuando existan indicios suficientes para ello. En este caso, el procedimiento y las sanciones a aplicar serán las establecidas en la legislación sobre régimen disciplinario o sancionador que resulte de aplicación. Asimismo, cuando las infracciones sean imputables a autoridades y directivos, y se acredite la existencia de informes técnicos o recomendaciones para el tratamiento que no hubieran sido debidamente atendidos, en la resolución en la que se imponga la sanción se incluirá una amonestación con denominación del cargo responsable y se ordenará la publicación en el Boletín Oficial del Estado o autonómico que corresponda. 4. Se deberán comunicar a la autoridad de protección de datos las resoluciones que recaigan en relación con las medidas y actuaciones a que se refieren los apartados anteriores. 5. Se comunicarán al Defensor del Pueblo o, en su caso, a las instituciones análogas de las comunidades autónomas las actuaciones realizadas y las resoluciones dictadas al amparo de este artículo.” Por tanto, confirmada la citada infracción del artículo 32 del RGPD, de acuerdo con el art. 83.7 del RGPD, y lo dispuesto por el artículo 77.2 de la LOPDGDD, por la categoría del sujeto presuntamente responsable de la infracción, dicha sanción se sustituye por la declaración de infracción al Ayuntamiento. X Imposición de medidas De acuerdo con lo establecido en el citado artículo 58.2
53. d)del RGPD, cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…”. En el texto de la resolución se establecen cuáles han sido las infracciones cometidas y los hechos que han dado lugar a la vulneración de la normativa de protección de datos, de lo que se infiere con claridad cuáles son las medidas a adoptar, sin perjuicio de que el tipo de procedimientos, mecanismos o instrumentos concretos para implementarlas corresponda a la parte sancionada, pues es el responsable del tratamiento quien conoce plenamente su organización y ha de decidir, en base a la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 28/29 responsabilidad proactiva y en enfoque de riesgos, cómo cumplir con el RGPD y la LOPDGDD. En concreto, la adopción de las medidas adecuadas tendentes a que las publicaciones que realice en Ayuntamiento en su página web cumplan con la normativa aplicable en materia de protección de datos. Se advierte que no atender la orden de adopción de medidas impuestas por este organismo en la resolución sancionadora podrá ser considerado como una infracción administrativa conforme a lo dispuesto en el RGPD, tipificada como infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la apertura de un ulterior procedimiento administrativo sancionador. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR que AYUNTAMIENTO DE CHINCHÓN, con NIF P2805200I, ha infringido lo dispuesto en el Artículo 5.1.
54. f)del RGPD y Artículo 32 del RGPD, infracciones tipificadas en el Artículo 83.5 del RGPD y Artículo 83.4 del RGPD respectivamente. SEGUNDO: ORDENAR a AYUNTAMIENTO DE CHINCHÓN, con NIF P2805200I, que en virtud del artículo 58.2.
55. d)del RGPD, en el plazo de 6 (seis) meses desde que la presente resolución sea firme y ejecutiva, acredite haber procedido al cumplimiento de la adopción de las medidas adecuadas tendentes a que las publicaciones que realice en su página web cumplan con la normativa aplicable en materia de protección de datos. TERCERO: NOTIFICAR la presente resolución a AYUNTAMIENTO DE CHINCHÓN. CUARTO: COMUNICAR la presente resolución al Defensor del Pueblo, de conformidad con lo establecido en el artículo 77.5 de la LOPDGDD. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 29/29 Finalmente, se señala que conforme a lo previsto en el art. 90.3
56. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-16012024 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es