1/6 Procedimiento Nº: PS/00442/2020 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes HECHOS PRIMERO: A.A.A. (*en adelante, el reclamante) con fecha 16 de junio de 2020 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra AYUNTAMIENTO DE SANTA LUCÍA DE TIRAJANA con NIF P3502300A (en adelante, el reclamado). Los motivos en que basa la reclamación son de manera sucinta los siguientes: “el Ayuntamiento de Santa Lucía de Tirajana (Isla de Gran Canaria, provincia de Las Palmas) aún no dispone de Delegado de Protección de Datos. Por otro lado, dispone de un sistema de videovigilancia con varias cámaras en el exterior de la sede municipal (orientadas tanto hacia la puerta de entrada principal, como hacia zonas de paso de peatones), sin cumplir con el Deber de Información recogido en el RGPD UE 679/2016, concretamente con el cartel informativo correspondiente adaptado a la Normativa vigente. Por el contrario, tan sólo dispone de un papel pegado con adhesivo a la puerta de la entrada principal a las oficinas municipales, en el que se hace mención a la derogada Ley LOPD 15/1999. Por otra parte, la Web municipal (www.santaluciagc.com) no dispone de política de privacidad adaptada a lo estipulado por el RGPD” (folio nº 1). Junto a la reclamación aporta prueba documental (Anexo I) que acredita lo manifestado en su escrito de reclamación. SEGUNDO: En fecha 31/07/20 se procede al TRASLADO de la reclamación a la parte denunciada para que manifieste lo que en derecho estime pertinente. TERCERO: En fecha 13/08/20 se recibe contestación de la reclamada argumentado lo siguiente en relación a los hechos denunciados. “El Ayuntamiento de Santa Lucia en la web www.santaluciagc.com solo mantiene actividades públicas y de interés general, siendo un portal para mantener informado a los ciudadanos de las novedades del municipio, y a través de su sede electrónica los ciudadanos acceden y pueden gestionar los servicios municipales de la administración local. Procedemos a incorporar como DOCUMENTO núm.2 la notificación por el servicio de informática, a través de comunicación realizada por correo electrónico de fecha de 13 de agosto de 2020, de realización de las operaciones para la actualización de los textos de informativos del tratamiento de datos personales recogidos en la Política de Privacidad de la página web del Ayuntamiento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/6 - Que en ningún caso el Ayuntamiento de Santa Lucia ha actuado en contra de los derechos del interesado, ni ha sido intención de este Ayuntamiento de Santa Lucia realizar un tratamiento de los datos en contra de los principios de licitud, lealtad y transparencia y limitación de finalidad de los tratamientos de datos personales que son realizados por este Ayuntamiento a través de su página web www.santaluciagc.com. Asimismo, se hace constar que la administración local está muy preocupada por el cumplimiento de la normativa en vigor en protección de datos, y mantiene una actitud de responsabilidad proactiva con un análisis continuo de los riesgos, aplicando las medidas técnicas, de seguridad, organizativas y correctivas en todos sus tratamientos para garantizar que solo sean objeto de tratamiento los datos personales que sean necesarios para cada uno de los fines específicos del tratamiento, y que se lleve a cabo cumpliendo con los principios del artículo 5 del RGPD”. CUARTO: Con fecha 18 de marzo de 2021, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador al reclamado, con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por la presunta infracción del Artículo 13 del RGPD, tipificada en el Artículo 83.5 del RGPD. QUINTO: Consultada la base de datos en fecha 17/05/21 no se ha recibido alegación alguna en relación a los hechos objeto de traslado. SEXTO: En fecha 18/05/20 se emite Propuesta de resolución en la que se confirma la infracción del art. 13 RPD, al carecer de cartel (
- es)informativo indicando que se trata de una zona video-vigilada, proponiendo una sanción de apercibimiento. SÉPTIMO: Se acompaña como anexo relación de documentos obrantes en el procedimiento. De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS Primero. Los hechos traen causa de la reclamación de fecha 16/06/20 por medio de la cual se traslada como hecho principal el siguiente: “el Ayuntamiento de Santa Lucía de Tirajana (Isla de Gran Canaria, provincia de Las Palmas) aún no dispone de Delegado de Protección de Datos. Por otro lado, dispone de un sistema de videovigilancia con varias cámaras en el exterior de la sede municipal (orientadas tanto hacia la puerta de entrada principal, como hacia zonas de paso de peatones), sin cumplir con el Deber de Información recogido en el RGPD UE 679/2016, concretamente con el cartel informativo correspondiente adaptado a la Normativa vigente. Por el contrario, tan sólo dispone de un papel pegado con adhesivo a la puerta de la entrada principal a las oficinas municipales, en el que se hace mención a la derogada C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/6 Ley LOPD 15/1999. Por otra parte, la Web municipal (www.santaluciagc.com) no dispone de política de privacidad adaptada a lo estipulado por el RGPD” (folio nº 1). Segundo. Consta acreditado como principal responsable Ayuntamiento de Santa Lucia de Trijana con NIF P3502300A. Tercero. Consta acreditado que el citado Consistorio no dispone de cartel (
- es)informativo indicando que se trata de una zona video-vigilada, de manera que no informa en legal forma de los derechos y finalidades del tratamiento. Cuarto. Consta acreditado que el mismo no dispone de formulario (
- s)informativo a disposición de los administrados que pudieran requerirlo. FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de control, y según lo establecido en los artículos 47 y 48 de la LOPDGDD, la Directora de la Agencia Española de Protección de Datos es competente para iniciar y para resolver este procedimiento. II En el presente caso, se procede a examinar la reclamación de fecha 16/06/20 por medio de la cual se traslada como hecho principal la presencia de un sistema de video-vigilancia que no cumple debidamente con el deber de información establecido en la normativa en vigor. Entre los hechos denunciados se manifiesta por el reclamante que la cartelería informativa es “insuficiente” y que la misma no se adapta a las exigencias requeridas por la normativa en vigor. Para hacer compatible la mayor exigencia de información que introduce el RGPD y la concisión y comprensión en la forma de presentarla, desde las Autoridades de Protección de Datos se recomienda adoptar un modelo de información por capas o niveles. El Reglamento Europeo General de Protección de Datos (en adelante, RGPD), de 2016, aplicable a partir del 25 de mayo de 2018, es una norma de aplicación directa en toda la Unión Europea, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos. El RGPD introduce novedades y obligaciones, a la actual Ley Orgánica de Protección de Datos (LOPD) y al Reglamento RD-1720/2007, que la desarrolla, produciendo una serie de cambios, a los cuales es necesario adaptar los actuales tratamientos. En virtud del principio de transparencia (art.12 del RGPD) el responsable del tratamiento tiene la obligación de informar a los interesados acerca de las circunstancias y condiciones del tratamiento de datos a efectuar (art. 13 y 14 del RGPD). El artículo 13 RGPD contiene una enumeración precisa de la información a facilitar cuando los datos se obtengan del interesado, como indicación en su caso del Delegado de protección de datos, el plazo de conservación de los datos, el derecho a presentar una reclamación ante una autoridad de control, etc. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/6 El artículo 22 apartado 4º de la LOPDGDD (LO 3/2018, 5 diciembre) dispone: “El deber de información previsto en el artículo 12 del Reglamento (UE) 2016/679 se entenderá cumplido mediante la colocación de un dispositivo informativo en lugar suficientemente visible identificando, al menos, la existencia del tratamiento, la identidad del responsable y la posibilidad de ejercitar los derechos previstos en los artículos 15 a 22 del Reglamento (UE) 2016/679. También podrá incluirse en el dispositivo informativo un código de conexión o dirección de internet a esta información”. Por ello, es preciso que los Responsables del tratamiento revisen y adapten los modelos o formularios existentes antes de la plena aplicación del RGPD para cumplir con esos nuevos requisitos. III De conformidad con las evidencias de las que se dispone en el presente procedimiento sancionador, se considera que el reclamado dispone de un sistema de cámaras de video-vigilancia que incumple el deber de información, haciendo mención a una normativa derogada a día de la fecha y no estando en lugar suficientemente visible. Los hechos conocidos son constitutivos de una infracción, imputable al reclamado, por vulneración del contenido del art. 13 RGPD. El artículo 58 apartado 2º del RGPD dispone lo siguiente: Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación:
- d)ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado; La conducta descrita es subsumible en el tipo infractor del art. 83.5
- a)RGPD, que prescribe lo siguiente: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
- a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9; V El artículo 77 apartado 1º LOPDGDD dispone: “El régimen establecido en este artículo será de aplicación a los tratamientos de los que sean responsables o encargados: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/6
- c)La Administración General del Estado, las Administraciones de las comunidades autónomas y las entidades que integran la Administración Local. 2. Cuando los responsables o encargados enumerados en el apartado 1 cometiesen alguna de las infracciones a las que se refieren los artículos 72 a 74 de esta ley orgánica, la autoridad de protección de datos que resulte competente dictará resolución sancionando a las mismas con apercibimiento. La resolución establecerá asimismo las medidas que proceda adoptar para que cese la conducta o se corrijan los efectos de la infracción que se hubiese cometido. La resolución se notificará al responsable o encargado del tratamiento, al órgano del que dependa jerárquicamente, en su caso, y a los afectados que tuvieran la condición de interesado, en su caso (…)”. 4. Se deberán comunicar a la autoridad de protección de datos las resoluciones que recaigan en relación con las medidas y actuaciones a que se refieren los apartados anteriores. 5. Se comunicarán al Defensor del Pueblo o, en su caso, a las instituciones análogas de las comunidades autónomas las actuaciones realizadas y las resoluciones dictadas al amparo de este artículo. La parte denunciada deberá acreditar la adaptación de la cartelería informativa en materia de video-vigilancia, procediendo a la colocación de cartel (
- es)en zona visible informando de los derechos actuales en el marco del RGPD, debiendo aportar fotografía (fecha y hora que acredite lo expuesto); asimismo se deberá disponer en la página web del correspondiente formulario adaptado para que pueda ser en su caso descargado en caso de ser necesario ejercitar los derechos reconocidos en el RGPD. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a AYUNTAMIENTO DE SANTA LUCÍA DE TIRAJANA, con NIF P3502300A, por una infracción del Artículo 13 del RGPD, tipificada en el Artículo 83.5 del RGPD, una sanción de APERCIBIMIENTO. SEGUNDO: ORDENAR que en el plazo de UN MES se proceda colocar carteles homologados a la nueva normativa en vigor en zona visible, acreditando tal extremo antes este organismo mediante las oportunas fotografías (con fecha y hora). TERCERO: NOTIFICAR la presente resolución a AYUNTAMIENTO DE SANTA LUCÍA DE TIRAJANA. CUARTO: COMUNICAR la presente resolución al Defensor del Pueblo, de conformidad con lo establecido en el artículo 77.5 de la LOPDGDD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/6 Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contenciosoadministrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 938-131120 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es