1/15 Expediente N.º: EXP202208020 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: D. A.A.A. (en adelante, la parte reclamante) con fecha 22 de junio de 2022 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra AYUNTAMIENTO DE OURENSE con NIF P3205500F (en adelante, el AYUNTAMIENTO). Los motivos en que basa la reclamación son los siguientes: La parte reclamante manifiesta que con fecha 10 de marzo de 2022 la parte reclamada publicó la NOTIFICACIÓN DE LA CONVOCATORIA y el ACTA ORDINARIA DA XUNTA DE GOBERNO LOCAL DO 10 DE MARZO DE 2022. En el citado documento constan los datos identificativos de la parte reclamante en relación con una sentencia en la que se le condena por la comisión de un delito contra la seguridad vial con daños en bienes de titularidad municipal. (…) Según afirma, al introducir su nombre y sus apellidos en los buscadores se obtiene el enlace que permite acceder al documento controvertido. Junto a la reclamación aporta dicha convocatoria y el acta ordinaria por la parte reclamante. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación al AYUNTAMIENTO, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), siendo aceptado en fecha 20 de julio de 2022 como consta en el certificado que obra en el expediente. Con fecha 12 de agosto de ese mismo año se recibe en esta Agencia escrito de respuesta indicando (…). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/15 Sin embargo, por esta Agencia se constata mediante diligencia de fecha 22 de agosto de 2022 que, al utilizar el buscador de Google, es posible acceder al documento completo de notificación de convocatoria de la Junta de Gobierno, disponible en el dominio www.ourense.gal. TERCERO: Con fecha 22 de agosto de 2022, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: Con fecha 14 de noviembre de 2022, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, por la presunta infracción del Artículo 5.1.
- f)del RGPD y Artículo 32 del RGPD, tipificadas en el Artículo 83.4 del RGPD y Artículo 83.5 del RGPD, respectivamente. QUINTO: Notificado el citado acuerdo de inicio conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), la parte reclamada presentó escrito de alegaciones en el que manifestaba: “PRIMERA. - Que, la Agencia Española de Protección de Datos ha acordado el inicio del procedimiento sancionador por supuesta infracción del artículo 5.1.
- f)del RGPD relativo al principio de confidencialidad y del artículo 32 del RGPD relativo a medidas de seguridad”. Efectivamente, tal y como consta en el hecho cuarto de esta resolución, con fecha 14 de noviembre de 2022, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por la presunta infracción del artículo 5.1.
- f)del RGPD y artículo 32 del RGPD, tipificadas en el artículo 83.5 y 83.4 del RGPD, respectivamente. “SEGUNDA. - Que, sobre la supuesta vulneración del artículo 5.1f) del RGPD (principio de confidencialidad) conviene volver a indicar que se trata de un error humano, involuntario y puntual que fue inmediatamente reparado mediante la eliminación del acta y de la notificación de la convocatoria en cuestión de la web del Ayuntamiento. En las alegaciones presentadas en agosto de 2022 por esta parte se presentó como prueba documental la captura de pantalla del Ayuntamiento de Ourense en la que puede verificarse que ya no aparece la convocatoria de la Junta (se omitió por error aportar pantallazo de la eliminación de la convocatoria del 10 de marzo). A día de hoy, se puede seguir comprobando que, en el Portal de Transparencia de la entidad, en el apartado Órdenes del Día de la Junta de Gobierno (https://ourense.gal/es/juntasgobierno/ordenes?page=3), y en el apartado actas (https://ourense.gal/es/juntasgobierno/actas?page=5) no existen los documentos sobre convocatoria y acta de celebración de la junta del día 10 de marzo de 2022. Por otra parte, se indicó en el escrito que en los motores de búsqueda en Internet esta supresión podía conllevar más tiempo del razonable indicándose que, en ese caso, se optaría por comunicar tal hecho a las plataformas de búsqueda a través de las que se pueda seguir encontrando la vinculación de D. Yago a los documentos (convocatoria y acta) de la entidad local. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/15 Tras comprobar que, a través de Google se puede continuar accediendo a los documentos ya eliminados en la web del Ayuntamiento de Ourense hace meses, esta entidad ha procedido a solicitar, desde su Departamento Informático, la eliminación de la notificación de convocatoria y del acta de reunión del día 10 de marzo de 2022. Se adjunta, como ANEXO 1 la solicitud de retirar o eliminación a Google del contenido obsoleto. Si bien se trata de un documento que recoge los datos personales del denunciante y su relación con una condena penal, reiteramos que se trata de un hecho totalmente puntual, involuntario y sin intencionalidad alguna, afectando a una sola persona”. En contestación a dicha alegación, debemos reiterar lo mencionado en el escrito de fecha 12 de agosto de ese mismo año que se recibe en esta Agencia indicando (…). Sin embargo, por esta Agencia se constató mediante diligencia de fecha 22 de agosto de 2022 que, al utilizar el buscador de Google, es posible acceder al documento completo de notificación de convocatoria de la Junta de Gobierno, disponible en el dominio www.ourense.gal. Que el incidente fuera debido a un hecho totalmente puntual, involuntario y sin intencionalidad alguna, afectando a una sola persona; en ningún caso, justifica la vulneración de la confidencialidad, integridad y disponibilidad de los sistemas y servicios de tratamiento, así como el incumplimiento por parte del AYUNTAMIENTO de la normativa vigente en materia de protección de datos como responsable del tratamiento de datos. “TERCERA. – Respecto a la supuesta infracción del artículo 32 del RGPD, conviene destacar que, sobre medidas de seguridad, esta parte, en su escrito de alegaciones de agosto de 2022, tras traslado de la reclamación y solicitud de información, indicó las siguientes medidas implantadas con carácter de urgencia: - Revisión e Implantación de un Sistema de protección de datos. Si bien es cierto que el Ayuntamiento de Ourense se encuentra inmerso en la constante y continua revisión del sistema de protección de datos implantado, se adjuntó copia del estado del Sistema de Protección de Datos de la entidad en dicho momento. - Designación de un DPD. El Ayuntamiento de Ourense designó un delegado de Protección de Datos tomando como referencia las “Directrices sobre los delegados de protección de datos (DPD)” adoptadas por el Grupo de Trabajo sobre Protección de Datos del Artículo 29 guiándose por los siguientes criterios:
- a)Independencia y ausencia de conflicto de intereses del delegado de protección de datos.
- b)Accesibilidad y ubicación del delegado de protección de datos.
- c)Nivel de conocimientos del delegado de protección de datos.
- d)Integridad y nivel de ética profesional del delegado de protección de datos.
- e)Cualidades profesionales y conocimiento del sector del delegado de protección de datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/15 La entidad contrató de forma externa la figura de delegado de Protección de Datos en fecha veinticinco de febrero de dos mil veintidós (25/02/2022), nombrándose como tal a B.B.B., con DNI ***NIF.1 por tratarse de una profesional certificada conforme al Esquema de Certificación de delegados de Protección de Datos de la Agencia Española de Protección de Datos (Esquema AEPD-DPD) Nº Certificado 19-ADK0105. La designación del delegado de Protección de Datos fue comunicada inmediatamente a la Agencia Española de Protección de Datos, con Nº de Registro de Alta: O00007128e2200009561 y Fecha de registro dos de marzo de dos mil veintidós (02/03/2022) Con motivo de la designación se envió una comunicación informativa, a través del correo electrónico, a todo el personal del Ayuntamiento sobre la figura designada, sus principales funciones y datos de contacto. De igual manera, para dar cumplimiento al deber de transparencia e información el dato de contacto del delegado de Protección de Datos ha sido incluido en todos los documentos informativos en los términos previstos en los artículos 12 y siguientes del Reglamento (UE) 2016/679. - Escrito al interesado afectado informándole del estado de la situación. Se preparó un escrito dirigido al interesado, informándole del estado de la situación, de que estos hechos no se repetirán en el futuro y pidiendo disculpas por las molestias causadas. Dado que se desconoce el domicilio del interesado se procedió a dejar pendiente el envío efectivo de tal comunicado. - Se remitió una circular al personal de la entidad. Se envió comunicado a los fines de recordar la importancia de revisar los datos personales que son incluidos en las publicaciones que deben realizarse por transparencia desde el Ayuntamiento y, con ello, garantizar el máximo respeto al derecho fundamental a la protección de datos personales indicando que obviar sus obligaciones en este ámbito únicamente puede traducirse en problemas de difícil solución para todos los implicados. Si bien es cierto que, en este caso, no hay perjuicio alguno a los derechos y libertades del interesado, este recordatorio tiene su utilidad para evitar que en el futuro pueda ocurrir. - Formación al personal de la entidad. Se realizarán distintos talleres formativos para el personal del Ayuntamiento de Ourense con acceso a datos, con la finalidad de concienciar sobre la importancia de garantizar el derecho fundamental a la protección de datos personales y de recordarles las medidas de seguridad esenciales que deben respetar en el normal desenvolvimiento de su actividad propia. Ya se adjuntó cartel que se utiliza para dar difusión a la jornada formativa en el seno del Ayuntamiento de Ourense, así como el índice de la propia formación. Tras estas medidas que fueron tomadas de forma inmediata para evitar que se produjesen incidencias similares (y cuya documentación fue presentada como anexos en las alegaciones del mes de agosto), se han adoptado más medidas que se exponen a continuación: 1.- Pautas para la creación de un Portal de Transparencia. Se adjunta como ANEXO 1 documento (elaborado por el DPD de la entidad) con pautas a tener en cuenta para cumplir con la Ley 19/2013, de 9 de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/15 diciembre, de transparencia, acceso a la información pública y buen gobierno, así como con el reglamento General de Protección de Datos y la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales. 2.- Se ha realizado Auditoría en fecha 25-11-2022. Se ha llevado a cabo auditoría de verificación, evaluación y valoración de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento, con la finalidad de dar cumplimiento con lo establecido en el artículo 32, apartado 1, letra d), del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos) (DOUE L 119/1, 04-05-2016) (RGPD). Se adjunta informe de auditoría como ANEXO 2. 3.- Solicitud eliminación publicación en Google. Se ha presentado ante Google solicitud de eliminación de contenido obsoleto. Se trata de la petición que ha de hacerse a Google cuando el contenido en cuestión ya ha sido retirado de la página web de origen, pero sigue apareciendo en Internet. En este caso, se ha pedido a Google que elimine de sus motores de búsqueda el Acta Ordinaria Da Xunta de Goberno Local Do 10 de marzo de 2022 y la notificación de convocatoria Xunta de Goberno Local. Se adjunta como ANEXO 3 captura de pantalla en la que se comprueba que el día 28 de noviembre de 2022 se ha solicitado a Google (por parte del jefe de Servicio de Sistemas de Información del Ayuntamiento de Ourense) la retirada de los documentos indicados por tratarse de contenido obsoleto. Tal solicitud se encuentra en estado pendiente de tramitación al día de la fecha. Una vez Google apruebe la solicitud y elimine el contenido objeto de procedimiento sus motores de búsqueda, la entidad local revisará la posibilidad de volver a publicar por transparencia el acta ordinaria previa verificación de que los datos personales han sido suprimidos. No obstante, se ha decidido eliminar directamente la documentación objeto de procedimiento para evitar interceder en las operaciones que Google debe llevar a cabo a la hora de eliminar la documentación y no se creen “interferencias”. 4.- Valoración brecha de seguridad. La entidad valoró la brecha de seguridad que tuvo lugar en su vertiente de confidencialidad y dio como resultado, tras el análisis realizado, cómo sus valores cuantitativos y cualitativos no suponen un riesgo para los derechos y libertades de las personas físicas. En definitiva, no es considerado como alto riesgo, según el criterio dado por el Reglamento (UE) 2016/679, por ello, no se detectó la necesidad de notificar el incidente a la autoridad de control competente, ni a los interesados afectados. Por último, se procede a registrar como un incidente de seguridad en el sistema de protección de datos del responsable, en concreto en el Registro establecido a tal fin en el documento de “Seguridad de los datos”. Se adjunta como ANEXO 4 la valoración de la brecha y el registro del incidente…”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/15 El AYUNTAMIENTO, como responsable del tratamiento de datos, está obligado a aplicar las medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo que presente el tratamiento de datos. Dichas medidas no solo son medidas de los sistemas informáticos sino también medidas de organizativas de factor humano. El artículo 32 del RGPD no establece un listado de las medidas de seguridad que sean de aplicación de acuerdo con los datos que son objeto de tratamiento, sino que estable-ce que el responsable y el encargado del tratamiento aplicarán medidas técnicas y or-ganizativas que sean adecuadas al riesgo que conlleve el tratamiento, teniendo en cuenta el estado de la técnica, los costes de aplicación, la naturaleza, alcance, contexto y finalidades del tratamiento, los riesgos de probabilidad y gravedad para los derechos y libertades de las personas interesadas. Asimismo, las medidas de seguridad deben resultar adecuadas y proporcionadas al riesgo detectado, señalando que la determinación de las medidas técnicas y organizati-vas deberá realizarse teniendo en cuenta: la seudonimización y el cifrado, la capacidad para garantizar la confidencialidad, integridad, disponibilidad y resiliencia, la capacidad para restaurar la disponibilidad y acceso a datos tras un incidente, proceso de verifica-ción (que no auditoría), evaluación y valoración de la eficacia de las medidas. Es evidente que, las medidas de seguridad implantadas eran insuficientes; en ningún caso, impidieron la publicación por parte del Ayuntamiento de Ourense, en la página web de la entidad local, la convocatoria de la Junta de Gobierno Local para su celebración el 10 de marzo con los datos personales del reclamante. En relación con el escrito de alegaciones de agosto de 2022, tras el traslado de la reclamación y solicitud de información, en el que se hace referencia a una serie de medidas implantadas con carácter de urgencia, tras el incidente acaecido, esta parte debe resaltar que, la implantación de las mismas lo único que denota es la insuficiencia de las que ya estaban implantadas con anterioridad al incidente. Independientemente de las medidas adoptadas para evitar que se produjesen incidencias similares, así como de las demás medidas adoptadas, lo determinante es que no había medidas suficientes o no se habían implantado correctamente en el momento que se produjo la brecha de seguridad. Si bien, esta Agencia pone en valor el esfuerzo hecho por el AYUNTAMIENTO para cumplir su obligación, como responsable del tratamiento de datos, de aplicar las medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo en el tratamiento de datos personales. “CUARTA. – Que, como corolario a todo lo hasta aquí expuesto, y con carácter complementario, consideramos oportuno realizar las siguientes observaciones, a fin de ilustrar debidamente a la Agencia Española de Protección de Datos sobre la realidad de los hechos objeto de reclamación por parte del interesado: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/15 1. La incidencia objeto de reclamación ha afectado únicamente a una persona, sin que le haya producido daño o perjuicio cuantificable alguno, atendiendo a su naturaleza, gravedad y duración. 2. No ha existido intencionalidad alguna por parte del Ayuntamiento de Ourense, debiéndose a un hecho derivado de la concurrencia de unas circunstancias extraordinarias y excepcionales. 3. Se han adoptado, con carácter urgente, todas las medidas tendentes a la corrección de la concreta incidencia objeto de reclamación, así como todas las medidas complementarias necesarias para evitar que la misma se reproduzca en un futuro, aun cuando concurran circunstancias tan singulares y extraordinarias como las que eventualmente se han producido en el caso presente. 4. Desde el primer momento en que el Ayuntamiento de Ourense ha tenido conocimiento del procedimiento, se han destinado una gran cantidad de recursos y esfuerzos para colaborar con la Agencia Española de Protección de Datos y así garantizar la defensa de los derechos y libertades del interesado. 5. No se trata de una actuación con la que se pretendan obtener beneficios y, efectivamente, no se han obtenido”. En contestación a dicha alegación y sin entrar a analizar una por una las observaciones planteadas, mencionar que las mismas podrían ser tenidas en cuenta para graduar la sanción a imponer por la infracción cometida; en ningún caso, para la determinación de la inexistencia de responsabilidad ante un incumplimiento de la normativa de protección de datos; ya que, en todo caso la infracción está cometida. En este supuesto, al tener el responsable la naturaleza de Administración Pública no cabe sanción económica alguna ni con ello factores que atenúen o agraven la responsabilidad. Por todo lo expuesto, se DESESTIMARON las alegaciones presentadas. SEXTO: Con fecha 9 de marzo de 2023 se formuló propuesta de resolución, proponiendo se sancione a AYUNTAMIENTO DE OURENSE, con NIF P3205500F, por una infracción del Artículo 5.1.
- f)del RGPD y Artículo 32 del RGPD, tipificadas en el artículo 83.5 y en el artículo 83.4 del RGPD respectivamente, con una sanción de apercibimiento por cada una de las infracciones. No se ha recibido alegaciones a la propuesta de resolución. A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes, HECHOS PROBADOS PRIMERO: Consta acreditado en el expediente que, el Ayuntamiento de Ourense publicó, en la página web de la entidad local, la convocatoria de la Junta de Gobierno Local para su celebración el 10 de marzo en la que aparecían los datos personales del reclamante. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/15 SEGUNDO: Consta acreditado en el expediente que el citado documento contiene los datos identificativos (nombre y apellidos) de la parte reclamante en relación con una sentencia en la que se le condena por la comisión de un delito contra la seguridad vial con daños en bienes de titularidad municipal. TERCERO: Consta acreditado en el expediente que en fecha 22 de agosto de 2022, al utilizar el buscador de Google, era posible acceder al documento completo de notificación de convocatoria de la Junta de Gobierno, disponible en el dominio www.ourense.gal. FUNDAMENTOS DE DERECHO I De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Artículo 5.1.
- f)del RGPD El artículo 5.1.
- f)“Principios relativos al tratamiento” del RGPD establece: “1. Los datos personales serán: (…)
- f)tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»).” En el presente caso, consta que los datos personales de la parte reclamante fueron indebidamente expuestos a terceros, vulnerándose el principio de confidencialidad y permitiendo un tratamiento no autorizado o ilícito de los mismos. Según consta en el expediente, el Ayuntamiento de Ourense publicó, en la página web de la entidad local, la convocatoria de la Junta de Gobierno Local para su celebración C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/15 el 10 de marzo en la que aparecían los datos personales del reclamante, con el siguiente tenor literal, (…). III Tipificación de la infracción del artículo 5.1.
- f)del RGPD La citada infracción del artículo 5.1.
- f)del RGPD supone la comisión de las infracciones tipificadas en el artículo 83.5 del RGPD que bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
- a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9; (…)” A este respecto, la LOPDGDD, en su artículo 71 “Infracciones” establece que: “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A efectos del plazo de prescripción, el artículo 72 “Infracciones consideradas muy graves” de la LOPDGDD indica: “1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
- a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679. (…)” IV Sanción por la infracción del artículo 5.1.
- f)del RGPD El Artículo 83 “Condiciones generales para la imposición de multas administrativas” del RGPD apartado 7 establece: “Sin perjuicio de los poderes correctivos de las autoridades de control en virtud del artículo 58, apartado 2, cada Estado miembro podrá establecer normas sobre si se puede, y en qué medida, imponer multas administrativas a autoridades y organismos públicos establecidos en dicho Estado miembro.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/15 Asimismo, el artículo 77 “Régimen aplicable a determinadas categorías de responsables o encargados del tratamiento” de la LOPDGDD dispone lo siguiente: “1. El régimen establecido en este artículo será de aplicación a los tratamientos de los que sean responsables o encargados: ...
- c)La Administración General del Estado, las Administraciones de las comunidades autónomas y las entidades que integran la Administración Local… 2. Cuando los responsables o encargados enumerados en el apartado 1 cometiesen alguna de las infracciones a las que se refieren los artículos 72 a 74 de esta ley orgánica, la autoridad de protección de datos que resulte competente dictará resolución sancionando a las mismas con apercibimiento. La resolución establecerá asimismo las medidas que proceda adoptar para que cese la conducta o se corrijan los efectos de la infracción que se hubiese cometido. 3. Sin perjuicio de lo establecido en el apartado anterior, la autoridad de protección de datos propondrá también la iniciación de actuaciones disciplinarias cuando existan indicios suficientes para ello. En este caso, el procedimiento y las sanciones a aplicar serán las establecidas en la legislación sobre régimen disciplinario o sancionador que resulte de aplicación. Asimismo, cuando las infracciones sean imputables a autoridades y directivos, y se acredite la existencia de informes técnicos o recomendaciones para el tratamiento que no hubieran sido debidamente atendidos, en la resolución en la que se imponga la sanción se incluirá una amonestación con denominación del cargo responsable y se ordenará la publicación en el Boletín Oficial del Estado o autonómico que corresponda. 4. Se deberán comunicar a la autoridad de protección de datos las resoluciones que recaigan en relación con las medidas y actuaciones a que se refieren los apartados anteriores. 5. Se comunicarán al Defensor del Pueblo o, en su caso, a las instituciones análogas de las comunidades autónomas las actuaciones realizadas y las resoluciones dictadas al amparo de este artículo. (…)” Por tanto, corresponde sancionar con apercibimiento al AYUNTAMIENTO por la infracción del artículo 5.1.
- f)del RGPD. V Artículo 32 del RGPD El Artículo 32 “Seguridad del tratamiento” del RGPD establece: “1. Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas, el responC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/15 sable y el encargado del tratamiento aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, que en su caso incluya, entre otros:
- a)la seudonimización y el cifrado de datos personales;
- b)la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento;
- c)la capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente físico o técnico;
- d)un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento. 2. Al evaluar la adecuación del nivel de seguridad se tendrán particularmente en cuenta los riesgos que presente el tratamiento de datos, en particular como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos. 3. La adhesión a un código de conducta aprobado a tenor del artículo 40 o a un mecanismo de certificación aprobado a tenor del artículo 42 podrá servir de elemento para demostrar el cumplimiento de los requisitos establecidos en el apartado 1 del presente artículo. 4. El responsable y el encargado del tratamiento tomarán medidas para garantizar que cualquier persona que actúe bajo la autoridad del responsable o del encargado y tenga acceso a datos personales solo pueda tratar dichos datos siguiendo instrucciones del responsable, salvo que esté obligada a ello en virtud del Derecho de la Unión o de los Estados miembros”. En el presente caso, en el momento de producirse la brecha de seguridad, no consta que el AYUNTAMIENTO dispusiese de medidas de seguridad razonables en función de los posibles riesgos estimados. Difundir mediante la publicación en la página web de la entidad local las convocatorias y actas de la Junta de Gobierno, no garantiza la confidencialidad, integridad y disponibilidad de los sistemas y servicios del tratamiento ni la finalidad del tratamiento. El AYUNTAMIENTO manifiesta que el incidente pudo ser debido a un error humano, totalmente involuntario y sin intencionalidad, circunstancias éstas que, en ningún caso, justifican la vulneración de la confidencialidad, integridad y disponibilidad de los sistemas y servicios de tratamiento. Se hace referencia a las obligaciones de publicidad activa a las que está sometido el AYUNTAMIENTO como sujeto obligado, al tratarse de una Administración Local; y, en consecuencia, a la aplicación de los límites al del artículo 14 y, especialmente, el derivado de la protección de datos de carácter personal, regulado en el artículo 15. A este respecto, cuando la información contuviera datos especialmente protegidos, la publicidad sólo se llevará a cabo previa disociación de los mismos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/15 Indica este artículo 15 que si la información incluyese datos relativos a la comisión de infracciones penales o administrativas que no conllevasen la amonestación pública al infractor, el acceso solo se podrá autorizar en caso de que se cuente con el consentimiento expreso del afectado o si aquel estuviera amparado por una norma con rango de ley. En consecuencia, el citado artículo 15 establece las reglas que resultarán de aplicación para lograr una adecuada ponderación en cada supuesto del derecho de acceso a la información pública y el de protección de datos de carácter personal, y en relación con los datos que se refieren a la comisión de infracciones penales o administrativas que no conlleven amonestación pública al infractor establece que solo pueden publicarse estos datos con consentimiento o al amparo de una ley. Por otro lado, el Ayuntamiento; en ningún caso, ha detallado las medidas técnicas y organizativas de las que dispone para evitar que estas publicaciones vulneraren la normativa vigente en materia de protección de datos. Tampoco consta que adoptara medidas razonables con anterioridad al inicio del presente procedimiento sancionador, teniendo en cuenta la tecnología disponible y el coste de su aplicación, para evitar que se continuaran tratando los datos hechos públicos, como por ejemplo las que describe el artículo 17.2 del RGPD. VI Tipificación de la infracción del artículo 32 del RGPD La citada infracción del artículo 32 del RGPD supone la comisión de las infracciones tipificadas en el artículo 83.4 del RGPD que bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 10 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 2 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: 5) las obligaciones del responsable y del encargado a tenor de los artículos 8, 11, 25 a 39, 42 y 43; (…)” A este respecto, la LOPDGDD, en su artículo 71 “Infracciones” establece que “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A efectos del plazo de prescripción, el artículo 73 “Infracciones consideradas graves” de la LOPDGDD indica: “En función de lo que establece el artículo 83.4 del Reglamento (UE) 2016/679 se consideran graves y prescribirán a los dos años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes: …
- f)La falta de adopción de aquellas medidas técnicas y organizativas que resulten apropiadas para garantizar un nivel de seguridad adecuado al riesgo del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/15 tratamiento, en los términos exigidos por el artículo 32.1 del Reglamento (UE) 2016/679.”. (…) VII Sanción por la infracción del artículo 32 del RGPD El Artículo 83 “Condiciones generales para la imposición de multas administrativas” del RGPD apartado 7 establece: “Sin perjuicio de los poderes correctivos de las autoridades de control en virtud del artículo 58, apartado 2, cada Estado miembro podrá establecer normas sobre si se puede, y en qué medida, imponer multas administrativas a autoridades y organismos públicos establecidos en dicho Estado miembro.” Asimismo, el artículo 77 “Régimen aplicable a determinadas categorías de responsables o encargados del tratamiento” de la LOPDGDD dispone lo siguiente: “1. El régimen establecido en este artículo será de aplicación a los tratamientos de los que sean responsables o encargados: …
- c)La Administración General del Estado, las Administraciones de las comunidades autónomas y las entidades que integran la Administración Local… 2. Cuando los responsables o encargados enumerados en el apartado 1 cometiesen alguna de las infracciones a las que se refieren los artículos 72 a 74 de esta ley orgánica, la autoridad de protección de datos que resulte competente dictará resolución sancionando a las mismas con apercibimiento. La resolución establecerá asimismo las medidas que proceda adoptar para que cese la conducta o se corrijan los efectos de la infracción que se hubiese cometido. 3. Sin perjuicio de lo establecido en el apartado anterior, la autoridad de protección de datos propondrá también la iniciación de actuaciones disciplinarias cuando existan indicios suficientes para ello. En este caso, el procedimiento y las sanciones a aplicar serán las establecidas en la legislación sobre régimen disciplinario o sancionador que resulte de aplicación. Asimismo, cuando las infracciones sean imputables a autoridades y directivos, y se acredite la existencia de informes técnicos o recomendaciones para el tratamiento que no hubieran sido debidamente atendidos, en la resolución en la que se imponga la sanción se incluirá una amonestación con denominación del cargo responsable y se ordenará la publicación en el Boletín Oficial del Estado o autonómico que corresponda. 4. Se deberán comunicar a la autoridad de protección de datos las resoluciones que recaigan en relación con las medidas y actuaciones a que se refieren los apartados anteriores. 5. Se comunicarán al Defensor del Pueblo o, en su caso, a las instituciones análogas de las comunidades autónomas las actuaciones realizadas y las resoluciones dictadas al amparo de este artículo.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/15 Por tanto, corresponde sancionar con apercibimiento al AYUNTAMIENTO por la infracción del artículo 32 del RGPD. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER al AYUNTAMIENTO DE OURENSE, con NIF P3205500F, una sanción de apercibimiento por una infracción del Artículo 5.1.
- f)del RGPD tipificada en el Artículo 83.5 del RGPD. IMPONER al AYUNTAMIENTO DE OURENSE, con NIF P3205500F, una sanción de apercibimiento por una infracción del Artículo 32 del RGPD tipificada en el Artículo 83.4 del RGPD. SEGUNDO: NOTIFICAR la presente resolución a AYUNTAMIENTO DE OURENSE. TERCERO: COMUNICAR la presente resolución al Defensor del Pueblo, de conformidad con lo establecido en el artículo 77.5 de la LOPDGDD. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
- a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-181022 Mar España Martí C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/15 Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es