← España

PS-00524-2024

1/32  Expediente N.º: EXP202416952 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 11 de junio de 2024 se interpuso reclamación ante la Agencia Española de Protección de Datos de la que se desprende una posible infracción imputable a A.A.A. con NIF ***NIF.1 (en adelante, A.A.A.). A través de la mencionada reclamación, los hechos que se pone en conocimiento de esta autoridad son los siguientes: La parte reclamante, actuando mediante representante, denuncia que el Ayuntamiento reclamado ha revelado, transmitido y difundido a terceros datos personales que le conciernen. Concretamente, la reclamación señala que se ha revelado el nombre completo, DNI, dirección postal, número de teléfono y dirección de correo personal del reclamante; la existencia, el contenido íntegro y todos los detalles de los expedientes urbanísticos vinculados a su vivienda habitual, así como toda la información relativa a dicha vivienda habitual- distribución de la misma, superficie, ubicación de las entradas y salidas al exterior o referencia catastral - y datos económico-financierospresupuesto y coste de la obra, importes a pagar en concepto de impuestos y tasas, etc.-del reclamante. La reclamación también destaca la revelación, transmisión y difusión a terceros (medios de comunicación) de los soportes físicos y digitales que contendrían esos datos personales y expresarían toda la anterior información, esto es: - Expedientes urbanísticos vinculados a la vivienda habitual del reclamante Declaraciones responsables presentadas por el reclamante ante el Ayuntamiento, Presupuestos por los trabajos de reforma, Autoliquidaciones de impuestos y liquidaciones del pago de tasas, Memoria descriptiva de los trabajos de acondicionamiento realizados en la vivienda. Planos de situación y del estado actual de la vivienda. Informes técnicos de la vivienda. Resoluciones dictadas en el marco de los expedientes urbanísticos difundidos Junto a la reclamación se aporta la siguiente documentación: - Documento

  1. Poder general y especial para pleitos otorgado al representante. Documento
  2. Declaración responsable residencial, presentada el ***FECHA.1 en la Oficina de Atención a la Ciudadanía del ***DISTRITO.1, por el reclamante. A través de la misma se comunica las obras de acondicionamiento C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/32 puntual de la vivienda del reclamante. Contiene documentación aneja como la copia de impreso de autoliquidación de la tasa por prestación de servicios públicos urbanísticos fechada el ***FECHA.2, planos de la vivienda, memoria descriptiva de las obras de acondicionamiento proyectadas, incluido el presupuesto, en el que se señala que el mismo será actualizado cuando se solicite la ampliación de la declaración responsable de toda la reforma de la vivienda. Esta documentación incorpora datos personales del reclamante como su nombre y apellidos, DNI, dirección, correo electrónico, número de teléfono o dirección y referencia catastral de la vivienda en la que están proyectadas las obras. - Documento
  3. Instancia general presentada en fecha ***FECHA.3 por la que se adjunta documentación relativa a la declaración responsable para las obras de acondicionamiento puntual con nº de expediente ***REFERENCIA.
  4. Este documento incluye el texto: “(…)”. Se incluye autoliquidación del impuesto sobre construcciones, instalaciones y obras complementaria por modificación del presupuesto. Entre la documentación figuran los datos del reclamante antes indicado. - Documento 4 a
  5. Copia certificada (por el servicio safestamper) de las publicaciones efectuadas por varios medios de comunicación en las que se contienen estos datos. Las publicaciones aportadas tienen el siguiente contenido: C/ Jorge Juan, 6 28001 – Madrid o Documento
  6. Noticia de ***FECHA.4 publicada en ***PRENSA.1 en la que informa de los cambios de puesto de dos de las personas (…). Dicha noticia incluye un pantallazo que se identifica expresamente como (...). y que tiene una marca de agua en la que se indica (…). En dicha noticia, se da información sobre la obra proyectada, el importe del pago de la tasa por servicios urbanísticos impuesto e información sobre las circunstancias de la compra del piso. o Documento
  7. Noticia de ***FECHA.5 publicada en ***PRENSA.1: en la misma se informa sobre la denuncia presentada por un ***GRUPO.1 del Ayuntamiento por (…)- de la que aporta datos generales-, al que se le identifica con nombre y apellidos; difunde imagen con extracto de la denegación del Ayuntamiento a la solicitud de obra y la rúbrica B.B.B. y C.C.C., con un extracto de la denegación de las obras por parte de la ***ORGANISMO.
  8. o Documento
  9. Noticia de ***FECHA.6 publicada en ***PRENSA.2, titulada (…): se proporcionan diversos datos sobre la tramitación administrativa de los expedientes de obras en la vivienda del reclamante y se indica expresamente que (…) Los dos requerimientos aparecen en la base de datos pública ***APP.1 (…) pero quedaba la duda de si B.B.B. había continuado o no con las obras sin un nuevo permiso. La realidad es que sí continuaron, según la información que ha recabado este periódico. Y continúa www.aepd.es sedeaepd.gob.es 3/32 Por un lado, B.B.B. no pidió una nueva autorización, como atestiguan tres portales municipales consultados. Primero, ***APP.1, de consulta pública. Segundo, el visor urbanístico Geoportal, también de consulta pública. Y tercero, otro de uso exclusivo interno y con información exhaustiva sobre cada vivienda, el Sistema de Información de Gestión y Seguimiento Administrativo (***APP.2). En ninguno aparece una autorización para continuar los trabajos. (…) A pesar de las dos órdenes de cese, en ***APP.2 no figura ningún expediente de sanción. (el subrayado es de esta AEPD) C/ Jorge Juan, 6 28001 – Madrid o Documento
  10. Noticia de ***FECHA.6 publicada en ***PRENSA.1: difunde nombre y apellidos del reclamante y se proporciona diversa información sobre la compra de su vivienda, el distrito en el que se ubica y el valor medio de mercado de los inmuebles en dicha zona. o Documento
  11. Noticia de ***FECHA.7 publicada en ***PRENSA.1: se difunde nombre y apellidos del reclamante, el Distrito donde se encuentra la vivienda, así como de la denuncia presentada (…). o Documento
  12. Noticia de ***FECHA.8 publicada en ***PRENSA.1: publica una imagen parcial de la resolución, en la que se difunde el nombre y apellidos del reclamante y la descripción de la actuación de reforma que se pretende realizar. En esta imagen aparece difuminada la dirección exacta de la vivienda. En el texto de la noticia se difunden detalles de los presupuestos de las obras. Se difunde una segunda imagen con un extracto de la denegación que hace el Ayuntamiento a la declaración responsable, esta imagen no incorpora datos personales. Se difunde información sobre la distribución de la vivienda y la hipoteca que pesa sobre ella. o Documento
  13. Noticia de ***FECHA.8 difundida por la ***PRENSA.3: ofrece detalles de la declaración responsable presentada el ***FECHA.9 (trabajos a realizar y presupuesto de la obra). También difunde detalles de la segunda declaración responsable presentada el ***FECHA.10 (datos del nuevo presupuesto presentado). o Documento
  14. Noticia de ***FECHA.11 publicada en ***PRENSA.1: se difunde nombre y apellidos del reclamante, el valor de la hipoteca que pesa sobre la vivienda y su distribución interior; además de detalles sobre la tramitación administrativa del expediente urbanístico de obras. o Documento
  15. Noticia de ***FECHA.11 por ***PRENSA.2: El medio afirma haber visualizado varios documentos municipales a los que había tenido acceso ***GRUPO.1, todos ellos vinculados con el acta de inspección al domicilio y la orden de legalización. Informa que la vivienda del reclamante se encuentra en el ***DISTRITO.1, difunde el valor estimado de la vivienda en el Catastro y los apellidos del reclamante. o Documento
  16. Noticia del ***FECHA.11 publicada en ***PRENSA.1: www.aepd.es sedeaepd.gob.es 4/32 este medio afirma que ha tenido acceso a la resolución firmada por la ***ORGANISMO.1 tras realizarse el acta de inspección de la vivienda, aportando detalles como que La resolución fue firmada a las 13.15 horas de este lunes por ***PUESTO.3 (…) Ofrece información económica de la vivienda (en concreto, la hipoteca que pesa sobre ella) y detalles de su distribución interior (vestíbulo distribuidor, despacho, cocina, aseo, dormitorio de servicio, cuarto de aseo, cuarto de baño principal, dormitorio principal, tres dormitorios y pequeño vestíbulo de servicio, dispone de garaje). o Documento
  17. Noticia publicada el ***FECHA.11 por la ***PRENSA.3: se difunde información sobre la visita de inspección realizada por técnicos del ***DISTRITO.1 a la vivienda del reclamante, afirmándose que el medio había tenido acceso al acta de inspección. Se publican detalles de las actuaciones de reforma que se han realizado en la vivienda. Según señala la parte reclamante en la denuncia, los datos difundidos en estas noticias únicamente eran conocidos por el Ayuntamiento reclamado, como organismo responsable de la tramitación del expediente urbanístico. - Documento
  18. Cuadro resumen de las publicaciones realizadas con indicación de la fecha, medio de comunicación, autor y titular. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a Ayuntamiento, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. La notificación del traslado de la reclamación, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue realizada en fecha 19/06/2024 como consta en el acuse de recibo que obra en el expediente. Con fecha 19/07/2024 se recibe en esta Agencia escrito de respuesta en el que se indica lo siguiente (el subrayado es de la AEPD): La reclamación presentada pone de manifiesto la existencia de doce publicaciones distintas, desde el día ***FECHA.4 hasta ***FECHA.12 del mismo año, en medios de comunicación diferentes, en las que, o bien se proyectan imágenes de resoluciones obrantes en los expedientes administrativos tramitados a nombre del denunciante; o bien, se transcribe literalmente parte del contenido de estas. Se trata de los expedientes ***REFERENCIA.2 y ***REFERENCIA.1, tramitados por ***ORGANISMO.1 cuyo contenido consta en las aplicaciones ***APP.1 (en adelante ***APP.1) y ***APP.2 (en adelante ***APP.2). (…) Las resoluciones administrativas objeto de publicación entre las fechas ***FECHA.13 a ***FECHA.8 se obtuvieron a través del acceso a la aplicación ***APP.1; mientras C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/32 que el acceso a las resoluciones administrativas objeto de publicación a partir del día ***FECHA.11 se llevó a cabo a través de la aplicación ***APP.2”. (…) En relación con ***APP.2, se configura como una aplicación de consulta y gestión unificada de los expedientes tramitados en el Ayuntamiento de Madrid. A diferencia de ***APP.1, el aplicativo ***APP.2 es de uso exclusivo para el personal municipal autorizado, el cual debe contar con un usuario interno asignado. La autorización de acceso a ***APP.2 conlleva además la asignación a un entorno de trabajo y una dependencia de forma que el usuario autorizado tiene limitado el acceso para la consulta o gestión definido por el entorno y la dependencia. (…) Por el contrario, la documentación objeto de las publicaciones llevadas a cabo en los medios de comunicación de ***PRENSA.1, ***PRENSA.2 y ***PRENSA.3 en fecha ***FECHA.11 (resolución de fecha ***FECHA.14, expediente n.º ***REFERENCIA.2) no se obtuvo a través de la aplicación ***APP.1, sino a través de la aplicación ***APP.2, haciendo un uso indebido de la misma, toda vez que, como hemos señalado, la aplicación ***APP.2 se configura como una aplicación de gestión interna de expedientes administrativos en la que obra todo tipo de documentación necesaria para la tramitación de los expedientes, aplicación cuyo acceso no es público y en la que se hace constar documentación que no es objeto de publicación activa. En el anexo II del informe de IAM (Documento 1), bajo la rúbrica ‘Registros de actividad de ***APP.2’, se hace constar el acceso, a través de ***APP.2, a los expedientes con n.º ***REFERENCIA.1 y ***REFERENCIA.2, en dicho registro consta el acceso hasta en 129 ocasiones, de ***PUESTO.1 A.A.A., accediendo por primera vez en fecha ***FECHA.17 y por última en fecha ***FECHA.11, a las 15:13 horas. A la vista del registro remitido por IAM, el acceso de ***PUESTO.1 A.A.A. es el único acceso que se podría considerar indebido a los expedientes citados a través de ***APP.2, toda vez que, como se ha señalado con anterioridad, el acceso a ***APP.2 se encuentra restringido a los empleados públicos del Distrito autorizados por el departamento correspondiente. Como se desprende del punto 8 de la denuncia presentada por B.B.B., los medios de comunicación dispusieron, en fecha ***FECHA.11, de documentación que fue firmada oficialmente en fecha ***FECHA.
  19. Documentación que no constaba en ***APP.1, pero si en ***APP.2, al ser esta última la aplicación interna de gestión de expedientes del Ayuntamiento. Como hemos visto, el día ***FECHA.11 se producen hasta 13 accesos indebidos a ***APP.2, a los expedientes con n.º ***REFERENCIA.1 y ***REFERENCIA.2 entre las 08:18 horas y las 15:13 horas, día que coincide con la publicación en los medios de comunicación de ***PRENSA.1, ***PRENSA.2 y ***PRENSA.3 de la resolución posteriormente firmada el día ***FECHA.
  20. Dicha documentación únicamente pudo extraerse de la aplicación ***APP.2, toda vez que (i) (ii) la aplicación ***APP.1 había sido desactivada en fecha 24 de abril de
  21. el documento extraído no había sido aún firmado, por lo que no hubiera obrado aún ni en el expediente administrativo, ni en la propia aplicación ***APP.1”. (…) Sobre los expedientes citados se han recibido en el ***DISTRITO.1 (…) al amparo del artículo 77 de la LRBRL. Se remitió la documentación solicitada, una vez C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/32 anonimizados los datos personales. En el mismo sentido, se han recibido en el distrito cinco solicitudes de acceso a información pública relacionados con (…), al amparo de la normativa en materia de transparencia, que fueron contestadas con arreglo a la misma y en aquellos supuestos en que procedía el acceso, la documentación se remitió anonimizada.(…) De acuerdo con lo expuesto y con lo manifestado en el informe IAM, no se tiene constancia de que se haya producido una violación de la seguridad de los datos personales en relación con los sistemas de información gestionados por IAM, sino un acceso indebido al aplicativo ***APP.2 por ***PUESTO.1 A.A.A., tal y como se desprende del anexo II del referido informe.(…) En relación con la publicación en los medios de comunicación de documentación obrante en los expedientes con n.º ***REFERENCIA.1 y ***REFERENCIA.2 entre las fechas ***FECHA.13 y ***FECHA.8, la existencia de datos del interesado en los expedientes objeto de publicación en la aplicación ***APP.1, así como el acceso público a dicha aplicación, son las causas que han dado lugar al acceso a dichos datos; sin que conste una violación de la seguridad de los datos personales en relación con los sistemas de información gestionados por IAM. En cuanto a la publicación en los medios de la documentación obrante en el expediente n.º ***REFERENCIA.2 en la fecha ***FECHA.11, la causa que da lugar a la misma es el acceso indebido a través del aplicativo ***APP.2 tal y como se desprende del anexo II del informe IAM, A.A.A.. En relación con el número de personas afectadas por la filtración de datos personales, afirman que Únicamente se tiene constancia de la eventual afección a B.B.B. y su representante, D.D.D. en el expediente con n.º ***REFERENCIA.1 y a B.B.B. en el expediente con n.º ***REFERENCIA.
  22. En respuesta a nuestra solicitud para que indiquen la tipología de datos personales que se vio afectada por la filtración, afirman que En la reclamación efectuada por la AEPD, en base a la denuncia formulada por B.B.B., se pone de manifiesto que los datos revelados son los siguientes: nombre completo, DNI, dirección postal, número de teléfono y dirección de correo personal de la parte reclamante; la existencia, el contenido íntegro y todos los detalles de los expedientes urbanísticos vinculados a su vivienda habitual, toda la información relativa a su vivienda habitual, así como sus datos económicos financieros. En cuanto a las acciones adoptadas por Ayuntamiento de Madrid una vez conocida las publicaciones efectuadas en los medios de comunicación de la documentación afectada, estas han sido (…): o (…). Adjunto a la respuesta proporcionan el ya mencionado Documento 1 con un informe sobre el incidente redactado por IAM (Informática Ayuntamiento de Madrid). TERCERO: Con fecha 21/08/2024, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/32 CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VIII, de la LOPDGDD. Las actuaciones de investigación llevadas a cabo han permitido obtener la siguiente información: Adjunto a la respuesta a las actuaciones de traslado la parte reclamada proporciona el Documento 1 con un informe sobre el incidente redactado por IAM, de su análisis se extrae la siguiente información relevante (el subrayado es de la AEPD): IAM es responsable de los sistemas de información ***APP.2 y ***APP.1 que consultan información de los expedientes urbanísticos. Es importante reseñar que la información publicada y referenciada en la denuncia sobre manera la referida a los documentos asociados a la inspección- no es accesible través de ***APP.1-A o ***APP.1-B. Esta información, solamente está disponible a través de ***APP.2 o ***APP.1-C. Se incluye una tabla detallada de los documentos accesibles por cada uno de los sistemas. Desde la fecha de la incorporación del fichero de la “Orden de legalización” en el expediente de referencia (…) en el que se detallan datos personales objeto de la denuncia, hasta la fecha de su difusión en prensa (…) se observan un elevado número de accesos

(122)en ***APP.2 al expediente analizado, de los mismos, 56, es decir un 46%, se realizan por parte de A.A.A., en horarios y días de la semana no habituales, empleando permisos de acceso derivados de su condición previa de ***PUESTO.2 del ***DISTRITO.1 y que no se le habían retirado. Dichos permisos fueron retirados efectivamente el 29 de mayo. Se analiza la tabla proporcionada con el detalle de los 122 accesos en ***APP.2, destacando que todos los usuarios que acceden a los expedientes afectados, entre ***FECHA.15 y el ***FECHA.11, parecen tener una vinculación con el entorno ***DISTRITO.1 (…), a excepción de (…) A.A.A., que dispone del rol (…) ((…) ***GRUPO.1). De otro lado, se realiza diligencia de la información publicada en el BOAM con el nombramiento de A.A.A. (…). El informe continúa con las siguientes afirmaciones: Aunque en los registros de acceso al sistema de información ***APP.2 no queda traza del momento en el que se realizan las bajas de autorización de acceso, con fecha 29 de mayo se ha retirado el acceso para los registros responsabilidad del ***DISTRITO.1 a ***USUARIO.1 - A.A.A.. IAM no tiene constancia de que se hayan producido accesos ilegítimos a los sistemas de información responsabilidad de IAM empleados para la gestión de esta actividad de tratamiento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/32 Se están realizando (…). Este proceso automatizado, se irá mejorando progresivamente y tomará en consideración las conclusiones del análisis de documentos, datos personales e intereses públicos concernidos - transparencia, normativa urbanística, administrativa, etc. El documento ‘ORDEN DE LEGALIZACIÓN DE OBRAS’ aludido en la denuncia, no ha estado disponible en ningún momento a través de ***APP.1-B o ***APP.1-A. La fecha de firma de la última versión del documento es el 27/05/2024 - 13:15:46. Una versión preliminar del documento fue eliminada durante la tramitación en ***APP.2 el 24/05/2024 a las 12:35:17 y sustituida por la última versión. El informe incluye una captura de pantalla con el Registro de Actividades de Tratamiento mostrando la información de la actividad afectada por el incidente (Gestión Urbanística del ***DISTRITO.1). El informe también incluye una tabla que muestra el detalle de todos los documentos que existían vinculados a cada uno de los dos expedientes afectados, con una columna que indica si eran o no visibles por cada una de los aplicativos anteriormente mencionados. Esta tabla muestra que en la aplicación ***APP.1-A solo estuvo disponible el documento “RESOLUCIÓN DECLARACIÓN RESPONSABLE” del expediente ***REFERENCIA.1, visible hasta el momento que se desconectó este aplicativo, en fecha 24 de abril de 2024. El informe IAM continúa con las siguientes afirmaciones de relevancia: En relación con las solicitudes de acceso a ***APP.2, el perfil de acceso de los usuarios puede ser de consulta o de gestión. La autorización de acceso a ***APP.2 conlleva, además la asignación a un entorno de trabajo y una dependencia de forma que el usuario autorizado tiene limitado el acceso para la consulta o gestión definido por el entorno y la dependencia; por ejemplo, un usuario autorizado al entorno del Distrito de Centro no puede acceder desde ***APP.2 al entorno de otro distrito. Además, en el caso de perfil de gestión, sólo puede gestionar los expedientes asignados a la dependencia a la que se le ha autorizado. En la mayoría de los entornos, la consulta de los expedientes puede hacerse a todos los expedientes del entorno autorizado con independencia de la dependencia en la que esté autorizado; es decir, el usuario puede consultar los expedientes de otras dependencias de su entorno, aunque sólo podrá gestionarlos si el expediente está en su dependencia. Las altas, bajas y modificaciones se tramitan desde previa petición, (…), que debe incluir los siguientes datos: •(…). Al tramitar la petición se realizan varias comprobaciones: •(...) Tras realizar el alta, se remite correo al solicitante y al responsable de la dependencia. Al acceder al formulario de solicitud de alta se recuerda: (…)”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/32 Para mayor seguridad con cierta periodicidad se realizan barridos de usuarios dados de alta para darlos de baja. Teniendo en cuenta la información anterior, se realiza requerimiento de información dirigido al Ayuntamiento de Madrid, en fecha 18 de octubre de 2024, al objeto de: - - Solicitar nuevamente acreditación de los Análisis de Riesgos para los derechos y libertades de las actividades afectadas. Investigar los procedimientos implantados para la gestión de brechas de seguridad. Investigar la solicitud de alta en ***APP.2 y ***APP.1 de la empleada que realizó los accesos indebidos. Investigar el puesto de trabajo que ocupaba y la adecuación de permisos y roles que tenía asignado en estos aplicativos. Investigar motivo por el que no se había tramitado la baja, en su caso. Investigar los documentos a los que esta empleada llegó a acceder a través de ***APP.2, el ***FECHA.11. Investigar con más detalle el procedimiento implantado para gestionar los usuarios en ***APP.2, así como las medidas desplegadas para ponerlo en conocimiento de las personas afectadas. Investigar (…), así como el motivo por el que no se detectó el usuario de la empleada afectada en estos barridos. Investigar el estado de implementación de la medida implantada en ***APP.1-A (…). En fecha 4 de noviembre de 2024 y registros de entrada REGAGE24e00083797595 y REGAGE24e00083797755, se recibe respuesta a requerimiento anterior por parte de Ayuntamiento de Madrid, de su análisis se extrae la siguiente información relevante: - Aportan documento con título “ANÁLISIS DE RIESGOS DE LOS DERECHOS Y LIBERTADES DE LA ACTIVIDAD DE TRATAMIENTO DE DATOS AFECTADA POR LA BRECHA DE SEGURIDAD EXAMINADA EN EL EXPEDIENTE 202408837 DE LA AEPD”, sin fecha de creación ni firma. Incluye apartado con el título “Identificación de los Riesgos” en el que se identifican (únicamente) tres riesgos: “Confidencialidad”, “Integridad” y “Disponibilidad”. El documento también incluye la siguiente afirmación: “Se han puesto en marcha, desde la verificación de la posible filtración de datos, dos actuaciones dirigidas a su corrección los días 27 y 28 de mayo ante la información publicada. (…)”. - En respuesta para que se acredite la solicitud de Alta para el acceso en ***APP.2 de (…) A.A.A., se proporciona la siguiente afirmación en el informe redactado por IAM: “No consta en los archivos de la Subdirección General de Administración Electrónica la documentación de solicitud de alta en ***APP.2 de la ***PUESTO.1 A.A.A.. Esta Subdirección, asumió la gestión de usuarios de ***APP.2 (altas, bajas y modificaciones) el 1 de marzo de 2018”. “El 29/05/2024, cuando se detectó el acceso a estos expedientes y se C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 10/32 dio de baja el permiso en ***APP.2, se comprobó que A.A.A. se encontraba dada de alta en ***APP.2 en los entornos ***ENTORNO.1 (sin dependencia asociada) y ***ENTORNO.2 ((…) ***DISTRITO.1)”. - En relación con la solicitud de Alta de acceso en la aplicación ***APP.1-C, se afirma: “La Subdirección General de Relaciones con el Pleno remitió correo electrónico con fecha 16/10/2019, solicitando el alta (…). Con esa misma fecha, la Subdirección General de Administración Digital tramitó el permiso para A.A.A. para el acceso a ***APP.1-B, consulta general específica para concejales del Ayuntamiento de Madrid”. Se acredita captura de pantalla de los correos intercambiados. - En relación con el puesto de trabajo que ocupaba la empleada en fechas (…), por parte de IAM se afirma: “Corresponde a la Subdirección General de Relaciones con el Pleno informar sobre los cargos que ocupaba esta persona. En cuanto a los entornos y dependencias a las que debía tener acceso en ***APP.2, se informa que, (…).” - En relación con los documentos del expediente a los que pudo acceder la empleada en ***APP.2, se afirma: “IAM no dispone del detalle de los accesos realizados a los documentos que forman parte de un expediente. Una cuenta con acceso a un expediente en el Sistema de Información ***APP.2 puede consultar todos los documentos asociados a dicho expediente.” - Adjuntan un nuevo informe redactado por la Coordinación del ***DISTRITO.1 incluyendo información sobre varios puntos solicitados en nuestro requerimiento, en concreto destacan las siguientes afirmaciones: “Sin perjuicio de lo indicado por parte de IAM en su informe adjunto, procede informar que revisados los archivos existentes en el ***DISTRITO.1 en los años 2018 y 2019 en que la persona indicada fue ***PUESTO.2 ***DISTRITO.1, no se ha localizado solicitud remitida a IAM de alta en ***APP.2. Indicar que en esas fechas las solicitudes de acceso se remitían a través de un correo electrónico adjuntando un formulario a una dirección específica de IAM (IAMPeticiones) desde donde se tramitaban.” “Consultados los archivos del ***DISTRITO.1 no consta petición de baja de la ***APP.2 realizada en 2019 (…), lo cual es coherente dado que no se tenía conocimiento de su alta al no haberse tramitado desde el Distrito.” “En relación a los datos filtrados los días 27 y 28 de mayo, se refieren C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 11/32 a pasos del trámite del expediente de disciplina urbanística tramitado sin que se conozcan publicaciones con datos personales”. QUINTO: Con fecha 12 de diciembre de 2024, la directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, con arreglo a lo dispuesto en los artículos 63 y 64 de la LPACAP, por la presunta infracción del artículo 6 del RGPD, tipificada en el artículo 83.5.
  1. a)del RGPD. SEXTO: Notificado el citado acuerdo de inicio conforme a las normas establecidas en la LPACAP la parte reclamada presentó escrito de alegaciones con fecha de entrada el 7 de enero de 2025, en el que, en síntesis, manifiesta lo siguiente: PRIMERA.- SOBRE LA CONDICIÓN DE RESPONSABLE DEL TRATAMIENTO. (…) En el caso de los expedientes a los que ha tenido acceso A.A.A. (Exp. nº ***REFERENCIA.1 y ***REFERENCIA.2), el responsable del tratamiento es el ***PUESTO.3, tal y como figura en la página 783 el documento oficial del Ayuntamiento de Madrid “REGISTRO DE ACTIVIDADES DE TRATAMIENTO DE DATOS PERSONALES”, actualizado a 16 de diciembre de 2024. En dicho documento se establece como fines del tratamiento la “tramitación y resolución de los expedientes de gestión urbanística de los distritos, tales como licencias, autorizaciones, comunicaciones y disciplina urbanística”, no constando acuerdo de encargo de tratamiento. Ningún concejal o ***PUESTO.1 del Ayuntamiento de Madrid y tampoco en consecuencia A.A.A. reúne la condición de responsable del tratamiento, pues no son estos cargos electos quienes deciden sobre sus fines o medios. Concluye que, En consecuencia y en virtud del artículo 70.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDPGDD), no puede aplicársele a A.A.A. el régimen sancionador previsto en el capítulo IX de dicha Ley, pues ni tiene la condición de Responsable del fichero ni de tercero al que se han cedido los datos, sino que forma parte de la entidad titular del mismo. (…) Ese es el criterio además adoptado por la Agencia Española de Protección de Datos (en adelante AEPD) en casos precedentes. Sirva a titulo ejemplificativo citar la Resolución n.º PS-00464-2021, de 13 de enero de 2024 . Dicha resolución trae causa en una denuncia interpuesta por la difusión de ciertos datos personales después de que se adoptara un acuerdo por el Pleno de un Ayuntamiento mediante el que se autorizaba a todos los concejales y concejalas a acceder al Registro de Entrada de entradas y salidas. La AEPD resuelve apercibir al Consistorio titular del fichero sin imponer sanción alguna a los concejales y concejalas. (…). SEGUNDA.- SOBRE LA LICITUD DEL TRATAMIENTO. 1. El derecho fundamental a la participación en los asuntos públicos y a la información. Tal y como figura acreditado en el expediente, A.A.A. es ***PUESTO.1 del Ayuntamiento de Madrid desde el año (…) hasta la actualidad, formando parte del equipo de gobierno del municipio (…). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 12/32 El art. 23.1 de la CE consagra como un derecho fundamental la participación de los ciudadanos en los asuntos públicos, directamente o mediante representantes. El derecho a la información de los Concejales se incardina y entronca directamente con el art. 23 de la CE, por lo que ha de interpretarse en sentido amplio. El acceso a la documentación e información municipal por parte de los concejales y concejalas les permite realizar correcta y eficazmente la función que tienen encomendada. Es, además, un instrumento básico para controlar la acción del gobierno, especialmente por parte de aquellos concejales que no forman parte del equipo rector de la entidad. (…) Es por ello que el artículo 77 de la Ley 7/1985, de 2 de abril, reguladora de las bases del régimen local (en adelante LBRL) dispone que “todos los miembros de las Corporaciones locales tienen derecho a obtener del Alcalde o Presidente o de la Comisión de Gobierno cuantos antecedentes, datos o informaciones obren en poder de los servicios de la Corporación y resulten precisos para el desarrollo de su función” y el artículo 14 del Reglamento Orgánico del Pleno del Ayuntamiento de Madrid (en adelante ROP) proclama que “en su condición de miembros de la Corporación, los concejales tienen derecho a obtener del Gobierno y la Administración municipal los antecedentes, datos e informaciones que obren en poder de los servicios municipales y sean necesarios para el desarrollo de sus funciones (…) Por lo que se refiere en concreto a los expedientes de naturaleza urbanística, como son los que motivan este procedimiento, existe además un régimen peculiar que potencia el régimen de control sobre este sector del ordenamiento jurídico Es decir, el régimen ordinario de acceso a la información contenido en la Ley 19/2013, de 9 de diciembre, de transparencia, acceso a la información pública y buen gobierno, se complementa con el derivado del ejercicio de la acción pública urbanística, siendo voluntad del legislador aplicar de forma reforzada los principios de transparencia e información a este concreto sector. (…). Tan es así que A.A.A. en tanto ***PUESTO.1 del Ayuntamiento de Madrid tenía derecho de acceso a los expedientes urbanísticos objeto de la controversia -expedientes nº ***REFERENCIA.2 y ***REFERENCIA.1-, que el ***GRUPO.1 solicitó el ***FECHA.5 copia digitalizada de dichos expedientes, siendo remitidos por el equipo de gobierno el ***FECHA.18. (…) 2. El principio de Transparencia y el cambio de criterio del Ayuntamiento de Madrid. Así y según informó ***PRENSA.1 ***PRENSA.2 en noticia publicada el ***FECHA.16, la Oficina de Protección de Datos del propio Ayuntamiento (en adelante OPDAM) emitió hasta tres informes -abril de 2020, marzo de 2021 y marzo de 2022- en los que censuraba que se estuvieran publicando en abierto datos personales. Frente a tal criterio, el Ayuntamiento defendió, a través de la Secretaría General Técnica del Área de Gobierno de Desarrollo Urbano, que debía primar “el derecho a la información de los ciudadanos (…) por los procesos urbanísticos” (apartado
  2. c)del artículo 4.2 del texto refundido de la Ley de Suelo y Rehabilitación Urbana, aprobado por Real Decreto Legislativo 7/2015, de 30 de octubre, que proclama que deberá garantizarse “el derecho a la información de los ciudadanos y de las entidades representativas de los intereses afectados por los procesos urbanísticos, así como la participación ciudadana en la ordenación y gestión urbanísticas”). (…) En la respuesta ofrecida por dicho organismo se recomienda “proceder a eliminar de ***APP.1 todos los documentos y planos que contengan datos personales” o “en el caso de mantener esa documentación, realizar la anonimación de esta”. Es entonces C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 13/32 cuando el Ayuntamiento modifica la postura mantenida hasta entonces y procede a cerrar el portal el 24 de abril de 2024. (…) En coherencia con todo lo expuesto, puede concluirse que el acceso de A.A.A. a los expedientes municipales que motiva la incoación del procedimiento sancionador se hizo en ejercicio de funciones de interés público y para la satisfacción de intereses legítimos, en un marco de transparencia y de debate político que respaldaba la confianza de estar actuando conforme a normativa y en defensa de los intereses colectivos que representaba y representa. TERCERA.- SOBRE LA GRADUACIÓN DE LA SANCIÓN. 1. La naturaleza, gravedad y duración de la infracción. (…) Son dos por tanto los hechos que a juicio de la AEPD concurren en el caso presente para estimar de aplicación esta circunstancia: el número de accesos y los días y horas ajenos al normal desempeño laboral en que se realizaron. (…) No puede establecerse en este caso una equivalencia entre el número de accesos y su teórica relevancia, pues no existe en puridad una relación entre aquellos y la cantidad de datos afectados. En efecto, el primero de los expedientes estaba concluido y fue archivado en el año 2022, por lo que los datos de los que pudo tener conocimiento durante los meses de (…) ya figuraban en el primer acceso. No hubo ninguna incorporación durante ese periodo de escritos, alegaciones o recursos de particulares ni de actos administrativos o acuerdos adoptados por órganos directivos o superiores de la Administración municipal. En cuanto al segundo de los expedientes, se trata de un procedimiento incoado por denuncia del ***GRUPO.1 (…). Es por tanto un documento que conocía y que suscribió antes de ser registrado en la ***ORGANISMO.1 el ***FECHA.5. Los otros dos documentos a los que teóricamente tuvo acceso en ese expediente (el acta de inspección y la orden de legalización) son actos a los que en todo caso tendría derecho de acceso en su condición de cargo electo, pues como tal goza de la prerrogativa de tomar vista y solicitar copia de todos los expedientes municipales (artículo 77 de la LBRL y artículo 14 del ROP). En todo caso, el alto número de accesos a la aplicación tuvo su origen en el mal funcionamiento del sistema, que obligaba a entrar y salir de la aplicación constantemente. La concentración en ciertos intervalos horarios de los intentos de acceso, que debe haber quedado reflejado en el informe del IAM, constituye indicio suficiente para acreditar dicha realidad, especialmente cuando es obvio que no cabía esperar por A.A.A. un incremento diario de documentos, pues como ya se ha anticipado uno de los expedientes estaba ya terminado y el otro partía de una denuncia propia en la que la Ley y la Ordenanza municipal solo fijan como preceptiva la elaboración del acta de inspección y en su caso la emisión de la orden de legalización. (…) A.A.A. es ***PUESTO.1 del Ayuntamiento de Madrid. Es decir, no tiene en modo alguno y bajo ninguna circunstancia relación laboral con el Ayuntamiento. No es “empleada” del Ayuntamiento -como erróneamente se apunta en el acuerdo- y en consecuencia carece, obviamente, de horarios de trabajo fijados por la entidad local. La actividad que realiza como cargo electo, entre la cual destaca el control y fiscalización del equipo de gobierno, se acomete en las franjas horarias y días que estima oportuno, sin que desde la Administración o el equipo de gobierno de la ciudad C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 14/32 pueda limitarse esa actividad a unos horarios o fechas concretas, ni desde ninguna instancia quepa valorar o definir cuando debería llevarse a cabo. 2. Intencionalidad / negligencia. En la propuesta se contiene una afirmación clave alrededor de la cual pivota la conclusión de que A.A.A. era conocedora del presunto acceso indebido a ***APP.2, cual es la siguiente: dado que, obviamente, sabía de su cambio de estatus como ***PUESTO.1, también debía serlo de las limitaciones que ello acarreaba en la consulta a este sistema informático. Nada más lejos de la realidad.(…) El 24 de febrero de 2016 el Pleno del Ayuntamiento de Madrid aprobó un acuerdo para “facilitar el acceso de los grupos municipales a todas las aplicaciones informáticas respetando la normativa vigente en protección de datos” (punto 21, proposición n.º 2016/8000254). El acuerdo fue aprobado por unanimidad de todos los grupos municipales. El último párrafo de la proposición aprobada dice literalmente que “la Oposición debe tener acceso a todos los registros y aplicaciones informáticas de los órganos municipales, así como poder acceder a las dependencias del Ayuntamiento para consultar los expedientes de forma inmediata.” (…) Debería ser suficiente este acuerdo plenario para demostrar no solo que A.A.A. no era consciente de estar actuando contra normativa alguna sino que lo hizo amparada por un acuerdo plenario que otorgaba acceso a las herramientas informáticas a todos los concejales, incluidos los de la oposición. No ha habido por su parte intencionalidad ni negligencia en el tratamiento de dato alguno, sino el absoluto convencimiento de que se hacía amparada en la legalidad y en un acuerdo plenario aprobado por unanimidad de todos los grupos municipales. Pero por si ello no fuera bastante, resulta oportuno también realizar unas consideraciones sobre la mención a las altas y bajas en ***APP.2. A.A.A. no remitió solicitud de alta de acceso ninguna.(…) Es decir, cualquiera que fuera el método empleado para dar de alta en ***APP.2 a ***PUESTO.1, no fue con su participación o conocimiento sino que debió acometerse de oficio por los servicios competentes del Ayuntamiento, sea por los centrales o los del propio distrito. Es decir, la ***PUESTO.1 en ningún momento fue consciente de las circunstancias o los motivos por los que se le dio acceso a consultar ***APP.2, desconociendo si dicha habilitación derivaba de su condición de ***PUESTO.1 o estaba sujeta o condicionada a su labor como ***PUESTO.2 (…), aunque, como ha quedado apuntado, el acuerdo plenario adoptado en el año 2016 invitaba a pensar que lo era por la mera cualidad de miembro corporativo. Este desconocimiento es plenamente coherente con el hecho de que tampoco solicitara la baja en ***APP.2, pues ni había realizado el alta ni conocía la necesidad en consecuencia de proceder en contrario. (…) Teniendo en cuenta además que conforme a la normativa vigente cualquier ***PUESTO.1 tiene reconocido el derecho de acceder a los expedientes municipales obrantes en ***APP.2, la conclusión de A.A.A. fue tan lógica como congruente con todo lo expuesto: esta era la condición – (…)- y no otra por la que el Ayuntamiento le habilitó la consulta de expedientes. Debe además tomarse en consideración que A.A.A. en ningún momento hackeo el sistema o entró en él de manera subrepticia o empleando el nombre de otros usuarios o contraseñas: lo hizo de forma abierta, usando sus propias claves y desde el ordenador municipal. (…). Si ese acceso se realizó fue porque le estaba permitido y, si C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 15/32 por alguna razón, no debió tener ese permiso sería imputable a una negligencia municipal, no suya. 3. Las categorías de los datos de carácter personal afectados. Los datos presuntamente afectados son únicamente los de carácter general u ordinario, esto es: nombre y apellidos, del DNI, información sobre su vivienda habitual -incluyendo la referencia catastral- o información económica como la relativa al presupuesto destinado a las obras de acondicionamiento. Son datos que en línea de principio ceden ante el derecho a la información de los cargos públicos representativos, encontrado con el derecho fundamental a la participación en los asuntos públicos(…) CUARTA.- SOBRE EL CONOCIMIENTO Y DIFUSIÓN DE LOS DATOS. 1. Los datos publicados en medios de comunicación antes de que A.A.A. accediera a ***APP.2. Tal y como recoge el IAM en el informe remitido por el Ayuntamiento a la AEPD (…), A.A.A. accedió a ***APP.2 “por primera vez en fecha ***FECHA.17 y por última en fecha ***FECHA.11, a las 15:13 horas”. Con anterioridad a esa fecha de ***FECHA.17, hubo numerosas publicaciones de prensa en las que (…).(…) 2. Los datos suministrados directamente por el Ayuntamiento de Madrid. El ***GRUPO.1 solicitó el ***FECHA.5, visto el debate público producido y las noticias periodísticas publicadas, copia digitalizada de los expedientes ***REFERENCIA.2 y ***REFERENCIA.1, siendo remitida por el equipo de gobierno el ***FECHA.18. En las copias remitidas no son anonimizados, porque obviamente y tal y como se ha expuesto en alegaciones anteriores se tenía derecho de acceso a ellos: (…) No es cierto, por tanto, lo aseverado por el Ayuntamiento cuando taxativamente afirma que en el caso de las peticiones de información de estos expedientes “se remitió la documentación solicitada, una vez anonimizados los datos personales”, pues como puede comprobarse muchos de ellos fueron transmitidos a los peticionarios, entre ellos el ***GRUPO.1. (…) la inmensa mayoría de los datos de carácter personal a los que presuntamente accedió A.A.A. habían sido objeto de publicación por los medios de comunicación o bien habían sido suministrados por el propio Ayuntamiento a su ***GRUPO.1 o bien concurrían incluso ambas circunstancias. Igualmente sirva para certificar que en este caso concreto existía y existe un acreditado interés público ante el que debe ceder los datos personales de carácter general presuntamente afectados. 3. La difusión de datos con posterioridad al ***FECHA.17. (…)de la relación de noticias publicadas en prensa referenciadas por el reclamante, tan solo las publicadas el día ***FECHA.11 podrían haber sido comunicadas por A.A.A. después de su potencial visionado en ***APP.2, extremo por cierto que se niega categóricamente.(…) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 16/32 Por lo que se refiere al acta de inspección y a la propuesta de orden de legalización del expediente de disciplina urbanística ***REFERENCIA.2, ambos documentos constituyen correlato y resultado obligado de la denuncia registrada por el ***GRUPO.1 el ***FECHA.5 precisamente a raíz de las informaciones publicadas por la prensa, denuncia que como se ha advertido es el acto que genera la apertura del expediente. Se trata por tanto de documentos a los que tanto la ***PUESTO.1 como el resto del ***GRUPO.1 tenían derecho de acceso, no ya en su condición de miembros corporativos sino como meros interesados legítimos en el procedimiento.(…) Si no es posible acreditar a que documentos accedió A.A.A., si es que accedió a alguno, difícilmente se puede discriminar e identificar a que datos lo ha hecho. En segundo término, el número de accesos -debidos e indebidos- a los dos expedientes impide identificar de forma indubitada a la persona o personas que en su caso transmitieron los datos a la prensa el día ***FECHA.11. Debe recordarse nuevamente que son estos los únicos datos cuya publicación es cuestionada por el IAM, pues el resto reconoce en su informe que derivan “del acceso público a dicha aplicación [***APP.1]” (…) SÉPTIMO: Con fecha 29 de agosto de 2025 se formuló propuesta de resolución con el siguiente sentido: Que por la Presidencia de la Agencia Española de Protección de Datos se sancione a A.A.A., con NIF ***NIF.1, por una infracción del artículo 6 del RGPD, tipificada en el artículo 83.5.
  3. a)del RGPD, (…). OCTAVO: Con fecha 2 de octubre de 2025 tiene entrada escrito de alegaciones a la propuesta de resolución en el que se señala, básicamente, lo siguiente: En relación con la condición de responsable de A.A.A. se insiste en que es una mera usuaria del sistema, y que, por lo tanto, En modo alguno puede calificársela de “responsable”, pues este es un concepto que la ley (artículo 4.7 del RGPD) anuda a la capacidad y competencia para determinar los fines y medios del tratamiento. En el caso de las Juntas de Distrito, los responsables del tratamiento son sus Coordinadores, tal y como recoge el propio Ayuntamiento de Madrid en su información institucional. Rechaza la aplicación al caso de la STJUE de 13 de mayo de 2014, C-131/12, al entender que el supuesto que trata la sentencia no puede equipararse al supuesto objeto del presente procedimiento ya que es relativa a la condición de responsables del tratamiento de los motores de búsqueda por internet y, a su juicio, equiparar el papel de los buscadores al de A.A.A. no parece razonable desde el punto de vista jurídico. Entiende que es el Ayuntamiento de Madrid, el que permite una visualización, inmediatez y ubicuidad de la información que sin ella no sería posible y que, de haber existido alguna incidencia o brecha de seguridad, las actuaciones de apercibimiento deberían dirigirse en su caso a la Administración titular del fichero, responsable y garante de los datos.. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 17/32 En relación con la sanción alega que debe tenerse en cuenta que la infracción debe tomar como base el tratamiento de datos, no el mero acceso a un aplicativo por un cargo que forma parte de la organización, que es una cuestión interna de la propia organización. Considera que No conociéndose los documentos del expediente a los que pudo acceder A.A.A. resulta improcedente la imposición de sanción alguna, pues lo contrario infringiría los principios de tipicidad y de presunción de inocencia, al imponerse una multa por unos hechos que únicamente alcanzan el grado de presunción. Continúa señalando que lo que la AEPD puede y debe sancionar no es dicho acceso sino el tratamiento de datos de carácter personal, actividad que no puede darse por probada por cuanto se desconoce cuántos y qué tipo de documentos concretos pudo haber visionado EGM. Las garantías propias de los procedimientos sancionadores impiden multar o sancionar por circunstancias no probadas y que, en todo caso, solo pueden ser calificadas como indiciarias. Finalmente, se solicita reconsiderar el importe de la multa. Entiende que no existen datos especialmente protegidos y los datos que obraban en el expediente ya habían sido objeto de difusión y que podría haber accedido por el cauce procedimental ordinario en su condición de ***PUESTO.1. Considera que, en base al acuerdo del pleno señalado en alegaciones al acuerdo de inicio, la reclamada actuaba amparada en la legalidad o al menos eso así creía, tesis que necesariamente se ve reforzada por el hecho de que en ningún momento tramitó el alta ni la baja a la aplicación -que se tramitaron de oficio por los servicios del Ayuntamiento- ni se le entregó documentación, se le remitió información ni se le impartió curso formativo al respecto. Como prueba de ello consideran que el acceso se produjo sin ocultación o disimulo. Si ese acceso se produjo fue porque le estaba permitido y, si por alguna razón no debió tener ese permiso, sería en todo caso un error imputable a una negligencia del Ayuntamiento y del responsable del tratamiento. De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS PRIMERO: El Ayuntamiento de Madrid cuenta con dos aplicaciones que contienen información sobre los expedientes de naturaleza urbanística tramitados o en tramitación: el sistema denominado ***APP.1 (en adelante ***APP.1) y el ***APP.2 (en adelante ***APP.2). SEGUNDO: ***APP.1, que permite una consulta general centralizada de expedientes, contiene información sobre las licencias urbanísticas y declaraciones responsables que se hayan tramitado en cualquier domicilio del municipio de Madrid y, a su vez, se divide en:    ***APP.1 internet: permite la consulta libre por cualquier persona, sin existir restricciones al acceso ***APP.1 ***APP.2, para usuarios de ***APP.2 (también denominado interno) y ***APP.1 CONCEJALES, para el acceso por parte de concejales del Ayuntamiento de Madrid. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 18/32 TECERO: ***APP.2 (Gestión y tramitación de expedientes administrativos), es una aplicación interna de gestión de expedientes de uso exclusivo para el personal municipal autorizado, que debe contar con un usuario interno asignado. El perfil de acceso de los usuarios puede ser de consulta o de gestión. La autorización de acceso a ***APP.2 conlleva la asignación a un entorno de trabajo y una dependencia por lo que el usuario autorizado tiene limitado el acceso para la consulta o gestión definido por el entorno y la dependencia. En la mayoría de los entornos, la consulta de los expedientes puede hacerse a todos los expedientes del entorno autorizado con independencia de la dependencia en la que esté autorizado; es decir, el usuario puede consultar los expedientes de otras dependencias de su entorno, aunque sólo podrá gestionarlos si el expediente está en su dependencia. CUARTO: La documentación contenida en dichos aplicativos contiene datos personales tales como nombre y apellidos de los interesados en los procedimientos, DNI, dirección afectada por la actuación urbanística e información económica como los presupuestos de dichas actuaciones urbanísticas o sobre el pago de los impuestos y tasas que sean de aplicación. QUINTO: Mediante ***DECRETO.1 BOAM núm. ***REFERENCIA.3, A.A.A. (…) ***PUESTO.2 ***DISTRITO.1. De acuerdo con la información publicada para esta persona en el portal de transparencia del Ayuntamiento de Madrid, A.A.A. ocupó puestos de ***PUESTO.2 de ***DISTRITO.2, ***DISTRITO.3 y ***DISTRITO.1 (…). En el momento de los hechos objeto de reclamación, ostentaba el cargo de ***PUESTO.1 (…). SEXTO: Desde (…) ***FECHA.11 se produjeron 122 accesos a la orden de legalización incorporada al expediente urbanístico ***REFERENCIA.2, en el que el reclamante ostenta la condición de interesado. De esos accesos, 56 de ellos (46%) fueron realizados por la parte reclamada, identificada como ***USUARIO.1. El acceso fue realizado gracias a permisos de acceso concedidos en atención a una responsabilidad previa de la reclamada que no se mantenía en el momento de constatarse dichos accesos. Dichos permisos se concedieron respecto de los entornos ***ENTORNO.1 (sin dependencia asociada) y ***ENTORNO.2 (dependencia ***DISTRITO.1). No consta solicitud de alta en ***APP.2 del mencionado usuario ni solicitud de baja cuando cesó en sus responsabilidades de gobierno en el distrito donde se encuentra la vivienda afectada por los expedientes urbanísticos de los que el reclamante es interesado. Con fecha 29 de mayo de (…), esos permisos le fueron retirados. FUNDAMENTOS DE DERECHO I Competencia C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 19/32 De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Contestación a las alegaciones al acuerdo de inicio Alega en primer lugar la reclamada que no ostenta la condición de responsable del tratamiento y que, en consecuencia, no cabría imputarle la infracción señalada en el acuerdo de inicio. Debe precisarse que la concejal, como miembro de la Corporación local, forma parte de la propia organización municipal. En el marco de sus funciones representativas, el acceso a la información que obra en poder del Ayuntamiento - incluyendo datos personales- de haberse realizado sin irregularidades no constituiría una cesión de datos a terceros, sino un tratamiento interno amparado en su caso en su derecho de acceso reforzado por el artículo 23 CE, el artículo 77 LBRL y la doctrina jurisprudencial consolidada. Sin embargo, la conducta que aquí se examina no se refiere al ejercicio legítimo de ese derecho, sino al uso de credenciales que no le correspondían en el momento de los hechos, por haber desaparecido las condiciones habilitantes para su asignación. Este uso fuera del cauce procedimental y técnico habilitado comporta, como luego se expone, un acceso sin base de licitud conforme al artículo 6 RGPD. La irregularidad no reside en la naturaleza de la información en abstracto, sino en la ausencia de habilitación vigente para acceder a ella a través de la plataforma ***APP.2 en las condiciones en que se hizo. En este sentido, aunque no se trate de un tercero ajeno a la organización, la concejal, actuando de forma individualizada y al margen del régimen habilitante, asume responsabilidad en los términos de los artículos 58.2 RGPD y 70.1.
  4. a)LOPDGDD, que alcanzan a toda persona física que realice un tratamiento sin base jurídica válida. Esta interpretación se alinea con el concepto amplio de responsable del tratamiento desarrollado por el Tribunal de Justicia de la Unión Europea (STJUE de 13 de mayo de 2014, C-131/12, ap. 34), que busca evitar que determinadas actuaciones queden fuera C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 20/32 del ámbito de aplicación de la normativa y garantizar una protección eficaz de los interesados. El derecho de acceso a la información de los miembros de las corporaciones locales posee naturaleza cualificada por su vínculo instrumental con el artículo 23.1 de la Constitución. No se trata de una mera facultad administrativa, sino de una garantía indispensable para el ejercicio de la función representativa y el control democrático de la acción de gobierno local. De ahí que su protección material y procesal sea más intensa que la dispensada al derecho de acceso de la ciudadanía en general y que sus garantías no puedan resultar inferiores a las previstas con carácter general en la legislación de transparencia, salvo justificación expresa y suficiente. El núcleo normativo de este derecho se encuentra en el artículo 77 de la Ley 7/1985, Reguladora de las Bases del Régimen Local, que reconoce a todos los miembros de las corporaciones locales el derecho a obtener del alcalde, presidente o comisión de gobierno cuantos antecedentes, datos o informaciones obren en poder de los servicios de la corporación y resulten precisos para el desarrollo de su función, imponiendo un plazo abreviado de cinco días naturales para resolver, con obligación de motivar la denegación. El desarrollo reglamentario de los artículos 14 a 16 del Real Decreto 2568/1986 (ROF) refuerza este estatuto al establecer, entre otras garantías, el silencio positivo en caso de falta de respuesta en plazo, supuestos de acceso sin autorización, modalidades de consulta directa y obtención de copias y el correlativo deber de reserva y secreto del concejal respecto de la información recibida. La jurisprudencia ha precisado que este derecho no exige motivar la solicitud, ni acreditar competencia específica, y que la carga de justificar una eventual restricción recae en la Administración (SSTS de 9 de mayo de 1998, 12 de noviembre de 1999, 5 de noviembre de 2000, entre otras). El acceso es la regla y su limitación la excepción, sujeta a interpretación estricta y a una ponderación conforme a los demás derechos fundamentales implicados. Esta línea se proyecta, además, sobre el régimen de datos personales: la comunicación de información a concejales y grupos municipales no constituye cesión a terceros, por integrar el órgano representativo la propia organización pública, lo que atenúa las exigencias de legitimación sin eximir del cumplimiento de las obligaciones de diligencia, secreto y confidencialidad. La información especialmente sensible (arts. 9 y 10 RGPD) no puede denegarse de forma automática; solo procede restringirla cuando la afección a la intimidad u otros derechos fundamentales resulte concreta, actual y proporcionada, debidamente fundada y con empleo, si es posible, de técnicas de disociación o acceso parcial. En expedientes sancionadores, el interés de control inherente a la función representativa intensifica la presunción de acceso, sin perjuicio de reservas puntuales cuando la publicidad a un concejal comporte una lesión cierta e inminente de derechos de terceras personas. La doctrina más reciente del Tribunal Supremo ha asentado, con alcance de casación, el modo en que este régimen especial convive con la legislación de transparencia. La sentencia 312/2022, de 10 de marzo (rec. 3382/2020), afirma que los artículos 77 LBRL y 14 a 16 ROF constituyen un régimen específico y preferente del derecho de acceso de los concejales, pero no excluyen la aplicación supletoria de la Ley 19/2013, de transparencia, acceso a la información pública y buen gobierno. La supletoriedad a que se refiere la disposición adicional primera, apartado 2, de la Ley 19/2013 opera como garantía añadida y no como límite sustitutivo: permite a los concejales utilizar, con carácter potestativo, la reclamación prevista en el artículo 24 ante el órgano C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 21/32 independiente de transparencia competente, sin degradar las garantías propias del régimen local. De esta jurisprudencia derivan consecuencias prácticas inmediatas para el enjuiciamiento de las controversias que se someten a esta autoridad. Primera, el derecho de acceso del concejal se presume procedente siempre que la información solicitada sea idónea y necesaria para el desarrollo de su función representativa; la Administración soporta la carga de acreditar los motivos de una eventual denegación y de justificar la proporcionalidad de cualquier restricción frente a derechos de terceros o regímenes de confidencialidad sectoriales. Segunda, los plazos y garantías del régimen específico no pueden verse erosionados por la legislación general de transparencia: el término de cinco días del artículo 77 LBRL y del artículo 14 ROF, así como el silencio positivo, constituyen garantías reforzadas indisponibles que no ceden ante el plazo ordinario de un mes del régimen general; usar la supletoriedad para ampliar plazos o reducir garantías vaciaría de contenido el derecho vinculado al artículo 23 CE. Tercera, la posibilidad de interponer la reclamación prevista en la Ley 19/2023 opera como cauce adicional, gratuito y ágil de tutela, compatible con el recurso potestativo de reposición y sin perjuicio de la vía contencioso-administrativa, incluido el procedimiento preferente y sumario de los artículos 114 a 121 de la Ley de la Jurisdicción Contencioso-Administrativa y, en su caso, el amparo constitucional. Es preciso, asimismo, deslindar con claridad el canal de acceso del concejal de la difusión pública indiscriminada. El ejercicio del derecho del artículo 77 LBRL habilita un acceso funcional e interno a la documentación necesaria para el desempeño del cargo, con su correlativo deber de reserva; no legitima, por sí solo, la publicación en abierto de documentos que contengan datos personales en sedes o portales accesibles al público. El principio de minimización de datos, las reglas sobre publicidad activa y las cautelas exigibles cuando concurren datos de las categorías del artículo 9 RGPD o informaciones del artículo 10 RGPD obligan a diferenciar entre entrega motivada al representante y divulgación generalizada. Por ello, que un concejal se encuentre legitimado para acceder no significa que el organismo pueda o deba exponer en abierto la totalidad de los expedientes sin previa evaluación del impacto sobre la protección de datos y sin medidas de disociación adecuadas. Aplicando estos criterios al caso, no procede cuestionar la existencia ni el alcance del derecho de la persona reclamada en su condición de concejal. La solicitud de acceso, en tanto se refiera a información pertinente para el ejercicio de la función representativa, activa un deber reforzado de atenderla en el plazo especial de cinco días, quedando el silencio a su favor. Solo cabe denegar, total o parcialmente, mediante resolución motivada, cuando concurra un límite legal concreto y la restricción sea imprescindible y proporcionada tras ponderación específica con los derechos afectados, favoreciendo, en su caso, el acceso parcial o con ocultación de datos. La eventual utilización de la reclamación ante la autoridad de transparencia es compatible con la reposición y no desplaza las garantías del régimen local. Ahora bien, el reconocimiento de este derecho reforzado no implica que pueda ejercerse de manera incondicionada o al margen de las condiciones legales y organizativas que lo habilitan. Se trata de un derecho funcional, cuya titularidad y ejercicio efectivo están vinculados a la condición de miembro en activo de la corporación y a la utilización de los cauces, credenciales y medidas de seguridad que la entidad local haya establecido para garantizar la confidencialidad, integridad y C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 22/32 trazabilidad de la información. Cuando el acceso se produce mediante el uso de credenciales personales vinculadas a un cargo que ya no se ostenta, o a través de credenciales de otro usuario, se está ante un acceso sin cobertura jurídica, equiparable a cualquier acceso no autorizado a sistemas o documentos administrativos, incluso si el contenido consultado es de la misma naturaleza que aquel al que se habría tenido derecho durante el mandato. En este sentido, los hechos objeto de este procedimiento presentan un escenario distinto al del ejercicio legítimo del derecho de acceso, pues se vinculan a accesos realizados utilizando credenciales que no correspondían a la persona reclamada en el momento en que se produjeron. Desaparecidas las condiciones que motivaron la concesión inicial de las credenciales, desaparece también la legitimación para seguir accediendo en las mismas condiciones. Así lo recuerda la Comisión de Garantía del Derecho de Acceso a la Información Pública de Cataluña en su Resolución núm. 46, de 21 de enero de 2021, al señalar que «no existe ningún impedimento legal para permitir el acceso telemático a los expedientes -y de hecho, puede ser un sistema conveniente para los principios de eficacia y eficiencia de los recursos públicos-, pero hay que tomar las medidas organizativas necesarias para garantizar el respeto a los límites legales establecidos, lo que puede ser incompatible con un acceso telemático y autónomo si el Ayuntamiento no incorpora al tratamiento previo de los datos personales que se contienen en los expedientes técnicas de disociación que garanticen la anonimización o si el gestor documental no está organizado y compartimentado». La exigencia de estas garantías refuerza que el derecho de acceso del concejal, aunque intenso y protegido, solo ampara actuaciones realizadas dentro del marco habilitante vigente y por las vías autorizadas. En el presente caso, la infracción se habría producido igualmente, ya que el origen de la ilicitud radica en el uso de credenciales asociadas a un perfil funcional ya extinguido, de cuya improcedencia la concejal era conocedora. Sentado lo anterior, no puede otorgarse relevancia al alegado cambio de criterio del Ayuntamiento de Madrid en materia de acceso a la información urbanística. Incluso de admitirse su existencia, ello no alteraría la calificación de los hechos imputados, pues el núcleo de la infracción no reside en una denegación sobrevenida de acceso sino en el uso de credenciales que no correspondían a la persona reclamada en el momento de los accesos, una circunstancia ajena a cualquier modificación organizativa o de política de acceso acordada por el Ayuntamiento. Por otro lado, la reclamada sostiene que el número elevado de accesos y su distribución temporal se explican por supuestos problemas técnicos en la aplicación y por la ausencia de una relación laboral “al uso” que determinara horarios fijos de trabajo. Sin embargo, las actuaciones de investigación han acreditado, a partir de la información facilitada por el propio Ayuntamiento, que los accesos fueron efectivamente numerosos, que los pretendidos fallos de la aplicación no constan como incidencia generalizada entre otros usuarios, y que todos ellos aparecen vinculados reiteradamente a la identificación de la persona reclamada. Además, la circunstancia de que un número significativo de accesos -cuatro- se realizara en domingo, aun cuando en abstracto el ejercicio de la función representativa no esté sujeto a un horario tasado, no desvirtúa que estos accesos se produjeran sin el título habilitante vigente para realizarlos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 23/32 En cuanto a la referencia concreta a que 56 de los 122 accesos realizados entre (…) ***FECHA.11 (un 46% del total) corresponden a la persona reclamada y se dirigen al expediente ***REFERENCIA.2, se trata de un dato objetivo que refuerza la constatación de un patrón de acceso continuado y reiterado a un expediente concreto sin habilitación, circunstancia que no queda neutralizada por las explicaciones ofrecidas. Por tanto, aunque pueda aceptarse de forma parcial que el desempeño de funciones como concejal no impone restricciones horarias, este hecho carece de virtualidad para excluir la ilicitud de los accesos, pues la irregularidad deriva de la utilización de credenciales sin vigencia para la reclamante y no del momento del día en que se produjeron. En cuanto a la intencionalidad o negligencia, la reclamada alega desconocimiento en cuanto a las circunstancias en las que fue dada de alta como usuaria de la aplicación y las credenciales que le fueron otorgadas. Afirma que no supo de su alta y que, por lo tanto, no pudo solicitar su baja. A este respecto, recordemos que las credenciales de acceso de la reclamada, en el momento en que se produjeron los accesos objeto del presente procedimiento, estaban vinculadas a su extinta condición de ***PUESTO.2 ***DISTRITO.1, y que son los expedientes vinculados a este distrito a los que tuvo acceso. Aunque su derecho de acceso a información municipal en general se mantenía por seguir ostentando la condición de concejal, dicho derecho debía canalizarse por los cauces ordinarios previstos en la normativa y no mediante el uso de credenciales específicas asociadas a un ámbito funcional ya extinguido. Dado que, como no puede ser de otra forma, era perfectamente conocedora de que, desde 2019, no tenía responsabilidades de Gobierno ni la condición de ***PUESTO.2 del mencionado distrito, no resulta sostenible que no se haya cuestionado que pudiera seguir accediendo por esta vía a la misma información a la que accedía cuando sus responsabilidades eran otras. Máxime cuando, en la descripción del acceso a ***APP.2 consta en el expediente que La autorización de acceso a ***APP.2 conlleva además la asignación a un entorno de trabajo y una dependencia de forma que el usuario autorizado tiene limitado el acceso para la consulta o gestión definido por el entorno y la dependencia. Así como que un usuario autorizado al entorno del Distrito de Centro no puede acceder desde ***APP.2 al entorno de otro distrito y que se comprobó que A.A.A. se encontraba dada de alta en ***APP.2 en los entornos ***ENTORNO.1 (sin dependencia asociada) y ***ENTORNO.2 ((…) ***DISTRITO.1)”. Es decir, no podría ver los expedientes de otros distritos en los que anteriormente tuvo responsabilidades de Gobierno, como ***DISTRITO.2 y ***DISTRITO.3, (…) ***DISTRITO.1, en el que se ubica la vivienda del reclamante. Ha de entenderse, por lo tanto, que los hechos que se atribuyen a A.A.A. fueron cometidos con intencionalidad y haciendo uso de una vía de acceso- a través de permisos de usuario específicos en la aplicación ***APP.2- para la que no estaba autorizada. En definitiva, la reclamada debía ser consciente de que accedía al entorno y dependencia vinculados con las credenciales de acceso que le habían sido otorgadas en su condición de ***PUESTO.2 ***DISTRITO.1 y, por lo tanto, al acceder a dicha información y no a la de otro entorno o dependencia, sería consciente de que dichos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 24/32 accesos se realizaban gracias a unas credenciales que no se correspondían con la condición de que en este momento ostentaba. Consta también en el expediente aportado por la parte reclamada acta de la sesión del Pleno del Ayuntamiento de Madrid de 24 de febrero de marzo de 2016 en el que se aprobó como punto 21 la proposición n.º 2016/8000254, (…) interesando que se adopten las medidas que contempla la iniciativa, dirigidas a garantizar el acceso inmediato a los expedientes municipales por todos los concejales. Olvida no obstante la parte reclamada reseñar que dicha proposición, en su punto tercero, indica expresamente lo siguiente: 3. Facilitar el acceso de los grupos municipales a todas las aplicaciones informáticas respetando la normativa vigente en protección de datos. Continua la reclamada realizando una serie de alegaciones relacionadas con la difusión de los datos en medios de comunicación. A este respecto debemos recordar que, en ningún momento, los hechos que se le imputan a la reclamada se relacionan con la difusión de los datos a los que tuvo acceso a terceros y mucho menos a la publicación de los mismos en medios de comunicación. Como se describió en el acuerdo de inicio del presente procedimiento sancionador, los hechos imputados se refieren al acceso a los datos sin contar con una base de licitud del artículo 6.1 del RGPD y, por lo tanto, no se vinculan con la posterior difusión de los datos accedidos. Indicado lo anterior, recordemos que la infracción se configura objetivamente por el uso de credenciales sin habilitación vigente, no obstante, ha de entenderse que la ausencia de datos especialmente protegidos y la alta probabilidad de que, por el cauce procedimental ordinario, la concejal hubiera obtenido acceso legítimo, entendemos que atenúan la gravedad de la conducta. III Contestación a las alegaciones a la propuesta de resolución En alegaciones a la propuesta de resolución, la reclamada insiste en los argumentos ya vertidos en alegaciones al acuerdo de inicio a cuya respuesta, indicada en el Fundamento de Derecho precedente, nos remitimos con carácter general. Así, insiste en negar la condición de responsable del tratamiento objeto del presente procedimiento sancionador. A este respecto cabe recordar, en un primer momento, que el tratamiento sancionado es el acceso por parte de la reclamada a información relativa al reclamante de forma indebida y con uso de unas credenciales que no correspondían con la condición de que ostentaba en el momento de producirse el acceso. Señala el escrito de alegaciones la ausencia de culpabilidad en la conducta al haber accedido a la información de forma abierta y sin ser consciente de su carácter indebido. A este respecto, nos remitimos a lo señalado por esta AEPD previamente y, especialmente, al hecho de que A.A.A. era plenamente consciente de hacer uso de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 25/32 unas credenciales que se correspondían a unas funciones que había desempeñado con anterioridad- ***PUESTO.2 ***DISTRITO.1- y que las mismas no persistían en el momento en que se produjeron. Unas credenciales que, de hecho, no tenían otros concejales del Ayuntamiento. Como ya se indicaba en la propuesta de resolución Dado que, como no puede ser de otra forma, era perfectamente conocedora de que, desde 2019, no tenía responsabilidades de Gobierno ni la condición de ***PUESTO.2 (…), no resulta sostenible que no se haya cuestionado que pudiera seguir accediendo por esta vía a la misma información a la que accedía cuando sus responsabilidades eran otras. Asimismo, alude el escrito a las alegaciones a determinadas circunstancias que, a su juicio, deberían fundamentar una reducción de la sanción impuesta. Al respecto, cabe recordar que las mismas ya se tuvieron en consideración en la propuesta de resolución como fundamento para la reducción de la sanción inicialmente prevista en el acuerdo de inicio- de la cantidad inicial de 10.000 euros a 500 euros-, en los siguientes términos: No obstante, la valoración de la gravedad de la conducta debe ponderar que, entre la información a la que se accedió, aun de forma irregular, no consta la inclusión de categorías especiales del artículo 9 RGPD ni de datos relativos a infracciones y condenas penales del artículo 10 RGPD. En este sentido, si bien la infracción se configura objetivamente por el uso de credenciales sin habilitación vigente, la ausencia de categorías especiales de datos y la alta probabilidad de que, por el cauce procedimental ordinario, la concejal hubiera podido obtenido acceso legítimo, atenúan la gravedad de la conducta. Por ello, no pueden aceptarse las alegaciones que parecen establecer una diferenciación entre acceso y tratamiento de datos del que hace responsable al Ayuntamiento como gestor de la aplicación que contenía los datos que fueron accedidos. Y ello, precisamente, porque el acceso a datos personales es, en sí mismo, un tratamiento de datos personales. Y porque es el acceso indebido a esos datos personales el objeto del presente procedimiento sancionador. En consecuencia, han de rechazarse las alegaciones aducidas. IV Cuestiones previas De acuerdo con lo establecido en el artículo 4.1 y 4.2 del RGPD, consta la realización de un tratamiento de datos personales, por parte de A.A.A. que, en este caso, se materializa en la consulta de datos personales de personas físicas contenidas en las aplicaciones de las que tiene la condición de usuaria en el marco de su vinculación con el Ayuntamiento de Madrid. En este caso, y en relación con los datos personales del reclamante, consta el tratamiento de, entre otros, su nombre y apellidos, DNI, número de teléfono, dirección de correo electrónico, datos sobre su vivienda habitualincluyendo su referencia catastral- y datos de carácter económico- incluidos los importes destinados a las obras a realizar en su vivienda o el pago de los impuestos y tasas que son de aplicación. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 26/32 A.A.A. realiza esta actividad en su condición de responsable del tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del RGPD. V Obligación incumplida. Licitud del tratamiento El artículo 6 del RGPD, que regula la licitud del tratamiento, establece lo siguiente: "1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
  5. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
  6. b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
  7. c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
  8. d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
  9. e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
  10. f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
  11. f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones. 2. Los Estados miembros podrán mantener o introducir disposiciones más específicas a fin de adaptar la aplicación de las normas del presente Reglamento con respecto al tratamiento en cumplimiento del apartado 1, letras
  12. c)y e), fijando de manera más precisa requisitos específicos de tratamiento y otras medidas que garanticen un tratamiento lícito y equitativo, con inclusión de otras situaciones específicas de tratamiento a tenor del capítulo IX. 3. La base del tratamiento indicado en el apartado 1, letras
  13. c)y e), deberá ser establecida por:
  14. a)el Derecho de la Unión, o
  15. b)el Derecho de los Estados miembros que se aplique al responsable del tratamiento. La finalidad del tratamiento deberá quedar determinada en dicha base jurídica o, en lo relativo al tratamiento a que se refiere el apartado 1, letra e), será necesaria para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento. Dicha base jurídica podrá contener disposiciones específicas para adaptar la aplicación de normas del presente Reglamento, entre otras: las condiciones generales que rigen la licitud del tratamiento por parte del responsable; los tipos de datos objeto de tratamiento; los interesados afectados; las entidades a las que se pueden comunicar datos personales y los fines C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 27/32 de tal comunicación; la limitación de la finalidad; los plazos de conservación de los datos, así como las operaciones y los procedimientos del tratamiento, incluidas las medidas para garantizar un tratamiento lícito y equitativo, como las relativas a otras situaciones específicas de tratamiento a tenor del capítulo IX. El Derecho de la Unión o de los Estados miembros cumplirá un objetivo de interés público y será proporcional al fin legítimo perseguido. 4. Cuando el tratamiento para otro fin distinto de aquel para el que se recogieron los datos personales no esté basado en el consentimiento del interesado o en el Derecho de la Unión o de los Estados miembros que constituya una medida necesaria y proporcional en una sociedad democrática para salvaguardar los objetivos indicados en el artículo 23, apartado 1, el responsable del tratamiento, con objeto de determinar si el tratamiento con otro fin es compatible con el fin para el cual se recogieron inicialmente los datos personales, tendrá en cuenta, entre otras cosas:
  16. a)cualquier relación entre los fines para los cuales se hayan recogido los datos personales y los fines del tratamiento ulterior previsto;
  17. b)el contexto en que se hayan recogido los datos personales, en particular por lo que respecta a la relación entre los interesados y el responsable del tratamiento;
  18. c)la naturaleza de los datos personales, en concreto cuando se traten categorías especiales de datos personales, de conformidad con el artículo 9, o datos personales relativos a condenas e infracciones penales, de conformidad con el artículo 10;
  19. d)las posibles consecuencias para los interesados del tratamiento ulterior previsto;
  20. e)la existencia de garantías adecuadas, que podrán incluir el cifrado o la seudonimización." En el presente caso, tal y como se ha señalado en los hechos, A.A.A. (…). Por otro lado, según el informe del IAM que contiene los Registros de actividad de ***APP.2, y se hace constar el acceso, a través de ***APP.2, a los expedientes con n.º ***REFERENCIA.1 y ***REFERENCIA.2, en dicho registro consta el acceso hasta en 129 ocasiones, de ***PUESTO.1 A.A.A., accediendo por primera vez en fecha ***FECHA.17 y por última en fecha ***FECHA.11, a las 15:13 horas. A la vista del registro remitido por IAM, el acceso de ***PUESTO.1 A.A.A. es el único acceso que se podría considerar indebido a los expedientes citados a través de ***APP.2, toda vez que, como se ha señalado con anterioridad, el acceso a ***APP.2 se encuentra restringido a los empleados públicos del Distrito autorizados por el departamento correspondiente. Cabe asimismo recordar que, tal y como ha quedado acreditado en el marco de la investigación realizada por esta AEPD, teniendo en cuenta un ámbito temporal más reducido y alcanzando conclusiones respecto de las circunstancias del acceso, consta que Desde la fecha de la incorporación del fichero de la “Orden de legalización” en el expediente de referencia (…) en prensa (…) se observan un elevado número de accesos
(122)en ***APP.2 al expediente analizado, de los mismos, 56, es decir un 46%, se realizan por parte de A.A.A., en horarios y días de la semana no habituales, (…) empleando permisos de acceso derivados de su condición previa de ***PUESTO.2 ***DISTRITO.1 y que no se le habían retirado. Dichos permisos fueron retirados efectivamente el 29 de mayo. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 28/32 Constatados dichos accesos por parte de A.A.A., cabe ahora recordar las condiciones de su perfil de usuario, para lo que es determinante traer a colación las afirmaciones realizadas durante las actuaciones previas de investigación en el siguiente sentido: - - Tras señalar el IAM el número elevado de accesos de A.A.A. a ***APP.2 que antes mencionábamos, continuaba la información proporcionada señalando que ello se hizo empleando permisos de acceso derivados de su condición previa de ***PUESTO.2 ***DISTRITO.1 y que no se le habían retirado. Asimismo, también se obtuvo confirmación de lo siguiente: El 29/05/2024, cuando se detectó el acceso a estos expedientes y se dio de baja el permiso en ***APP.2, se comprobó que A.A.A. se encontraba dada de alta en ***APP.2 en los entornos ***ENTORNO.1 (sin dependencia asociada) y ***ENTORNO.2 ((…) ***DISTRITO.1). Recordemos, por lo tanto, que A.A.A. accedió a ***APP.2 en uso de un perfil adjudicado cuando su condición en el Ayuntamiento de Madrid era otra que aquella en la que se encontraba cuando se produjeron los accesos: ***PUESTO.2 ***DISTRITO.1 frente a ***PUESTO.1 del Ayuntamiento de Madrid. Una modificación de la que, sin duda, era conocedor A.A.A. que, por lo tanto, también lo era respecto de lo irregular de su acceso haciendo uso de unas credenciales desactualizadas y consultando información para la que no debería tener permisos. El conocimiento de esta irregularidad también se desprende del hecho de que, por parte de los servicios competentes del Ayuntamiento de Madrid se haya declarado que No consta en los archivos de la Subdirección General de Administración Electrónica la documentación de solicitud de alta en ***APP.2 de ***PUESTO.1 A.A.A.. De tal manera que, siendo conocedora de su nueva situación como ***PUESTO.1 del Ayuntamiento de Madrid – cargo del que tomó posesión (…)- y de que en el pasado tuvo permisos asociados a su condición de ***PUESTO.2 ***DISTRITO.1, deberían haber solicitado la actualización de los permisos concedidos entonces por los correspondientes a su situación (…), sin duda de carácter más restringido. Ello se demuestra asimismo por la siguiente información, contenida en la documentación que consta en el expediente y que indica que, constatado el acceso a ***APP.2 el ***FECHA.11 de la persona indicada (…). Por tanto, se considera que los hechos conocidos son constitutivos de una infracción, imputable a A.A.A., por vulneración del artículo 6.1 del RGPD al haber realizado un tratamiento de datos de carácter personal sin contar con base de licitud. VI Tipificación de la infracción del artículo 6.1 del RGPD y calificación a efectos de prescripción El artículo 83.5 del RGPD tipifica como infracción administrativa la vulneración del artículo siguiente, que se sancionará, de acuerdo con el apartado 2, con multas administrativas de 20.000.000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 29/32 "
  1. a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9;" Por su parte, la LOPDGDD en su artículo 71, Infracciones, señala que: “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A los solos efectos del plazo de prescripción, el artículo 72.1 de la LOPDGDD establece lo siguiente: "En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
  2. b)El tratamiento de datos personales sin que concurra alguna de las condiciones de licitud del tratamiento establecidas en el artículo 6 del Reglamento (UE) 2016/679." VII Sanción A fin de determinar la multa administrativa a imponer se han de observar las previsiones de los artículos 83.1 y 83.2 del RGPD, preceptos que señalan: “1. Cada autoridad de control garantizará que la imposición de las multas administrativas con arreglo al presente artículo por las infracciones del presente Reglamento indicadas en los apartados 4, 9 y 6 sean en cada caso individual efectivas, proporcionadas y disuasorias. 2. Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras
  3. a)a
  4. h)y j). Al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
  5. a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;
  6. b)la intencionalidad o negligencia en la infracción;
  7. c)cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados;
  8. d)el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32;
  9. e)toda infracción anterior cometida por el responsable o el encargado del tratamiento;
  10. f)el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
  11. g)las categorías de los datos de carácter personal afectados por la infracción; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 30/32
  12. h)la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida;
  13. i)cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas previamente contra el responsable o el encargado de que se trate en relación con el mismo asunto, el cumplimiento de dichas medidas;
  14. j)la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación aprobados con arreglo al artículo 42, y
  15. k)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción”. Por su parte, el artículo 76 “Sanciones y medidas correctivas” de la LOPDGDD dispone: “1. Las sanciones previstas en los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679 se aplicarán teniendo en cuenta los criterios de graduación establecidos en el apartado 2 del citado artículo. 2. De acuerdo a lo previsto en el artículo 83.2.
  16. k)del Reglamento (UE) 2016/679 también podrán tenerse en cuenta:
  17. a)El carácter continuado de la infracción.
  18. b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales.
  19. c)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  20. d)La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión de la infracción.
  21. e)La existencia de un proceso de fusión por absorción posterior a la comisión de la infracción, que no puede imputarse a la entidad absorbente.
  22. f)La afectación a los derechos de los menores.
  23. g)Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
  24. h)El sometimiento por parte del responsable o encargado, con carácter voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que existan controversias entre aquellos y cualquier interesado”. Concurren en este caso los elementos necesarios para apreciar la existencia de la infracción imputada. El acceso a la plataforma municipal se realizó utilizando credenciales que la concejal sabía, o debía saber, que ya no le correspondían, al haber quedado vinculadas a una habilitación técnica extinguida. Este uso constituye objetivamente un tratamiento de datos personales sin base jurídica válida, contrario a lo dispuesto en el art. 6 del RGPD. No obstante, la valoración de la gravedad de la conducta debe ponderar que, entre la información a la que se accedió, aun de forma irregular, no consta la inclusión de categorías especiales del artículo 9 RGPD ni de datos relativos a infracciones y condenas penales del artículo 10 RGPD. En este sentido, si bien la infracción se configura objetivamente por el uso de credenciales sin habilitación vigente, la ausencia de categorías especiales de datos y la alta probabilidad de que, por el cauce procedimental ordinario, la concejal hubiera podido obtenido acceso legítimo, atenúan la gravedad de la conducta. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 31/32 En el presente caso, considerando la gravedad de la posible infracción, atendiendo especialmente a las consecuencias que su comisión provoca en el afectado, correspondería la imposición de multa. A tenor de los hechos expuestos, se considera que corresponde imputar una sanción a la parte reclamada por la vulneración del artículo 6 del RGPD tipificada en el artículo 83.5.
  25. a)del RGPD. La sanción que corresponde imponer es de multa administrativa por un importe de 500,00 euros Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Presidencia de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a A.A.A., con NIF ***NIF.1, por una infracción del artículo 6 del RGPD, tipificada en el artículo 83.5.
  26. a)del RGPD, una multa de 500 euros. SEGUNDO: NOTIFICAR la presente resolución a A.A.A.. TERCERO: Esta resolución será ejecutiva una vez finalice el plazo para interponer el recurso potestativo de reposición (un mes a contar desde el día siguiente a la notificación de esta resolución) sin que el interesado haya hecho uso de esta facultad. Se advierte al sancionado que deberá hacer efectiva la sanción impuesta una vez que la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el art. 98.1.
  27. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante LPACAP), en el plazo de pago voluntario establecido en el art. 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso, indicando el NIF del sancionado y el número de procedimiento que figura en el encabezamiento de este documento, en la cuenta restringida nº IBAN: ES00-0000-0000-0000-0000-0000 (BIC/Código SWIFT: CAIXESBBXXX), abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A.. En caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública. La publicación se realizará una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 32/32 Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
  28. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeaepd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-101025 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.