1/12 Expediente N.º: EXP202101323 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: A.A.A. con fecha 12 de julio de 2021, y B.B.B. con fecha 14 de octubre de 2021, (en adelante, los reclamantes) interpusieron sendas reclamaciones ante la Agencia Española de Protección de Datos. Ambas reclamaciones se dirigen contra AYUNTAMIENTO DE RIOTORTO con NIF P2705400F (en adelante, la parte reclamada o el Ayuntamiento). Los motivos en que basan dichas reclamaciones son los siguientes: Los reclamantes, junto con otros XXXXX vecinos, presentaron ante el AYUNTAMIENTO DE RIOTORTO un escrito el 26 de marzo de 2021 en el que comunicaban la existencia de una serie de incidencias relacionadas con el pago del servicio del suministro de agua potable. Posteriormente, el Ayuntamiento remitió a cada uno de los vecinos de la localidad una comunicación anunciando la pronta visita de los servicios inspección a los efectos de comprobar la corrección de las instalaciones y, en su caso, rectificar las irregularidades apreciadas. Junto con dicha comunicación, se remitía copia del escrito presentado el 26 de marzo de 2021, incluyéndose los datos personales identificativos de todos los firmantes. Los reclamantes manifestaron que la incorporación de sus datos personales en el documento controvertido era innecesaria e injustificada. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 20 de agosto de 2021 como consta en el acuse de recibo que obra en el expediente. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/12 El día 21 de septiembre de 2021 se recibió en esta Agencia escrito de respuesta. En el que, en síntesis, se indicaba lo siguiente: El Ayuntamiento envió una comunicación a los vecinos del municipio advirtiendo la próxima realización de una visita de inspección, al objeto de revisar los contadores de agua. Junto con dicha comunicación, se enviaba copia del escrito de denuncia presentado por XXXXX vecinos, en la que figuraban únicamente el nombre y apellidos manuscritos por los reclamantes. El Consistorio se limitó a comunicar a los interesados en el procedimiento administrativo, iniciado a raíz de la reclamación, el motivo de incoación y la actuación inspectora que el Ayuntamiento iba a realizar, acompañando la reclamación a fin de que conociesen los exactos términos de la misma, información a la que tenían derecho en su condición de interesados en dicho procedimiento. Se mencionaban el artículo 53.1
- a)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), el fundamento de derecho segundo de la Sentencia del Tribunal Superior de Justicia de Cataluña nº 5322/2020, de 21 de diciembre, y el artículo 48 de la Ley 29/1998. El Ayuntamiento consideraba no había cometido ningún tipo de irregularidad. Asimismo, indicaba que, en el supuesto de que se apreciase que la actuación municipal fue irregular, se adoptarían las medidas oportunas para evitar que en el futuro se volviera a repetir una situación como la que había sido objeto de la reclamación. TERCERO: Con fecha 29 de octubre de 2021 tras analizarse la documentación que obraba en el expediente, se dictó resolución por la Directora de la Agencia Española de Protección de Datos, acordando el archivo de la reclamación. La resolución fue notificada a la parte B.B.B., en fecha 16 de diciembre de 2021. CUARTO: El día 17 de enero de 2022 B.B.B. interpuso un recurso de reposición a través del Registro Electrónico de la AEPD, contra la resolución recaída en el expediente ***EXPEDIENTE.1, en el que mostraba su disconformidad con la resolución impugnada, destacando que el Ayuntamiento no había adoptado ninguna medida para evitar la cesión de datos personales no consentida. Añadía que la argumentación de que la inclusión de los datos personales era exigida por la normativa reguladora del procedimiento administrativo no era correcta, ya que el articulado referido al acceso al expediente administrativo, el cual no había sido solicitado por ninguna de las partes, no resultando aplicable al envío de notificaciones administrativas como la realizada. QUINTO: En fecha 27 de julio 2022 se remitió el recurso interpuesto a la parte reclamada en el marco de lo establecido en el artículo 118.1 de la LPACAP a los efectos de que formulase las alegaciones y presentase los documentos y justificantes que estimase procedentes, lo que se verificó por la parte reclamada mediante escrito de respuesta de fecha 5 de agosto de 2022. SEXTO: El día 21 de octubre de 2022 se dictó Resolución por la que se estimaba el recurso de reposición interpuesto por B.B.B. contra la Resolución de la AEPD de 29 de octubre de 2021, por la que se acordaba el archivo de la reclamación referida al C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/12 AYUNTAMIENTO DE RIOTORTO. La Resolución fue notificada a B.B.B. el 2 noviembre de 2022. SÉPTIMO: Con fecha 5 de enero de 2023, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, por la presunta infracción del Artículo 5.1.
- f)del RGPD, tipificada en el Artículo 83.5 del RGPD, y por la presunta infracción del Artículo 32 del RGPD, tipificada en el Artículo 83.4 del RGPD. OCTAVO: Notificado el citado acuerdo de inicio conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP) y transcurrido el plazo otorgado para la formulación de alegaciones, se ha constatado que no se ha recibido alegación alguna por la parte reclamada. El artículo 64.2.
- f)de la LPACAP -disposición de la que se informó a la parte reclamada en el acuerdo de apertura del procedimiento- establece que si no se efectúan alegaciones en el plazo previsto sobre el contenido del acuerdo de iniciación, cuando éste contenga un pronunciamiento preciso acerca de la responsabilidad imputada, podrá ser considerado propuesta de resolución. En el presente caso, el acuerdo de inicio del expediente sancionador determinaba los hechos en los que se concretaba la imputación, la infracción del RGPD atribuida a la reclamada y la sanción que podría imponerse. Por ello, tomando en consideración que la parte reclamada no ha formulado alegaciones al acuerdo de inicio del expediente y en atención a lo establecido en el artículo 64.2.
- f)de la LPACAP, el citado acuerdo de inicio es considerado en el presente caso propuesta de resolución. A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes, HECHOS PROBADOS PRIMERO: El 26 de marzo de 2021 B.B.B., A.A.A. y otros XXXXX vecinos presentaron un escrito en el Ayuntamiento de Riotorto en el que comunicaban una serie de incidencias relacionadas con el pago del servicio del suministro de agua potable. SEGUNDO: El Ayuntamiento de Riotorto remitió a los vecinos de la localidad una comunicación anunciando la pronta visita de los servicios de inspección a los efectos de comprobar la corrección de las instalaciones y, en su caso, rectificar las irregularidades apreciadas. TERCERO: Junto con la comunicación a la que hace referencia el hecho probado segundo, el Ayuntamiento de Riotorto remitió una copia del escrito presentado el 26 de marzo de 2021 en el que figuraban, el nombre y apellidos de los XXXXX denunciantes, así como su firma manuscrita. Se había anonimizado el número del Documento Nacional de Identidad (DNI). CUARTO: La forma de comunicación descrita en el hecho probado tercero permitió el acceso indebido por parte de terceros a datos de carácter personal (nombres y apelliC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/12 dos y a las firmas manuscritas) de B.B.B., A.A.A. y de las otras XXXXX personas que firmaban el escrito de 26 de marzo de 2021. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Brecha de seguridad Establece el artículo 4.12 del RGPD que se considera “violación de la seguridad de los datos personales: toda violación de la seguridad que ocasione la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos.” En el presente caso, consta una brecha de seguridad de datos personales en las circunstancias arriba indicadas, categorizada como una brecha de confidencialidad. Hay que señalar que la identificación de una brecha de seguridad no implica la imposición de una sanción de forma directa por esta Agencia, ya que es necesario analizar la diligencia de responsables y encargados y las medidas de seguridad aplicadas. III Infracción del artículo 5.1
- f)del RGPD El artículo 5.1.
- f)del RGPD, Principios relativos al tratamiento, señala lo siguiente: “1. Los datos personales serán: (…)
- f)tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/12 su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»)”. En el presente caso, la brecha de seguridad debe ser calificada de confidencialidad como consecuencia del acceso no autorizado o ilícito a datos personales de los reclamantes y de los otros XXXXX firmantes del escrito presentado el 26 de marzo de 2021, por terceros ajenos. El artículo 5 de la LOPDGDD, Deber de confidencialidad, señala lo siguiente: “1. Los responsables y encargados del tratamiento de datos, así como todas las personas que intervengan en cualquier fase de este estarán sujetas al deber de confidencialidad al que se refiere el artículo 5.1.
- f)del Reglamento (UE) 2016/679. 2. La obligación general señalada en el apartado anterior será complementaria de los deberes de secreto profesional de conformidad con su normativa aplicable. 3.Las obligaciones establecidas en los apartados anteriores se mantendrán aun cuando hubiese finalizado la relación del obligado con el responsable o encargado del tratamiento”. El acceso indebido a datos personales de los reclamantes y los otros cinco firmantes del escrito presentado el 26 de marzo de 2021 por terceros ajenos, vulnerando del principio de confidencialidad, constituye una infracción a lo dispuesto en el artículo 5.1.
- f)del RGPD. IV Tipificación y calificación de la infracción del artículo 5.1
- f)del RGPD La citada infracción del artículo 5.1
- f)del RGPD supone la comisión de una de las infracciones tipificadas en el artículo 83.5 del RGPD que bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone: “5. Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
- a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9;” A este respecto, la LOPDGDD, en su artículo 71 “Infracciones” establece que “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A efectos del plazo de prescripción, el artículo 72 “Infracciones consideradas muy graves” de la LOPDGDD indica: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/12 “1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
- a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679.” V Sanción por la infracción del artículo 5.1
- f)del RGPD El Artículo 83 “Condiciones generales para la imposición de multas administrativas” del RGPD apartado 7 establece: “Sin perjuicio de los poderes correctivos de las autoridades de control en virtud del artículo 58, apartado 2, cada Estado miembro podrá establecer normas sobre si se puede, y en qué medida, imponer multas administrativas a autoridades y organismos públicos establecidos en dicho Estado miembro.” Asimismo, el artículo 77 “Régimen aplicable a determinadas categorías de responsables o encargados del tratamiento” de la LOPDGDD dispone lo siguiente: “1. El régimen establecido en este artículo será de aplicación a los tratamientos de los que sean responsables o encargados:
- c)La Administración General del Estado, las Administraciones de las comunidades autónomas y las entidades que integran la Administración Local (…) 2. Cuando los responsables o encargados enumerados en el apartado 1 cometiesen alguna de las infracciones a las que se refieren los artículos 72 a 74 de esta ley orgánica, la autoridad de protección de datos que resulte competente dictará resolución sancionando a las mismas con apercibimiento. La resolución establecerá asimismo las medidas que proceda adoptar para que cese la conducta o se corrijan los efectos de la infracción que se hubiese cometido. La resolución se notificará al responsable o encargado del tratamiento, al órgano del que dependa jerárquicamente, en su caso, y a los afectados que tuvieran la condición de interesado, en su caso. (…) 4. Se deberán comunicar a la autoridad de protección de datos las resoluciones que recaigan en relación con las medidas y actuaciones a que se refieren los apartados anteriores. 5. Se comunicarán al Defensor del Pueblo o, en su caso, a las instituciones análogas de las comunidades autónomas las actuaciones realizadas y las resoluciones dictadas al amparo de este artículo. (…)” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/12 Se entiende cometida una infracción del artículo 5.1
- f)del RGPD, sancionado con apercibimiento al Ayuntamiento de Riotorto. VI Infracción del artículo 32 del RGPD Establece el artículo 32 del RGPD, seguridad del tratamiento, lo siguiente: “1. Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, que en su caso incluya, entre otros:
- a)la seudonimización y el cifrado de datos personales;
- b)la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento;
- c)la capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente físico o técnico;
- d)un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento. 2. Al evaluar la adecuación del nivel de seguridad se tendrán particularmente en cuenta los riesgos que presente el tratamiento de datos, en particular como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos (El subrayado es nuestro). (…) 4. El responsable y el encargado del tratamiento tomarán medidas para garantizar que cualquier persona que actúe bajo la autoridad del responsable o del encargado y tenga acceso a datos personales solo pueda tratar dichos datos siguiendo las instrucciones del responsable, salvo que esté obligada a ello en virtud del Derecho de la Unión o de los Estados miembros.” Por su parte, el considerando 74 del RGPD dispone lo siguiente: “Debe quedar establecida la responsabilidad del responsable del tratamiento por cualquier tratamiento de datos personales realizado por él mismo o por su cuenta. En particular, el responsable debe estar obligado a aplicar medidas oportunas y eficaces y ha de poder demostrar la conformidad de las actividades de tratamiento con el presente Reglamento, incluida la eficacia de las medidas. Dichas medidas deben tener en cuenta la naturaleza, el ámbito, el contexto y los fines del tratamiento así como el riesgo para los derechos y libertades de las personas físicas.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/12 En este sentido, el considerando 75 del RGPD enumera una serie de factores o supuestos asociados a riesgos para los derechos y libertades de los interesados: (el subrayado es nuestro) “Los riesgos para los derechos y libertades de las personas físicas, de gravedad y probabilidad variables, pueden deberse al tratamiento de datos que pudieran provocar daños y perjuicios físicos, materiales o inmateriales, en particular en los casos en los que el tratamiento pueda dar lugar a problemas de discriminación, usurpación de identidad o fraude, pérdidas financieras, daño para la reputación, pérdida de confidencialidad de datos sujetos al secreto profesional, reversión no autorizada de la seudonimización o cualquier otro perjuicio económico o social significativo; en los casos en los que se prive a los interesados de sus derechos y libertades o se les impida ejercer el control sobre sus datos personales; en los casos en los que los datos personales tratados revelen el origen étnico o racial, las opiniones políticas, la religión o creencias filosóficas, la militancia en sindicatos y el tratamiento de datos genéticos, datos relativos a la salud o datos sobre la vida sexual, o las condenas e infracciones penales o medidas de seguridad conexas; en los casos en los que se evalúen aspectos personales, en particular el análisis o la predicción de aspectos referidos al rendimiento en el trabajo, situación económica, salud, preferencias o intereses personales, fiabilidad o comportamiento, situación o movimientos, con el fin de crear o utilizar perfiles personales; en los casos en los que se traten datos personales de personas vulnerables, en particular niños; o en los casos en los que el tratamiento implique una gran cantidad de datos personales y afecte a un gran número de interesados.” Tal y como se destacaba en el fundamento de derecho II la identificación de una brecha de seguridad no implica la imposición de una sanción de forma directa por esta Agencia, ya que es necesario analizar la diligencia de responsables y encargados y las medidas de seguridad aplicadas. El examen de la documentación obrante en el expediente, no permite apreciar un comportamiento diligente por parte del Ayuntamiento. El Consistorio remitió a los vecinos del municipio una comunicación en la que se les avisaba de la próxima realización de una inspección de las instalaciones de agua, adjuntando un escrito de denuncia en el que figuraban, tanto el nombre y apellidos como la firma manuscrita, de XXXXX vecinos de dicha localidad. Por una parte, el traslado de dichos datos personales, incluso del escrito de denuncia, no eran necesarios para que el Ayuntamiento enviara la comunicación a los vecinos. Por otra, la LPACAP no impone la obligación de trasladar la denuncia con los datos personales del denunciante. Dicho comportamiento pone de manifiesto que, en el momento de producirse la brecha, el Ayuntamiento carecía de medidas de seguridad en función de los posibles riesgos estimados, así como de una adecuada formación de sus empleados en materia de protección de datos de carácter personal. Asimismo, la mencionada conducta no se compadece con la responsabilidad proactiva, consagrada en el artículo 5.2 del RGPD, que dispone: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/12 “2. El responsable del tratamiento será responsable del cumplimiento de lo dispuesto en el apartado 1 y capaz de demostrarlo («responsabilidad proactiva»).” Se considera que los hechos conocidos son constitutivos de una infracción, imputable al Ayuntamiento de Riotorto, por vulneración del artículo 32 del RGPD. VII Tipificación y calificación de la infracción del artículo 32 del RGPD La citada infracción del artículo 32 del RGPD supone la comisión de una de las infracciones tipificadas en el artículo 83.4 del RGPD que bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 10 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 2 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
- a)las obligaciones del responsable y del encargado a tenor de los artículos 8, 11, 25 a 39, 42 y 43; (…)” A este respecto, la LOPDGDD, en su artículo 71 “Infracciones” establece que “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A efectos del plazo de prescripción, el artículo 73 “Infracciones consideradas graves” de la LOPDGDD indica: “En función de lo que establece el artículo 83.4 del Reglamento (UE) 2016/679 se consideran graves y prescribirán a los dos años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes: (…)
- f)La falta de adopción de aquellas medidas técnicas y organizativas que resulten apropiadas para garantizar un nivel de seguridad adecuado al riesgo del tratamiento, en los términos exigidos por el artículo 32.1 del Reglamento (UE) 2016/679.(…)” VIII Sanción por la infracción del artículo 32 del RGPD El Artículo 83 “Condiciones generales para la imposición de multas administrativas” del RGPD apartado 7 establece: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/12 “Sin perjuicio de los poderes correctivos de las autoridades de control en virtud del artículo 58, apartado 2, cada Estado miembro podrá establecer normas sobre si se puede, y en qué medida, imponer multas administrativas a autoridades y organismos públicos establecidos en dicho Estado miembro.” Asimismo, el artículo 77 “Régimen aplicable a determinadas categorías de responsables o encargados del tratamiento” de la LOPDGDD dispone lo siguiente: “1. El régimen establecido en este artículo será de aplicación a los tratamientos de los que sean responsables o encargados:
- c)La Administración General del Estado, las Administraciones de las comunidades autónomas y las entidades que integran la Administración Local (…) 2. Cuando los responsables o encargados enumerados en el apartado 1 cometiesen alguna de las infracciones a las que se refieren los artículos 72 a 74 de esta ley orgánica, la autoridad de protección de datos que resulte competente dictará resolución sancionando a las mismas con apercibimiento. La resolución establecerá asimismo las medidas que proceda adoptar para que cese la conducta o se corrijan los efectos de la infracción que se hubiese cometido. La resolución se notificará al responsable o encargado del tratamiento, al órgano del que dependa jerárquicamente, en su caso, y a los afectados que tuvieran la condición de interesado, en su caso. (…) 4. Se deberán comunicar a la autoridad de protección de datos las resoluciones que recaigan en relación con las medidas y actuaciones a que se refieren los apartados anteriores. 5. Se comunicarán al Defensor del Pueblo o, en su caso, a las instituciones análogas de las comunidades autónomas las actuaciones realizadas y las resoluciones dictadas al amparo de este artículo. (…)” Se entiende cometida una infracción del artículo 32 del RGPD, sancionado con apercibimiento al Ayuntamiento de Riotorto. IX Imposición de medidas a adoptar Se advierte que no atender la orden de adopción de medidas impuestas por este organismo en la resolución sancionadora podrá ser considerado como una infracción administrativa conforme a lo dispuesto en el RGPD, tipificada como infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la apertura de un ulterior procedimiento administrativo sancionador. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la Agencia Española de Protección de Datos RESUELVE: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/12 PRIMERO: IMPONER al AYUNTAMIENTO DE RIOTORTO, con NIF P2705400F, -Por una infracción del Artículo 5.1
- f)del RGPD, tipificada en el Artículo 83.5 del RGPD, una sanción de apercibimiento. -Por una infracción del Artículo 32 del RGPD, tipificada en el Artículo 83.4 del RGPD, una sanción de apercibimiento. SEGUNDO: NOTIFICAR la presente resolución a AYUNTAMIENTO DE RIOTORTO. TERCERO: COMUNICAR la presente resolución al Defensor del Pueblo, de conformidad con lo establecido en el artículo 77.5 de la LOPDGDD. CUARTO: ORDENAR a AYUNTAMIENTO DE RIOTORTO, con NIF P2705400F, que en virtud del artículo 58.2.
- d)del RGPD, en el plazo de tres meses, acredite haber procedido al cumplimiento de la siguiente medida: - Revisar el procedimiento del Ayuntamiento de Riotorto relativo al envío de comunicaciones externas, entre ellas, las destinadas a los vecinos del municipio, al objeto de garantizar que las mismas son respetuosas con el contenido tanto el RGPD como de la LOPDGDD. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
- a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/12 938-010623 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es