PS-00595-2022

1/20  Expediente N.º: EXP202208577 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: A.A.A. (en adelante, la parte reclamante) con fecha 1 de agosto de 2022 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra el AYUNTAMIENTO DE OLIVENZA con NIF P0609500D (en adelante, la parte reclamada o el Ayuntamiento). Los motivos en que basa la reclamación son los siguientes: El reclamante, (…), expone que tras solicitar acceso, en calidad de denunciante, a distintos expedientes administrativos tramitados por el Ayuntamiento relativos a procedimientos sancionadores por infracciones de tráfico, el 16 de febrero de 2022 recibió copia no suficientemente anonimizada, teniendo acceso a distintas informaciones personales de terceros, incluyendo datos de salud. El reclamante expone también que "Del análisis de las copias de los expedientes anonimizados se concluye que en los expedientes (…), los denunciados solicitaron copia de los mismos. Presumiblemente el ayuntamiento entregó las copias solicitadas a los denunciados sin suprimir los datos personales de esta parte denunciante, pues las copias que se adjuntan a esta denuncia son obtenidas de los originales donde se han colocado los correctores para ocultar los datos personales. Entiéndase que si el ayuntamiento hubiera suprimido los datos del denunciante para entregar copia a los denunciados, y posteriormente, se ocultan los datos de los mismos para entregar copia al denunciante, los expedientes obtenidos en última instancia, adjuntos en esta denuncia, deberían ocultar los datos de ambas partes, pues hubo que anonimizar en dos ocasiones, sin embargo, el nombre, apellidos, DNI, domicilio y firma de esta parte se muestran en los expedientes, por lo que nunca fueron suprimidos." Aporta copia de documentación relativa a los expedientes respecto de los cuales ha recibido copia del Ayuntamiento o bien documentación que el Ayuntamiento le facilita al requerirle informe de ratificación como denunciante, en los que se visualizan los siguientes datos personales: -Expte. ***EXPEDIENTE.1: nombre del denunciado y de la persona que abona la multa en el ayuntamiento. -Expte. ***EXPEDIENTE.2: nombre completo del denunciado y su firma manuscrita -Expte. ***EXPEDIENTE.3: Se obtiene el apellido del denunciado y la localidad de residencia, ***LOCALIDAD.1. Nombre y apellido y DNI completo del receptor de una notificación por correo postal. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/20 -Expte ***EXPEDIENTE.4: Nombre y apellidos del denunciado, domicilio completo y su firma manuscrita. Solicitud por la que manifiesta querer sustituir el importe de la sanción por trabajos en beneficio de la comunidad y que el denunciado presenta dolencias que son incompatibles con la realización de dichos trabajos. Información relativa al denunciado contenida en diversos partes médicos de incapacidad temporal, como las fechas de visitas médicas, duración de la incapacidad, diagnóstico (lumbalgia con específica compresión de nervio), identidad del facultativo que asiste al denunciado. -Expte. ***EXPEDIENTE.5: Apellido del denunciado y su localidad de residencia, ***LOCALIDAD.1. Carta de pago. -Expte. ***EXPEDIENTE.6: Nombre y apellidos del denunciado, su localidad de residencia en ***LOCALIDAD.1, y su firma manuscrita. -Expte. ***EXPEDIENTE.7: Nombre y apellidos del denunciado, su localidad de residencia en ***LOCALIDAD.1 y su firma manuscrita. -Expte. ***EXPEDIENTE.8: Nombre y apellidos del denunciado, domicilio completo y su firma manuscrita. -Expte. ***EXPEDIENTE.9: Nombre y apellidos del denunciado, domicilio completo y su firma manuscrita. -Expte. ***EXPEDIENTE.10: Nombre y apellidos del denunciado, su localidad de residencia en ***LOCALIDAD.1 y su firma manuscrita. Solicitud por la que manifiesta querer sustituir el importe de la sanción por trabajos en beneficio de la comunidad. -Expte. ***EXPEDIENTE.11: Nombre y apellidos del denunciado, domicilio completo y su firma manuscrita. -Expte. ***EXPEDIENTE.12: Nombre y apellidos de la persona denunciada, su DNI completo, su firma manuscrita. Nombre y apellidos y DNI completo de la persona que recibe una notificación postal. -Expte. ***EXPEDIENTE.13: Nombre y apellidos de la persona denunciada, domicilio completo y su firma. DNI completo de la persona receptora de notificación postal. -Expte. ***EXPEDIENTE.14: Calle donde reside la denunciada, en el municipio de ***LOCALIDAD.1. -Expte. ***EXPEDIENTE.15: Localidad de residencia en ***LOCALIDAD.1, nombre de pila del denunciado, produciéndose coincidencia con el expte. ***EXPEDIENTE.3. -Expte. ***EXPEDIENTE.16: Por coincidencia con los exptes. ***EXPEDIENTE.3 y ***EXPEDIENTE.15, se muestra el segundo apellido del denunciado, y residente en ***LOCALIDAD.1. -Expte. ***EXPEDIENTE.17: domicilio completo de la denunciada en el (...) coincidiendo con los datos divulgados en el expte ***EXPEDIENTE.14. -Expte. ***EXPEDIENTE.18: En este expediente se cede la localidad de residencia de la denunciada, siendo (...). También se muestra el nombre B.B.B. en la firma del correo postal y presumiblemente se puede ver que reside en la calle (...). -Expte. ***EXPEDIENTE.19: Vuelve a revelarse que la denunciada reside en (…), que coincide con los datos revelados en los exptes. ***EXPEDIENTE.17 y ***EXPEDIENTE.14. Por lo que se muestra, el domicilio es (...) de ***LOCALIDAD.1. -Expte. ***EXPEDIENTE.20: Nombre y apellidos de la persona denunciada, su localidad de residencia en ***LOCALIDAD.1, su firma manuscrita y su DNI completo. -Expte. ***EXPEDIENTE.21: Nombre y apellidos de la persona denunciada su localidad de residencia en ***LOCALIDAD.1 y su firma manuscrita. DNI completo de la persona que recibe notificación de la multa. -Expte. ***EXPEDIENTE.22: nombre y apellidos de la persona denunciada, su localidad de residencia en ***LOCALIDAD.1 y su firma manuscrita. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/20 -Expte. ***EXPEDIENTE.23: Se cede el número de residencia del denunciado, que por coincidir con la información divulgada en los exptes. ***EXPEDIENTE.3 y ***EXPEDIENTE.15, se obtiene el domicilio completo del denunciado unido a su nombre y apellidos. -Expte. ***EXPEDIENTE.24: Nombre y apellidos de la persona denunciada, su localidad de residencia en ***LOCALIDAD.1, y su firma. -Expte. ***EXPEDIENTE.25: localidad de residencia del denunciado, ***LOCALIDAD.1, y su DNI completo, que por coincidencia con los exptes. ***EXPEDIENTE.3, ***EXPEDIENTE.15 y ***EXPEDIENTE.23, se relaciona con su nombre y apellidos y su domicilio completo. -Expte. ***EXPEDIENTE.26: Nombre y apellidos de la persona denunciada, domicilio y DNI completo. y su firma manuscrita. Asimismo, en la documentación de muchos de esos expedientes, se indican los importes de las multas impuestas, circunstancias del abono de las mismas, alegaciones formuladas por los denunciados en las que se incluyen algunas veces circunstancias personales y familiares, y en algunos las alegaciones contenidas en los recursos administrativos presentados por los denunciantes. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación al Ayuntamiento, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP) mediante notificación electrónica, no fue recogido por el responsable, dentro del plazo de puesta a disposición, entendiéndose rechazada conforme a lo previsto en el art. 43.2 de la LPACAP en fecha 16 de agosto de 2022, como consta en el certificado que obra en el expediente. Aunque la notificación se practicó válidamente por medios electrónicos, dándose por efectuado el trámite conforme a lo dispuesto en el artículo 41.5 de la LPACAP, a título informativo se envió una copia por correo postal que fue notificada fehacientemente en fecha 12 de septiembre de 2022. En dicha notificación, se le recordaba su obligación de relacionarse electrónicamente con la Administración, y se le informaba de los medios de acceso a dichas notificaciones, reiterando que, en lo sucesivo, se le notificaría exclusivamente por medios electrónicos. No se ha recibido respuesta a este escrito de traslado. TERCERO: Con fecha 31 de octubre de 2022, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: Con fecha 23 de octubre de 2023, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/20 adelante, LPACAP), por la presunta infracción del Artículo 5.1.

1. f)del RGPD y Artículo 32 del RGPD, tipificada en el Artículo 83.5 del RGPD y Artículo 83.4 del RGPD. QUINTO: Notificado el citado acuerdo de inicio conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), la parte reclamada presentó escrito de alegaciones el día 13 de noviembre de 2023 en el que, en síntesis, manifiesta lo siguiente: <<MOTIVOS PRIMERO. - Las copias de expedientes que se pusieron a disposición del denunciante se elaboraron, a su vez, de copias de los originales que se trataron específicamente para serle entregada al interesado, de estos expedientes se trataron y eliminaron todos los datos personales exceptuando los del denunciante, ya que no se consideró necesario su tratamiento al ser sus datos personales e ir destinados a él mismo los expedientes. Teniendo en cuenta estas puntualizaciones, alguna de las infracciones a las que se refiere el escrito dejarían de tener sentido puesto que cuando se hace referencia a que se han dado acceso a los datos correspondiente a su propio nombre y apellidos, su domicilio y su firma manuscrita, como en el caso de los expedientes (…), el traslado de esos datos y su acceso es para el denunciante únicamente con lo que, en estos supuestos, no se habría vulnerado la legislación de protección de datos. SEGUNDO. - El interesado solicito al ayuntamiento el acceso a los expedientes sancionadores que se habían iniciado por su parte, remitiéndole el ayuntamiento un listado con los números de expedientes y el estado en el que los mismos se encontraban. Considerando no suficiente esta información el interesado volvió a solicitar el acceso y solicitó copia de los expedientes. De esta manera, el ayuntamiento cumplió un requerimiento del Defensor del Pueblo que establecía que se debía poner a disposición del interesado la información solicitada. Considerando la prolífica actividad del denunciante en materia de sanciones de tráfico, la carga de trabajo fue ingente debido al número considerable de expedientes de los que se debió dar traslado, así como el volumen de documentos que hubo que tratar, que superaron ampliamente los quinientos, y ello pudo hacer que se cometieran algunas incidencias puntuales en el tratamiento de datos y en la disociación de los mismos. TERCERO, Estudiados los expedientes a los que hace referencia el procedimiento sancionador y con los datos que obran en el ayuntamiento, que reiteramos son los que se trasladaron al interesado como consecuencia del requerimiento del Defensor del pueblo, sin acceso, por tanto a la documentación presentada por el interesado para comprobar si existe otra documentación que se le haya trasladado, podemos señalar que parte de esos incidentes consideramos que no pueden considerarse datos protegidos o que de serlo tienen escasa entidad puesto que poco servirían para identificar a los interesados o afectados por esos expedientes. Dejando de lado los expedientes (…) puesto que en estos hemos explicado que aunque aparezcan los datos del denunciante estos no se han trasladado más que a él con el traslado de las copias, entendemos que hay expedientes en lo que la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/20 información que se traslada no tiene entidad para vulnerar el derecho a la privacidad de los datos puesto que no permite una identificación de la persona afectada, de su domicilio o de datos relevantes en relación a la misma. Por ejemplo, el expediente ***EXPEDIENTE.2 en el que, aparte de los datos del denunciante lo único que aparece es una firma manuscrita ilegible, o el expediente ***EXPEDIENTE.1 que solo aparece el segundo apellido del denunciado, haciendo casi imposible identificar al interesado, o el ***EXPEDIENTE.5 en el que solo aparece, de acuerdo con nuestra documentación, que el interesado reside en ***LOCALIDAD.1, sucede lo mismo en expedientes como el ***EXPEDIENTE.18 en el que únicamente se recoge que el denunciado reside en la localidad de ***LOCALIDAD.2 y se acompañe dicha información de un nombre propio. El hecho de que no aparezcan más datos, ni apellidos, ni DNI no supone una vulneración del derecho a la privacidad de los datos puesto que, con esta información, sería difícil identificar la persona a la que se refiere el expediente, Hay expedientes en los que la única incidencia en el tratamiento es un DNI sin contexto, o tan solo una firma no legible, o un único nombre sin apellidos, no creemos que en este caso se hayan vulnerado la ley de protección de datos ni se haya causado un perjuicio en a los interesados y propietarios de los mismos. Es cierto que se da acceso a un parte de baja de uno de los interesados, sin embargo este aspecto se puso en conocimiento del mismo. Recordemos igualmente que la persona a la que se le da acceso a los expedientes no es un simple tercero, sino el denunciante. Por tanto entendemos que, si bien pueden haberse producido incidencias, estas no serían más que puntuales. TERCERO. - Sin embargo, somos conscientes de que estas incidencias, aunque en la mayoría de los casos de poca entidad, se han producido, y este ayuntamiento ha tomado las correspondientes medidas tanto técnicas como organizativas para llevar a cabo un tratamiento de los datos riguroso que impida que esta situación vuelva a producirse. Las medidas sobre las que se está trabajando inciden en distintos ámbitos de la actuación administrativa, tanto en el tratamiento de los datos como en el acceso posterior a través de las potestades que concede la ley de transparencia. Para ello se establece personal que se encargará de revisar toda la documentación que deba ser entregada a los interesados y que será debidamente formado en los próximos meses en materia de protección de datos. Igualmente se ha redactado un protocolo de actuación en materia de transparencia y acceso a expedientes. Se está elaborando un código de conducta en relación al tratamiento y uso de datos personales en procesos selectivos y expedientes administrativos, así relativo a la eliminación segura de los datos una vez finalizados los correspondientes expedientes y atendiendo al artículo 32 del RGPD, y aunque ya se trabaja en redes seguras, se trabajará en la búsqueda de sistemas de digitalización que permitan el tratamiento de datos asegurando la confidencialidad. SOLICITO, QUE teniendo por presentado este escrito, se sirva admitirlo, tenga por formuladas correspondientes alegaciones y se proceda al archivo del expediente>>. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/20 SEXTO: Con fecha 11 de julio de 2024, la Directora de la Agencia Española de Protección de Datos acordó el cambio de instructor, siendo notificado a la parte reclamada el 17 de julio de 2024. SÉPTIMO: Con fecha 29 de julio de 2024, se dictó la Propuesta de Resolución, siendo notificada el mismo día y año, no constando que formulara la parte reclamada alegaciones a la misma, en la que se proponía que por la Directora de la Agencia Española de Protección de Datos se declare que el AYUNTAMIENTO DE OLIVENZA con NIF P0609500D, ha infringido lo dispuesto en el Artículo 5.1.
2. f)del RGPD, y Artículo 32 del RGPD, tipificada en el Artículo 83.5 del RGPD y Artículo 83.4 del RGPD. Que por la Directora de la Agencia Española de Protección de Datos se ORDENE al AYUNTAMIENTO DE OLIVENZA con NIF P0609500D, que en virtud del artículo 58.2.
3. d)del RGPD, en el plazo de seis meses se notifique a esta Agencia la adopción de medidas que respeten el principio de integridad y confidencialidad establecido en el artículo 5.1
4. f)del RGPD, garantizando una seguridad adecuada de los datos personales, para evitar que se vulneren el principio de integridad y confidencialidad de los datos personales, tal y como exige el artículo 5.1
5. f)del RGPD, y la adopción de medidas necesarias para evitar que tales hechos se repitan, de conformidad con el artículo 32 del RGPD. De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS PRIMERO: Consta en la documentación aportada por la parte reclamante remitida a su vez por el Ayuntamiento al mismo que tras su solicitud de acceso en calidad de denunciante el día 16 de febrero de 2022 a distintos expedientes administrativos tramitados por el Ayuntamiento relativos a procedimientos sancionadores de tráfico, en estos se visualizan los siguientes datos personales: -Expte. ***EXPEDIENTE.1: nombre del denunciado y de la persona que abona la multa en el ayuntamiento. -Expte. ***EXPEDIENTE.2: nombre completo del denunciado y su firma manuscrita -Expte. ***EXPEDIENTE.3: Se obtiene el apellido del denunciado y la localidad de residencia, ***LOCALIDAD.1. Nombre y apellido y DNI completo del receptor de una notificación por correo postal. -Expte ***EXPEDIENTE.4: Nombre y apellidos del denunciado, domicilio completo y su firma manuscrita. Solicitud por la que manifiesta querer sustituir el importe de la sanción por trabajos en beneficio de la comunidad y que el denunciado presenta dolencias que son incompatibles con la realización de dichos trabajos. Información relativa al denunciado contenida en diversos partes médicos de incapacidad temporal, como las fechas de visitas médicas, duración de la incapacidad, diagnóstico (lumbalgia con específica compresión de nervio), identidad del facultativo que asiste al denunciado. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/20 -Expte. ***EXPEDIENTE.5: Apellido del denunciado y su localidad de residencia, ***LOCALIDAD.1. Carta de pago. -Expte. ***EXPEDIENTE.6: Nombre y apellidos del denunciado, su localidad de residencia en ***LOCALIDAD.1, y su firma manuscrita. -Expte. ***EXPEDIENTE.7: Nombre y apellidos del denunciado, su localidad de residencia en ***LOCALIDAD.1 y su firma manuscrita. -Expte. ***EXPEDIENTE.8: Nombre y apellidos del denunciado, domicilio completo y su firma manuscrita. -Expte. ***EXPEDIENTE.9: Nombre y apellidos del denunciado, domicilio completo y su firma manuscrita. -Expte. ***EXPEDIENTE.10: Nombre y apellidos del denunciado, su localidad de residencia en ***LOCALIDAD.1 y su firma manuscrita. Solicitud por la que manifiesta querer sustituir el importe de la sanción por trabajos en beneficio de la comunidad. -Expte. ***EXPEDIENTE.11: Nombre y apellidos del denunciado, domicilio completo y su firma manuscrita. -Expte. ***EXPEDIENTE.12: Nombre y apellidos de la persona denunciada, su DNI completo, su firma manuscrita. Nombre y apellidos y DNI completo de la persona que recibe una notificación postal. -Expte. ***EXPEDIENTE.13: Nombre y apellidos de la persona denunciada, domicilio completo y su firma. DNI completo de la persona receptora de notificación postal. -Expte. ***EXPEDIENTE.14: Calle donde reside la denunciada, en el municipio de ***LOCALIDAD.1. -Expte. 5724: Localidad de residencia en ***LOCALIDAD.1, nombre de pila del denunciado, produciéndose coincidencia con el expte. ***EXPEDIENTE.3. -Expte. ***EXPEDIENTE.16: Por coincidencia con los exptes. ***EXPEDIENTE.3 y ***EXPEDIENTE.15, se muestra el segundo apellido del denunciado, y residente en ***LOCALIDAD.1. -Expte. ***EXPEDIENTE.17: domicilio completo de la denunciada en el (...) coincidiendo con los datos divulgados en el expte ***EXPEDIENTE.14. -Expte. ***EXPEDIENTE.18: En este expediente se cede la localidad de residencia de la denunciada, siendo (...). También se muestra el nombre B.B.B. en la firma del correo postal y presumiblemente se puede ver que reside en la calle (...). -Expte. ***EXPEDIENTE.19: Vuelve a revelarse que la denunciada reside en (…), que coincide con los datos revelados en los exptes. ***EXPEDIENTE.17 y ***EXPEDIENTE.14. Por lo que se muestra, el domicilio es (...) de ***LOCALIDAD.1. -Expte. ***EXPEDIENTE.20: Nombre y apellidos de la persona denunciada, su localidad de residencia en ***LOCALIDAD.1, su firma manuscrita y su DNI completo. -Expte. ***EXPEDIENTE.21: Nombre y apellidos de la persona denunciada su localidad de residencia en ***LOCALIDAD.1 y su firma manuscrita. DNI completo de la persona que recibe notificación de la multa. -Expte. ***EXPEDIENTE.22: nombre y apellidos de la persona denunciada, su localidad de residencia en ***LOCALIDAD.1 y su firma manuscrita. -Expte. ***EXPEDIENTE.23: Se cede el número de residencia del denunciado, que por coincidir con la información divulgada en los exptes. ***EXPEDIENTE.3 y ***EXPEDIENTE.15, se obtiene el domicilio completo del denunciado unido a su nombre y apellidos. -Expte. ***EXPEDIENTE.24: Nombre y apellidos de la persona denunciada, su localidad de residencia en ***LOCALIDAD.1, y su firma. -Expte. ***EXPEDIENTE.25: localidad de residencia del denunciado, ***LOCALIDAD.1, y su DNI completo, que por coincidencia con los exptes. ***EXPEDIENTE.3, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/20 ***EXPEDIENTE.15 y ***EXPEDIENTE.23, se relaciona con su nombre y apellidos y su domicilio completo. -Expte. ***EXPEDIENTE.26: Nombre y apellidos de la persona denunciada, domicilio y DNI completo y su firma manuscrita. SEGUNDO: Analizados los datos personales incluidos en la documentación, se aprecia que se contienen tanto datos personales del reclamante como de terceros. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del RGPD, otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la LOPDGDD, es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Cuestiones previas Los hechos denunciados se materializan en la remisión por la parte reclamada, al reclamante tras solicitar acceso, en calidad de denunciante a distintos expedientes administrativos tramitados por el Ayuntamiento relativos a procedimientos sancionadores por infracciones de tráfico, insuficientemente anonimizados, teniendo acceso a distintas informaciones personales de terceros, lo que vulnera la normativa en materia de protección de datos personales. De acuerdo con lo establecido en el artículo 4.1 del RGPD, consta la realización de un tratamiento de datos personales, toda vez que la parte reclamada realiza, entre otros tratamientos, la recogida, registro, conservación, utilización, acceso, supresión de los siguientes datos personales de personas físicas, tales como: nombre y apellidos, N.I.F, dirección postal, número de teléfono, dirección de correo electrónico, etc. El Ayuntamiento realiza esta actividad en su condición de responsable del tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del RGPD: <<responsable del tratamiento» o «responsable»: la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros>>. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/20 El artículo 4 apartado 12 del RGPD define, de un modo amplio, las “violaciones de seguridad de los datos personales” (en adelante brecha de datos personales) como “todas aquellas violaciones de la seguridad que ocasionen la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos.” En el presente caso, consta una brecha de datos personales en las circunstancias arriba indicadas, categorizada como una brecha de confidencialidad al haberse expuesto a un tercero no autorizado datos personales de otras personas. Dentro de los principios del tratamiento previstos en el artículo 5 del RGPD, la integridad y confidencialidad de los datos personales se garantiza en el apartado 1.
6. f)del citado artículo. Por su parte, la seguridad de los datos personales viene regulada en los artículos 32, 33 y 34 del RGPD, que reglamentan la seguridad del tratamiento, la notificación de una violación de la seguridad de los datos personales a la autoridad de control, así como la comunicación al interesado, respectivamente. III Contestación a las alegaciones presentadas En respuesta a las alegaciones presentadas por la parte reclamada se debe señalar lo siguiente: PRIMER MOTIVO: En primer lugar, la parte reclamada afirma que no resultaba necesario anonimizar los datos personales del reclamante debido a que se trataba de sus propios datos y se destinaban únicamente a él. Sin embargo, esta justificación resulta insuficiente pues, aunque los datos del reclamante no necesiten ser anonimizados, la normativa de protección de datos obliga a que cualquier tratamiento de datos personales debe realizarse garantizando los derechos de todos los afectados, no solo del reclamante. Ello supone que en los expedientes que se entreguen a cualquier persona, incluido el denunciante, se deben eliminar o anonimizar los datos de terceras personas que no hayan consentido la divulgación de su información personal. Por tanto, el hecho de que los expedientes entregados al reclamante contuvieran datos de terceros sin la debida anonimización constituye una vulneración de la normativa de protección de datos, en particular del principio de confidencialidad (artículo 5.1.f del RGPD). La entrega de documentos en estas condiciones no solo expone datos personales de terceros, sino que además permite identificar a otras personas implicadas en los procedimientos sancionadores, lo cual agrava la conducta infractora. SEGUNDO MOTIVO: El Ayuntamiento argumenta que cumplió con un requerimiento del Defensor del Pueblo al facilitar al reclamante acceso a la información solicitada, y que el alto volumen de trabajo, debido a la prolífica actividad del denunciante, pudo haber ocasionado algunas incidencias puntuales en el tratamiento de datos. A tal respecto conviene señalar que el cumplimiento de un requerimiento del Defensor del Pueblo no exime al Ayuntamiento de su obligación de cumplir con la normativa de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/20 protección de datos. El hecho de que el Defensor del Pueblo haya requerido que se facilite la información al reclamante, no implica que se deban entregar documentos con datos personales de terceros sin las debidas medidas de anonimización o seudonimización. El Ayuntamiento tiene la obligación de garantizar en todo momento la protección de los datos personales de todas las personas implicadas en los expedientes, independientemente de la cantidad de información solicitada o del volumen de trabajo administrativo. Debe de recordarse que el RGPD establece que el responsable del tratamiento de los datos debe implementar medidas técnicas y organizativas apropiadas para garantizar y demostrar que el tratamiento se realiza conforme a la normativa. Entre dichas medidas se incluye la de asegurar de que todos los datos personales estén adecuadamente protegidos, incluso en situaciones de alta carga de trabajo. Además, la afirmación de que se cometieron "incidencias puntuales" debido al volumen de documentos no exime de responsabilidad. Cada vez que se facilita un expediente con datos personales sin las garantías adecuadas, se produce una vulneración del derecho de los afectados. En definitiva, la obligación de la parte reclamada y con mayor motivo en su condición de Administración Pública, es garantizar la protección de todos los datos personales en su poder, y cualquier deficiencia en este sentido supone un incumplimiento, independientemente de que se considere “puntual” o no. TERCER MOTIVO: En cuanto a que los datos no hacen identificables a las personas, hay que decir al respecto que los datos personales son cualquier información relativa a una persona física viva identificada o identificable. Las distintas informaciones, que recopiladas pueden llevar a la identificación de una determinada persona, también constituyen datos de carácter personal. Pues bien, la parte reclamada reconoce la infracción en su escrito de fecha 13 de noviembre de 2023 y ha manifestado afirmando: “somos conscientes de que estas incidencias, aunque en la mayoría de los casos de poca entidad, se han producido, y este ayuntamiento ha tomado las correspondientes medidas tanto técnicas como organizativas para llevar a cabo un tratamiento de los datos riguroso que impida que esta situación vuelva a producirse>>. El Ayuntamiento como responsable del tratamiento envío a la parte reclamante copia de expedientes administrativos tramitados por este relativos a procedimientos sancionadores por infracciones de tráfico, habiendo posibilitado que el reclamante tuviera acceso a datos personales de terceros, está claro que se puede comprobar en los expedientes aportados que contienen no solo datos de la parte reclamante sino que figuran visibles datos personales de terceros tales como nombre y apellidos, DNI completos, domicilio, importes de las multas impuestas e información relativa a su abono, datos de salud y datos sobre incapacidad temporal de uno de los denunciados, alegaciones formuladas con información personal y familiar, etc., lo que haría identificables a las personas que figuran en dichos expedientes. CUARTO MOTIVO: El Ayuntamiento reconoce que se han producido incidencias en el tratamiento de datos y señala que ha implementado medidas correctoras tanto técnicas como organizativas para evitar que estas situaciones se repitan. Sin embargo, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/20 este reconocimiento de errores y la adopción de medidas no eliminan la responsabilidad por las infracciones cometidas anteriormente. En este sentido, la implementación de medidas debería haber sido una prioridad desde el inicio del tratamiento de los datos personales y una consecuencia de la incoación de un expediente sancionador. Por su parte, la necesidad de formación, revisión de documentación y elaboración de protocolos a la que se hace referencia manifiesta que el Ayuntamiento no contaba con los recursos adecuados ni los procedimientos necesarios para garantizar la protección de datos conforme a lo exigido por el RGPD. De igual forma, la adopción de protocolos y códigos de conducta posteriores si bien es una respuesta necesaria, no puede ser vista como una eximente para las infracciones cometidas. Las medidas de protección deben estar implementadas antes de que se produzcan las infracciones, no como reacción a las mismas. Por otro lado, el hecho de que se hayan producido incidencias en "la mayoría de los casos de poca entidad" no exime al Ayuntamiento de su obligación de cumplir con la normativa. Cada incidencia, por pequeña que sea, representa una vulneración de la normativa y la acumulación de incidencias "de poca entidad" puede indicar una falta de control y una inadecuada gestión de la protección de datos. En conclusión, aunque las medidas adoptadas por el Ayuntamiento son un paso en la dirección correcta, no justifican ni eliminan las infracciones cometidas previamente. El reconocimiento de los errores y la adopción de medidas correctoras no eximen de responsabilidad ni pueden ser considerados un argumento válido para evitar sanciones por las infracciones ya cometidas. IV Primera obligación incumplida: artículo 5.1.
7. f)del RGPD Establece el artículo 5.1.
8. f)del RGPD lo siguiente: “Artículo 5 Principios relativos al tratamiento: 1. Los datos personales serán: (…)
9. f)tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»).” La documentación obrante en el expediente y que queda reflejada en el HECHO PRIMERO PROBADO manifiesta que la parte reclamada, vulneró el artículo 5 del RGPD, principios relativos al tratamiento, al posibilitar el acceso a datos carácter personal de numerosas personas por parte de un tercero no autorizado para ello, al facilitársele por el Ayuntamiento copias de expedientes relativos a procedimientos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/20 sancionadores tramitados por infracciones de tráfico, así como documentación que se le facilitó al solicitarle el Ayuntamiento que se ratificara en sus denuncias. En dicha documentación aparecían visibles datos tales como nombre y apellidos, DNI completos, domicilio, importes de las multas impuestas e información relativa a su abono, datos de salud y datos sobre incapacidad temporal de uno de los denunciados, alegaciones formuladas con información personal y familiar, etc. En este sentido, el citado art. 5.1.
10. f)del RGPD, prevé que los datos personales serán tratados de tal manera que se garantice su seguridad, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas. Por otra parte, el Considerando 39 del RGPD, en clara referencia al principio recogido en el artículo 5.1.
11. f)del RGPD, dispone que: “Los datos personales deben tratarse de un modo que garantice una seguridad y confidencialidad adecuadas de los datos personales, inclusive para impedir el acceso o uso no autorizados de dichos datos y del equipo utilizado en el tratamiento”. Y es que la pérdida de confidencialidad supone un riesgo, que puede conllevar daños y perjuicios, materiales o inmateriales para las personas físicas (Considerando 85 del RGPD). En tal sentido, el Considerando 75 del RGPD establece que: “Los riesgos para los derechos y libertades de las personas físicas, de gravedad y probabilidad variables, pueden deberse al tratamiento de datos que pudieran provocar daños y perjuicios físicos, materiales o inmateriales, en particular en los casos en los que el tratamiento pueda dar lugar a problemas de discriminación, usurpación de identidad o fraude, pérdidas financieras, daño para la reputación, pérdida de confidencialidad de datos sujetos al secreto profesional, reversión no autorizada de la seudonimización o cualquier otro perjuicio económico o social significativo; en los casos en los que se prive a los interesados de sus derechos y libertades o se les impida ejercer el control sobre sus datos personales; …”. Por tanto, el acceso no autorizado a los datos de carácter personal supone que éstos puedan ser utilizados para usos no conocidos, incluso fraudulentos, conllevando una pérdida total y absoluta de control sobre los mismos. En este mismo sentido, el artículo 28 de la LOPDGDD, y respecto de las obligaciones del responsable del tratamiento en el marco de los artículos 24 y 25 del RGPD para garantizar y acreditar que el tratamiento es conforme al RGPD respecto de diversos riesgos, dispone que, “(…) 2. Para la adopción de las medidas a que se refiere el apartado anterior los responsables y encargados del tratamiento tendrán en cuenta, en particular, los mayores riesgos que podrían producirse en los siguientes supuestos:
12. a)Cuando el tratamiento pudiera generar situaciones de discriminación, usurpación de identidad o fraude, pérdidas financieras, daño para la reputación, pérdida de confidencialidad de datos sujetos al secreto profesional, reversión no autorizada de la seudonimización o cualquier otro perjuicio económico, moral o social significativo para los afectados. …”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/20 En el presente caso, consta aportado los expedientes en los que figuran visibles datos personales de terceros tales como nombre y apellidos, DNI completos, domicilio, importes de las multas impuestas e información relativa a su abono, datos de salud y datos sobre incapacidad temporal de uno de los denunciados, alegaciones formuladas con información personal y familiar, etc. La parte reclamada ha confirmado los hechos en su escrito de fecha 13 de noviembre de 2023 y ha manifestado afirmando: “somos conscientes de que estas incidencias, aunque en la mayoría de los casos de poca entidad, se han producido, y este ayuntamiento ha tomado las correspondientes medidas tanto técnicas como organizativas para llevar a cabo un tratamiento de los datos riguroso que impida que esta situación vuelva a producirse>>. De conformidad con lo que antecede se considera que la parte reclamada ha vulnerado el principio de confidencialidad e integridad de los datos, principio consagrado en el artículo 5.1.
13. f)del RGPD, infracción tipificada en el artículo 83.5.
14. a)del RGPD, al no haber garantizado una seguridad de los datos personales tratados. V Tipificación de la infracción del artículo 5.1.
15. f)del RGPD La infracción se tipifica en el artículo 83.5 del RGPD que bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
16. a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9; (…)” A este respecto, la LOPDGDD, en su artículo 71 “Infracciones” establece que “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A efectos del plazo de prescripción, el artículo 72 “Infracciones consideradas muy graves” de la LOPDGDD indica: “1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
17. a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679. (…)” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/20 VI Sanción por la infracción del artículo 5.1.
18. f)del RGPD Sin perjuicio de lo dispuesto en el artículo 83.5 del RGPD, el citado artículo dispone en su apartado 7 lo siguiente: “7. Sin perjuicio de los poderes correctivos de las autoridades de control en virtud del artículo 58, apartado 2, cada Estado miembro podrá establecer normas sobre si se puede, y en qué medida, imponer multas administrativas a autoridades y organismos públicos establecidos en dicho Estado miembro”. Por su parte, el artículo 77 “Régimen aplicable a determinadas categorías de responsables o encargados del tratamiento” de la LOPDGDD dispone lo siguiente: “1. El régimen establecido en este artículo será de aplicación a los tratamientos de los que sean responsables o encargados:
19. c)La Administración General del Estado, las Administraciones de las comunidades autónomas y las entidades que integran la Administración Local. 2. Cuando los responsables o encargados enumerados en el apartado 1 cometiesen alguna de las infracciones a las que se refieren los artículos 72 a 74 de esta ley orgánica, la autoridad de protección de datos que resulte competente dictará resolución declarando la infracción y estableciendo, en su caso, las medidas que proceda adoptar para que cese la conducta o se corrijan los efectos de la infracción que se hubiese cometido, con excepción de la prevista en el artículo 58.2.i del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016. La resolución se notificará al responsable o encargado del tratamiento, al órgano del que dependa jerárquicamente, en su caso, y a los afectados que tuvieran la condición de interesado, en su caso. 3. Sin perjuicio de lo establecido en el apartado anterior, la autoridad de protección de datos propondrá también la iniciación de actuaciones disciplinarias cuando existan indicios suficientes para ello. En este caso, el procedimiento y las sanciones a aplicar serán las establecidas en la legislación sobre régimen disciplinario o sancionador que resulte de aplicación. Asimismo, cuando las infracciones sean imputables a autoridades y directivos, y se acredite la existencia de informes técnicos o recomendaciones para el tratamiento que no hubieran sido debidamente atendidos, en la resolución en la que se imponga la sanción se incluirá una amonestación con denominación del cargo responsable y se ordenará la publicación en el Boletín Oficial del Estado o autonómico que corresponda. 4. Se deberán comunicar a la autoridad de protección de datos las resoluciones que recaigan en relación con las medidas y actuaciones a que se refieren los apartados anteriores. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/20 5. Se comunicarán al Defensor del Pueblo o, en su caso, a las instituciones análogas de las comunidades autónomas las actuaciones realizadas y las resoluciones dictadas al amparo de este artículo.” VII Segunda obligación incumplida: artículo 32.1 del RGPD Igualmente se atribuye a la parte reclamada la infracción del artículo 32 del RGPD “Seguridad del tratamiento”, establece que: El Artículo 32 “Seguridad del tratamiento” del RGPD establece: “1. Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, que en su caso incluya, entre otros:
20. a)la seudonimización y el cifrado de datos personales;
21. b)la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento;
22. c)la capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente físico o técnico;
23. d)un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento. 2. Al evaluar la adecuación del nivel de seguridad se tendrán particularmente en cuenta los riesgos que presente el tratamiento de datos, en particular como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos. 3. La adhesión a un código de conducta aprobado a tenor del artículo 40 o a un mecanismo de certificación aprobado a tenor del artículo 42 podrá servir de elemento para demostrar el cumplimiento de los requisitos establecidos en el apartado 1 del presente artículo. 4. El responsable y el encargado del tratamiento tomarán medidas para garantizar que cualquier persona que actúe bajo la autoridad del responsable o del encargado y tenga acceso a datos personales solo pueda tratar dichos datos siguiendo instrucciones del responsable, salvo que esté obligada a ello en virtud del Derecho de la Unión o de los Estados miembros”. (el subrayado es nuestro) Hay que señalar que el RGPD en el citado precepto no establece un listado de las medidas de seguridad que sean de aplicación de acuerdo con los datos que son objeto C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/20 de tratamiento, sino que establece que el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas de seguridad que sean adecuadas al riesgo que conlleve el tratamiento, teniendo en cuenta el estado de la técnica, los costes de aplicación, la naturaleza, alcance, contexto y finalidades del tratamiento, los riesgos de probabilidad y gravedad para los derechos y libertades de las personas interesadas. Asimismo, las medidas de seguridad deben resultar adecuadas y proporcionadas al riesgo detectado, señalando que la determinación de las medidas técnicas y organizativas deberá realizarse teniendo en cuenta: la seudonimización y el cifrado, la capacidad para garantizar la confidencialidad, integridad, disponibilidad y resiliencia, la capacidad para restaurar la disponibilidad y acceso a datos tras un incidente, proceso de verificación (que no auditoría), evaluación y valoración de la eficacia de las medidas. En todo caso, al evaluar la adecuación del nivel de seguridad se tendrán particularmente en cuenta los riesgos que presente el tratamiento de datos, como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos y que pudieran ocasionar daños y perjuicios físicos, materiales o inmateriales. En este mismo sentido el considerando 83 del RGPD señala que “