Sancionado un ayuntamiento por carecer de delegado de protección de datos

I. Competencia

De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos.

Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos."

II. Alegaciones al procedimiento

Por lo que se refiere a las alegaciones presentadas por el Ayuntamiento, recogidas en los antecedentes sexto y octavo, se debe señalar lo siguiente.

Las notificaciones efectuadas por la Subdirección General de Promoción y Autorizaciones de esta Agencia, recordando la obligación de designar un DPD y comunicarlo a la autoridad de control, de acuerdo con el artículo 37 del RGPD, y en los que se otorgaba un plazo de diez días para que realizara la preceptiva comunicación, no fueron respondidas. Finalmente se acordó el inicio del procedimiento sancionador el 20 de julio de 2022.

Asimismo, al margen de los citados recordatorios, cabe señalar que la obligación del nombramiento del DPD por parte del Ayuntamiento nace desde la aplicación efectiva del RGPD que se produjo el 25 de mayo de 2018, según lo estipulado en su artículo 99, marcando el fin de un período de adaptación de dos años después de su entrada en vigor el 25 de mayo de 2016.

Por lo tanto, no cabe tomar en consideración que se hayan iniciado los trámites para el nombramiento del DPD en 2021, con anterioridad a las notificaciones efectuadas por esta Agencia, puesto que el Ayuntamiento debería haber previsto su nombramiento desde la aplicación efectiva del RGPD. Del mismo modo, que el nombramiento se pudiera llevar a cabo durante la instrucción de este procedimiento o posteriormente, no afecta a la existencia de los hechos probados constitutivos de infracción.

Finalmente, como a la fecha de la emisión de la presente resolución no se ha producido el nombramiento del DPD, resulta procedente la orden prevista en la propuesta de resolución por la que se requiere al Ayuntamiento la acreditación de dicho nombramiento en el plazo consignado.

III. Obligación incumplida

De conformidad con las evidencias de las que se dispone, se considera que al Ayuntamiento le corresponde, siguiendo el principio de responsabilidad proactiva, atender las obligaciones que el RGPD detalla, entre las que se incluye la de nombrar un delegado de protección de datos, hacer públicos sus datos de contacto y comunicarlo a la AEPD.

Por tanto, los hechos descritos en el apartado de "Hechos probados" se estiman constitutivos de una infracción, imputable al Ayuntamiento, por vulneración del artículo 37 del RGPD, que dispone lo siguiente en sus apartados 1 y 7 respectivamente:

"1. El responsable y el encargado del tratamiento designarán un delegado de protección de datos siempre que:

a) el tratamiento lo lleve a cabo una autoridad u organismo público, excepto los tribunales que actúen en el ejercicio de su función judicial;

(...)

7. El responsable o el encargado de tratamiento publicarán los datos de contacto

del delegado de protección de datos y los comunicarán a la autoridad de control."

Sobre la designación del delegado de protección de datos, los apartados 3 y 5 del artículo 37 del RGPD señalan que:

"3. Cuando el responsable o el encargado del tratamiento sea una autoridad u organismo público, se podrá designar un único delegado de protección de datos para varias de estas autoridades u organismos, teniendo en cuenta su estructura organizativa y tamaño.

(...)

5. El delegado de protección de datos podrá formar parte de la plantilla del responsable o del encargado del tratamiento o desempeñar sus funciones en el marco de un contrato de servicios."

Por su parte, la LOPDGDD dedica el artículo 34 a la "Designación de un delegado de protección de datos", precepto que dispone:

"1. Los responsables y encargados del tratamiento deberán designar un delegado de protección de datos en los supuestos previstos en el artículo 37.1 del Reglamento (UE) 2016/679 (...)

3. Los responsables y encargados del tratamiento comunicarán en el plazo de diez días a la Agencia Española de Protección de Datos o, en su caso, a las autoridades autonómicas de protección de datos, las designaciones, nombramientos y ceses de los delegados de protección de datos tanto en los supuestos en los que se encuentren obligadas a su designación como en el caso en que sea voluntaria".

IV. Tipificación y calificación de la infracción

El artículo 83.5 b) del RGPD, considera que la infracción de "las obligaciones del responsable y del encargado a tenor de los artículos 8, 11, 25 a 39, 42 y 43", es sancionable, de acuerdo con el apartado 4 del mencionado artículo 83 del citado Reglamento, "con multas administrativas de 10.000.000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 2% como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía".

La LOPDGDD en su artículo 71, Infracciones, señala que:

"Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica".

A efectos del plazo de prescripción de las infracciones, la infracción imputada prescribe a los dos años y se califica como grave, conforme al artículo 73 de la LOPDGDD que estipula lo siguiente:

"En función de lo que establece el artículo 83.4 del Reglamento (UE) 2016/679 se consideran graves y prescribirán a los dos años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:

(...)

v) El incumplimiento de la obligación de designar un delegado de protección de datos cuando sea exigible su nombramiento de acuerdo con el artículo 37 del Reglamento (UE) 2016/679 y el artículo 34 de esta ley orgánica."

V. Sanción imputada

El artículo 83 "Condiciones generales para la imposición de multas administrativas" del RGPD, en su apartado 7, establece lo siguiente:

"Sin perjuicio de los poderes correctivos de las autoridades de control en virtud del artículo 58, apartado 2, cada Estado miembro podrá establecer normas sobre si se puede, y en qué medida, imponer multas administrativas a autoridades y organismos públicos establecidos en dicho Estado miembro."

Asimismo, el artículo 77 "Régimen aplicable a determinadas categorías de responsables o encargados del tratamiento" de la LOPDGDD dispone lo siguiente:

"1. El régimen establecido en este artículo será de aplicación a los tratamientos de los que sean responsables o encargados:

(...)

c) La Administración General del Estado, las Administraciones de las comunidades autónomas y las entidades que integran la Administración Local.

(...)

2. Cuando los responsables o encargados enumerados en el apartado 1 cometiesen alguna de las infracciones a las que se refieren los artículos 72 a 74 de esta ley orgánica, la autoridad de protección de datos que resulte competente dictará resolución sancionando a las mismas con apercibimiento. La resolución establecerá asimismo las medidas que proceda adoptar para que cese la conducta o se corrijan los efectos de la infracción que se hubiese cometido.

La resolución se notificará al responsable o encargado del tratamiento, al órgano del que dependa jerárquicamente, en su caso, y a los afectados que tuvieran la condición de interesado, en su caso.

3. Sin perjuicio de lo establecido en el apartado anterior, la autoridad de protección de datos propondrá también la iniciación de actuaciones disciplinarias cuando existan indicios suficientes para ello. En este caso, el procedimiento y las sanciones a aplicar serán las establecidas en la legislación sobre régimen disciplinario o sancionador que resulte de aplicación.

Asimismo, cuando las infracciones sean imputables a autoridades y directivos, y se acredite la existencia de informes técnicos o recomendaciones para el tratamiento que no hubieran sido debidamente atendidos, en la resolución en la que se imponga la sanción se incluirá una amonestación con denominación del cargo responsable y se ordenará la publicación en el Boletín Oficial del Estado o autonómico que corresponda.

4. Se deberán comunicar a la autoridad de protección de datos las resoluciones que recaigan en relación con las medidas y actuaciones a que se refieren los apartados anteriores.

5. Se comunicarán al Defensor del Pueblo o, en su caso, a las instituciones análogas de las comunidades autónomas las actuaciones realizadas y las resoluciones dictadas al amparo de este artículo."

VI. Adopción de medidas

Esta Agencia acuerda imponer al responsable la adopción de medidas adecuadas para ajustar su actuación a la normativa mencionada en este acto, de acuerdo con lo establecido en el citado artículo 58.2 d) del RGPD, según el cual cada autoridad de control podrá "ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado...".

Se advierte que no atender a los requerimientos de este organismo puede ser considerado como una infracción administrativa conforme a lo dispuesto en el RGPD, tipificada como infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la apertura de un ulterior procedimiento administrativo sancionador.

Por lo tanto, de acuerdo con la legislación aplicable, la Directora de la Agencia Española de Protección de Datos