Infracción de ayuntamiento por falta de colaboración con la AEPD al no atender requerimientos de información en plazo

I

Competencia

De acuerdo con los poderes que el artículo 58.2 del RGPD, otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la LOPDGDD, es competente para resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos.

Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos."

II

Alegaciones al acuerdo de inicio

En respuesta a las alegaciones presentadas al acuerdo de inicio se debe señalar lo siguiente.

El Ayuntamiento debía responder a los requerimientos de esta Agencia en tiempo y forma, incluyendo, en su caso, las explicaciones que considerase oportunas o las circunstancias que pudieran dilatar una respuesta en plazo. A ello resulta obligado por el artículo 58.1 del RGPD como responsable del tratamiento de los datos personales requeridos, y por su concreción en el deber de colaboración que regula la LOPDGDD en su artículo 52.

El requerimiento de información recogido en los antecedentes segundo y tercero, notificado fehacientemente al Ayuntamiento en dos ocasiones, fue respondido con posterioridad a la notificación del acuerdo de inicio del presente procedimiento sancionador. De ello se infiere una falta de diligencia por parte del Ayuntamiento en la atención de dicho requerimiento.

Con respecto a las alegaciones relativas a la falta de medios personales, se debe señalar lo siguiente.

El principio de responsabilidad previsto en el artículo 28.1 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público, dispone que: "Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas, así como, cuando una Ley les reconozca capacidad de obrar, los grupos de afectados, las uniones y entidades sin personalidad jurídica y los patrimonios independientes o autónomos, que resulten responsables de los mismos a título de dolo o culpa."

No obstante, según lo dictaminado en la STS 7887/2011 de 24 de noviembre de 2011, Rec. 258/2009, "(...) desde su sentencia 76/1990, de 26 de abril, el Tribunal Constitucional viene declarando que no cabe en el ámbito sancionador administrativo la responsabilidad objetiva o sin culpa, doctrina que se reafirma en la sentencia 164/2005, de 20 de junio de 2005 , en cuya virtud se excluye la posibilidad de imponer sanciones por el mero resultado, sin acreditar un mínimo de culpabilidad aun a título de mera negligencia. Ahora bien, el modo de atribución de responsabilidad, a las personas jurídicas no se corresponde con las formas de culpabilidad dolosas o imprudentes que son imputables a la conducta humana."

Sucede así que, en el caso de infracciones cometidas por personas jurídicas, aunque haya de concurrir el elemento de la culpabilidad (véase la sentencia de esta Sala del Tribunal Supremo de 20 de noviembre de 2011 recurso de casación en interés de ley 48/2007), éste se aplica necesariamente de forma distinta a como se hace respecto de las personas físicas. Según la STC 246/1991 "(...) esta construcción distinta de la imputabilidad de la autoría de la infracción a la persona jurídica nace de la propia naturaleza de ficción jurídica a la que responden estos sujetos. Falta en ellos el elemento volitivo en sentido estricto, pero no la capacidad de infringir las normas a las que están sometidos. Capacidad de infracción y, por ende, reprochabilidad directa que deriva del bien jurídico protegido por la norma que se infringe y la necesidad de que dicha protección sea realmente eficaz y por el riesgo que, en consecuencia, debe asumir la persona jurídica que está sujeta al cumplimiento de dicha norma."

A lo expuesto debe añadirse, siguiendo la sentencia de 23 de enero de 1998, parcialmente trascrita en la STS 6262/2009, de 9 de octubre de 2009, Rec 5285/2005, y STS 6336/2009, de 23 de octubre de 2009, Rec 1067/2006, que "aunque la culpabilidad de la conducta debe también ser objeto de prueba, debe considerarse en orden a la asunción de la correspondiente carga, que ordinariamente los elementos volitivos y cognoscitivos necesarios para apreciar aquélla forman parte de la conducta típica probada, y que su exclusión requiere que se acredite la ausencia de tales elementos, o en su vertiente normativa, que se ha empleado la diligencia que era exigible por quien aduce su inexistencia; no basta, en suma, para la exculpación frente a un comportamiento típicamente antijurídico la invocación de la ausencia de culpa".

Así las cosas, ninguna de las circunstancias concurrentes en el caso permite excluir este elemento subjetivo de la infracción.

La respuesta al requerimiento de información dada durante la instrucción de este procedimiento no afecta a la existencia de los hechos probados constitutivos de infracción.

Por lo que se refiere a la información comunicada, por parte de esta Agencia se acusa su recibo, sin que ello suponga pronunciamiento alguno al respecto.

III

Alegaciones a la propuesta de resolución

En respuesta a las alegaciones a la Propuesta de resolución del presente expediente presentadas por el Ayuntamiento se debe señalar lo siguiente.

Las alegaciones presentadas contra la Propuesta de resolución de este expediente reproducen en su mayoría los mismos argumentos esgrimidos contra el Acuerdo de inicio y, por tanto, ya han sido contestados por esta Agencia en el anterior Fundamento de Derecho.

En cuanto a la manifestación del Ayuntamiento de que "no puede estar conforme con la conclusión de la AEPD de que: "ninguna de las circunstancias concurrentes en el caso permite excluir este elemento subjetivo de la infracción" ya que el Ayuntamiento no ha realizado una acción por la que, de forma voluntaria, se tratase de infringir un precepto normativo", cabe reiterar que, tal y como se explicó en el anterior Fundamento de Derecho, el modo de atribución de responsabilidad a las personas jurídicas se configura de manera diferenciada respecto del previsto para las personas físicas. En este ámbito, si bien la culpabilidad de la conducta debe ser objeto de prueba, se presume, a efectos de la carga correspondiente, que ordinariamente los elementos volitivos y cognoscitivos necesarios para su apreciación forman parte de la conducta típica probada. Por ello, su exclusión requiere demostrar la ausencia de tales elementos o, en su vertiente normativa, que se ha empleado la diligencia que era exigible por quien aduce su inexistencia.

Al respecto, se reitera que el requerimiento de información recogido en los antecedentes segundo y tercero fue notificado fehacientemente al Ayuntamiento en dos ocasiones, sin que este remitiera respuesta alguna a esta Agencia con anterioridad a la notificación del acuerdo de inicio del presente procedimiento sancionador, ni en relación con la información solicitada ni respecto de las explicaciones que estimara oportunas o de las circunstancias que pudieran justificar una respuesta fuera de plazo. Ello pone de manifiesto una falta de diligencia por parte del Ayuntamiento en la atención del requerimiento.

Por lo expuesto, no cabe acceder a la solicitud del Ayuntamiento respecto al archivo del presente expediente sancionador.

IV

Obligación incumplida

A tenor de los hechos expuestos, se considera que el Ayuntamiento no ha procurado a la Agencia Española de Protección de Datos la información que le requirió.

Con la señalada conducta del Ayuntamiento, la potestad de investigación que el artículo 58.1 del RGPD confiere a las autoridades de control, en este caso, la AEPD, se ha visto obstaculizada.

Por tanto, los hechos descritos en el apartado de "Hechos probados" se estiman constitutivos de una infracción, imputable al Ayuntamiento, por vulneración del artículo 58.1 del RGPD, que dispone que cada autoridad de control dispondrá, entre sus poderes de investigación:

"a) ordenar al responsable y al encargado del tratamiento y, en su caso, al representante del responsable o del encargado, que faciliten cualquier información que requiera para el desempeño de sus funciones."

V

Tipificación y calificación de la infracción

Esta infracción se tipifica en el artículo 83.5.e) del RGPD, que considera como tal: "no facilitar acceso en incumplimiento del artículo 58, apartado 1."

En el mismo artículo se establece que esta infracción puede ser sancionada con multa de veinte millones de euros (20.000.000 €) como máximo o, tratándose de una empresa, de una cuantía equivalente al cuatro por ciento (4%) como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía.

A efectos del plazo de prescripción de las infracciones, la infracción imputada prescribe a los tres años, conforme al artículo 72.1 de la LOPDGDD, que califica de muy grave la siguiente conducta:

"ñ) No facilitar el acceso del personal de la autoridad de protección de datos competente a los datos personales, información, locales, equipos y medios de tratamiento que sean requeridos por la autoridad de protección de datos para el ejercicio de sus poderes de investigación."

VI

Declaración de infracción

El artículo 83 "Condiciones generales para la imposición de multas administrativas" del RGPD, en su apartado 7, establece:

"Sin perjuicio de los poderes correctivos de las autoridades de control en virtud del artículo 58, apartado 2, cada Estado miembro podrá establecer normas sobre si se puede, y en qué medida, imponer multas administrativas a autoridades y organismos públicos establecidos en dicho Estado miembro."

Asimismo, el artículo 77 "Régimen aplicable a determinadas categorías de responsables o encargados del tratamiento" de la LOPDGDD dispone lo siguiente:

"1. El régimen establecido en este artículo será de aplicación a los tratamientos de los que sean responsables o encargados:

(…)

c) La Administración General del Estado, las Administraciones de las comunidades autónomas y las entidades que integran la Administración Local.

(…)

2. Cuando los responsables o encargados enumerados en el apartado 1 cometiesen alguna de las infracciones a las que se refieren los artículos 72 a 74 de esta ley orgánica, la autoridad de protección de datos que resulte competente dictará resolución declarando la infracción y estableciendo, en su caso, las medidas que proceda adoptar para que cese la conducta o se corrijan los efectos de la infracción que se hubiese cometido, con excepción de la prevista en el artículo 58.2.i del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016.

La resolución se notificará al responsable o encargado del tratamiento, al órgano del que dependa jerárquicamente, en su caso, y a los afectados que tuvieran la condición de interesado, en su caso.

3. Sin perjuicio de lo establecido en el apartado anterior, la autoridad de protección de datos propondrá también la iniciación de actuaciones disciplinarias cuando existan indicios suficientes para ello. En este caso, el procedimiento y las sanciones a aplicar serán las establecidas en la legislación sobre régimen disciplinario o sancionador que resulte de aplicación.

Asimismo, cuando las infracciones sean imputables a autoridades y directivos, y se acredite la existencia de informes técnicos o recomendaciones para el tratamiento que no hubieran sido debidamente atendidos, en la resolución en la que se imponga la sanción se incluirá una amonestación con denominación del cargo responsable y se ordenará la publicación en el Boletín Oficial del Estado o autonómico que corresponda.

4. Se deberán comunicar a la autoridad de protección de datos las resoluciones que recaigan en relación con las medidas y actuaciones a que se refieren los apartados anteriores.

5. Se comunicarán al Defensor del Pueblo o, en su caso, a las instituciones análogas de las comunidades autónomas las actuaciones realizadas y las resoluciones dictadas al amparo de este artículo.

6. Cuando la autoridad competente sea la Agencia Española de Protección de Datos, esta publicará en su página web con la debida separación las resoluciones referidas a las entidades del apartado 1 de este artículo, con expresa indicación de la identidad del responsable o encargado del tratamiento que hubiera cometido la infracción.

Cuando la competencia corresponda a una autoridad autonómica de protección de datos se estará, en cuanto a la publicidad de estas resoluciones, a lo que disponga su normativa específica."

Este precepto establece que los procedimientos que tengan causa en infracciones en materia de protección de datos personales cometidas por las categorías de responsables o encargados del tratamiento enumerados en su apartado 1 se resolverán, en todo caso, declarando la infracción.

Por lo tanto, de acuerdo con la legislación aplicable, la Presidencia de la Agencia Española de Protección de Datos