Infracción del RGPD por divulgar el motivo de la excedencia de una empleada municipal

I

Competencia

De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para resolver este procedimiento, la Presidencia de la Agencia Española de Protección de Datos.

Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos."

II

Alegaciones al Acuerdo de inicio

Recordemos en un primer momento que el AYUNTAMIENTO no ha negado que proporcionara la información personal relativa a la reclamante y origen del presente procedimiento sancionador, sino que, antes al contrario, realiza alegaciones para quitar trascendencia a dicho hecho, no sólo argumentando en contra de la condición de dato personal susceptible de protección al amparo del derecho fundamental a la protección de datos personales de la información hecha pública, sino también en cuanto a una pretendida justificación de hacer pública la información en aras de la transparencia.

En cuanto a una pretendida dificultad para poder identificar a la reclamante, no cabe más que referirnos al concepto amplio de dato personal que se contiene no sólo en el artículo 4.1 del RGPD- toda información sobre una persona física identificada o identificable; se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona- sino también por la interpretación de este concepto que ha realizado la jurisprudencia.

Señalemos a estos efectos lo indicado en la STJUE de 4 de mayo de 2023, en el asunto C-487/21 (el subrayado es nuestro),

23. El empleo de la expresión «toda información» en la definición del concepto de «datos personales», que figura en esa disposición, evidencia el objetivo del legislador de la Unión de atribuir a este concepto un significado muy amplio, que puede abarcar todo género de información, tanto objetiva como subjetiva, en forma de opiniones o apreciaciones, siempre que sean «sobre» la persona en cuestión (véase, por analogía, la sentencia de 20 de diciembre de 2017, Nowak, C-434/16, EU:C:2017:994, apartado 34).

24 A este respecto, se ha declarado que una información se refiere a una persona física identificada o identificable cuando, debido a su contenido, finalidad o efectos, la información está relacionada con una persona identificable (véase, en este sentido, la sentencia de 20 de diciembre de 2017, Nowak, C-434/16, EU:C:2017:994, apartado 35).

25 En cuanto al carácter «identificable» de una persona física, el considerando 26 del RGPD precisa que deben tenerse en cuenta «todos los medios, como la singularización, que razonablemente pueda utilizar el responsable del tratamiento o cualquier otra persona para identificar directa o indirectamente a la persona física».

Es decir, no es determinante para afirmar que es posible identificar a la reclamante si existe o no un catálogo de puestos de trabajo que incluya algún tipo de dato identificativo del empleado municipal que efectivamente lo ocupa o que, a juicio del AYUNTAMIENTO, sea complicado para la generalidad de la población identificar a la reclamante, ya que desconocen el número total de arquitectos/as municipales, así como sus nombres y apellidos. Lo determinante es que la identificación es posible por la propia individualización contenida en la información proporcionada por el AYUNTAMIENTO, que habla de la única ***PUESTO.1 y no, por ejemplo, de uno de los arquitectos municipales; por la propia indicación de que se encuentra en excedencia y, no debemos olvidar, que la identificación se vería facilitada por las dimensiones del municipio, que no alcanza los 40.000 habitantes según datos del INE de 2024, circunstancia que favorece el conocimiento de situaciones personales individuales.

Por otro lado, y como bien indica el AYUNTAMIENTO en su escrito de alegaciones los motivos por los que un empleado público puede encontrarse en situación administrativa de excedencia son varios, teniendo todos ellos como consecuencia que, durante el tiempo en que dicha excedencia se mantuviera, el empleado no estaría desempeñando su puesto de trabajo. Es por ello que esta AEPD mantuvo en el acuerdo de inicio del presente procedimiento sancionador, y mantiene en esta propuesta de resolución, que informar de la situación administrativa de excedencia, toda vez que, derivada de la misma, los servicios públicos municipales podrían verse afectados, quedaría amparada por la transparencia en la actuación pública, en este caso municipal. No obstante, el indicar el motivo concreto, entre los varios posibles, aparte de no ser relevante a efectos de que el AYUNTAMIENTO proporcione a los ciudadanos información sobre la situación de los servicios municipales, desvela información de carácter personal de la reclamante que es irrelevante para el cumplimiento de la finalidad pretendida por la parte reclamada.

Menciona por otro lado el AYUNTAMIENTO una STS cuyas conclusiones, a nuestro juicio, no serían de exacta aplicación al caso que nos ocupa: por hacer una equivalencia, el dato objetivo que pudiera identificarse como causa que dificulte la actuación administrativa, sería la situación de excedencia de la reclamante, pero no así de los motivos concretos en los que se sustenta tal situación.

Finalmente, en relación con las medidas adoptadas, cabe recordar al AYUNTAMIENTO, que las mismas no son sino un mero cumplimiento de la normativa de protección de datos que le es de aplicación, sin que las mismas, a juicio de esta AEPD, tengan incidencia en el caso analizado en el presente procedimiento. Y ello, por cuanto no sólo la infracción respecto de la reclamante ya se habría producido, sino también porque el AYUNTAMIENTO parece obviar en sus alegaciones que el principio de minimización de datos obliga también a publicar sólo los datos imprescindibles para cumplir con el fin de la transparencia administrativa, compatibilizándose así el derecho fundamental a la protección de datos personales con el principio de transparencia.

Por todo lo anterior, cabe desestimar las alegaciones aducidas.

III

Alegaciones a la Propuesta de Resolución

En primer lugar, debe recordarse que la orden de adoptar las medidas de índole técnica y organizativa de todo tipo destinadas a garantizar la seguridad y confidencialidad de los datos personales objeto del tratamiento responde a una obligación directamente impuesta por el artículo 5.1.f) del RGPD, cuyo cumplimiento corresponde al responsable del tratamiento.

El RGPD no establece un catálogo cerrado de medidas, sino que consagra un principio de responsabilidad proactiva, en virtud del cual corresponde al responsable del tratamiento, en este caso, al Ayuntamiento, determinar e implantar las medidas adecuadas atendiendo a la naturaleza de los datos tratados, el contexto del tratamiento y los riesgos existentes. Por ello, no resulta exigible a esta Agencia una enumeración exhaustiva y cerrada de medidas concretas, siendo suficiente con la identificación de la obligación incumplida y la necesidad de su adecuación a la normativa.

No cabe apreciar, por tanto, la invocada inseguridad jurídica toda vez que en la Propuesta de resolución se identifica con claridad el principio infringido (artículo 5.1.f) del RGPD), relativo a la integridad y confidencialidad de los datos personales, se concreta el contexto en que se ha producido la vulneración (comunicación a un medio de comunicación de datos personales de una empleada municipal, incluyendo el motivo concreto de su excedencia, irrelevante para informar sobre la situación del servicio) y se ordena la adopción de las medidas destinadas a garantizar que en el futuro no se vuelvan a divulgar datos personales innecesarios en comunicaciones públicas o institucionales.

En este sentido, se exige al Ayuntamiento que adopte aquellas medidas técnicas y organizativas que, atendiendo a su realidad organizativa y a los riesgos identificados, sean necesarias para evitar la reiteración de conductas como las que dieron lugar a la presente infracción.

Por otra parte, las medidas que el Ayuntamiento afirma haber implantado (nombramiento de Delegado de Protección de Datos, elaboración de modelos, documentos informativos y registro de actividades) tienen un carácter general y estructural, pero no acreditan por sí solas la adopción de medidas específicas y efectivas orientadas a evitar la divulgación indebida de datos personales en comunicaciones públicas.

En cuanto a la propuesta subsidiaria de que toda comunicación de prensa que pueda afectar a datos personales sea consultada previamente con el Delegado de Protección de Datos, aun pudiendo constituir una medida útil, resulta claramente insuficiente por sí sola y no garantiza de forma suficiente el cumplimiento del principio de confidencialidad. El DPD desarrolla funciones de asesoramiento y supervisión, pero su intervención puntual no exime al Ayuntamiento, como responsable del tratamiento, de implantar un marco organizativo y procedimental que garantice el respeto sistemático de los principios del RGPD.

En consecuencia, procede desestimar las alegaciones formuladas y mantener la medida correctiva en los términos propuestos, debiendo el responsable acreditar, en el plazo fijado, la adopción de medidas técnicas y organizativas apropiadas que garanticen la seguridad y confidencialidad de los datos personales objeto de tratamiento en el ámbito de sus comunicaciones públicas e institucionales. En este sentido podría considerarse de forma positiva- si bien no se trata de una lista exhaustiva- la formación específica en materia de protección de datos personales especialmente en lo que respecta al concepto de datos personales y con enfoque en los entornos concretos dentro de la actividad municipal en la que son tratados dichos datos personales- o la adopción de medidas concretas destinadas a garantizar la seguridad de los datos personales limitando, por ejemplo, el acceso a los mismos a las funciones desempeñadas dentro de la organización municipal.

IV

Obligación incumplida. Integridad y confidencialidad

La letra f) del artículo 5.1 del RGPD propugna que:

1. Los datos personales serán:

(…)

f) tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»).

Dicho precepto exige tanto que se adopten medidas técnicas y organizativas de todo tipo que garanticen la seguridad adecuada de los datos objeto de tratamiento como evitar que se produzcan pérdida de la integridad y/o confidencialidad de los datos tratados. A sensu contrario, el precepto se vulneraría cuando no se adoptasen dichas medidas técnicas y organizativas de todo tipo dirigidas a garantizar la seguridad del tratamiento y cuando quedara constatada una pérdida de integridad o confidencialidad de los datos que son tratados.

En atención a los hechos objeto de reclamación, queda acreditado que el AYUNTAMIENTO, al informar sobre la situación de los servicios urbanísticos, desveló que ***PUESTO.1 se encontraba en situación de excedencia y especificó que la misma se debía a motivos (...). En este sentido, se aprecia la falta de medidas adoptadas en la parte reclamada tendentes a equilibrar la legítima información que puede ser necesaria respecto de la situación de los servicios municipales con la salvaguarda de la confidencialidad de los datos personales- en este caso de la reclamante- objeto de tratamiento. De igual forma, se evidencia una pérdida de confidencialidad de los datos que corresponden a la reclamante que, al ser la única ***PUESTO.1 en la plantilla del Ayuntamiento, es perfectamente identificable. Y no sólo se la identifica como trabajadora del Ayuntamiento, sino la situación laboral en la que se encuentra- excedencia- y los motivos para la misma- (...).

En este sentido, cabe apreciar la relación de la información sobre la situación de los servicios urbanísticos del AYUNTAMIENTO con el derecho que tienen los ciudadanos a conocer el funcionamiento de los servicios públicos- y, en consecuencia, el deber del AYUNTAMIENTO de proporcionar información al respecto. Pero ello no obsta a que el derecho fundamental a la protección de datos personales de la reclamante deba también garantizarse.

Así, y teniendo en cuenta las especiales circunstancias del caso, aunque el Ayuntamiento en principio ha realizado en un ejercicio proporcionado y razonable de sus funciones, también habría sobrepasado el fino umbral que hay en este caso entre la transparencia y el derecho a la esfera privada de ***PUESTO.1: al revelar a la prensa que los motivos (...) son la fundamentación de la excedencia, el AYUNTAMIENTO expone a la luz pública un aspecto de la vida privada que no es imprescindible, ni relevante para explicar la situación urbanística.

Con la revelación de los motivos de la excedencia, se habría vulnerado el principio de confidencialidad, en concurrencia con el principio de minimización de datos personales previstos por el RGPD.

Por tanto, los hechos conocidos son constitutivos de una infracción, imputable al AYUNTAMIENTO, por vulneración del artículo transcrito anteriormente.

V

Tipificación de la infracción del artículo 5.1.f) del RGPD y calificación a efectos de prescripción

El artículo 83.5 del RGPD tipifica como infracción administrativa la vulneración del artículo siguiente, que se sancionará, de acuerdo con el apartado 2, con multas administrativas de 20.000.000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:

"a) los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9;"

Por su parte, la LOPDGDD en su artículo 71, Infracciones, señala que:

"Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica".

A los solos efectos del plazo de prescripción, el artículo 72.1 de la LOPDGDD establece lo siguiente:

"En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:

a) El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679."

VI

Declaración de infracción

El artículo 83 "Condiciones generales para la imposición de multas administrativas" del RGPD, en su apartado 7, establece (se subraya lo aplicable al caso):

"Sin perjuicio de los poderes correctivos de las autoridades de control en virtud del artículo 58, apartado 2, cada Estado miembro podrá establecer normas sobre si se puede, y en qué medida, imponer multas administrativas a autoridades y organismos públicos establecidos en dicho Estado miembro."

El artículo 77 "Régimen aplicable a determinadas categorías de responsables o encargados del tratamiento" de la LOPDGDD dispone lo siguiente:

"1. El régimen establecido en este artículo será de aplicación a los tratamientos de los que sean responsables o encargados (…)

c) La Administración General del Estado, las Administraciones de las comunidades autónomas y las entidades que integran la Administración Local. (…)

2. Cuando los responsables o encargados enumerados en el apartado 1 cometiesen alguna de las infracciones a las que se refieren los artículos 72 a 74 de esta ley orgánica, la autoridad de protección de datos que resulte competente dictará resolución declarando la infracción y estableciendo, en su caso, las medidas que proceda adoptar para que cese la conducta o se corrijan los efectos de la infracción que se hubiese cometido, con excepción de la prevista en el artículo 58.2.i del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016.

La resolución se notificará al responsable o encargado del tratamiento, al órgano del que dependa jerárquicamente, en su caso, y a los afectados que tuvieran la condición de interesado, en su caso.

En aplicación de dicho precepto, al tratarse la parte reclamada de una Entidad Local, correspondería la declaración de la infracción.

VII

Medidas correctivas

En el texto de la resolución se establecen cuáles han sido las infracciones cometidas y los hechos que han dado lugar a la vulneración de la normativa de protección de datos, de lo que se infiere con claridad cuáles son las medidas a adoptar, sin perjuicio de que el tipo de procedimientos, mecanismos o instrumentos concretos para implementarlas corresponda a la parte sancionada, pues es el responsable del tratamiento quien conoce plenamente su organización y ha de decidir, en base a la responsabilidad proactiva y en enfoque de riesgos, cómo cumplir con el RGPD y la LOPDGDD.

Por tanto, se requiere al AYUNTAMIENTO DE ***LOCALIDAD.1 para que, en el plazo máximo de 3 meses, a contar desde la fecha de ejecutividad de la resolución finalizadora de este procedimiento, adopte las medidas de todo tipo de índole técnica y organizativa destinadas a garantizar la seguridad y confidencialidad de los datos personales objeto de tratamiento.

Se advierte que no atender la orden de adopción de medidas impuestas por este organismo en la resolución sancionadora podrá ser considerado como una infracción administrativa conforme a lo dispuesto en el RGPD, tipificada como infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la apertura de un ulterior procedimiento administrativo sancionador.

Por otra parte, se recuerda que el reconocimiento de la infracción cometida no exime de la obligación de adoptar las medidas pertinentes para que cese la conducta o se corrijan los efectos de la infracción cometida y la de acreditar el cumplimiento de esa obligación.

Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Presidencia de la Agencia Española de Protección de Datos