Procedimiento sancionador contra ayuntamiento por brecha de seguridad y ausencia de contrato de encargo de tratamiento de datos personales

I Competencia

De acuerdo con los poderes que el artículo 58.2 del RGPD, otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos.

Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos."

II Alegaciones al acuerdo de inicio

En respuesta a las alegaciones presentadas por la entidad reclamada se debe señalar lo siguiente:

En primer lugar, el Ayuntamiento sostiene que no remitió más documentación, a los requerimientos formulados por la AEPD en el marco de las actuaciones previas de investigación, que el contrato administrativo y los pliegos de licitación porque entendió que el procedimiento iba dirigido únicamente contra Impronta Soluciones S.L. Sin embargo, este argumento no puede prosperar, ya que la AEPD, en su requerimiento de 2 de mayo de 2024, solicitó de forma expresa el contrato de encargo del tratamiento y, en su caso, la documentación relativa a subencargos y autorizaciones.

El hecho de que la investigación tuviera origen en la vulnerabilidad de un sistema explotado por el encargado del tratamiento no exime al responsable del tratamiento de aportar toda la documentación que acredite el cumplimiento de sus obligaciones, especialmente cuando el Pliego de Prescripciones Técnicas exigía la firma del contrato de encargo junto con el contrato administrativo y este no se ha aportado. La omisión en la entrega de un documento esencial previsto en el artículo 28.3 del RGPD confirma la infracción y no puede justificarse por una interpretación unilateral del alcance del requerimiento.

En segundo lugar, afirma que adjunta documentación que acreditaría el compromiso de Impronta con la normativa de protección de datos, un informe de auditoría de seguridad y acuerdos de confidencialidad, si bien no consta en el expediente que dichos documentos se hayan efectivamente incorporado ni que su contenido cumpla las exigencias normativas. Aun cuando dichos documentos existieran, su mera existencia no suple la obligación legal del responsable de suscribir un contrato de encargo con el contenido mínimo establecido en el artículo 28.3 del RGPD, ni garantiza que se hayan implantado las medidas técnicas y organizativas adecuadas.

En tercer lugar, el Ayuntamiento indica que durante la ejecución del contrato no recibió comunicación alguna de la vulnerabilidad ni por parte de Impronta, ni del reclamante, ni de ningún usuario. No obstante, el hecho de que el encargado no notificara la brecha de datos personales no libera al responsable de su deber de supervisión y control proactivo sobre las actividades del encargado, conforme al principio de responsabilidad proactiva del artículo 5.2 del RGPD. El responsable debe establecer canales y procedimientos que permitan conocer de forma temprana cualquier brecha de datos personales. La ausencia de notificación demuestra de hecho una deficiente supervisión contractual y técnica sobre el encargado, máxime cuando el riesgo derivado del tratamiento incluía datos especialmente sensibles en el contexto de transacciones económicas.

En cuarto lugar, el Ayuntamiento alega que, en un contrato posterior adjudicado a otra empresa, se tuvo conocimiento de que el reclamante había adquirido entradas de forma supuestamente fraudulenta y que tales hechos se denunciaron ante el Ministerio Fiscal. Sin embargo, estos hechos corresponden a un contrato distinto y no guardan relación directa con la brecha aquí investigada. Además, incluso si se acreditara que el reclamante actuó de manera irregular, ello no elimina la existencia objetiva de la vulnerabilidad ni exime per se al responsable de su obligación de implementación de las medidas adecuadas, con independencia de la intencionalidad o identidad del actor que detecte o explote la vulnerabilidad.

Finalmente, la solicitud del Ayuntamiento de archivo del procedimiento carece de fundamento, ya que los hechos acreditados demuestran que se ha producido una exposición de datos personales sin las debidas garantías, así como que no se ha formalizado un contrato de encargo tal y como determina el artículo 28.3 del RGPD.

Estos incumplimientos se han constatado mediante pruebas documentales y técnicas incorporadas al expediente, y no han sido desvirtuados por las alegaciones ni por la documentación presentada, que además no se ha aportado íntegramente.

No obstante, no ha quedado suficientemente acreditada la falta de otras medidas técnicas y organizativas de seguridad independientes de las que dan lugar a la infracción del artículo 5.1 f) y cuya ausencia ha quedado probada. Por ello, se considera que la alegación debe ser estimada en lo relativo a la vulneración del artículo 32 del RGPD.

III Cuestiones previas

El artículo 4 "Definiciones" del RGPD define los siguientes términos a efectos del Reglamento:

«Datos personales»: toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona;

«Tratamiento»: cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción;

En el caso que nos ocupa la compra de las entradas o bonos al Ayuntamiento de Burgos implica un tratamiento de datos personales por cuanto para la adquisición son requeridos ciertos datos como el DNI, nombre y apellidos y dirección de correo electrónico. Dicho tratamiento se manifestaría en la captura aportada por la parte reclamante donde figuran búsquedas incrementales en el parámetro RefOperacion del sistema y donde aparecen los mencionados datos personales pertenecientes de usuarios que han comprado una entrada de manera automatizada. El tratamiento ha sido asimismo corroborado por las actuaciones previas de investigación realizadas por la presente autoridad.

«Responsable del tratamiento» o «responsable»: la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros;

«Encargado del tratamiento» o «encargado»: la persona física o jurídica, autoridad pública, servicio u otro organismo que trate datos personales por cuenta del responsable del tratamiento;

En el presente caso, tal y como se desprende de las actuaciones de investigación tiene la consideración de responsable del tratamiento el AYUNTAMIENTO DE BURGOS en cuanto es quien determina los fines y los medios de este. Por su parte, IMPRONTA, tiene la consideración de encargado del tratamiento en relación con los datos personales que se obtienen a través de la venta de entradas y/o bonos al consumo con el software JANTO, actuando en nombre y por cuenta del AYUNTAMIENTO DE BURGOS.

IV Obligación incumplida del artículo 5.1 f) del RGPD

De acuerdo con el apartado 5.1.f) del artículo 5 RGPD los datos deben ser:

"tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»)"

Como puede observase, la finalidad del principio de integridad y confidencialidad consiste en garantizar que los datos personales sean tratados de manera que se protejan contra el acceso no autorizado o ilícito, su pérdida, destrucción o daño accidental. La integridad se refiere a la precisión y totalidad de los datos tratados, mientras que la confidencialidad se ocupa más bien de asegurar que dichos datos personales no sean accesibles para personas no autorizadas.

En el presente caso, se desprende una vulneración por parte del AYUNTAMIENTO DE BURGOS de este principio a raíz de las actuaciones de investigación previas realizadas por esta autoridad. Según dichas actuaciones, ha existido un acceso no autorizado a determinados datos personales de los clientes que compraron entradas y/o adquirieron bonos al consumo a través del portal de la parte reclamada. Entre dichos datos se encontraba el nombre completo, email, teléfono, seis dígitos de la tarjeta bancaria con la que se ha llevado a cabo el pago e incluso el número de DNI.

En el caso concreto del AYUNTAMIENTO DE BURGOS la parte reclamada ha aportado un listado de usuarios que han realizado compras de bonos de Ayuntamiento de Burgos y donde se adjunta comprobación de la posibilidad de obtener mediante el ID de operación, la referencia de compra y un contador. A través de la aplicación de estos metadatos puede obtenerse la entrada que ha sido adquirida por un usuario respecto al cual constan datos personales. El propio acceso de dichos datos personales por la parte reclamante a datos personales de terceros manifestaría la vulneración del citado principio de confidencialidad por parte del AYUNTAMIENTO DE BURGOS al no haber adoptado medidas de todo tipo para evitar cualquier tipo de brecha.

En el presente caso, la puesta en evidencia de la vulnerabilidad en el software de 'ticketing' muestra que no se han aplicado adecuadamente las medidas necesarias para garantizar un nivel de seguridad adecuado al riesgo. Dicha circunstancia ha sido confirmada por la entidad propietaria del software que, como se indicó anteriormente, tenía la condición de encargado del tratamiento por cuenta de la parte reclamada. En efecto, durante las actuaciones de investigación realizadas por esta autoridad la entidad afirmó haber detectado el día 2 de noviembre de 2022 una vulnerabilidad en el software que permitía consultar datos de venta de entradas y extraer las propias entradas en PDF.

De la misma forma, se afirmaba haber detectado error en un servicio que contenía una serie de parámetros vulnerables, de forma que si se modificaba uno de ellos se podía obtener los datos de las operaciones de venta de la misma web y permitía obtener un archivo con datos de la operación de compra, a partir del cual se podía componer posteriormente una nueva URL para obtener el PDF de una entrada concreta.

(…)

Debe tenerse en cuenta además que, dado que el software de ticketing es utilizado ampliamente por un número considerable de usuarios la magnitud del riesgo aumenta significativamente. Ello conlleva que una posible brecha de seguridad afecte a una cantidad destacable de individuos y, por tanto, también aumenta la probabilidad de consecuencias graves, como el robo de identidad o el fraude financiero.

Por otro lado, la circunstancia de que el reclamante sea un investigador ofensivo que descubrió la vulnerabilidad en el software y posteriormente preguntara sobre una recompensa, si bien resulta relevante para entender el contexto de cómo se descubrió la vulnerabilidad, no altera la responsabilidad legal del responsable del tratamiento en lo que respecta a la seguridad de los datos personales. Por el contrario, dicho hecho destaca la importancia de realizar evaluaciones de seguridad y adoptar, en su caso, las medidas adecuadas con el fin de evitar tales deficiencias.

Por último, resulta conveniente reiterar que, en lo que respecta a la seguridad de los datos personales, en el presente caso la responsabilidad recae sobre el responsable del tratamiento, y no sobre el encargado del tratamiento en virtud del ya mencionado principio de responsabilidad proactiva. En este sentido, aunque el software sea propiedad y esté gestionado por el encargado del tratamiento, dado que el responsable es quien determina los fines y los medios del tratamiento, no puede desvincularse de su responsabilidad de garantizar la seguridad de los datos personales que gestiona. Por el contrario, debe existir una supervisión y control continuos sobre las medidas de seguridad implementadas por el encargado del tratamiento y cualquier incidencia en estas medidas debería ser conocido y abordado por responsable del tratamiento.

En este caso una medida clave que no ha sido adoptada seria contar con el asesoramiento del DPD que ha de estar nombrado por mor del art. 37.1 del RGPD, según el cual el responsable y el encargado del tratamiento designarán un delegado de protección de datos siempre que, entre otras, el tratamiento lo lleve a cabo una autoridad u organismo público, excepto los tribunales que actúen en ejercicio de su función judicial. Esta práctica se alinea con el artículo 38.1 del RGPD, el cual prevé que el responsable o encargado del tratamiento asegure que el DPD participe adecuadamente y a tiempo en todas las cuestiones relacionadas con la protección de datos personales.

Tal como destaca el Informe 34/2023 del Gabinete Jurídico de la AEPD, esta participación debe realizarse de manera previa a la toma de decisiones por parte del responsable del tratamiento. De esta forma, este proceso preventivo permite asegurar la adecuada evaluación de riesgos y la implementación de medidas para evitar posibles brechas de seguridad. Por tanto, tener un protocolo que determine cómo y cuándo debe participar el DPD en la toma de decisiones sobre el tratamiento de datos personales es una medida organizativa esencial cuya ausencia puede conllevar la vulneración del citado principio de confidencialidad.

En este sentido, debe de recordarse que, en virtud del principio de responsabilidad proactiva consagrada en el apartado segundo del citado artículo 5 del RGPD, el responsable del tratamiento es el sujeto obligado a garantizar el respeto y cumplimiento de los principios enumerados por el señalado artículo en relación con el tratamiento de los datos personales que realicen en su gestión, incluyendo los realizados por el encargado del tratamiento que actúe en nombre y por cuenta de dicho responsable.

En virtud de las exigencias normativas y jurisprudenciales mencionadas, la parte reclamada, como responsable del tratamiento de los datos personales, es quien está obligada a garantizar el respeto y cumplimiento de los principios enumerados por el artículo 5 del RGPD respecto al tratamiento de los datos personales en su gestión, incluyendo los realizados por el encargado del tratamiento por cuenta de dicho responsable.

En consecuencia, en el presente caso consta una violación del principio de integridad y confidencialidad reconocido por el artículo 5 del RGPD por la parte reclamada al haber sido expuestos datos de clientes que adquirieron bonos al consumo y/o entradas a través de la página web de su titularidad y ello con independencia de que la brecha de datos personales tuviera lugar como consecuencia de una vulnerabilidad en el software de la empresa encargada del tratamiento que actuaba por cuenta aquella.

V Tipificación y calificación a efectos de prescripción de la infracción del artículo 5.1 f) del RGPD.

La citada infracción del artículo 5.1.f) del RGPD supone la comisión de las infracciones tipificadas en el artículo 83.5 del RGPD que bajo la rúbrica "Condiciones generales para la imposición de multas administrativas" dispone:

"Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:

a) los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9; (…)"

A este respecto, la LOPDGDD, en su artículo 71 "Infracciones" establece que "Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica".

A efectos del plazo de prescripción, el artículo 72 "Infracciones consideradas muy graves" de la LOPDGDD indica:

"1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:

a) El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679. (…)"

VI Artículo 32 del RGPD

El artículo 32 "Seguridad del tratamiento" del RGPD establece:

"1. Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, que en su caso incluya, entre otros:

a) la seudonimización y el cifrado de datos personales;

b) la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento;

c) la capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente físico o técnico;

d) un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento.

2. Al evaluar la adecuación del nivel de seguridad se tendrán particularmente en cuenta los riesgos que presente el tratamiento de datos, en particular como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos.

3. La adhesión a un código de conducta aprobado a tenor del artículo 40 o a un mecanismo de certificación aprobado a tenor del artículo 42 podrá servir de elemento para demostrar el cumplimiento de los requisitos establecidos en el apartado 1 del presente artículo.

4. El responsable y el encargado del tratamiento tomarán medidas para garantizar que cualquier persona que actúe bajo la autoridad del responsable o del encargado y tenga acceso a datos personales solo pueda tratar dichos datos siguiendo instrucciones del responsable, salvo que esté obligada a ello en virtud del Derecho de la Unión o de los Estados miembros".

VII Archivo de la infracción del artículo 32 del RGPD

Revisada la documentación obrante en el expediente administrativo, se evidencia que no se ha producido una conculcación del artículo 32 de RGPD, al no haberse acreditado la ausencia de otras medidas técnicas y organizativas de seguridad independientes de las que están relacionadas con la pérdida de confidencialidad que supone una vulneración del art. 5.1 f) del RGPD por lo que, en la presente resolución, se procede a confirmar el archivo propuesto de la citada infracción.

VIII Obligación incumplida del artículo 28.3 del RGPD

El apartado tercero del artículo 28 del RGPD establece lo siguiente:

"El tratamiento por el encargado se regirá por un contrato u otro acto jurídico con arreglo al Derecho de la Unión o de los Estados miembros, que vincule al encargado respecto del responsable y establezca el objeto, la duración, la naturaleza y la finalidad del tratamiento, el tipo de datos personales y categorías de interesados, y las obligaciones y derechos del responsable. Dicho contrato o acto jurídico estipulará, en particular, que el encargado:

a) tratará los datos personales únicamente siguiendo instrucciones documentadas del responsable, inclusive con respecto a las transferencias de datos personales a un tercer país o una organización internacional, salvo que esté obligado a ello en virtud del Derecho de la Unión o de los Estados miembros que se aplique al encargado; en tal caso, el encargado informará al responsable de esa exigencia legal previa al tratamiento, salvo que tal Derecho lo prohíba por razones importantes de interés público;

b) garantizará que las personas autorizadas para tratar datos personales se hayan comprometido a respetar la confidencialidad o estén sujetas a una obligación de confidencialidad de naturaleza legal;

c) tomará todas las medidas necesarias de conformidad con el artículo 32;

d) respetará las condiciones indicadas en los apartados 2 y 4 para recurrir a otro encargado del tratamiento;

e) asistirá al responsable, teniendo en cuenta la naturaleza del tratamiento, a través de medidas técnicas y organizativas apropiadas, siempre que sea posible, para que este pueda cumplir con su obligación de responder a las solicitudes que tengan por objeto el ejercicio de los derechos de los interesados establecidos en el capítulo III;

f) ayudará al responsable a garantizar el cumplimiento de las obligaciones establecidas en los artículos 32 a 36, teniendo en cuenta la naturaleza del tratamiento y la información a disposición del encargado;

g) a elección del responsable, suprimirá o devolverá todos los datos personales una vez finalice la prestación de los servicios de tratamiento, y suprimirá las copias existentes a menos que se requiera la conservación de los datos personales en virtud del Derecho de la Unión o de los Estados miembros;

h) pondrá a disposición del responsable toda la información necesaria para demostrar el cumplimiento de las obligaciones establecidas en el presente artículo, así como para permitir y contribuir a la realización de auditorías, incluidas inspecciones, por parte del responsable o de otro auditor autorizado por dicho responsable.

En relación con lo dispuesto en la letra h) del párrafo primero, el encargado informará inmediatamente al responsable si, en su opinión, una instrucción infringe el presente Reglamento u otras disposiciones en materia de protección de datos de la Unión o de los Estados miembros.

La importancia del contrato de encargo del tratamiento de datos personales, conforme al citado artículo, resulta fundamental para asegurar la protección de los derechos y libertades de los interesados cuyos datos personales son tratados.

Este contrato supone la base legal y operativa para establecer las responsabilidades y obligaciones específicas entre el responsable y el encargado del tratamiento. Sin él, no existen garantías de que los datos se tratarán con las medidas de seguridad y confidencialidad adecuadas, lo que puede poner en riesgo los derechos de los titulares de dichos datos.

En este contexto, tal y como se desprende de las actuaciones de investigación, el contrato administrativo de servicios entre el AYTO DE BURGOS e IMPRONTA formalizado el 27 de septiembre de 2022, no incluye el encargo de tratamiento de datos personales, lo que constituye una omisión directa respecto a las obligaciones legales descritas en el artículo 28.3 del RGPD.

Igualmente, tampoco consta la formalización de la relación y las condiciones de la misma entre responsable y encargado del tratamiento como consecuencia del convenio de colaboración suscrito por el Ayuntamiento de Burgos con IMPRONTA relativo a los bonos al consumo. Ello supone asimismo la falta de cumplimiento de las obligaciones recogidas en el artículo 28 del RGPD.

Resulta conveniente destacar que un contrato entre el responsable y el encargado del tratamiento, aunque formalmente exista, no implica necesariamente que se cumplan los requisitos de un contrato de encargo de tratamiento conforme al artículo 28.3 del RGPD. No basta con que haya un acuerdo contractual entre las partes; este contrato debe contener disposiciones específicas que regulen el tratamiento de datos personales y que están perfectamente delimitadas por el precepto.

En consecuencia, la existencia de un contrato genérico entre las partes en ningún caso garantiza por sí sola que se hayan abordado adecuadamente las cuestiones de protección de datos. En este caso, aunque exista un contrato del sector público se ha evidenciado que no se incluyó un encargo de tratamiento de datos personales, lo cual es un incumplimiento directo de la normativa. Sin las cláusulas específicas exigidas por el RGPD, no se puede asegurar que el encargado del tratamiento esté cumpliendo con las medidas de protección adecuadas, lo que deja a los datos personales de los interesados potencialmente vulnerables.

De hecho y en relación con el contrato administrativo de servicios, en el propio Pliego de Prescripciones Técnicas (PPT) de la licitación y que fue aportado durante el trascurso de las citadas actuaciones se hace referencia explícitamente a la necesidad de firmar el contrato de encargo de tratamiento de datos personales junto con el contrato administrativo. No obstante, y a pesar de haberse requerido, no se ha facilitado el documento que refleje dicho encargo, lo cual refuerza el incumplimiento del mencionado artículo.

Asimismo, en el convenio de colaboración firmado para la gestión de los bonos al consumo tampoco se ha concretado un contrato de encargado de tratamiento, pese a que estos suponen, necesariamente, la gestión de datos personales por parte de IMPRONTA en nombre del Ayuntamiento de Burgos. Consecuentemente, se ha producido una vulneración de lo dispuesto en el artículo 28.3 del RGPD

IX Tipificación y calificación a efectos de prescripción de la infracción del artículo 28.3 del RGPD

La citada infracción del artículo 28 del RGPD supone la comisión de las infracciones tipificadas en el artículo 83.4 del RGPD que bajo la rúbrica "Condiciones generales para la imposición de multas administrativas" dispone: "Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 10 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 2 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:

a) las obligaciones del responsable y del encargado a tenor de los artículos 8, 11, 25 a 39, 42 y 43; (…)"

A efectos del plazo de prescripción, el artículo 73 "Infracciones consideradas graves" de la LOPDGDD indica: "En función de lo que establece el artículo 83.4 del Reglamento (UE) 2016/679 se consideran graves y prescribirán a los dos años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:

(…) f) La falta de adopción de aquellas medidas técnicas y organizativas que resulten apropiadas para garantizar un nivel de seguridad adecuado al riesgo del tratamiento, en los términos exigidos por el artículo 32.1 del Reglamento (UE) 2016/679.

X Declaración de las infracciones

El artículo 83 "Condiciones generales para la imposición de multas administrativas" del RGPD en su apartado 7 establece:

"Sin perjuicio de los poderes correctivos de las autoridades de control en virtud del artículo 58, apartado 2, cada Estado miembro podrá establecer normas sobre si se puede, y en qué medida, imponer multas administrativas a autoridades y organismos públicos establecidos en dicho Estado miembro."

Asimismo, el artículo 77 "Régimen aplicable a determinadas categorías de responsables o encargados del tratamiento" de la LOPDGDD dispone lo siguiente:

"1. El régimen establecido en este artículo será de aplicación a los tratamientos de los que sean responsables o encargados:

[…]

c) La Administración General del Estado, las Administraciones de las comunidades autónomas y las entidades que integran la Administración Local. […]

2. Cuando los responsables o encargados enumerados en el apartado 1 cometiesen alguna de las infracciones a las que se refieren los artículos 72 a 74 de esta ley orgánica, la autoridad de protección de datos que resulte competente dictará resolución declarando la infracción y estableciendo, en su caso, las medidas que proceda adoptar para que cese la conducta o se corrijan los efectos de la infracción que se hubiese cometido, con excepción de la prevista en el artículo 58.2.i del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016.

La resolución se notificará al responsable o encargado del tratamiento, al órgano del que dependa jerárquicamente, en su caso, y a los afectados que tuvieran la condición de interesado, en su caso.

3. Sin perjuicio de lo establecido en el apartado anterior, la autoridad de protección de datos propondrá también la iniciación de actuaciones disciplinarias cuando existan indicios suficientes para ello. En este caso, el procedimiento y las sanciones a aplicar serán las establecidas en la legislación sobre régimen disciplinario o sancionador que resulte de aplicación.

Asimismo, cuando las infracciones sean imputables a autoridades y directivos, y se acredite la existencia de informes técnicos o recomendaciones para el tratamiento que no hubieran sido debidamente atendidos, en la resolución en la que se imponga la sanción se incluirá una amonestación con denominación del cargo responsable y se ordenará la publicación en el Boletín Oficial del Estado o autonómico que corresponda.

4. Se deberán comunicar a la autoridad de protección de datos las resoluciones que recaigan en relación con las medidas y actuaciones a que se refieren los apartados anteriores.

5. Se comunicarán al Defensor del Pueblo o, en su caso, a las instituciones análogas de las comunidades autónomas las actuaciones realizadas y las resoluciones dictadas al amparo de este artículo."

Por consiguiente, puesto que el AYUNTAMIENTO DE BURGOS, en tanto que responsable del tratamiento está encuadrado en el apartado c) del artículo 77.1. de la LOPDGDD (es una entidad local), se ha de declarar las infracciones de los artículos 5.1 f) y 28.3 del RGPD tipificadas respectivamente en los artículos 83.5 y 83.4 del RGPD.

XI Adopción de medidas correctivas

Se acuerda imponer al responsable la adopción de medidas adecuadas para ajustar su actuación a la normativa mencionada en este acto, de acuerdo con lo establecido en el citado artículo 58.2 d) del RGPD, según el cual cada autoridad de control podrá "ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…".

En el presente caso, se ordena como medidas a adoptar por la parte reclamada, en el plazo de tres meses, a contar desde la fecha de ejecutividad de esta resolución, las medidas siguientes:

- La formalización de un contrato de encargo de tratamiento conforme al artículo 28.3 del RGPD entre el Ayuntamiento de Burgos e Impronta Soluciones S.L., o el encargado actual, que incluya todos los extremos exigidos por la normativa y las condiciones previstas en los pliegos de licitación.

- Adoptar las medidas técnicas y organizativas necesarias para garantizar la confidencialidad de los datos personales tratados.

Se advierte que no atender la orden de adopción de medidas impuestas por este organismo en esta resolución sancionadora podrá ser considerado como una infracción administrativa conforme a lo dispuesto en el RGPD, tipificada como infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la apertura de un ulterior procedimiento administrativo sancionador.

Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Presidencia de la Agencia Española de Protección de Datos