Sanción a ayuntamiento por buzonear un auto judicial sin su previa anonimización

I

En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de control, y según lo establecido en los artículos 47 y 48 de la LOPDGDD, la Directora de la Agencia Española de Protección de Datos es competente para iniciar y para resolver este procedimiento.

II

El artículo 6.1 del RGPD, establece los supuestos que permiten considerar lícito el tratamiento de datos personales.

Por su parte, el artículo 5 del RGPD establece que “los datos personales serán:

“a) tratados de manera lícita, leal y transparente en relación con el interesado («licitud, lealtad y transparencia»);

b) recogidos con fines determinados, explícitos y legítimos, y no serán tratados ulteriormente de manera incompatible con dichos fines; de acuerdo con el artículo 89, apartado 1, el tratamiento ulterior de los datos personales con fines de archivo en interés público, fines de investigación científica e histórica o fines estadísticos no se considerará incompatible con los fines iniciales («limitación de la finalidad»);

c) adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados («minimización de datos»);

d) exactos y, si fuera necesario, actualizados; se adoptarán todas las medidas razonables para que se supriman o rectifiquen sin dilación los datos personales que sean inexactos con respecto a los fines para los que se tratan («exactitud»);

e) mantenidos de forma que se permita la identificación de los interesados durante no más tiempo del necesario para los fines del tratamiento de los datos personales; los datos personales podrán conservarse durante períodos más largos siempre que se traten exclusivamente con fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos, de conformidad con el artículo 89, apartado 1, sin perjuicio de la aplicación de las medidas técnicas y organizativas apropiadas que impone el presente Reglamento a fin de proteger los derechos y libertades del interesado («limitación del plazo de conservación»);

f) tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»).

El responsable del tratamiento será responsable del cumplimiento de lo dispuesto en el apartado 1 y capaz de demostrarlo («responsabilidad proactiva»).”

III

En el presente caso, se ha constatado que el reclamado sin eliminar ningún dato personal, procedió a buzonear en todas las casas, locales y resto de inmuebles del municipio objeto de esta reclamación, una copia íntegra del Auto nº 109/2020, en el que los reclamantes aparecen como parte, lo cual supone una vulneración del artículo 5.1 f) del RGPD, que regula la obligación de confidencialidad.

El citado ayuntamiento justifica no obstante, la difusión de la resolución judicial en la Ley Foral 5/2018, de 17 de mayo, de Transparencia, acceso a la información pública y buen gobierno de Navarra.

En base a ello, considera que la información facilitada, objeto del presente procedimiento sancionador, es de interés para la ciudadanía, subsumible en el artículo 29 de la citada Ley.

Ahora bien, esta Agencia debe hacer notar, que lo que tal precepto permite no es tanto la publicidad de la resolución judicial (obligatoria únicamente para la Comunidad Foral de Navarra según su Ley de transparencia autonómica) sino de información de interés para la ciudadanía.

Ello implica que para cumplir con la finalidad pretendida y permitida por la Ley no era precisa la distribución de la resolución misma, sino tan sólo información de su contenido y fundamentación; en todo caso, difundido el Auto, la anonimización de los datos personales deviene obligatoria conforme al principio de minimización de datos, si estos datos no son relevantes para informar a la ciudadanía sobre el sentido de una resolución judicial.

Esto es así ya que la normativa de transparencia tampoco es absoluta y tiene por tanto límites, destacando a tales efectos el artículo 15 de la Ley 19/2013, de 9 de diciembre, de transparencia, acceso a la información pública y buen gobierno.

IV

Asimismo, ha de señalarse que tras el requerimiento de esta Agencia de 6 de agosto de 2020, el citado ayuntamiento contestó manifestando que ya había adoptado medidas al respecto, en concreto, había elaborado un "protocolo de cesiones" en el que se establece el criterio de actuación que deberá tenerse en cuenta cuando se pretendan comunicar datos personales a terceros y especialmente se hace referencia a los supuestos habituales de cesiones de datos del padrón de habitantes, catastro, cesiones en materia de personal y publicación de actas y datos de interesados en boletines oficiales o tablones.

Además, el ayuntamiento manifestó que se había puesto en contacto con ambos reclamantes mediante carta de 3 de septiembre de 2020, a través de su Delegado de Protección de Datos, informándoles de lo siguiente:

“El Delegado de Protección de Datos de este Ayuntamiento se pone a su disposición para cualquier cuestión relacionada con la reclamación presentada, o tratamientos de datos personales responsabilidad del Ayuntamiento, sobre los que pueda considerarse afectado.”

Les manifiesta además que “se valorará su reclamación y si se considera necesario, una vez realizado el análisis se adoptarán medidas adicionales a las ya existentes.”

V

Así las cosas queda constatado que se difundió la resolución del auto a todos los vecinos, sin proceder a su previa anonimización.

Hay que señalar que los hechos se llevaron a cabo, según se ha manifestado por el reclamado, en aras del interés general, circunstancia que no exime del cumplimiento del artículo 5.1 f) del RGPD, en el que se establece que los datos personales deberán ser:

f) tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»).

Por lo tanto, en este supuesto se reconocen los hechos denunciados y no se alega causa que acorde a derecho, justifique que no se está incurriendo en una infracción del artículo 5.1 f) del RGPD, ya que el ayuntamiento siempre pudo dar publicidad del documento si lo consideraba de interés, pero debidamente anonimizado.

VI

El artículo 72.1 a) de la LOPDGDD señala que “en función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:

a) El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679”.

VII

El artículo 58.2 del RGPD dispone lo siguiente: “Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación:

b) dirigir a todo responsable o encargado del tratamiento un apercibimiento cuando las operaciones de tratamiento hayan infringido lo dispuesto en el presente Reglamento;”

(...) “d) ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado;”

i) imponer una multa administrativa con arreglo al artículo 83, además o en lugar de las medidas mencionadas en el presente apartado, según las circunstancias de cada caso particular;

El art. 83.5 del RGPD establece que se sancionarán las infracciones que afecten a:

“a) los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9;

Entre los poderes correctivos que contempla el artículo 58 del RGPD, en su apartado 2 d) se establece que cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…”. La imposición de esta medida es compatible con la sanción consistente en multa administrativa, según lo dispuesto en el art. 83.2 del RGPD.

Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la Agencia Española de Protección de Datos