Sanción a ayuntamiento por divulgación indebida de salario neto de empleado público en acto municipal

I Competencia

De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la LOPDGDD, es competente para resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos.

Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos."

II Cuestiones previas

El artículo 4.1) del RGPD, define «dato personal» como: "toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona".

El artículo 4.2) del RGPD, define «tratamiento» como: "cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción."

El artículo 4.7) del RGPD, define al «responsable del tratamiento» o «responsable» como: "la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros". A su vez el artículo 4.8) del RGPD determina al «encargado del tratamiento» o «encargado» como la persona física o jurídica, autoridad pública, servicio u otro organismo que trate datos personales por cuenta del responsable del tratamiento.

En el presente caso, de acuerdo con lo establecido en el artículo 4.1 y 4.2 del RGPD, consta la realización de un tratamiento de datos personales por parte de AYUNTAMIENTO DE SOTOSERRANO, consistente en que su ***PUESTO.1, en el ejercicio de sus funciones y ostentando la representación de la corporación conforme al artículo 21 de la Ley 7/1985, de 2 de abril, Reguladora de las Bases del Régimen Local (LBRL), divulgó datos personales de la parte reclamante en una reunión pública para todos los vecinos del municipio en el salón de actos municipal.

Conviene precisar que la divulgación o comunicación oral de datos personales constituye un tratamiento en los términos definidos por el artículo 4.2 del RGPD. A este respecto se ha pronunciado la STJUE de 7 de marzo de 2024 en el asunto C-740/22:

"28 El artículo 4, punto 2, de dicho Reglamento define el concepto de «tratamiento» como «cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no».

29 En particular, de la expresión «cualquier operación» se desprende que el legislador de la Unión quiso dar un alcance amplio al concepto de «tratamiento», lo que queda corroborado por el carácter no exhaustivo, expresado por el vocablo «como», de las operaciones enumeradas en dicha disposición [véanse, en este sentido, las sentencias de 24 de febrero de 2022, Valsts ieòçmumu dienests (Tratamiento de datos personales con fines fiscales), C-175/20, EU:C:2022:124, apartado 35, y de 22 de junio de 2023, Pankki S, C-579/21, EU:C:2023:501, apartado 46].

30 Esta enumeración abarca, entre otras cosas, la comunicación por transmisión, difusión y «cualquier otra forma de habilitación de acceso», operaciones que pueden ser automatizadas o no automatizadas. A este respecto, el artículo 4, punto 2, del RGPD no establece ningún requisito en cuanto a la forma del tratamiento «no automatizado». Por lo tanto, el concepto de «tratamiento» abarca la comunicación oral.

31 Esta interpretación del concepto de «tratamiento» se ve respaldada por el objetivo del RGPD, que pretende, en particular, como se desprende de su artículo 1 y de sus considerandos 1 y 10, garantizar un nivel elevado de protección de los derechos y libertades fundamentales de las personas físicas, sobre todo de su derecho a la vida privada respecto del tratamiento de los datos personales, consagrado en el artículo 8, apartado 1, de la Carta y en el artículo 16 TFUE, apartado 1 [véase, en este sentido, la sentencia de 4 de mayo de 2023, Bundesrepublik Deutschland (Buzón electrónico judicial), C-60/22, EU:C:2023:373, apartado 64]. En efecto, la posibilidad de eludir la aplicación de dicho Reglamento comunicando datos personales de forma oral en lugar de hacerlo por escrito sería manifiestamente incompatible con este objetivo.

32 En estas circunstancias, el concepto de «tratamiento», contemplado en el artículo 4, punto 2, del RGPD, comprende necesariamente la comunicación oral de datos personales".

El AYUNTAMIENTO DE SOTOSERRANO realiza esta actividad en su condición de responsable del tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del RGPD.

III Obligación incumplida: infracción artículo 5.1 c). Minimización de datos

El artículo 5 del RGPD establece los principios generales para el tratamiento de datos.

En su apartado c) se hace referencia al principio de minimización de datos, indicando que los datos han de ser "adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados".

De lo anterior se desprende que solo se podrán recabar los datos personales que se vayan a tratar, es decir, los que sean estrictamente necesarios para el tratamiento; que solo podrán ser recogidos cuando vayan a ser tratados y que solo podrán ser utilizados para la finalidad con la que fue recogida, pero no con ningún otro objetivo.

Las Directrices 4/2019, "relativas al artículo 25, Protección de datos desde el diseño y por defecto", versión 2.0, de fecha 20/10/2020 del Comité Europeo de Protección de Datos (CEPD) señala en relación con el principio de minimización:

"74 En primer lugar, los responsables del tratamiento deben determinar si tienen siquiera necesidad de tratar datos personales para sus fines pertinentes. El responsable debe verificar si se pueden alcanzar los fines pertinentes tratando menos datos personales, o utilizando datos personales menos detallados o agregados, o sin tener que tratar datos personales en modo alguno. Dicha verificación debe tener lugar antes de cualquier tratamiento, pero también puede llevarse a cabo en cualquier momento durante el ciclo de tratamiento".

Por tanto, es necesario llevar a cabo una debida ponderación de la información objeto de tratamiento, sopesando las circunstancias que rodean el mismo y analizando las consecuencias que puede conllevar el acceso a determinados datos.

En lo que al ámbito de la difusión de las retribuciones de los empleados públicos conviene destacar lo siguiente:

Las corporaciones locales en tanto que Administración Pública están sujetas a los principios de transparencia establecidos normativamente lo que conlleva implicaciones para sus empleados públicos. Por ello, ante la colisión de dos derechos será necesario hacer una ponderación entre el interés público en la divulgación de la información y el resto de los derechos afectados, incluido, cuando proceda, el derecho fundamental a la protección de datos personales.

A este respecto conviene señalar que la información que puede hacerse pública sobre las retribuciones de los empleados públicos ha sido objeto de interpretación conjunta por el Consejo de Transparencia y Buen Gobierno y la AEPD en el criterio interpretativo de 24 de junio de 2015 sobre el "Alcance de las obligaciones de los órganos, organismos y entidades del sector público estatal en materia de acceso a la información pública sobre sus Relaciones de Puestos de Trabajo (RPT), catálogos, plantillas orgánicas, etc. y las retribuciones de sus empleados o funcionarios".

En el mismo se establece como criterio general la necesidad de realizar una ponderación entre el interés público en la divulgación de la información relativa a las retribuciones de los puestos provistos con un grado de discrecionalidad sobre el interés individual y la preservación de la intimidad y los datos de carácter personal. Así, se realizan diferencias atendiendo a los supuestos en que se trate de un alto cargo o no, y especialmente al nivel del puesto desempeñado, así como la forma de provisión del mismo, entendiendo que, cuanto menor sea el nivel del puesto prevalece, con carácter general el interés individual y la protección de los datos personales.

Con independencia de lo anterior, se establece la forma en que la información retributiva ha de facilitarse para todos los supuestos, que responde al principio de minimización de los datos personales consagrados en el artículo 5.1 c) del RGPD.

Así, se señala:

" (…) En todo caso, la información sobre las retribuciones se facilitará en cómputo anual y en términos íntegros, sin incluir deducciones ni desglose de conceptos retributivos. La razón es que el conocimiento de estos datos puede permitir el acceso a datos de carácter personal especialmente protegidos en los términos del artículo 7 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (LOPD), esto es, datos reveladores de la ideología, la afiliación sindical, la religión y las creencias y datos referentes al origen racial, a la salud y a la vida sexual. Si la solicitud de información requiere expresamente el desglose de las retribuciones o su importe líquido habrán de aplicarse las normas del mencionado precepto de la LOPD".

En definitiva, cuando se facilita el importe neto de los salarios, se pueden deducir otros datos personales, como el número de hijos o la existencia de algún tipo de discapacidad por las que se producen deducciones sobre las percepciones brutas, lo que atenta contra los derechos y libertades de los afectados.

Sin perjuicio de lo anterior, no puede obviarse que las Administraciones Públicas regidas por un principio de transparencia, así como por las normativas sectoriales aplicables publican la relación de puestos de trabajo de personal funcionario y de personal laboral en la que figuran los complementos específicos del puesto de trabajo. No obstante, los datos contenidos se expresan en cómputo anual y sin identificación, con carácter general, de la identidad de la persona que los ocupa.

Asimismo, el Ministerio de Hacienda pública los datos actualizados de manera periódica de los complementos de destino correspondiente a un nivel de puesto de trabajo o grado personal, así como los complementos específicos ligados a puestos de trabajo, desglosados en cómputo anual o mensual, sin que figure la identidad de las personas que desempeñan esos puestos.

De esta manera las Administraciones Públicas cumplen con el principio de publicidad activa a la que están sujetas conforme a la normativa vigente.

Establecido lo anterior, en el presente caso, el AYUNTAMIENTO DE SOTOSERRANO divulgó el salario neto mensual que la parte reclamante recibe como ***PUESTO.2 de ese Ayuntamiento, en un acto público donde la parte reclamante es reconocida inequívocamente por razón de su cargo como ***PUESTO.2 de dicho Ayuntamiento.

La difusión de estos datos, conforme a lo señalado anteriormente, supone la divulgación de datos personales excesivos.

Revelar el salario neto mensual neto de un funcionario en un acto oficial del Ayuntamiento, con una pluralidad de asistentes, se considera desproporcionado y excesivo teniendo en cuenta que esos datos no son esenciales para atender la finalidad de transparencia pretendida, para lo que hubiera sido suficiente hacer alusión a los datos en cómputo anual y en términos íntegros.

Por tanto, de conformidad con las evidencias de los que se dispone en este momento de resolución de procedimiento sancionador, se considera que los hechos conocidos son constitutivos de una infracción, imputable a AYUNTAMIENTO DE SOTOSERRANO, por vulneración del artículo 5.1.c) transcrito anteriormente.

IV Tipificación de la infracción del artículo 5.1.c) del RGPD y calificación a efectos de prescripción

El artículo 83.5 del RGPD tipifica como infracción administrativa la vulneración del artículo siguiente, que se sancionará, de acuerdo con el apartado 2, con multas administrativas de 20.000.000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:

"a) los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9;"

Por su parte, la LOPDGDD en su artículo 71, Infracciones, señala que:

"Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica".

A los solos efectos del plazo de prescripción, el artículo 72.1 de la LOPDGDD establece lo siguiente:

"En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:

a) El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679."

V Declaración de infracción

El artículo 83 "Condiciones generales para la imposición de multas administrativas" del RGPD, en su apartado 7, establece:

"Sin perjuicio de los poderes correctivos de las autoridades de control en virtud del artículo 58, apartado 2, cada Estado miembro podrá establecer normas sobre si se puede, y en qué medida, imponer multas administrativas a autoridades y organismos públicos establecidos en dicho Estado miembro."

El artículo 77 "Régimen aplicable a determinadas categorías de responsables o encargados del tratamiento" de la LOPDGDD dispone lo siguiente:

"1. El régimen establecido en este artículo será de aplicación a los tratamientos de los que sean responsables o encargados:

a) Los órganos constitucionales o con relevancia constitucional y las instituciones de las comunidades autónomas análogas a los mismos.

b) Los órganos jurisdiccionales.

c) La Administración General del Estado, las Administraciones de las comunidades autónomas y las entidades que integran la Administración Local.

d) Los organismos públicos y entidades de Derecho público vinculadas o dependientes de las Administraciones Públicas.

e) Las autoridades administrativas independientes.

f) El Banco de España.

g) Las corporaciones de Derecho público cuando las finalidades del tratamiento se relacionen con el ejercicio de potestades de derecho público.

h) Las fundaciones del sector público.

i) Las Universidades Públicas.

j) Los consorcios.

k) Los grupos parlamentarios de las Cortes Generales y las Asambleas Legislativas autonómicas, así como los grupos políticos de las Corporaciones Locales.

2. Cuando los responsables o encargados enumerados en el apartado 1 cometiesen alguna de las infracciones a las que se refieren los artículos 72 a 74 de esta ley orgánica, la autoridad de protección de datos que resulte competente dictará resolución declarando la infracción y estableciendo, en su caso, las medidas que proceda adoptar para que cese la conducta o se corrijan los efectos de la infracción que se hubiese cometido, con excepción de la prevista en el artículo 58.2.i del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016.

La resolución se notificará al responsable o encargado del tratamiento, al órgano del que dependa jerárquicamente, en su caso, y a los afectados que tuvieran la condición de interesado, en su caso.

3. Sin perjuicio de lo establecido en el apartado anterior, la autoridad de protección de datos propondrá también la iniciación de actuaciones disciplinarias cuando existan indicios suficientes para ello. En este caso, el procedimiento y las sanciones a aplicar serán las establecidas en la legislación sobre régimen disciplinario o sancionador que resulte de aplicación.

Asimismo, cuando las infracciones sean imputables a autoridades y directivos, y se acredite la existencia de informes técnicos o recomendaciones para el tratamiento que no hubieran sido debidamente atendidos, en la resolución en la que se imponga la sanción se incluirá una amonestación con denominación del cargo responsable y se ordenará la publicación en el Boletín Oficial del Estado o autonómico que corresponda.

4. Se deberán comunicar a la autoridad de protección de datos las resoluciones que recaigan en relación con las medidas y actuaciones a que se refieren los apartados anteriores.

5. Se comunicarán al Defensor del Pueblo o, en su caso, a las instituciones análogas de las comunidades autónomas las actuaciones realizadas y las resoluciones dictadas al amparo de este artículo.

6. Cuando la autoridad competente sea la Agencia Española de Protección de Datos, esta publicará en su página web con la debida separación las resoluciones referidas a las entidades del apartado 1 de este artículo, con expresa indicación de la identidad del responsable o encargado del tratamiento que hubiera cometido la infracción. Cuando la competencia corresponda a una autoridad autonómica de protección de datos se estará, en cuanto a la publicidad de estas resoluciones, a lo que disponga su normativa específica."

Este precepto establece que los procedimientos que tengan causa en infracciones en materia de protección de datos personales cometidas por las categorías de responsables o encargados del tratamiento enumerados en su apartado 1 se resolverán, en todo caso, declarando la infracción.

En el presente caso, al tratarse el responsable de un ayuntamiento, se encuentra comprendido en el supuesto previsto en el artículo 77.1.c) de la LOPDGDD, por lo que la resolución sancionadora que se dicte ha de declarar la infracción del artículo 5.1 c) del RGPD.

Por lo tanto, de acuerdo con la legislación aplicable, la Presidencia de la Agencia Española de Protección de Datos