Sanción a ayuntamiento por facilitar a asociación los datos personales de los participantes en proceso de consultas

I

En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de control, y según lo establecido en los arts. 47 y 48.1 de la LOPDGDD, la Directora de la Agencia Española de Protección de Datos es competente para resolver este procedimiento.

II

La STC 292/2000 señala que "... el contenido del derecho fundamental de protección de datos consiste en un poder de disposición y control sobre los datos personales que faculta a la persona para decidir cuáles de sus datos proporciona a un tercero (...) estos poderes de disposición y control sobre los datos personales, que constituyen parte del derecho fundamental a la protección de datos se concreta jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el Estado o un particular", es decir a saber quién, porque y que datos se van a tratar.

Ello permite a los afectados, en este caso los ciudadanos ejercer el control sobre sus datos de carácter personal (la autodeterminación informativa). "El deber de información previa forma parte del contenido esencial del derecho a la protección de datos, pues resulta un complemento indispensable del tratamiento de datos El deber de información sobre el uso y destino de los datos personales está íntimamente vinculado con el principio general de habilitación legal del tratamiento y ejercicio de derechos, pues si no se conoce su finalidad y destinatarios, difícilmente puede ejercitarse derecho alguno sobre sus propios datos."

En este caso el reclamado recogió datos de carácter personal destinados a la participación pública en un proyecto, sin informar del tratamiento de esos datos. Además, los copió en un soporte, memoria USB, tal cual fueron recogidos y presentados, repartiendo a cada miembro del CR una memoria, conteniendo todas las alegaciones y los datos, con el fin de que el CR en el ejercicio de sus competencias conociera las alegaciones para asesorar en la decisión a tomar.

III

Tal y como establece el considerando 39 del RGPD, "para las personas físicas debe quedar totalmente claro que se están recogiendo, utilizando, consultando o tratando de otra manera datos personales que les conciernen, así como la medida en que dichos datos son o serán tratados."

Define el RGPD en su artículo 4:

1) «datos personales»: toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona;"

2) «tratamiento»: cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción;

4) «fichero»: todo conjunto estructurado de datos personales, accesibles con arreglo a criterios determinados, ya sea centralizado, descentralizado o repartido de forma funcional o geográfica;

7) «responsable del tratamiento» o «responsable»: la persona física o jurídica, autoridad, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros;

El artículo 1 del RGPD indica:

"1. El presente Reglamento establece las normas relativas a la protección de las personas físicas en lo que respecta al tratamiento de los datos personales y las normas relativas a la libre circulación de tales datos."

Artículo 2. Ámbito de aplicación material

"1. El presente Reglamento se aplica al tratamiento total o parcialmente automatizado de datos personales, así como al tratamiento no automatizado de datos personales contenidos o destinados a ser incluidos en un fichero."

Se considera que el reclamado ha cometido una infracción del artículo 13 del RGPD, que indica:

"1. Cuando se obtengan de un interesado datos personales relativos a él, el responsable del tratamiento, en el momento en que estos se obtengan, le facilitará toda la información indicada a continuación:

a) la identidad y los datos de contacto del responsable y, en su caso, de su representante;

b) los datos de contacto del delegado de protección de datos, en su caso;

c) los fines del tratamiento a que se destinan los datos personales y la base jurídica del tratamiento;

d) cuando el tratamiento se base en el artículo 6, apartado 1, letra f), los intereses legítimos del responsable o de un tercero;

e) los destinatarios o las categorías de destinatarios de los datos personales, en su caso;

f) en su caso, la intención del responsable de transferir datos personales a un tercer país u organización internacional y la existencia o ausencia de una decisión de adecuación de la Comisión, o, en el caso de las transferencias indicadas en los artículos 46 o 47 o el artículo 49, apartado 1, párrafo segundo, referencia a las garantías adecuadas o apropiadas y a los medios para obtener una copia de estas o al hecho de que se hayan prestado.

2. Además de la información mencionada en el apartado 1, el responsable del tratamiento facilitará al interesado, en el momento en que se obtengan los datos personales, la siguiente información necesaria para garantizar un tratamiento de datos leal y transparente:

a) el plazo durante el cual se conservarán los datos personales o, cuando no sea posible, los criterios utilizados para determinar este plazo;

b) la existencia del derecho a solicitar al responsable del tratamiento el acceso a los datos personales relativos al interesado, y su rectificación o supresión, o la limitación de su tratamiento, o a oponerse al tratamiento, así como el derecho a la portabilidad de los datos;

c) cuando el tratamiento esté basado en el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), la existencia del derecho a retirar el consentimiento en cualquier momento, sin que ello afecte a la licitud del tratamiento basado en el consentimiento previo a su retirada;

d) el derecho a presentar una reclamación ante una autoridad de control;

e) si la comunicación de datos personales es un requisito legal o contractual, o un requisito necesario para suscribir un contrato, y si el interesado está obligado a facilitar los datos personales y está informado de las posibles consecuencias de que no facilitar tales datos;

f) la existencia de decisiones automatizas, incluida la elaboración de perfiles, a que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado."

Queda acreditado que el reclamado no ofreció información alguna sobre este artículo.

IV

Las funciones del CR según su artículo 3, son:

"- Supervisión y seguimiento de la redacción de los estudios y proyectos necesarios hasta su culminación, y de la contratación del mismo, que pongan solución definitiva a la situación actual de la Playa San Marcos y su entorno.

- Asesoramiento, estudio y consulta de las cuestiones que, en materia de las actuaciones a realizar en la Playa de San Marcos, le sometan a su consideración el Ayuntamiento de Icod de los Vinos o cualquier ciudadano.

- Asesorar en campañas formativas y divulgativas sobre la Playa de San Marcos de la Ciudad de Icod de los Vinos.

- Proponer la adopción de medidas conducentes al enriquecimiento y difusión de la Playa de San Marcos.

-Cualquier propuesta tendente a la conservación y protección de la Playa de San Marcos de la Ciudad de Icod de los Vinos."

La reclamada, recogió tal cual fueron presentadas las alegaciones al proyecto, sin depurar su contenido, con los datos personales asociados a la fecha de su presentación, en un formato de memoria de USB se copiaron y repartieron en memorias USB a los miembros del CR.

En el acceso a información que se da a todos los miembros pertenecientes al CR, ha de valorarse si esos datos personales son imprescindibles para el fin de las funciones atribuidas al CR y son inseparables de las opiniones de las personas que las efectúan, o si no son precisos los datos. Si cabe instrumentar los medios que sean menos intrusivos en los derechos de las personas para obtener los mismos fines, es decir sin datos personales, solución más respetuosa con la intimidad de sus autores, habría de dar valor a esta solución antes que a la que efectuó el reclamado.

Para los afectados supone que sus datos personales van a ser divulgados a un tercero, distinto del responsable de su recogida, y que si no resultan estrictamente necesarios y el fin puede lograrse sin trasladar esos datos, es preferible no comunicarlos, ya que supone una intromisión en su derecho fundamental (18.4 Constitución Española).

El artículo 25 del RGPD señala:

"1. Teniendo en cuenta el estado de la técnica, el coste de la aplicación y la naturaleza, ámbito, contexto y fines del tratamiento, así como los riesgos de diversa probabilidad y gravedad que entraña el tratamiento para los derechos y libertades de las personas físicas, el responsable del tratamiento aplicará, tanto en el momento de determinar los medios de tratamiento como en el momento del propio tratamiento, medidas técnicas y organizativas apropiadas, como la seudonimización, concebidas para aplicar de forma efectiva los principios de protección de datos, como la minimización de datos, e integrar las garantías necesarias en el tratamiento, a fin de cumplir los requisitos del presente Reglamento y proteger los derechos de los interesados.

2. El responsable del tratamiento aplicará las medidas técnicas y organizativas apropiadas con miras a garantizar que, por defecto, solo sean objeto de tratamiento los datos personales que sean necesarios para cada uno de los fines específicos del tratamiento. Esta obligación se aplicará a la cantidad de datos personales recogidos, a la extensión de su tratamiento, a su plazo de conservación y a su accesibilidad. Tales medidas garantizarán en particular que, por defecto, los datos personales no sean accesibles, sin la intervención de la persona, a un número indeterminado de personas físicas."

Este artículo tiene el efecto de considerar los requisitos de privacidad desde las primeras etapas del diseño de productos y servicios y le confiere la categoría de requisito legal al principio de integrar las garantías para la protección de los derechos y libertados de los ciudadanos con relación a sus datos personales desde las primeras etapas del desarrollo Entendido pues como la necesidad de considerar la privacidad y los principios de protección de datos desde la concepción de cualquier tipo de tratamiento y a los efectos de redacción de este documento, los términos "protección de datos desde el diseño" y privacidad desde el diseño pueden ser considerados equivalentes La privacidad desde el diseño implica utilizar un enfoque orientado a la gestión del riesgo y de responsabilidad pro-activa para establecer estrategias que incorporen la protección de la privacidad a lo largo de todo el ciclo de vida del objeto (ya sea este un sistema, un producto hardware o software, un servicio o un proceso). Por ciclo de vida del objeto se entiende todas las etapas por las que atraviesa este, desde su concepción hasta su retirada, pasando por las fases de desarrollo, puesta en producción, operación, mantenimiento y retirada. Más aun, implica que se tengan en cuenta, no sólo la aplicación de medidas de protección de la privacidad en las etapas tempranas del proyecto, sino que además se contemplen también todos los procesos y prácticas de negocio involucrados en el tratamiento de datos asociado, logrando así una verdadera gobernanza de la gestión de los datos personales por parte de las organizaciones.

El objetivo último es que la protección de datos esté presente desde las primeras fases de desarrollo y no sea una capa añadida a un producto o sistema. La privacidad debe formar parte integral de la naturaleza de dicho producto o servicio.

El RGPD establece la protección de datos desde el diseño como requisito legal de cumplimiento. El artículo 83 considera sancionable no atender esta obligación, al igual que su correcta aplicación constituye uno de los criterios para baremar la gravedad de una infracción. Es recomendable a tales efectos:

· Limitar el uso de los datos personales a la(s) finalidades para la(s) que fueron recogidos y asegurarse de que existe una base legitimadora del tratamiento.

· Ejecutar un análisis de los riesgos para los derechos y libertades de las personas y, en su caso, evaluaciones de impacto relativas a la protección de datos, como parte integral del diseño de cualquier nueva iniciativa de tratamiento.

· Asumir que pueden coexistir intereses diferentes y legítimos: los de la entidad y los de los usuarios a los que presta servicio; y que es necesario identificarlos, evaluarlos y balancearlos apropiadamente

Se imputa como vulnerado, el artículo 5.1 c) del RGPD, que determina:

"1. Los datos personales serán:

c) adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados («minimización de datos»);"

El RGPD consagra en su artículo 5 los principios básicos que han de tenerse en cuenta a la hora de realizar los tratamientos, de modo que estos seis principios (licitud, lealtad y transparencia, limitación de la finalidad, minimización de datos, exactitud, limitación del plazo de conservación, integridad y confidencialidad) unidos al de responsabilidad proactiva (o accountability) se convierten en el núcleo de la norma y en el objetivo que todo sistema, aplicación, servicio o proceso debe garantizar en su diseño, además de los requisitos o requerimientos funcionales a satisfacer propios del sistema.

Sin obviar las competencias que persigue el CR, no se hace necesario que conozca los datos personales de las personas que acompañaba cada una a sus alegaciones; nombre y apellidos, DNI, dirección de correo electrónico, ya que no resultan imprescindibles, no son relevantes, adecuados, ni necesarios para la finalidad para lo que se necesitan las alegaciones. El hecho de conocer los datos personales no ayuda a conseguir la finalidad por la que existe el CR y ejerce sus funciones. Además, no se garantiza el derecho de esas personas al trasladarse esos datos a través de un soporte como memorias USB, cada una un soporte, no encriptado y susceptible de copiarse fácilmente y por tanto con salida de los datos fuera de la órbita del responsable del tratamiento con consecuencias indeterminadas para sus titulares.

Sobre la alegación de que los denunciantes forman parte del CR que obtuvieron los datos también para las funciones del mismo, se ha de indicar que el responsable del tratamiento de los datos en cuanto a su recogida y el que decidió efectuar copias en memorias USB es el reclamado y que este fue el que decidió sobre la finalidad de dichos datos, el medio y el fin, cuando se remiten a cada integrante del CR, como destinatario, con todos los datos y a través de la entrega en memoria USB, no siendo necesarios para la función que ejecutan.

El hecho de que los reclamantes formen parte del CR no es óbice para que puedan denunciar los hechos.

Destaca que, con dicha comunicación, se están restringiendo los derechos fundamentales de los afectados, sin que concurra proporcionalidad, en el sentido de que el objetivo propuesto puede ser alcanzado sin la comunicación de los datos personales, por ejemplo, disociando los datos. La medida tomada de copiar todo en las memorias USB no se acredita que sea necesaria, pues puede haber otras formas para la consecución del propósito con igual eficacia sin esta restricción del derecho que supone la comunicación de los datos. La medida de la comunicación con todos los datos personales a través de la memoria USB no resulta tampoco equilibrada, al no apreciarse más beneficios para el CR o el interés general que puedan predominar sobre los derechos de los titulares de los datos.

En este caso, se considera que el acceso a las alegaciones hechas por los ciudadanos, junto con los datos de cada autor de las mismas por el CR no debe contener los datos de carácter personal.

Se acredita así, la comisión de la citada infracción imputada.

V

El artículo 83.5 del RGPD indica:

"5. Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:

a) los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9;

b) los derechos de los interesados a tenor de los artículos 12 a 22;"

El artículo 83.7 del RGPD indica:

"Sin perjuicio de los poderes correctivos de las autoridades de control en virtud del artículo 58, apartado 2, cada Estado miembro podrá establecer normas sobre si se puede, y en qué medida, imponer multas administrativas a autoridades y organismos públicos establecidos en dicho Estado miembro".

El artículo 58.2 del RGPD dispone lo siguiente: "Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación:

a) sancionar a todo responsable o encargado del tratamiento con apercibimiento cuando las operaciones de tratamiento hayan infringido lo dispuesto en el presente Reglamento;

d) ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado;"

El ordenamiento jurídico español ha optado por no sancionar con multa a las entidades públicas, tal como se indica en el artículo 77.1. c) y 2. 4. 5. y 6. de la LOPDDGG:

"1. El régimen establecido en este artículo será de aplicación a los tratamientos de los que sean responsables o encargados:

c) La Administración General del Estado, las Administraciones de las comunidades autónomas y las entidades que integran la Administración Local.

2. Cuando los responsables o encargados enumerados en el apartado 1 cometiesen alguna de las infracciones a las que se refieren los artículos 72 a 74 de esta ley orgánica, la autoridad de protección de datos que resulte competente dictará resolución sancionando a las mismas con apercibimiento. La resolución establecerá asimismo las medidas que proceda adoptar para que cese la conducta o se corrijan los efectos de la infracción que se hubiese cometido.

La resolución se notificará al responsable o encargado del tratamiento, al órgano del que dependa jerárquicamente, en su caso, y a los afectados que tuvieran la condición de interesado, en su caso.

4. Se deberán comunicar a la autoridad de protección de datos las resoluciones que recaigan en relación con las medidas y actuaciones a que se refieren los apartados anteriores.

5. Se comunicarán al Defensor del Pueblo o, en su caso, a las instituciones análogas de las comunidades autónomas las actuaciones realizadas y las resoluciones dictadas al amparo de este artículo.

6. Cuando la autoridad competente sea la Agencia Española de Protección de Datos, esta publicará en su página web con la debida separación las resoluciones referidas a las entidades del apartado 1 de este artículo, con expresa indicación de la identidad del responsable o encargado del tratamiento que hubiera cometido la infracción."

El reclamado no ha aportado concreción sobre medida alguna para corregir la presente infracción, se desconoce si las memorias USB quedaron en poder del CR o si se va a solicitar su devolución, ni se sabe si ha tomado medidas con la finalidad de que infracciones similares vuelvan a producirse, pudiendo informar al respecto.

Sobre la alegación de la falta de tipificación, el RGPD no establece directamente la concreta tipificación de las infracciones, y es la LOPDGDD la que los menciona a efectos de prescripción.

Señala el artículo 72:

"1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:

a) El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679.

h) La omisión del deber de informar al afectado acerca del tratamiento de sus datos personales conforme a lo dispuesto en los artículos 13 y 14 del Reglamento (UE)2016/679 y 12 de esta ley orgánica."

Sobre la alegación de la falta de acreditación de culpabilidad, el artículo 28.1 de la ley 40/2015, de 1/10 de régimen jurídico del sector público, establece;

"1. Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas, así como, cuando una Ley les reconozca capacidad de obrar, los grupos de afectados, las uniones y entidades sin personalidad jurídica y los patrimonios independientes o autónomos, que resulten responsables de los mismos a título de dolo o culpa."

Desde el punto de vista material, la culpabilidad consiste en la capacidad que tiene el sujeto obligado para obrar de modo distinto y, por tanto, de acuerdo con el ordenamiento jurídico. No se exige pues, la concurrencia de un ánimo deliberado de infringir la norma, con conciencia y voluntad de hacerlo. Por tanto, lo relevante es la diligencia desplegada en la acción por el sujeto, lo que excluye la imposición de una sanción, únicamente en base al mero resultado, es decir al principio de responsabilidad objetiva. El campo de la simple inobservancia es el clásico de la imprudencia o negligencia, en sus distintos grados. En este supuesto se aprecia y es suficiente la falta de diligencia, no exigiéndose un comportamiento imposible o de suma dificultad, teniendo en cuenta que están en juego derechos fundamentales, y siendo plenamente imputable al reclamado la conducta.

Por lo tanto, de acuerdo con la legislación aplicable,

La Directora de la Agencia Española de Protección de Datos