Sanción a ayuntamiento por obstaculizar la potestad de investigación de la AEPD

I Competencia

De acuerdo con los poderes que el artículo 58.2 del RGPD otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la LOPDGDD, es competente para iniciar y resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos.

Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos."

II Alegaciones tras el acuerdo de inicio

En respuesta a la actuación realizada por el Ayuntamiento dando respuesta al requerimiento de información, se debe señalar lo siguiente.

La respuesta al requerimiento de información dada durante la instrucción de este procedimiento no afecta a la existencia de los hechos probados constitutivos de infracción.

Con respecto a las alegaciones relativas a la falta de voluntad de incumplir la normativa y la falta de medios personales, se debe señalar lo siguiente.

El principio de responsabilidad previsto en el artículo 28.1 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público, dispone que: "Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas, así como, cuando una Ley les reconozca capacidad de obrar, los grupos de afectados, las uniones y entidades sin personalidad jurídica y los patrimonios independientes o autónomos, que resulten responsables de los mismos a título de dolo o culpa."

No obstante, según lo dictaminado en la STS 7887/2011 de 24 de noviembre de 2011, Rec. 258/2009, "(...) desde su sentencia 76/1990, de 26 de abril, el Tribunal Constitucional viene declarando que no cabe en el ámbito sancionador administrativo la responsabilidad objetiva o sin culpa, doctrina que se reafirma en la sentencia 164/2005, de 20 de junio de 2005 , en cuya virtud se excluye la posibilidad de imponer sanciones por el mero resultado, sin acreditar un mínimo de culpabilidad aun a título de mera negligencia. Ahora bien, el modo de atribución de responsabilidad, a las personas jurídicas no se corresponde con las formas de culpabilidad dolosas o imprudentes que son imputables a la conducta humana."

Sucede así que, en el caso de infracciones cometidas por personas jurídicas, aunque haya de concurrir el elemento de la culpabilidad (véase la sentencia de esta Sala del Tribunal Supremo de 20 de noviembre de 2011 recurso de casación en interés de ley 48/2007), éste se aplica necesariamente de forma distinta a como se hace respecto de las personas físicas. Según la STC 246/1991 "(...) esta construcción distinta de la imputabilidad de la autoría de la infracción a la persona jurídica nace de la propia naturaleza de ficción jurídica a la que responden estos sujetos. Falta en ellos el elemento volitivo en sentido estricto, pero no la capacidad de infringir las normas a las que están sometidos. Capacidad de infracción y, por ende, reprochabilidad directa que deriva del bien jurídico protegido por la norma que se infringe y la necesidad de que dicha protección sea realmente eficaz y por el riesgo que, en consecuencia, debe asumir la persona jurídica que está sujeta al cumplimiento de dicha norma."

A lo expuesto debe añadirse, siguiendo la sentencia de 23 de enero de 1998, parcialmente trascrita en la STS 6262/2009, de 9 de octubre de 2009, Rec 5285/2005, y STS 6336/2009, de 23 de octubre de 2009, Rec 1067/2006, que "aunque la culpabilidad de la conducta debe también ser objeto de prueba, debe considerarse en orden a la asunción de la correspondiente carga, que ordinariamente los elementos volitivos y cognoscitivos necesarios para apreciar aquélla forman parte de la conducta típica probada, y que su exclusión requiere que se acredite la ausencia de tales elementos, o en su vertiente normativa, que se ha empleado la diligencia que era exigible por quien aduce su inexistencia; no basta, en suma, para la exculpación frente a un comportamiento típicamente antijurídico la invocación de la ausencia de culpa".

Así las cosas, ninguna de las circunstancias concurrentes en el caso permite excluir este elemento subjetivo de la infracción.

Por lo que se refiere a la información comunicada, por parte de esta Agencia se acusa recibo de la misma, sin que esta declaración suponga ningún pronunciamiento sobre la misma.

III Alegaciones a la propuesta de resolución

En respuesta a las alegaciones a la propuesta de resolución del presente expediente presentadas por el Ayuntamiento se debe señalar lo siguiente.

Las alegaciones presentadas contra la propuesta de resolución de este expediente reproducen en su mayoría los mismos argumentos esgrimidos contra el Acuerdo de inicio y que, por tanto, ya han sido contestados por esta Agencia en el anterior Fundamento de Derecho.

Respecto a la afirmación de que “la doble solicitud de información realizada el 13 de febrero de 2024 por la AEPD, solicitando información ya requerida en enero, y que había sido atendida mediante escrito de fecha 5 de febrero 2024, indujo, al recibir una nueva solicitud de información de ese organismo de fecha 20 de febrero de 2024, a error, al pensar que se volvía a requerir la misma información”, es relevante señalar que la remisión, por dos veces, del segundo requerimiento al Ayuntamiento se hizo con posterioridad a la referida respuesta. A mayor abundamiento, la alegada confusión resulta inasumible dado que el Ayuntamiento no aportaba en su escrito contestación alguna relativa a la información requerida en el primer punto del primer requerimiento.

Adicionalmente, se señala que el Ayuntamiento no presentó respuesta alguna al segundo requerimiento de información ni manifestó las dificultades para responder al mismo con anterioridad a que se dictase el acuerdo de inicio del presente procedimiento sancionador, y ello a pesar de haber recogido dicho requerimiento en dos ocasiones. Así, el presente procedimiento sancionador no se inició ante una respuesta fuera de plazo, sino por una falta absoluta de respuesta sobre la información requerida.

Sobre la aseveración del Ayuntamiento de que “no se ha causado daño o perjuicio alguno, ya que en el requerimiento realizado por ese organismo no se indicó motivo o circunstancia de especial relevancia que hubiera debido tenerse en cuenta”, cabe recordar que el tipo infractor se completa con la falta de respuesta a la información requerida y no se condiciona a que la parte requerida conozca el avance de la investigación y las eventuales consecuencias de su falta de respuesta, correspondiendo a esta Agencia valorar la necesidad para la investigación de la información requerida en el momento en que se realiza. A mayor abundamiento, la información requerida era indispensable para identificar al sujeto infractor, identidad que no pudo ser conocida por otros medios, y por tanto su falta de respuesta supuso una evidente obstrucción a la labor investigadora de esta Agencia.

Por lo expuesto, no cabe acceder a la solicitud del Ayuntamiento respecto a la inexistencia de responsabilidad y el archivo del presente expediente sancionador.

IV Obligación incumplida

A tenor de los hechos expuestos, se considera que el Ayuntamiento no procuró a la Agencia Española de Protección de Datos la información que le requirió, con anterioridad al inicio del presente procedimiento sancionador.

Con la señalada conducta del Ayuntamiento, la potestad de investigación que el artículo 58.1 del RGPD confiere a las autoridades de control, en este caso, la AEPD, se vio obstaculizada.

Por tanto, los hechos descritos en el apartado de “Hechos probados” se estiman constitutivos de una infracción, imputable al Ayuntamiento, por vulneración del artículo 58.1 del RGPD, que dispone que cada autoridad de control dispondrá, entre sus poderes de investigación:

“a) ordenar al responsable y al encargado del tratamiento y, en su caso, al representante del responsable o del encargado, que faciliten cualquier información que requiera para el desempeño de sus funciones.”

V Tipificación y calificación de la infracción

Los hechos expuestos se consideran constitutivos de una infracción, imputable al Ayuntamiento.

Esta infracción se tipifica en el artículo 83.5.e) del RGPD, que considera como tal: “no facilitar acceso en incumplimiento del artículo 58, apartado 1.”

En el mismo artículo se establece que esta infracción puede ser sancionada con multa de veinte millones de euros (20.000.000 €) como máximo o, tratándose de una empresa, de una cuantía equivalente al cuatro por ciento (4%) como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía.

A efectos del plazo de prescripción de las infracciones, la infracción imputada prescribe a los tres años, conforme al artículo 72.1 de la LOPDGDD, que califica de muy grave la siguiente conducta:

“ñ) No facilitar el acceso del personal de la autoridad de protección de datos competente a los datos personales, información, locales, equipos y medios de tratamiento que sean requeridos por la autoridad de protección de datos para el ejercicio de sus poderes de investigación.”

VI Sanción imputada

El artículo 83.7 del RGPD dispone lo siguiente:

“Sin perjuicio de los poderes correctivos de las autoridades de control en virtud del artículo 58, apartado 2, cada Estado miembro podrá establecer normas sobre si se puede, y en qué medida, imponer multas administrativas a autoridades y organismos públicos establecidos en dicho Estado miembro.”

Asimismo, el artículo 77 “Régimen aplicable a determinadas categorías de responsables o encargados del tratamiento” de la LOPDGDD dispone lo siguiente:

“1. El régimen establecido en este artículo será de aplicación a los tratamientos de los que sean responsables o encargados:

(…)

c) La Administración General del Estado, las Administraciones de las comunidades autónomas y las entidades que integran la Administración Local. (…)

2. Cuando los responsables o encargados enumerados en el apartado 1 cometiesen alguna de las infracciones a las que se refieren los artículos 72 a 74 de esta ley orgánica, la autoridad de protección de datos que resulte competente dictará resolución declarando la infracción y estableciendo, en su caso, las medidas que proceda adoptar para que cese la conducta o se corrijan los efectos de la infracción que se hubiese cometido, con excepción de la prevista en el artículo 58.2.i del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016.

La resolución se notificará al responsable o encargado del tratamiento, al órgano del que dependa jerárquicamente, en su caso, y a los afectados que tuvieran la condición de interesado, en su caso.

3. Sin perjuicio de lo establecido en el apartado anterior, la autoridad de protección de datos propondrá también la iniciación de actuaciones disciplinarias cuando existan indicios suficientes para ello. En este caso, el procedimiento y las sanciones a aplicar serán las establecidas en la legislación sobre régimen disciplinario o sancionador que resulte de aplicación.

Asimismo, cuando las infracciones sean imputables a autoridades y directivos, y se acredite la existencia de informes técnicos o recomendaciones para el tratamiento que no hubieran sido debidamente atendidos, en la resolución en la que se imponga la sanción se incluirá una amonestación con denominación del cargo responsable y se ordenará la publicación en el Boletín Oficial del Estado o autonómico que corresponda.

4. Se deberán comunicar a la autoridad de protección de datos las resoluciones que recaigan en relación con las medidas y actuaciones a que se refieren los apartados anteriores.

5. Se comunicarán al Defensor del Pueblo o, en su caso, a las instituciones análogas de las comunidades autónomas las actuaciones realizadas y las resoluciones dictadas al amparo de este artículo.”

Por lo tanto, de acuerdo con la legislación aplicable, la Presidencia de la Agencia Española de Protección de Datos: