Sanción a ayuntamiento por publicar datos personales del censo municipal en el tablón de anuncios

I

En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de control, y según lo establecido en los arts. 47 y 48.1 de la LOPDGDD, la Directora de la Agencia Española de Protección de Datos es competente para resolver este procedimiento.

II

El Tribunal del Jurado es una institución para la participación de los ciudadanos en la Administración de Justicia. La Ley Orgánica 5/1995, de 22/05, del Tribunal del Jurado asigna a la Oficina del Censo Electoral las siguientes competencias en la formación de la lista de los candidatos a jurados.

Cada Delegación Provincial de la Oficina del Censo Electoral realiza un sorteo dentro de los últimos quince días del mes de septiembre de los años pares para obtener la lista provincial de candidatos a jurados a partir del censo electoral vigente el día del sorteo.

A tal efecto, la lista del censo electoral vigente se remite previamente a los Ayuntamientos para su exposición al público durante siete días. El sorteo se celebra en sesión pública previamente anunciada.

Una vez efectuado el sorteo, se obtienen las listas provisionales de candidatos a jurados que se exponen en los Ayuntamientos y se publican en el Boletín Oficial de cada Provincia durante los quince últimos días del mes de octubre, pudiéndose presentar reclamaciones durante los quince primeros días del mes de noviembre.

Con las reclamaciones que resulten estimadas, las Delegaciones Provinciales de la Oficina del Censo Electoral obtienen las listas definitivas de candidatos a jurados, que se envían a los Presidentes de las Audiencias Provinciales respectivas.

El artículo 13.2 de dicha ley indica:

"Los candidatos a jurados a obtener por sorteo se extraerán de la lista del censo electoral vigente a la fecha del sorteo, ordenada por municipios, relacionada, dentro de éstos, alfabéticamente y numerada correlativamente dentro del conjunto de la provincia.

Dicha lista se remitirá para su anticipada exposición durante siete días a los respectivos Ayuntamientos. El sorteo, que se celebrará en sesión pública previamente anunciada en un local habilitado al efecto por la correspondiente Audiencia Provincial, se desarrollará en la forma que reglamentariamente se determine."

III

La reclamada ha expuesto el listado en un tablón de anuncios situado en la vía pública, fuera de las instalaciones municipales, espacio no adecuado para exposición pública de documentos con datos de carácter personal, señalando el artículo 5.1.f) del RGPD:

"Los datos personales serán:

"tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»)."

La LOPDGDD señala en su artículo 5:

"1. Los responsables y encargados del tratamiento de datos así como todas las personas que intervengan en cualquier fase de este estarán sujetas al deber de confidencialidad al que se refiere el artículo 5.1.f) del Reglamento (UE) 2016/679"

Además, el listado podría haber estado expuesto más del tiempo reseñado en la norma habilitante estando expuestos los datos más allá del tiempo dictaminado en la norma aplicable de siete días.

La notificación a efectos legales mediante la cumplimentación del trámite explicitado en la Ley debe llevarse a efecto, y aunque su finalidad es que los afectados puedan consultar dichos datos no en lugar por donde puede circular cualquier persona, pues los datos deben ser custodiados en las dependencias del responsable en un lugar específico.

No se tienen detalles para acreditar que el listado ha estado más del tiempo establecido, si bien lo manifiesta la reclamante y de las fechas de firma de otros escritos y la fecha en que presenta la denuncia la reclamante, así como de las fechas en que se acometen las tareas de selección de candidatos, años pares, parece apuntar a que el listado ha estado de forma no diligente expuesto además mucho más tiempo del que prevé la normativa aplicable.

IV

El artículo 83.5 a del RGPD indica:

"Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:

a) los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9; "

El artículo 58.2 del RGPD indica: "Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación:

"b) sancionar a todo responsable o encargado del tratamiento con apercibimiento cuando las operaciones de tratamiento hayan infringido lo dispuesto en el presente Reglamento;"

d) ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado".

"i) imponer una multa administrativa con arreglo al artículo 83, además o en lugar de las medidas mencionadas en el presente apartado, según las circunstancias de cada caso particular;"

En este sentido, en la propuesta de resolución, se requirió al AYUNTAMIENTO DE TOBAR, que retirase "el listado, e informe del documento que recoge los principios y bases que rigen el protocolo de la exposición de los anuncios en el tablón de anuncios cuando contengan datos de carácter personal.", sin haber obtenido respuesta. Dado que es una instrucción precisa y concreta, y al no manifestar nada la reclamada, se puede entender que ha procedido a la retirada del documento, y puede acreditar dicha retirada. A este respecto, se debe recordar, y se le advierte, que si se persiste en la infracción, es una conducta típica susceptible de ser sancionada, de acuerdo con el artículo 83.5 e) del RGPD:

"e) el incumplimiento de una resolución o de una limitación temporal o definitiva del tratamiento o la suspensiónde los flujos de datos por parte de la autoridad de control con arreglo al artículo 58, apartado 2, o el no facilitar acceso en incumplimiento del artículo 58, apartado 1."

La reclamada podría igualmente, especificar si ha quitado el listado y los principios que rigen el protocolo de los anuncios en el tablón de anuncios en cuanto a datos de carácter personal.

El ordenamiento jurídico español ha optado por no sancionar con multa a las entidades públicas, tal como se indica en el artículo 77.1. c) y 2. 3. 4. 5. y 6. de la LOPDDGG: "1. El régimen establecido en este artículo será de aplicación a los tratamientos de los que sean responsables o encargados:

c) La Administración General del Estado, las Administraciones de las comunidades autónomas y las entidades que integran la Administración Local.

2. Cuando los responsables o encargados enumerados en el apartado 1 cometiesen alguna de las infracciones a las que se refieren los artículos 72 a 74 de esta ley orgánica, la autoridad de protección de datos que resulte competente dictará resolución sancionando a las mismas con apercibimiento. La resolución establecerá asimismo las medidas que proceda adoptar para que cese la conducta o se corrijan los efectos de la infracción que se hubiese cometido.

La resolución se notificará al responsable o encargado del tratamiento, al órgano del que dependa jerárquicamente, en su caso, y a los afectados que tuvieran la condición de interesado, en su caso.

3. Sin perjuicio de lo establecido en el apartado anterior, la autoridad de protección de datos propondrá también la iniciación de actuaciones disciplinarias cuando existan indicios suficientes para ello. En este caso, el procedimiento y las sanciones a aplicar serán las establecidas en la legislación sobre régimen disciplinario o sancionador que resulte de aplicación.

Asimismo, cuando las infracciones sean imputables a autoridades y directivos, y se acredite la existencia de informes técnicos o recomendaciones para el tratamiento que no hubieran sido debidamente atendidos, en la resolución en la que se imponga la sanción se incluirá una amonestación con denominación del cargo responsable y se ordenará la publicación en el Boletín Oficial del Estado o autonómico que corresponda.

4. Se deberán comunicar a la autoridad de protección de datos las resoluciones que recaigan en relación con las medidas y actuaciones a que se refieren los apartados anteriores.

5. Se comunicarán al Defensor del Pueblo o, en su caso, a las instituciones análogas de las comunidades autónomas las actuaciones realizadas y las resoluciones dictadas al amparo de este artículo.

6. Cuando la autoridad competente sea la Agencia Española de Protección de Datos, esta publicará en su página web con la debida separación las resoluciones referidas a las entidades del apartado 1 de este artículo, con expresa indicación de la identidad del responsable o encargado del tratamiento que hubiera cometido la infracción."

Por lo tanto, de acuerdo con la legislación aplicable, la Directora de la Agencia Española de Protección de Datos,