Sanción a ayuntamiento por publicar datos personales del censo municipal en el tablón de anuncios


AEPD 20/01/2021

Se interpuso reclamación contra un ayuntamiento por figurar en el tablón de anuncios del ayuntamiento los datos personales de las personas censadas en el municipio, incluidos los datos de personas fallecidas.

La AEPD señala que la publicación de datos personales en los tablones de anuncios no resulta adecuada cuando estos se encuentran en el exterior del edificio municipal.

Por tanto, insta al ayuntamiento para que retire dicha información del tablón de anuncios y le impone la sanción de apercibimiento.

Agencia Española de Protección de Datos, Resolución, 20-01-2021

ANTECEDENTES DE HECHO 

 

PRIMERO: A.A.A. (en adelante, el reclamante) con fecha 22/08/2019 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra AYUNTAMIENTO DE TOBAR con NIF P0939400H (en delante, el reclamado). Los motivos en que basa la reclamación son que en el tablón de anuncios del Ayuntamiento "está el listado del censo de hace varios años con todos los datos personales de los vecinos (algunos muertos ya)", y ha solicitado su retirada, aunque continua.

Manifiesta la reclamante que "adjunto fotografías de principios de mes (05-08-2019) donde todavía se puede observar el listado con todos los datos personales. También del mes de 12/06/2019 donde se ve con más nitidez."

Aporta cuatro archivos de imágenes con fotografías.

Se contiene una primera DSC 53 en la que se ve solamente un tablón acristalado, en una pared, sin referencias de algún objeto cercano, y en el exterior, pudiendo ser la vía pública. Ampliando la imagen se ve que tiene cierre con llave, y contiene ocho hojas en su interior tamaño folio DIN A4 en posición vertical, cuatro en la parte superior, cuatro en la inferior, más otras dos hojas, una en la parte izquierda, tipo medio folio, y otra hoja en la parte inferior izquierda, en apaisado, que es el laque contiene un listado ordenado alfabéticamente, primer apellido, segundo y nombre, fecha de nacimiento y DNI completo. En la parte superior Ley orgánica del tribunal del jurado lista para exposición el ayuntamiento y cita un artículo que no se ve bien, municipio TOBAR, en la parte inferior del listado constan los datos de la reclamante, apellido ***LETRA.1 empezando la hoja por el apellido de la letra XX. No se ve la fecha del listado, solo documentos distintos al lado, con fechas de 2017.

En una segunda fotografía DSC 55 se aprecia la misma foto ampliada, viéndose mejor los literales figurando lista para exposición el ayuntamiento artículo 13.2, y en la parte superior izquierda Oficina del censo electoral, provincia Burgos.

Las otras dos fotos no añaden a lo ya señalado.

El listado no lleva fecha, apreciándose algunos documentos expuestos al lado del que se denuncia que llevan fechas de firma de agosto 2017.

SEGUNDO: A la vista de los hechos denunciados en la reclamación y de los documentos aportados por la reclamante, la Subdirección General de Inspección de Datos procedió al traslado de la reclamación, y el 7/11/2019, se entregó a la reclamada escrito en el que, además, se le solicita:

"En el plazo máximo de un mes, desde la recepción de este escrito, deberá analizar la reclamación y remitir a esta Agencia la siguiente información:

-La decisión adoptada a propósito de esta reclamación.

-Informe sobre las causas que han motivado la incidencia que ha originado la reclamación.

-Informe sobre las medidas adoptadas para evitar que se produzcan incidencias similares, fechas de implantación y controles efectuados para comprobar su eficacia.

-Cualquier otra que considere relevante."

La petición no fue atendida.

TERCERO: Con fecha 31/03/2020 la reclamación fue admitida a trámite.

CUARTO: Con fecha 16/06/2020, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador al reclamado, con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1/10, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por la presunta infracción del Artículo 5.1.f) del RGPD, en relación con el artículo 5 de la LOPDGDD, conforme señala el artículo 83.5.a) del RGPD.

El envío telemático dio como resultado "expirado" al no acceder al reclamada.

QUINTO: Con fecha 30/10/2020, se emitió propuesta de resolución con el siguiente literal:

"Que por la Directora de la Agencia Española de Protección de Datos:

a) Se sancione con apercibimiento a AYUNTAMIENTO DE TOBAR, con NIF P0939400H, por una infracción del artículo 5.1.f) del RGPD, conforme señala el artículo 83.5 del RGPD.

b) REQUERIR a AYUNTAMIENTO DE TOBAR, que retire el listado, e informe del documento que recoge los principios y bases que rigen el protocolo de la exposición de los anuncios en el tablón de anuncios cuando contengan datos de carácter personal."

El reclamado no efectuó alegaciones

HECHOS PROBADOS

1) El Tribunal del Jurado es una institución para la participación de los ciudadanos en la Administración de Justicia, regulado por la Ley Orgánica 5/1995, de 22/05, del Tribunal del Jurado. En la norma se asigna a la Oficina del Censo Electoral competencias en la formación de la lista de los candidatos a jurados. Se indica en su artículo 13 que para constituir la lista bienal de candidatos a jurados, que se elegirán por sorteo, se extraerán de la lista del censo electoral vigente ordenada por municipios alfabéticamente y numerada dicha lista se remitirá para su anticipada exposición durante 7 días a los respectivos ayuntamientos.

2) La reclamada tenía expuesto en un tablón de anuncios cerrado en el exterior, vía pública, una hoja tipo listado, conteniendo según las dos fotografías que aporta en la reclamación:

En la parte superior izquierda se lee "Oficina del censo electoral, provincia Burgos"., en el centro "Ley Orgánica 1/1995 del tribunal del jurado" "lista para exposición el ayuntamiento, artículo 13.2", "municipio TOBAR", con datos de personas, ordenados alfabéticamente, primer apellido, segundo y nombre, fecha de nacimiento y DNI completo. En la parte inferior del listado constan los datos de la reclamante, apellido ***LETRA.1 empezando la hoja por el apellido de la letra XX. No se ve la fecha del listado, solo documentos distintos al lado, con fechas de 2017.

FUNDAMENTOS DE DERECHO 

 

I

En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de control, y según lo establecido en los arts. 47 y 48.1 de la LOPDGDD, la Directora de la Agencia Española de Protección de Datos es competente para resolver este procedimiento.

II

El Tribunal del Jurado es una institución para la participación de los ciudadanos en la Administración de Justicia. La Ley Orgánica 5/1995, de 22/05, del Tribunal del Jurado asigna a la Oficina del Censo Electoral las siguientes competencias en la formación de la lista de los candidatos a jurados.

Cada Delegación Provincial de la Oficina del Censo Electoral realiza un sorteo dentro de los últimos quince días del mes de septiembre de los años pares para obtener la lista provincial de candidatos a jurados a partir del censo electoral vigente el día del sorteo.

A tal efecto, la lista del censo electoral vigente se remite previamente a los Ayuntamientos para su exposición al público durante siete días. El sorteo se celebra en sesión pública previamente anunciada.

Una vez efectuado el sorteo, se obtienen las listas provisionales de candidatos a jurados que se exponen en los Ayuntamientos y se publican en el Boletín Oficial de cada Provincia durante los quince últimos días del mes de octubre, pudiéndose presentar reclamaciones durante los quince primeros días del mes de noviembre.

Con las reclamaciones que resulten estimadas, las Delegaciones Provinciales de la Oficina del Censo Electoral obtienen las listas definitivas de candidatos a jurados, que se envían a los Presidentes de las Audiencias Provinciales respectivas.

El artículo 13.2 de dicha ley indica:

"Los candidatos a jurados a obtener por sorteo se extraerán de la lista del censo electoral vigente a la fecha del sorteo, ordenada por municipios, relacionada, dentro de éstos, alfabéticamente y numerada correlativamente dentro del conjunto de la provincia.

Dicha lista se remitirá para su anticipada exposición durante siete días a los respectivos Ayuntamientos. El sorteo, que se celebrará en sesión pública previamente anunciada en un local habilitado al efecto por la correspondiente Audiencia Provincial, se desarrollará en la forma que reglamentariamente se determine."

III

La reclamada ha expuesto el listado en un tablón de anuncios situado en la vía pública, fuera de las instalaciones municipales, espacio no adecuado para exposición pública de documentos con datos de carácter personal, señalando el artículo 5.1.f) del RGPD:

"Los datos personales serán:

"tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»)."

La LOPDGDD señala en su artículo 5:

"1. Los responsables y encargados del tratamiento de datos así como todas las personas que intervengan en cualquier fase de este estarán sujetas al deber de confidencialidad al que se refiere el artículo 5.1.f) del Reglamento (UE) 2016/679"

Además, el listado podría haber estado expuesto más del tiempo reseñado en la norma habilitante estando expuestos los datos más allá del tiempo dictaminado en la norma aplicable de siete días.

La notificación a efectos legales mediante la cumplimentación del trámite explicitado en la Ley debe llevarse a efecto, y aunque su finalidad es que los afectados puedan consultar dichos datos no en lugar por donde puede circular cualquier persona, pues los datos deben ser custodiados en las dependencias del responsable en un lugar específico.

No se tienen detalles para acreditar que el listado ha estado más del tiempo establecido, si bien lo manifiesta la reclamante y de las fechas de firma de otros escritos y la fecha en que presenta la denuncia la reclamante, así como de las fechas en que se acometen las tareas de selección de candidatos, años pares, parece apuntar a que el listado ha estado de forma no diligente expuesto además mucho más tiempo del que prevé la normativa aplicable.

IV

El artículo 83.5 a del RGPD indica:

"Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:

a) los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9; "

El artículo 58.2 del RGPD indica: "Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación:

"b) sancionar a todo responsable o encargado del tratamiento con apercibimiento cuando las operaciones de tratamiento hayan infringido lo dispuesto en el presente Reglamento;"

d) ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado".

"i) imponer una multa administrativa con arreglo al artículo 83, además o en lugar de las medidas mencionadas en el presente apartado, según las circunstancias de cada caso particular;"

En este sentido, en la propuesta de resolución, se requirió al AYUNTAMIENTO DE TOBAR, que retirase "el listado, e informe del documento que recoge los principios y bases que rigen el protocolo de la exposición de los anuncios en el tablón de anuncios cuando contengan datos de carácter personal.", sin haber obtenido respuesta. Dado que es una instrucción precisa y concreta, y al no manifestar nada la reclamada, se puede entender que ha procedido a la retirada del documento, y puede acreditar dicha retirada. A este respecto, se debe recordar, y se le advierte, que si se persiste en la infracción, es una conducta típica susceptible de ser sancionada, de acuerdo con el artículo 83.5 e) del RGPD:

"e) el incumplimiento de una resolución o de una limitación temporal o definitiva del tratamiento o la suspensiónde los flujos de datos por parte de la autoridad de control con arreglo al artículo 58, apartado 2, o el no facilitar acceso en incumplimiento del artículo 58, apartado 1."

La reclamada podría igualmente, especificar si ha quitado el listado y los principios que rigen el protocolo de los anuncios en el tablón de anuncios en cuanto a datos de carácter personal.

El ordenamiento jurídico español ha optado por no sancionar con multa a las entidades públicas, tal como se indica en el artículo 77.1. c) y 2. 3. 4. 5. y 6. de la LOPDDGG: "1. El régimen establecido en este artículo será de aplicación a los tratamientos de los que sean responsables o encargados:

c) La Administración General del Estado, las Administraciones de las comunidades autónomas y las entidades que integran la Administración Local.

2. Cuando los responsables o encargados enumerados en el apartado 1 cometiesen alguna de las infracciones a las que se refieren los artículos 72 a 74 de esta ley orgánica, la autoridad de protección de datos que resulte competente dictará resolución sancionando a las mismas con apercibimiento. La resolución establecerá asimismo las medidas que proceda adoptar para que cese la conducta o se corrijan los efectos de la infracción que se hubiese cometido.

La resolución se notificará al responsable o encargado del tratamiento, al órgano del que dependa jerárquicamente, en su caso, y a los afectados que tuvieran la condición de interesado, en su caso.

3. Sin perjuicio de lo establecido en el apartado anterior, la autoridad de protección de datos propondrá también la iniciación de actuaciones disciplinarias cuando existan indicios suficientes para ello. En este caso, el procedimiento y las sanciones a aplicar serán las establecidas en la legislación sobre régimen disciplinario o sancionador que resulte de aplicación.

Asimismo, cuando las infracciones sean imputables a autoridades y directivos, y se acredite la existencia de informes técnicos o recomendaciones para el tratamiento que no hubieran sido debidamente atendidos, en la resolución en la que se imponga la sanción se incluirá una amonestación con denominación del cargo responsable y se ordenará la publicación en el Boletín Oficial del Estado o autonómico que corresponda.

4. Se deberán comunicar a la autoridad de protección de datos las resoluciones que recaigan en relación con las medidas y actuaciones a que se refieren los apartados anteriores.

5. Se comunicarán al Defensor del Pueblo o, en su caso, a las instituciones análogas de las comunidades autónomas las actuaciones realizadas y las resoluciones dictadas al amparo de este artículo.

6. Cuando la autoridad competente sea la Agencia Española de Protección de Datos, esta publicará en su página web con la debida separación las resoluciones referidas a las entidades del apartado 1 de este artículo, con expresa indicación de la identidad del responsable o encargado del tratamiento que hubiera cometido la infracción."

Por lo tanto, de acuerdo con la legislación aplicable, la Directora de la Agencia Española de Protección de Datos,

FALLO 

 

PRIMERO: IMPONER al AYUNTAMIENTO DE TOBAR, con NIF P0939400H, una sanción de apercibimiento, por una infracción del artículo 5.1.f) del RGPD, en relación con el artículo 5 de la LOPDGDD, de conformidad con el artículo 83.5.a) del RGPD.

SEGUNDO: NOTIFICAR la presente resolución al AYUNTAMIENTO DE TOBAR.

TERCERO : COMUNICAR la presente resolución al DEFENSOR DEL PUEBLO, de conformidad con lo establecido en el artículo 77.5 de la LOPDGDD.

CUARTO: De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados.

Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley.

Finalmente, se señala que conforme a lo previsto en el art. 90.3 a) de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-web/], <https://sedeagpd.gob.es/sede-electronica-web/%5D,> o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar.