Sanción a ayuntamiento por publicar en internet datos personales del solicitante de licencia de obras

I

En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de control, y según lo establecido en los arts. 47 y 48.1 de la LOPDGDD, la Directora de la Agencia Española de Protección de Datos es competente para resolver este procedimiento.

II

En el presente supuesto, la denuncia no trata de datos personales que puedan ser vistos en páginas indexadas por motores de búsqueda como refieren las alegaciones el reclamado, sino directamente del contenido de transparencia de la página del reclamado. También este extremo quedó claro en la petición de quitar los datos que hizo el reclamante y que no obtuvo respuesta escrita por el reclamado.

III

Respecto de la publicidad de las actividades municipales, el artículo 70 de la Ley reguladora de las Bases del Régimen Local, (LBRL) en la redacción dada al mismo por la Ley 57/2003, de 16/12, dispone lo siguiente:

"1. Las sesiones del Pleno de las corporaciones locales son públicas. No obstante, podrán ser secretos el debate y votación de aquellos asuntos que puedan afectar al derecho fundamental de los ciudadanos a que se refiere el artículo 18.1 de la Constitución, cuando así se acuerde por mayoría absoluta.

No son públicas las sesiones de la Junta de Gobierno Local.

2. Los acuerdos que adopten las corporaciones locales se publican o notifican en la forma prevista por la Ley.

3. Todos los ciudadanos tienen derecho a obtener copias y certificaciones acreditativas de los acuerdos de las corporaciones locales y sus antecedentes, así como a consultar los archivos y registros en los términos que disponga la legislación de desarrollo del artículo 105, párrafo b), de la Constitución. La denegación o limitación de este derecho, en todo cuanto afecte a la seguridad y defensa del Estado, la averiguación de los delitos o la intimidad de las personas deberá verificarse mediante resolución motivada."

Que no sean públicas las sesiones no añade nada sobre la publicación de los actos administrativos, pues rigen unas reglas generales sobre notificación y publicidad de los acuerdos según proceda (art. 70.2 LBRL).

La regulación a que alude la LBRL la podemos encontrar en su norma de desarrollo, el Real Decreto 2568/1986, de 28/11, por el que se aprueba el Reglamento de Organización, Funcionamiento y Régimen Jurídico de las Entidades Locales.

"Artículo 229.2

1. Las convocatorias y órdenes del día de las sesiones del Pleno se transmitirán a los medios de comunicación social de la localidad y se harán públicas en el Tablón de Anuncios de la entidad.

2. Sin perjuicio de lo dispuesto en el artículo 70.2 de la Ley 7/1985, de 2 de abril, la Corporación dará publicidad resumida del contenido de las sesiones plenarias y de todos los acuerdos del Pleno y de la Comisión de Gobierno, así como de las resoluciones del Alcalde y las que por su delegación dicten los Delegados."

Tampoco se trata en esta reclamación sobre la notificación a los afectados, sea reclamante o sea vecino, sino de la publicación de actas conteniendo datos personales. No de todas las actas, sino específicamente de las de la Junta de Gobierno Local. Tampoco se trata de la publicación de las notificaciones de la resolución al afectado reclamante, cuestión general sobre notificación de actos administrativos.

Nada se concreta sobre la publicación de las actas, ni sobre las concretas actas de la Junta de Gobierno Local. Solo se dice que se publicaran de acuerdo con lo que establezca la Ley.

Por tanto, si una ley permitiera publicar los datos objeto de la reclamación, habría base legitimadora para exponer los datos como lo fueron. De no haber ley que posibilite la exposición, subsidiariamente hay que atenerse a verificar si hay alguna otra base legitimadora que se contienen en el artículo 6 del RGPD. El reclamado no justifica que exista alguna base legitimadora para exponer íntegramente los datos del reclamante en el acta, en su sede electrónica, más que la mención de la Ley 19/2013, de 9/12, de transparencia, acceso a la información pública y buen gobierno, si bien no detalla ni motiva porque debe prevalecer por defecto la publicación en todas las actas de todos los datos personales como modo de cumplir con la transparencia que preconiza.

IV

La Ley 39/2015, de 1/10, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), establece en el artículo 40.5

"Las Administraciones Públicas podrán adoptar las medidas que consideren necesarias para la protección de los datos personales que consten en las resoluciones y actos administrativos, cuando éstos tengan por destinatarios a más de un interesado."

El artículo 45 de la misma norma destaca:

"1. Los actos administrativos serán objeto de publicación cuando así lo establezcan las normas reguladoras de cada procedimiento o cuando lo aconsejen razones de interés público apreciadas por el órgano competente.

En todo caso, los actos administrativos serán objeto de publicación, surtiendo ésta los efectos de la notificación, en los siguientes casos:

b) Cuando se trate de actos integrantes de un procedimiento selectivo o de concurrencia competitiva de cualquier tipo. En este caso, la convocatoria del procedimiento deberá indicar el medio donde se efectuarán las sucesivas publicaciones, careciendo de validez las que se lleven a cabo en lugares distintos.

3. La publicación de los actos se realizará en el diario oficial que corresponda, según cual sea la Administración de la que proceda el acto a notificar.

4. Sin perjuicio de lo dispuesto en el artículo 44, la publicación de actos y comunicaciones que, por disposición legal o reglamentaria deba practicarse en tablón de anuncios o edictos, se entenderá cumplida por su publicación en el Diario oficial correspondiente."

En el presente caso, no se trata de notificación de aspectos relacionados con un proceso selectivo, sino en un caso, de una licencia.

V

Los principios básicos de protección de datos vinculan la minimización de datos, adecuación y necesidad del tratamiento con la finalidad en el artículo 5.1 c); "Principios relativos al tratamiento" ,"Los datos personales serán:

adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados («minimización de datos»);

No concretando cual deba ser ese resumen que puede ser publicado de las sesiones plenarias, y no haciendo referencia expresa a la publicidad de las actas de la Junta de Gobierno Local, no hay mandato legal para que dicho resumen deba ofrecer el mismo contenido que para las actas previene el artículo 109, y tampoco por lo tanto, la parte dispositiva de los acuerdos que se adopten, y por otra, el núcleo esencial del derecho de información de los vecinos queda intacto en cuanto los mismos siempre e independientemente de la publicación de dicho resumen, pueden ejercer directamente el derecho de acceso a la información.

El "resumen" al que hace referencia dicho precepto aconseja eliminar del mismo aquellos datos de carácter personal que no sean adecuados, pertinentes y resulten excesivos con la finalidad de ofrecer una información "genérica" a los vecinos, y mucho menos deben contener datos de carácter personal sensibles.

De este modo, únicamente sería conforme con lo dispuesto en la normativa de protección de datos la comunicación de datos, mediante su inclusión en Internet, sede del reclamado, cuando se encuentre amparada en una norma con rango de Ley.

Al no minimizar adecuadamente los datos, exponiéndolos, se vulnera el artículo 5.1. f) del RGPD "1. Los datos personales serán: f) "tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»)."

La exposición en la web del reclamado, en su sección de transparencia da lugar a la ruptura del vínculo de confidencialidad del responsable de los datos, su gestión y tratamiento para los asuntos sobre los que es competente. La LOPDGDD indica en su artículo 5:

"1. Los responsables y encargados del tratamiento de datos así como todas las personas que intervengan en cualquier fase de este estarán sujetas al deber de confidencialidad al que se refiere el artículo 5.1.f) del Reglamento (UE) 2016/679.

2. La obligación general señalada en el apartado anterior será complementaria de los deberes de secreto profesional de conformidad con su normativa aplicable.

3. Las obligaciones establecidas en los apartados anteriores se mantendrán aun cuando hubiese finalizado la relación del obligado con el responsable o encargado del tratamiento."

Los hechos consistentes en la publicación para cualquier persona en la citada página web del reclamado suponen una infracción del artículo 5.1.f) del RGPD.

VI

En cuanto a que los datos fueron expuestos para cumplir el deber de transparencia, se debe señalar que la Preámbulo de la Ley 19/2013, de 9/12, de transparencia, acceso a la información pública y buen gobierno, en su preámbulo indica que:

"La Ley amplía y refuerza las obligaciones de publicidad activa en distintos ámbitos. En materia de información institucional, organizativa y de planificación exige a los sujetos comprendidos en su ámbito de aplicación la publicación de información relativa a las funciones que desarrollan, la normativa que les resulta de aplicación y su estructura organizativa, además de sus instrumentos de planificación y la evaluación de su grado de cumplimiento. En materia de información de relevancia jurídica y que afecte directamente al ámbito de las relaciones entre la Administración y los ciudadanos, la ley contiene un amplio repertorio de documentos que, al ser publicados, proporcionarán una mayor seguridad jurídica. Igualmente, en el ámbito de la información de relevancia económica, presupuestaria y estadística, se establece un amplio catálogo que debe ser accesible y entendible para los ciudadanos, dado su carácter de instrumento óptimo para el control de la gestión y utilización de los recursos públicos. Por último, se establece la obligación de publicar toda la información que con mayor frecuencia sea objeto de una solicitud de acceso, de modo que las obligaciones de transparencia se cohonesten con los intereses de la ciudadanía.

Para canalizar la publicación de tan ingente cantidad de información y facilitar el cumplimiento de estas obligaciones de publicidad activa y, desde la perspectiva de que no se puede, por un lado, hablar de transparencia y, por otro, no poner los medios adecuados para facilitar el acceso a la información divulgada, la Ley contempla la creación y desarrollo de un Portal de la Transparencia."

"El capítulo II, dedicado a la publicidad activa, establece una serie de obligaciones para los sujetos incluidos en el ámbito de aplicación del título I, que habrán de difundir determinada información sin esperar una solicitud concreta de los administrados. En este punto se incluyen datos sobre información institucional, organizativa y de planificación, de relevancia jurídica y de naturaleza económica, presupuestaria y estadística.

Para favorecer de forma decidida el acceso de todos a la información que se difunda se creará el Portal de la Transparencia, que incluirá, además de la información sobre la que existe una obligación de publicidad activa, aquella cuyo acceso se solicite con mayor frecuencia. El Portal será un punto de encuentro y de difusión, que muestra una nueva forma de entender el derecho de los ciudadanos a acceder a la información pública. Se prevé además en este punto que la Administración General del Estado, las Administraciones de las Comunidades Autónomas y las entidades que integran la Administración Local puedan adoptar medidas de colaboración para el cumplimiento de sus obligaciones de publicidad activa."

El aspecto de la publicidad activa se desarrolla en los siguientes artículos:

Artículo 5. Principios generales

"1. Los sujetos enumerados en el artículo 2.1 publicarán de forma periódica y actualizada la información cuyo conocimiento sea relevante para garantizar la transparencia de su actividad relacionada con el funcionamiento y control de la actuación pública.

2. Las obligaciones de transparencia contenidas en este capítulo se entienden sin perjuicio de la aplicación de la normativa autonómica correspondiente o de otras disposiciones específicas que prevean un régimen más amplio en materia de publicidad.

3. Serán de aplicación, en su caso, los límites al derecho de acceso a la información pública previstos en el artículo 14 y, especialmente, el derivado de la protección de datos de carácter personal, regulado en el artículo 15. A este respecto, cuando la información contuviera datos especialmente protegidos, la publicidad sólo se llevará a cabo previa disociación de los mismos.

4. La información sujeta a las obligaciones de transparencia será publicada en las correspondientes sedes electrónicas o páginas web y de una manera clara, estructurada y entendible para los interesados y, preferiblemente, en formatos reutilizables. Se establecerán los mecanismos adecuados para facilitar la accesibilidad, la interoperabilidad, la calidad y la reutilización de la información publicada así como su identificación y localización.

Cuando se trate de entidades sin ánimo de lucro que persigan exclusivamente fines de interés social o cultural y cuyo presupuesto sea inferior a 50.000 euros, el cumplimiento de las obligaciones derivadas de esta Ley podrá realizarse utilizando los medios electrónicos puestos a su disposición por la Administración Pública de la que provenga la mayor parte de las ayudas o subvenciones públicas percibidas.

5. Toda la información será comprensible, de acceso fácil y gratuito y estará a disposición de las personas con discapacidad en una modalidad suministrada por medios o en formatos adecuados de manera que resulten accesibles y comprensibles, conforme al principio de accesibilidad universal y diseño para todos."

Se deduce que se podrían publicar las actas de la junta de Gobierno local, pero con atención a los datos personales, y entendiendo que una cosa es la publicación de los actos y otra su notificación al afectado. Los limites son los del artículo 14, pero también los referidos a los datos personales son los que se contemplan en el artículo 15.

Artículo 14. Límites al derecho de acceso

"1. El derecho de acceso podrá ser limitado cuando acceder a la información suponga un perjuicio para:

a) La seguridad nacional.

b) La defensa.

c) Las relaciones exteriores.

d) La seguridad pública.

e) La prevención, investigación y sanción de los ilícitos penales, administrativos o disciplinarios.

f) La igualdad de las partes en los procesos judiciales y la tutela judicial efectiva.

g) Las funciones administrativas de vigilancia, inspección y control.

h) Los intereses económicos y comerciales.

i) La política económica y monetaria.

j) El secreto profesional y la propiedad intelectual e industrial.

k) La garantía de la confidencialidad o el secreto requerido en procesos de toma de decisión.

l) La protección del medio ambiente.

2. La aplicación de los límites será justificada y proporcionada a su objeto y finalidad de protección y atenderá a las circunstancias del caso concreto, especialmente a la concurrencia de un interés público o privado superior que justifique el acceso.

3. Las resoluciones que de conformidad con lo previsto en la sección 2.ª se dicten en aplicación de este artículo serán objeto de publicidad previa disociación de los datos de carácter personal que contuvieran y sin perjuicio de lo dispuesto en el apartado 3 del artículo 20, una vez hayan sido notificadas a los interesados."

La sección 2ª trata del " Ejercicio del derecho de acceso a la información pública"

Artículo 15. Protección de datos personales

"1. Si la información solicitada contuviera datos especialmente protegidos a los que se refiere el apartado 2 del artículo 7 de la Ley Orgánica 15/1999, de 13/12, de Protección de Datos de Carácter Personal, el acceso únicamente se podrá autorizar en caso de que se contase con el consentimiento expreso y por escrito del afectado, a menos que dicho afectado hubiese hecho manifiestamente públicos los datos con anterioridad a que se solicitase el acceso.

Si la información incluyese datos especialmente protegidos a los que se refiere el apartado 3 del artículo 7 de la Ley Orgánica 15/1999, de 13/12, o datos relativos a la comisión de infracciones penales o administrativas que no conllevasen la amonestación pública al infractor, el acceso sólo se podrá autorizar en caso de que se cuente con el consentimiento expreso del afectado o si aquél estuviera amparado por una norma con rango de Ley.

2. Con carácter general, y salvo que en el caso concreto prevalezca la protección de datos personales u otros derechos constitucionalmente protegidos sobre el interés público en la divulgación que lo impida, se concederá el acceso a información que contenga datos meramente identificativos relacionados con la organización, funcionamiento o actividad pública del órgano.

3. Cuando la información solicitada no contuviera datos especialmente protegidos, el órgano al que se dirija la solicitud concederá el acceso previa ponderación suficientemente razonada del interés público en la divulgación de la información y los derechos de los afectados cuyos datos aparezcan en la información solicitada, en particular su derecho fundamental a la protección de datos de carácter personal.

Para la realización de la citada ponderación, dicho órgano tomará particularmente en consideración los siguientes criterios:

a) El menor perjuicio a los afectados derivado del transcurso de los plazos establecidos en el artículo 57 de la Ley 16/1985, de 25 de junio, del Patrimonio Histórico Español.

b) La justificación por los solicitantes de su petición en el ejercicio de un derecho o el hecho de que tengan la condición de investigadores y motiven el acceso en fines históricos, científicos o estadísticos.

c) El menor perjuicio de los derechos de los afectados en caso de que los documentos únicamente contuviesen datos de carácter meramente identificativo de aquéllos.

d) La mayor garantía de los derechos de los afectados en caso de que los datos contenidos en el documento puedan afectar a su intimidad o a su seguridad, o se refieran a menores de edad.

4. No será aplicable lo establecido en los apartados anteriores si el acceso se efectúa previa disociación de los datos de carácter personal de modo que se impida la identificación de las personas afectadas.

5. La normativa de protección de datos personales será de aplicación al tratamiento posterior de los obtenidos a través del ejercicio del derecho de acceso."

Como conclusión, cabe significar que la divulgación de los datos del reclamantes en el acta de la Junta de Gobierno local no se produce a efectos de publicidad activa en la sede del portal de transparencia del reclamado, y no encaja dentro de los supuestos previstos como publicidad activa, al no ser necesario ni proporcional el conocimiento de los datos personales de un solicitante de una licencia, con su publicación sistemática en dichas actas. No forman pues, parte de la información que por ley 19/2013 haya de ser publicada como información activa. Además, la exposición en la web del reclamado, en abierto alcanza un mayor significado si se tienen en cuenta los efectos divulgativos multiplicadores que se producen a través de Internet y su repercusión en la protección de datos de las personas. La exposición y puesta en conocimiento de los datos en abierto, y por defecto en la sede electrónica, transparencia vulnera el artículo 5.1. f) del RGPD y no se acomoda a la transparencia que alega el reclamado.

VII

Conviene delimitar el ámbito del derecho a la protección de datos que se contiene en la Sentencia 292/2000. Al garantizar el poder de control sobre los datos personales del titular de los mismos, en palabras del citado Tribunal "el contenido del derecho fundamental a la protección de datos consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el Estado o un particular. Y ese derecho a consentir el conocimiento y el tratamiento, informático o no, de los datos personales, requiere como complementos indispensables, por un lado, la facultad de saber en todo momento quién dispone de esos datos personales y a qué uso los está sometiendo, y, por otro lado, el poder oponerse a esa posesión y usos." El hecho de que el reclamante haya instado una licencia de obras no puede implicar la renuncia al derecho del uso de sus propios datos por la parte reclamada conforme determina la normativa aplicable al supuesto. En este caso concreto, no hay base legitimadora por cumplimiento de los deberes de trasparencia derivados de la normativa vigente, para exponer en abierto y en sede electrónica de trasparencia, los acuerdos de la Junta de Gobierno local con los datos íntegros de los solicitantes.

Ello constituye una infracción del artículo 5.1.f) del RGPD.

VIII

El artículo 83.5 a) del RGPD, considera que la infracción de "los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9" es sancionable, de acuerdo con el apartado 5 del mencionado artículo 83 del citado Reglamento, con multas administrativas de 20.000.000 Eur. como máximo o, tratándose de una empresa, de una cuantía equivalente al 4% como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía."

El artículo 83.7 del RGPD indica:

"Sin perjuicio de los poderes correctivos de las autoridades de control en virtud del artículo 58, apartado 2, cada Estado miembro podrá establecer normas sobre si se puede, y en qué medida, imponer multas administrativas a autoridades y organismos públicos establecidos en dicho Estado miembro"

El artículo 58.2 del RGPD dispone lo siguiente:

"Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación:

a) sancionar a todo responsable o encargado del tratamiento con apercibimiento cuando las operaciones de tratamiento hayan infringido lo dispuesto en el presente Reglamento;

d) ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado;

El artículo 72.1.a) de la LOPDGDD indica:

"Infracciones consideradas muy graves.

1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:

a) El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679".

El ordenamiento jurídico español ha optado por no sancionar con multa a las entidades públicas, tal como se indica en el artículo 77.1. c), 2. 4. 5. y 6. de la LOPDDGG:

"1. El régimen establecido en este artículo será de aplicación a los tratamientos de los que sean responsables o encargados:

c) La Administración General del Estado, las Administraciones de las comunidades autónomas y las entidades que integran la Administración Local.

2. Cuando los responsables o encargados enumerados en el apartado 1 cometiesen alguna de las infracciones a las que se refieren los artículos 72 a 74 de esta ley orgánica, la autoridad de protección de datos que resulte competente dictará resolución sancionando a las mismas con apercibimiento. La resolución establecerá asimismo las medidas que proceda adoptar para que cese la conducta o se corrijan los efectos de la infracción que se hubiese cometido.

La resolución se notificará al responsable o encargado del tratamiento, al órgano del que dependa jerárquicamente, en su caso, y a los afectados que tuvieran la condición de interesado, en su caso.

4. Se deberán comunicar a la autoridad de protección de datos las resoluciones que recaigan en relación con las medidas y actuaciones a que se refieren los apartados anteriores.

5. Se comunicarán al Defensor del Pueblo o, en su caso, a las instituciones análogas de las comunidades autónomas las actuaciones realizadas y las resoluciones dictadas al amparo de este artículo.

6. Cuando la autoridad competente sea la Agencia Española de Protección de Datos, esta publicará en su página web con la debida separación las resoluciones referidas a las entidades del apartado 1 de este artículo, con expresa indicación de la identidad del responsable o encargado del tratamiento que hubiera cometido la infracción."

En alegaciones se ha tenido noticia del proceso de depuración de las actas expuestas y publicadas, de modo que no se conozca el titular de los datos ni resulte identificable en función de la finalidad del conocimiento por los vecinos, razonable para que la comisión de una infracción como la analizada no se reitere, sin perjuicio de realizar continuos análisis y evaluaciones de la divulgación de datos por las distintas plataformas que se puedan producir en la actuación del reclamado.

En cuanto a la petición de archivo de la infracción que se tramita al haberse corregido durante su tramitación, se ha de precisar que a la fecha de inicio del acuerdo no se había corregido la misma, teniendo conocimiento con posterioridad. La corrección y adecuación del tratamiento no supone que la infracción no se haya cometido, pudiendo servir para depurar las incorrecciones en los procedimientos internos del responsable del tratamiento. Por tanto, no es posible el archivo de la infracción cometida.

Por lo tanto,

la Directora de la Agencia Española de Protección de Datos,