Lefebvre

Sanción de apercibimiento a ayuntamiento por no atender el requerimiento de información efectuado por la AEPD

AEPD 28/12/2021

Ante la reclamación interpuesta por un particular, la AEPD requirió al ayuntamiento reclamado para que le remitiera la información y documentación que se solicitaba para el esclarecimiento de los hechos. Al no haber respondido en plazo el requerimiento, la AEPD inició procedimiento sancionador contra el ayuntamiento por haber obstaculizado su potestad de investigación.

El ayuntamiento alega que la falta de infraestructura y personal le impidió en su día responder.

La AEPD señala que alegaciones aducidas por el ayuntamiento no disculpan la falta de atención del requerimiento, dado el tiempo transcurrido desde la aplicación efectiva del RGPD y la consecuente obligación de facilitar a esta Agencia la información que requiera para el desempeño de sus funciones. Y añade que la Ley 39/2015 ofrece a los interesados instrumentos como la petición de ampliación de los plazos establecidos, que podía haber sido solicitada por el interesado antes del vencimiento del plazo, por lo que impone al ayuntamiento una sanción de apercibimiento.

Agencia Española de Protección de Datos, Resolución, 28-12-2021

ANTECEDENTES 

 

PRIMERO: Con fecha 15 de febrero de 2021, tuvo entrada en esta Agencia Española de Protección de Datos un escrito presentado por A.A.A. (en lo sucesivo, la parte reclamante), mediante el que formula reclamación contra el AYUNTAMIENTO DE ABERTURA, con NIF P1000200D (en adelante, la parte reclamada).

SEGUNDO: A la vista de lo anteriormente señalado, existen indicios de un posible incumplimiento de lo dispuesto en el Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), lo que ha motivado la apertura del procedimiento con referencia E/02978/2021.

De acuerdo con lo previsto en el artículo 65 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD en lo sucesivo), se trasladó la reclamación al responsable o al Delegado de Protección de Datos que en su caso hubiere designado, requiriéndole que remitiera a esta Agencia la información y documentación que se solicitaba. Este requerimiento de información no fue contestado en plazo. Se admitió a trámite la reclamación con fecha 28 de mayo de 2021.

TERCERO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de los poderes de investigación otorgados a las autoridades de control en el artículo 57.1 del RGPD, y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la citada LOPDGDD.

CUARTO: En el marco de las actuaciones de investigación E/06376/2021, se remitió a la parte reclamada un requerimiento de información, relativo a la reclamación reseñada en el apartado primero, para que en el plazo de diez días hábiles presentase ante esta Agencia la información y documentación que en él se señalaba. El requerimiento fue registrado de salida en fecha 15 de junio de 2021 con número O00007128s2100042495.

El requerimiento de información, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido por el responsable con fecha 15 de junio de 2021, como consta en el certificado de Notific@ que obra en el expediente.

QUINTO: Respecto a la información requerida, la parte reclamada no remitió respuesta alguna a esta Agencia Española de Protección de Datos.

SEXTO: Con fecha 21 de septiembre de 2021, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, con arreglo a lo dispuesto en los artículos 63 y 64 de la LPACAP, por la presunta infracción del Artículo 58.1 del RGPD, tipificada en el Artículo 83.5 del RGPD Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD).

El citado acuerdo de inicio fue recogido por el responsable con fecha 22 de septiembre de 2021, como consta en el certificado de Notific@ que obra en el expediente.

SÉPTIMO: Con fecha 6 octubre de 2021 y número de registro de entrada O00007128e2100041303, la parte reclamada presenta escrito de alegaciones y documentación adjunta que se completa el 7 de octubre de 2021, con otros documentos registrados con número de registro de entrada O00007128e2100041567.

En lo que se refiere al presente procedimiento sancionador, que se sigue por la falta de respuesta a los requerimientos de información efectuados por esta Agencia en los plazos otorgados para ello, manifiesta lo siguiente: "(...) el Ayuntamiento, por falta de letrado interno, no contestó en su día al requerimiento de información, lo cual es un hecho disculpable dada su carencia de infraestructura y personal, (...)."

Con relación al resto de documentos presentados en las citadas entradas para dar respuesta al requerimiento de información referido en el antecedente cuarto, serán incorporados para ser analizados en el marco de las actuaciones de investigación del procedimiento E/06376/2021.

OCTAVO: Con fecha 20 de octubre de 2021, se formuló propuesta de resolución proponiendo que por la Directora de la Agencia Española de Protección de Datos se imponga al AYUNTAMIENTO DE ABERTURA, con NIF P1000200D, por una infracción del Artículo 58.1 del RGPD, tipificada en el Artículo 83.5 del RGPD, una sanción de apercibimiento.

Asimismo, se puso de manifiesto el procedimiento a fin de que en el plazo de diez días pudiera alegar cuanto considerara en su defensa y presentar los documentos e informaciones que considerara pertinentes, de acuerdo con el artículo 89.2 de la LPACAP.

NOVENO: La propuesta de resolución, que fue registrada de salida en fecha 20 de octubre de 2021 con número de registro O00007128s2100070685, fue recogida por el responsable en fecha 22 de octubre de 2021, como consta en el certificado de Notific@ que obra en el expediente.

Transcurrido el plazo de diez días hábiles otorgado en la propuesta de resolución para la presentación de alegaciones, la parte reclamada no ha presentado alegaciones.

A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes

HECHOS

PRIMERO: Los requerimientos de información indicados en los antecedentes segundo y cuarto fueron notificados electrónicamente, con arreglo a lo dispuesto en el artículo 43 de la LPACAP.

SEGUNDO: La parte reclamada no ha respondido a los requerimientos de información efectuados por la Agencia en los plazos otorgados para ello, en el marco de las actuaciones referenciadas con el código E/02978/2021, en el que el plazo para responder era de un mes, y con el código E/06376/2021, en el que el plazo para responder era de diez días hábiles.

TERCERO: La notificación del acuerdo de inicio del presente expediente sancionador se practicó electrónicamente a través del sistema Notific@, siendo recogido por el responsable con fecha 22 de septiembre de 2021.

CUARTO: La parte reclamada ha presentado las alegaciones al acuerdo de inicio de este expediente sancionador recogidas en el antecedente séptimo.

QUINTO: La notificación de la propuesta de resolución se practicó electrónicamente a través del sistema Notific@, siendo recogida por el responsable en fecha 22 de octubre de 2021. No se presentaron alegaciones a la propuesta de resolución.

FUNDAMENTOS DE DERECHO 

 

I

En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de control, y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la LOPDGDD, la Directora de la Agencia Española de Protección de Datos es competente para iniciar y resolver este procedimiento.

II

Se imputa a la parte reclamada la comisión de una infracción al no haber procurado a la Agencia Española de Protección de Datos la información que le requirió.

Con la señalada conducta de la parte reclamada, la potestad de investigación que el artículo 58.1 del RGPD confiere a las autoridades de control, en este caso, la AEPD, se ha visto obstaculizada.

Por tanto, los hechos descritos en el apartado de "Hechos" se estiman constitutivos de una infracción, imputable a la parte reclamada, por vulneración del artículo 58.1 del RGPD, que dispone que cada autoridad de control dispondrá, entre sus poderes de investigación:

"a) ordenar al responsable y al encargado del tratamiento y, en su caso, al representante del responsable o del encargado, que faciliten cualquier información que requiera para el desempeño de sus funciones; b) llevar a cabo investigaciones en forma de auditorías de protección de datos; c) llevar a cabo una revisión de las certificaciones expedidas en virtud del artículo 42, apartado 7; d) notificar al responsable o al encargado del tratamiento las presuntas infracciones del presente todos los datos personales y a toda la información necesaria para el ejercicio de sus funciones; f) obtener el acceso a todos los locales del responsable y del encargado del tratamiento, incluidos cualesquiera equipos y medios de tratamiento de datos, de conformidad con el Derecho procesal de la Unión o de los Estados miembros."

III

Esta infracción se tipifica en el artículo 83.5.e) del RGPD, que considera como tal: "no facilitar acceso en incumplimiento del artículo 58, apartado 1".

En el mismo artículo se establece que esta infracción puede ser sancionada con multa de veinte millones de euros (20.000.000 Eur.) como máximo o, tratándose de una empresa, de una cuantía equivalente al cuatro por ciento (4%) como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía.

A efectos del plazo de prescripción de las infracciones, la infracción imputada prescribe a los tres años, conforme al artículo 72.1 de la LOPDGDD, que califica de muy grave la siguiente conducta:

"ñ) No facilitar el acceso del personal de la autoridad de protección de datos competente a los datos personales, información, locales, equipos y medios de tratamiento que sean requeridos por la autoridad de protección de datos para el ejercicio de sus poderes de investigación.

o) La resistencia u obstrucción del ejercicio de la función inspectora por la autoridad de protección de datos competente."

IV

El artículo 83.7 del RGPD dispone lo siguiente:

"Sin perjuicio de los poderes correctivos de las autoridades de control en virtud del artículo 58, apartado 2, cada Estado miembro podrá establecer normas sobre si se puede, y en qué medida, imponer multas administrativas a autoridades y organismos públicos establecidos en dicho Estado miembro."

Asimismo, el citado Reglamento dispone en su art. 58.2 b) la posibilidad de dirigir un apercibimiento. En tal sentido, el artículo 77.1 c), 77.2 y 77.5 de la LOPGDD establece que:

"1. El régimen establecido en este artículo será de aplicación a los tratamientos de los que sean responsables o encargados:

c) La Administración General del Estado, las Administraciones de las comunidades autónomas y las entidades que integran la Administración Local.

2. Cuando los responsables o encargados enumerados en el apartado 1 cometiesen alguna de las infracciones a las que se refieren los artículos 72 a 74 de esta ley orgánica, la autoridad de protección de datos que resulte competente dictará resolución sancionando a las mismas con apercibimiento. La resolución establecerá asimismo las medidas que proceda adoptar para que cese la conducta o se corrijan los efectos de la infracción que se hubiese cometido.

La resolución se notificará al responsable o encargado del tratamiento, al órgano del que dependa jerárquicamente, en su caso, y a los afectados que tuvieran la condición de interesado, en su caso.

5. Se comunicarán al Defensor del Pueblo o, en su caso, a las instituciones análogas de las comunidades autónomas las actuaciones realizadas y las resoluciones dictadas al amparo de este artículo."

V

Por lo que se refiere a las alegaciones presentadas por la parte reclamada, recogidas en el antecedente séptimo, se considera que no estaría justificado apreciar como atenuantes los motivos alegados.

Al respecto cabe tener en cuenta que el hecho de que la parte reclamada no haya respondido a los requerimientos efectuados no puede ser disculpada por la falta de infraestructura y personal alegados, dado el tiempo transcurrido desde la aplicación efectiva del RGPD y la consecuente obligación de facilitar a esta Agencia la información que requiera para el desempeño de sus funciones. Asimismo, la LPACAP ofrece a los interesados instrumentos como la petición de ampliación de los plazos establecidos, que podía haber sido solicitada por el interesado antes del vencimiento del plazo si consideraba que las circunstancias lo aconsejaban y debían ser estudiadas por esta Agencia.

Por lo tanto, de acuerdo con la legislación aplicable, la Directora de la Agencia Española de Protección de Datos

RESUELVE: 

 

PRIMERO: IMPONER al AYUNTAMIENTO DE ABERTURA, con NIF P1000200D, por una infracción del Artículo 58.1 del RGPD, tipificada en el Artículo 83.5 del RGPD, una sanción de apercibimiento.

SEGUNDO: NOTIFICAR la presente resolución al AYUNTAMIENTO DE ABERTURA.

TERCERO: COMUNICAR la presente resolución al Defensor del Pueblo, de conformidad con lo establecido en el artículo 77.5 de la LOPDGDD.

De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados.

Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la

Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley.

Finalmente, se señala que conforme a lo previsto en el art. 90.3 a) de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [<https://sedeagpd.gob.es/sede-electronica-web/%5D,>web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar.