1/13
Expediente N.º: EXP202303130
RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR
Del procedimiento instruido por la Agencia Española de Protección de Datos y en base
a los siguientes
ANTECEDENTES
PRIMERO: Con fecha 25 de enero de 2023, A.A.A. (en adelante, la parte reclamante)
interpuso reclamación ante la Agencia Española de Protección de Datos.
La reclamación se dirige contra AYUNTAMIENTO DE ZARAGOZA con NIF
P5030300G (en adelante, la parte reclamada).
Los motivos en que basa la reclamación son la difusión de sus datos de salud a través
de correo electrónico "sin ningún tipo de precinto o indicación que lo marcara como
confidencial".
Según expone, tuvo problemas de salud derivados de conflictos en el ámbito laboral y
acudió al Servicio de Prevención y Seguridad Laboral del Ayuntamiento, que emitió un
informe médico que le recomendaba dirigirse a la Unidad de Vigilancia de la Salud
para valorar una adaptación o un cambio de puesto de trabajo.
Aporta copia del informe médico, de fecha 13 de agosto de 2021.
Dicha Unidad de Vigilancia dictaminó, en fecha 17 de agosto de 2021, la adaptación
de las tareas de su puesto de trabajo (adjunta el documento).
Manifiesta que dicho dictamen, que debía de ser notificado al interesado y al
***PUESTO.1, fue enviado el 28 de agosto de 2021, junto al informe médico del
Servicio de Prevención y Seguridad Laboral del Ayuntamiento, sin adoptar medidas de
seguridad adecuadas, propiciando que el ***PUESTO.2 accediera a sus datos de
salud.
Especifica que el Ayuntamiento de Zaragoza, para poder llevar a cabo comunicaciones
confidenciales, dispone de cuentas de correo electrónico nominales corporativas y un
Servicio Interno de Comunicaciones —SIC—, pero en su caso, no se hizo uso ni del
correo electrónico, ni del SIC, y se optó por notificar el dictamen, con ambos informes,
por correo interno sin ningún tipo de precinto o indicación que lo marcara como
confidencial.
Junto al escrito de reclamación se aporta copia de los informes y dictámenes referidos.
También aporta copia de los correos electrónicos que contienen sus datos de salud,
donde se aprecia, en cada comunicación, el siguiente texto :
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
2/13
"Advertencia legal: ESTE CORREO ELECTRÓNICO PUEDE CONTENER
INFORMACIÓN CONFIDENCIAL REFERENTE A PERSONAS FÍSICAS."
Se aprecia como dato adjunto el informe médico del Servicio de Prevención y
Seguridad Laboral del Ayuntamiento.
SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de
diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en
adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada, el 10
de marzo de 2023, para que procediese a su análisis e informase a esta Agencia en el
plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos
previstos en la normativa de protección de datos.
El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de
1 de octubre, del Procedimiento Administrativo Común de las Administraciones
Públicas (en adelante, LPACAP), fue recogido en fecha 13 de marzo de 2023 como
consta en el acuse de recibo que obra en el expediente.
Con fecha 11 de abril de 2023 se recibe en esta Agencia escrito de respuesta
indicando lo siguiente:
La Jefatura del Servicio Deportivo del ayuntamiento de Zaragoza mantuvo una reunión
a comienzos del año 2021 con el Delegado Municipal de Protección de Datos, de la
que se derivó un posterior trabajo conjunto de puesta al día en cuanto a normativa
vigente en esta materia de forma tal que, se elaboraron las fichas de actividad de
tratamiento de datos que atañen al Servicio para su posterior registro y se adoptaron el
resto de medidas recomendadas por el Delegado Municipal responsable de la
protección, entre ellas las referidas al traslado de documentación por correo
electrónico.
El día 18 de agosto de 2021, el informe emitido al ***PUESTO.1 por el (…) en relación
al trabajador D. A.A.A., se traslada -en archivo adjunto por correo electrónico- al
responsable directo de dicho trabajador, el (…) D. B.B.B..
En relación al informe al que se dio traslado, es preciso destacar que el Servicio de
Prevención y Salud Laboral, responsable del tratamiento de datos de salud de los
trabajadores, no emite ni a este ni a otro Servicio municipal informes médicos ni datos
de salud de los trabajadores.
El documento trasladado contenía el dictamen del Servicio de Prevención y Salud
Laboral sobre las medidas de adaptación de las funciones a desempeñar por el
trabajador D. A.A.A., medidas que tenían que ser conocidas y aplicadas por su
inmediato superior D. B.B.B..
Si bien para este traslado de documentación no se utilizó la cuenta nominal
corporativa de D. B.B.B. ni el Servicio Interno de Comunicaciones -SIC-, la cuenta
utilizada ***EMAIL.1 es de uso prioritario del responsable del centro, el señor B.B.B. y
en su ausencia solo es apto para abrirla el personal en quien él específicamente
delegue.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
3/13
No obstante a esto, el mensaje contenía todas las garantías de seguridad y protección
de datos, esto es no solo el nombre de su destinatario y el contenido del archivo que
se trasladaba sino la advertencia legal/cláusula que tanto el Reglamento de Protección
de Datos como la Ley de Protección de Datos establecen con toda la información
necesaria tanto para garantizar la confidencialidad como, en su caso, para poder
ejercer los derechos de acceso/ rectificación, cancelación y oposición en cualquier
momento, Se adjunta copia del mensaje enviado
TERCERO: Con fecha 25 de abril de 2023, de conformidad con el artículo 65 de la
LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante.
CUARTO: Con fecha 27 de junio de 2023, la Directora de la Agencia Española de
Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada,
por la presunta infracción del artículo 5.1.f) del RGPD y artículo 32 del RGPD,
tipificada en el artículo 83.5 del RGPD y artículo 83.4 del RGPD.
QUINTO: Con fecha 10 de julio de 2023, se recibe escrito en esta Agencia en
respuesta al acuerdo de inicio del presente procedimiento sancionador, donde el
reclamado manifiesta lo siguiente:
“A juicio de la AEPD se evidencia una brecha de seguridad de datos personales que
consistió en haber trasladado el 18 de agosto de 2021 al (…) D. B.B.B. -en
documento adjunto por correo electrónico- el informe emitido por el Servicio Municipal
de Prevención y Salud Laboral en relación al trabajador D. A.A.A..
Si bien es cierto que la cuenta utilizada ***EMAIL.1para el traslado de la
documentación es de uso prioritario del responsable del centro, el señor B.B.B.y en su
ausencia solo es apto para abrirla el personal en quien él específicamente delegue,
informamos que en el momento en que se produjo el incidente este Servicio se
encontraba en proceso de implementar las medidas indicadas por el Delegado
Municipal de Protección de Datos, en aquel momento D. C.C.C., pudiendo existir
todavía algunos desajustes como fue no utilizar, en el caso objeto de la reclamación
de D. A.A.A., las medidas más seguras para el traslado de documentación como son
el Sistema Interno de Comunicaciones (SIC) o las cuentas de correo electrónico
nominales corporativas.
Este Servicio no duda en afirmar que éste fue un hecho aislado a partir del cual se
tomaron las medidas oportunas designando los medios y el personal autorizado que
haría este tipo de traslados de documentación con total seguridad por delegación
expresa de la Jefatura de Servicio.”
SEXTO: Con fecha 24 de julio de 2023 se formuló propuesta de resolución,
proponiendo que por la Directora de la Agencia Española de Protección de Datos :
Se declare que AYUNTAMIENTO DE ZARAGOZA, con NIF P5030300G ha
infringido lo dispuesto en el artículo 5.1.f) del RGPD y artículo 32 del RGPD,
tipificada en el artículo 83.5 del RGPD y artículo 83.4 del RGPD.
Se ordene al AYUNTAMIENTO DE ZARAGOZA, con NIF P5030300G, que en
virtud del artículo 58.2.d) del RGPD, en el plazo de 10 días, acredite que su
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
4/13
actuación se ha adecuado a la normativa de protección de datos indicada, de
manera que tales medidas impidan la difusión de datos de salud a través de
correo electrónico, y se acredite que se han adoptado las medidas oportunas
para el tratamiento de estos datos personales se realice con total seguridad.
SEPTIMO: El 27 de julio de 2023, la parte reclamada, en respuesta a la propuesta de
resolución indicada, manifiesta lo siguiente:
“Reiteramos lo ya expresado por el ***PUESTO.1 en su informe de 6 de julio de 2023,
del que se dio traslado el 10 de julio de 2023 a esa agencia, en el que se reconoce el
error cometido y se indica que se han tomado las medidas necesarias para que no
pudiera repetirse dicha situación, designando los medios y el personal autorizado que
haría el traslado de documentación con total seguridad por delegación expresa de
dicha Jefatura de Servicio.”
A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos
en el presente procedimiento se consideran hechos probados los siguientes,
HECHOS PROBADOS
PRIMERO: El 28 de agosto de 2021 se lleva a cabo la difusión de datos de salud del
reclamante por el Servicio de Prevención y Seguridad Laboral del Ayuntamiento de
Zaragoza utilizando un correo electrónico "sin ningún tipo de precinto o indicación que
lo marcara como confidencial", pese a la existencia de un correo electrónico
corporativo o servicio interno de comunicaciones, para la remisión de este tipo de
información, lo que permitió que el ***PUESTO.2 accediera a los datos de salud del
reclamante.
SEGUNDO: El ayuntamiento reconoce los hechos denunciados, pero afirma que se
trata de un hecho aislado a partir del cual se tomaron las medidas oportunas
designando los medios y el personal autorizado que haría este tipo de traslados de
documentación con total seguridad por delegación expresa de la Jefatura de Servicio.
FUNDAMENTOS DE DERECHO
I
De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679
(Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada
autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la
Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y
garantía de los derechos digitales (en adelante, LOPDGDD), es competente para
iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección
de Datos.
Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos
tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto
en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
5/13
reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter
subsidiario, por las normas generales sobre los procedimientos administrativos."
II
En el presente caso, de acuerdo con lo establecido en el artículo 4.1 del RGPD, consta
la realización de un tratamiento de datos personales, toda vez que AYUNTAMIENTO
realiza, entre otros tratamientos, la recogida, conservación, utilización y difusión de da-
tos personales de los vecinos del municipio, tales como: nombre y apellidos y dirección
de correo electrónico…etc.
El AYUNTAMIENTO realiza esta actividad en su condición de responsable del trata-
miento, dado que es quien determina los fines y medios de tal actividad, en virtud del
citado artículo 4.7 del RGPD.
El artículo 4 apartado 12 del RGPD define, de un modo amplio, las “violaciones de se-
guridad de los datos personales” (en adelante brecha de seguridad) como “todas
aquellas violaciones de la seguridad que ocasionen la destrucción, pérdida o alteración
accidental o ilícita de datos personales transmitidos, conservados o tratados de otra
forma, o la comunicación o acceso no autorizados a dichos datos.”
En el presente caso, consta una brecha de seguridad de datos personales de fecha 18
de agosto de 2021, mediante el informe emitido al ***PUESTO.1 por el (…) en relación
al trabajador D. A.A.A., donde se traslada -en archivo adjunto por correo electrónico-
al responsable directo de dicho trabajador, (…) D. B.B.B..
El documento trasladado contenía el dictamen del Servicio de Prevención y Salud
Laboral sobre las medidas de adaptación de las funciones a desempeñar por el
trabajador D. A.A.A., medidas que tenían que ser conocidas y aplicadas por su
inmediato superior D. B.B.B..
En su defensa el ayuntamiento ha indicado que si bien para este traslado de
documentación no se utilizó la cuenta nominal corporativa de D. B.B.B. ni el Servicio
Interno de Comunicaciones -SIC-, la cuenta utilizada ***EMAIL.1 es de uso prioritario
del responsable del centro, el señor B.B.B. y en su ausencia solo es apto para abrirla
el personal en quien él específicamente delegue.
Hay que señalar que la recepción de una reclamación sobre una brecha de seguridad
no implica la imposición de una sanción de forma directa, ya que es necesario analizar
la diligencia de responsables y encargados y las medidas de seguridad aplicadas, de
conformidad con lo dispuesto en el artículo 32 del RGPD.
III
El artículo 5.1.f) “Principios relativos al tratamiento” del RGPD establece:
“1. Los datos personales serán:
(…)
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
6/13
f) tratados de tal manera que se garantice una seguridad adecuada de los datos per-
sonales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su
pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u
organizativas apropiadas («integridad y confidencialidad»).”
En el presente supuesto, se presenta reclamación porque el día 18 de agosto de 2021,
se ha emitido un informe al ***PUESTO.1 por el (…) D. A.A.A., a través de correo
electrónico "sin ningún tipo de precinto o indicación que lo marcara como confidencial".
En este sentido, el ayuntamiento de Zaragoza responde que si bien para este traslado
de documentación no se utilizó la cuenta nominal corporativa de D. B.B.B. ni el
Servicio Interno de Comunicaciones -SIC-, la cuenta utilizada ***EMAIL.1 es de uso
prioritario del responsable del centro, el señor B.B.B. y en su ausencia solo es apto
para abrirla el personal en quien él específicamente delegue, por lo que el
ayuntamiento de Zaragoza considera que el mensaje contenía todas las garantías de
seguridad y protección de datos, esto es no solo el nombre de su destinatario y el
contenido del archivo que se trasladaba sino la advertencia legal/cláusula que tanto el
Reglamento de Protección de Datos como la Ley de Protección de Datos establecen
con toda la información necesaria tanto para garantizar la confidencialidad como, en
su caso, para poder ejercer los derechos de acceso/ rectificación, cancelación y
oposición en cualquier momento.
Pese a tales afirmaciones, se ha constatado que el ayuntamiento ha estado tratando
los siguientes datos personales de la parte reclamante: el nombre y apellidos, así
como datos personales de salud, sin respetar el principio de integridad y
confidencialidad en su tratamiento.
Estos hechos implican que la parte reclamada está vulnerando el artículo 5.1 f) del
RGPD, indicado en el fundamento de derecho II por infringir el deber de
confidencialidad de los datos personales que trata al haberse constatado se remitió un
mensaje a la dirección ***EMAIL.1 que según el Ayuntamiento es de uso prioritario del
responsable del centro, el señor B.B.B. y en su ausencia solo es apto para abrirla el
personal en quien él específicamente delegue.
Si bien informan “ que en el momento en que se produjo el incidente este Servicio se
encontraba en proceso de implementar las medidas indicadas por el Delegado
Municipal de Protección de Datos, en aquel momento D.C.C.C., pudiendo existir
todavía algunos desajustes como fue no utilizar, en el caso objeto de la reclamación de
D. A.A.A., las medidas más seguras para el traslado de documentación como son el
Sistema Interno de Comunicaciones (SIC) o las cuentas de correo electrónico
nominales corporativas.
Por lo tanto, esta Agencia considera que la puesta a disposición de los datos a
personas no autorizadas supone una infracción del art. 5.1.f) del RGPD imputable en
este caso al AYUNTAMIENTO DE ZARAGOZA.
IV
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
7/13
La citada infracción del artículo 5.1.f) del RGPD supone la comisión de las infracciones
tipificadas en el artículo 83.5 del RGPD que bajo la rúbrica “Condiciones generales
para la imposición de multas administrativas” dispone:
“Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el
apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándo-
se de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de
negocio total anual global del ejercicio financiero anterior, optándose por la de mayor
cuantía:
a) los principios básicos para el tratamiento, incluidas las condiciones para el consenti-
miento a tenor de los artículos 5, 6, 7 y 9; (…)”
A este respecto, la LOPDGDD, en su artículo 71 “Infracciones” establece que:
“Constituyen infracciones los actos y conductas a las que se refieren los apartados 4,
5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contra-
rias a la presente ley orgánica”.
A efectos del plazo de prescripción, el artículo 72 “Infracciones consideradas muy gra-
ves” de la LOPDGDD indica:
“1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se
consideran muy graves y prescribirán a los tres años las infracciones que supongan
una vulneración sustancial de los artículos mencionados en aquel y, en particular, las
siguientes:
a) El tratamiento de datos personales vulnerando los principios y garantías estableci-
dos en el artículo 5 del Reglamento (UE) 2016/679. (…)”
V
El artículo 83 “Condiciones generales para la imposición de multas administrativas” del
RGPD apartado 7 establece:
“Sin perjuicio de los poderes correctivos de las autoridades de control en virtud del ar-
tículo 58, apartado 2, cada Estado miembro podrá establecer normas sobre si se pue-
de, y en qué medida, imponer multas administrativas a autoridades y organismos pú-
blicos establecidos en dicho Estado miembro.”
Asimismo, el artículo 77 “Régimen aplicable a determinadas categorías de responsa-
bles o encargados del tratamiento” de la LOPDGDD dispone lo siguiente:
“1. El régimen establecido en este artículo será de aplicación a los tratamientos de los
que sean responsables o encargados: ...
c) La Administración General del Estado, las Administraciones de las comunidades au-
tónomas y las entidades que integran la Administración Local…
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
8/13
2. Cuando los responsables o encargados enumerados en el apartado 1 cometiesen
alguna de las infracciones a las que se refieren los artículos 72 a 74 de esta ley orgá-
nica, la autoridad de protección de datos que resulte competente dictará resolución
declarando la infracción y estableciendo, en su caso, las medidas que proceda adop-
tar para que cese la conducta o se corrijan los efectos de la infracción que se hubiese
cometido, con excepción de la prevista en el artículo 58.2.i del Reglamento (UE)
2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016.
La resolución se notificará al responsable o encargado del tratamiento, al órgano del
que dependa jerárquicamente, en su caso, y a los afectados que tuvieran la condición
de interesado, en su caso.
3. Sin perjuicio de lo establecido en el apartado anterior, la autoridad de protección de
datos propondrá también la iniciación de actuaciones disciplinarias cuando existan
indicios suficientes para ello. En este caso, el procedimiento y las sanciones a aplicar
serán las establecidas en la legislación sobre régimen disciplinario o sancionador que
resulte de aplicación.
Asimismo, cuando las infracciones sean imputables a autoridades y directivos, y se
acredite la existencia de informes técnicos o recomendaciones para el tratamiento que
no hubieran sido debidamente atendidos, en la resolución en la que se imponga la
sanción se incluirá una amonestación con denominación del cargo responsable y se
ordenará la publicación en el Boletín Oficial del Estado o autonómico que
corresponda.
4. Se deberán comunicar a la autoridad de protección de datos las resoluciones que
recaigan en relación con las medidas y actuaciones a que se refieren los apartados
anteriores.
5. Se comunicarán al Defensor del Pueblo o, en su caso, a las instituciones análogas
de las comunidades autónomas las actuaciones realizadas y las resoluciones dictadas
al amparo de este artículo. (…)”
A los efectos previstos en el art. 64.2 b) de la ley 39/2015, de 1 de octubre, del
Procedimiento Administrativo Común de las Administraciones Públicas, la sanción
sería de multa administrativa.
Por tanto, la citada infracción del artículo 5.1.f) del RGPD, de acuerdo con el art. 83.7
del RGPD, y lo dispuesto por el artículo 77.2 de la LOPDGDD, por la categoría del
sujeto presuntamente responsable de la infracción, se sustituye por la declaración de
infracción al AYUNTAMIENTO DE ZARAGOZA.
VI
El artículo 32 “Seguridad del tratamiento” del RGPD establece:
“1. Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturale-
za, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad
y gravedad variables para los derechos y libertades de las personas físicas, el respon-
sable y el encargado del tratamiento aplicarán medidas técnicas y organizativas apro-
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
9/13
piadas para garantizar un nivel de seguridad adecuado al riesgo, que en su caso inclu-
ya, entre otros:
a) la seudonimización y el cifrado de datos personales;
b) la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia
permanentes de los sistemas y servicios de tratamiento;
c) la capacidad de restaurar la disponibilidad y el acceso a los datos personales de for-
ma rápida en caso de incidente físico o técnico;
d) un proceso de verificación, evaluación y valoración regulares de la eficacia de las
medidas técnicas y organizativas para garantizar la seguridad del tratamiento.
2. Al evaluar la adecuación del nivel de seguridad se tendrán particularmente en cuen-
ta los riesgos que presente el tratamiento de datos, en particular como consecuencia
de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmi-
tidos, conservados o tratados de otra forma, o la comunicación o acceso no autoriza-
dos a dichos datos.
3. La adhesión a un código de conducta aprobado a tenor del artículo 40 o a un meca-
nismo de certificación aprobado a tenor del artículo 42 podrá servir de elemento para
demostrar el cumplimiento de los requisitos establecidos en el apartado 1 del presente
artículo.
4. El responsable y el encargado del tratamiento tomarán medidas para garantizar que
cualquier persona que actúe bajo la autoridad del responsable o del encargado y ten-
ga acceso a datos personales solo pueda tratar dichos datos siguiendo instrucciones
del responsable, salvo que esté obligada a ello en virtud del Derecho de la Unión o de
los Estados miembros”.
En el presente caso, en el momento de producirse la brecha de seguridad, no consta
que el AYUNTAMIENTO DE ZARAGOZA dispusiese de medidas de seguridad razona-
bles en función de los posibles riesgos estimados.
Esto es así, ya que el AYUNTAMIENTO no ha tenido en cuenta aspectos básicos
como la utilización de cuentas corporativas nominativas y asimismo el envío mediante
un sistema de mensajería que garantice que la entrega se realiza únicamente al cargo
que por razón de sus funciones debe tener acceso a la documentación.
Por lo tanto, se considera que los hechos conocidos son constitutivos de una infrac-
ción, imputable al AYUNTAMIENTO DE ZARAGOZA, por vulneración del artículo 32
del RGPD.
VII
La citada infracción del artículo 32 del RGPD supone la comisión de las infracciones ti-
pificadas en el artículo 83.4 del RGPD que bajo la rúbrica “Condiciones generales para
la imposición de multas administrativas” dispone:
“Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el
apartado 2, con multas administrativas de 10 000 000 EUR como máximo o, tratándo-
se de una empresa, de una cuantía equivalente al 2 % como máximo del volumen de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
10/13
negocio total anual global del ejercicio financiero anterior, optándose por la de mayor
cuantía:
5) las obligaciones del responsable y del encargado a tenor de los artículos 8, 11,
25 a 39, 42 y 43; (…)”
A este respecto, la LOPDGDD, en su artículo 71 “Infracciones” establece que “Consti-
tuyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6
del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a
la presente ley orgánica”.
A efectos del plazo de prescripción, el artículo 73 “Infracciones consideradas graves”
de la LOPDGDD indica:
“En función de lo que establece el artículo 83.4 del Reglamento (UE) 2016/679 se con-
sideran graves y prescribirán a los dos años las infracciones que supongan una vulne-
ración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
…
f) La falta de adopción de aquellas medidas técnicas y organizativas que resulten
apropiadas para garantizar un nivel de seguridad adecuado al riesgo del tratamiento,
en los términos exigidos por el artículo 32.1 del Reglamento (UE) 2016/679.”. (…)
VIII
El artículo 83 “Condiciones generales para la imposición de multas administrativas” del
RGPD apartado 7 establece:
“Sin perjuicio de los poderes correctivos de las autoridades de control en virtud del ar-
tículo 58, apartado 2, cada Estado miembro podrá establecer normas sobre si se pue-
de, y en qué medida, imponer multas administrativas a autoridades y organismos pú-
blicos establecidos en dicho Estado miembro.”
Asimismo, el artículo 77 “Régimen aplicable a determinadas categorías de responsa-
bles o encargados del tratamiento” de la LOPDGDD dispone lo siguiente:
“1. El régimen establecido en este artículo será de aplicación a los tratamientos de los
que sean responsables o encargados: …
c) La Administración General del Estado, las Administraciones de las comunidades au-
tónomas y las entidades que integran la Administración Local…
2. Cuando los responsables o encargados enumerados en el apartado 1 cometiesen
alguna de las infracciones a las que se refieren los artículos 72 a 74 de esta ley orgá-
nica, la autoridad de protección de datos que resulte competente dictará resolución
sancionando a las mismas con apercibimiento. La resolución establecerá asimismo las
medidas que proceda adoptar para que cese la conducta o se corrijan los efectos de la
infracción que se hubiese cometido.
3. Sin perjuicio de lo establecido en el apartado anterior, la autoridad de protección de
datos propondrá también la iniciación de actuaciones disciplinarias cuando existan
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
11/13
indicios suficientes para ello. En este caso, el procedimiento y las sanciones a aplicar
serán las establecidas en la legislación sobre régimen disciplinario o sancionador que
resulte de aplicación.
Asimismo, cuando las infracciones sean imputables a autoridades y directivos, y se
acredite la existencia de informes técnicos o recomendaciones para el tratamiento que
no hubieran sido debidamente atendidos, en la resolución en la que se imponga la
sanción se incluirá una amonestación con denominación del cargo responsable y se
ordenará la publicación en el Boletín Oficial del Estado o autonómico que
corresponda.
4. Se deberán comunicar a la autoridad de protección de datos las resoluciones que
recaigan en relación con las medidas y actuaciones a que se refieren los apartados
anteriores.
5. Se comunicarán al Defensor del Pueblo o, en su caso, a las instituciones análogas
de las comunidades autónomas las actuaciones realizadas y las resoluciones dictadas
al amparo de este artículo.”
A los efectos previstos en el artículo 64.2 b) de la ley 39/2015, de 1 de octubre, del
Procedimiento Administrativo Común de las Administraciones Públicas, la sanción que
corresponde es de multa administrativa.
Por tanto, la citada infracción del artículo 32 del RGPD, de acuerdo con el artículo 83.7
del RGPD, y lo dispuesto por el artículo 77.2 de la LOPDGDD, por la categoría del
sujeto presuntamente responsable de la infracción, dicha sanción se sustituye por la
declaración de infracción al AYUNTAMIENTO.
IX
De acuerdo con lo establecido en el citado artículo 58.2 d) del RGPD, según el cual
cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento
que las operaciones de tratamiento se ajusten a las disposiciones del presente
Reglamento, cuando proceda, de una determinada manera y dentro de un plazo
especificado…”.
En concreto se requerirá que se acredite que su actuación se ha adecuado a la
normativa de protección de datos indicada en los fundamentos de derecho, de manera
que tales medidas impidan la difusión de datos de salud a través de correo electrónico,
y se acredite que se han adoptado las medidas oportunas para que el tratamiento de
estos datos personales se realice con total seguridad y acorde a la normativa de
protección de datos anteriormente indicada.
La imposición de esta medida es compatible con la sanción consistente en declaración
de infracción administrativa, según lo dispuesto en el artículo 83.2 del RGPD.
La parte reclamada manifiesta que en el momento en que se produjo el incidente se
encontraba en proceso de implementar las medidas indicadas por el Delegado
Municipal de Protección de Datos, pudiendo existir todavía algunos desajustes, al no
utilizar medidas más seguras para el traslado de documentación como son el Sistema
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
12/13
Interno de Comunicaciones (SIC) o las cuentas de correo electrónico nominales
corporativas.
Asimismo, la parte reclamada reconoce el error cometido e indica que se han tomado
las medidas necesarias para que no pudiera repetirse dicha situación, designando los
medios y el personal autorizado que haría el traslado de documentación con total
seguridad por delegación expresa de dicha Jefatura de Servicio.
Sin embargo, en las alegaciones presentadas a lo largo del procedimiento, no se han
aportado documentos que permitan constatar la adopción de estas nuevas medidas de
seguridad que eviten la reiteración de los hechos denunciados.
Se advierte que no atender la orden de adopción de medidas impuestas por este
organismo en la resolución sancionadora podrá ser considerado como una infracción
administrativa conforme a lo dispuesto en el RGPD, tipificada como infracción en su
artículo 83.5 y 83.6, pudiendo motivar tal conducta la apertura de un ulterior
procedimiento administrativo sancionador.
Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de
graduación de las sanciones cuya existencia ha quedado acreditada,
la Directora de la Agencia Española de Protección de Datos RESUELVE:
PRIMERO: DECLARAR que el AYUNTAMIENTO DE ZARAGOZA, con NIF
P5030300G, ha infringido lo dispuesto en el artículo 5.1.f) del RGPD y artículo 32 del
RGPD, infracciones tipificadas en el artículo 83.5 del RGPD y artículo 83.4 del RGPD
respectivamente.
SEGUNDO: ORDENAR al AYUNTAMIENTO DE ZARAGOZA, con NIF P5030300G,
que en virtud del artículo 58.2.d) del RGPD, en el plazo de 3 meses, acredite que su
actuación se ha adecuado a la normativa de protección de datos indicada, de manera
que tales medidas impidan la difusión de datos de salud a través de correo electrónico,
y se acredite que se han adoptado las medidas oportunas para que el tratamiento de
estos datos personales se realice con total seguridad.
TERCERO: NOTIFICAR la presente resolución a AYUNTAMIENTO DE ZARAGOZA.
CUARTO: COMUNICAR la presente resolución al Defensor del Pueblo, de
conformidad con lo establecido en el artículo 77.5 de la LOPDGDD.
De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente
Resolución se hará pública una vez haya sido notificada a los interesados.
Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la
LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los
interesados podrán interponer, potestativamente, recurso de reposición ante la
Directora de la Agencia Española de Protección de Datos en el plazo de un mes a
contar desde el día siguiente a la notificación de esta resolución o directamente
recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la
Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
13/13
la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la
Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el
día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la
referida Ley.
Finalmente, se señala que conforme a lo previsto en el art. 90.3 a) de la LPACAP, se
podrá suspender cautelarmente la resolución firme en vía administrativa si el
interesado manifiesta su intención de interponer recurso contencioso-administrativo.
De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante
escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través
del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-
web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la
citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la
documentación que acredite la interposición efectiva del recurso contencioso-
administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso
contencioso-administrativo en el plazo de dos meses desde el día siguiente a la
notificación de la presente resolución, daría por finalizada la suspensión cautelar.
938-010623
Mar España Martí
Directora de la Agencia Española de Protección de Datos
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es