1/8
Procedimiento Nº: PS/00113/2019
938-090320
RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR
Del procedimiento instruido por la Agencia Española de Protección de Datos y en
base a los siguientes
ANTECEDENTES
PRIMERO: A.A.A. (en adelante, el reclamante) con fecha 19/10/2018 interpuso
reclamación ante la Agencia Española de Protección de Datos.
Los motivos en que basa la reclamación son que B.B.B., ***CARGO.1 de ***LOCA-
LIDAD.1, publicó el 11/10/2018 a las 12:01 “desde su cuenta personal de FACEBOOK y en
un grupo público” “denominado SOMOS DE ***LOCALIDAD.1”, “que a la fecha del presen-
te escrito posee 2.179 seguidores” (***URL.1) en su perfil particular (***URL.2) una instan-
cia administrativa que el reclamante había presentado ante el Ayuntamiento el 17/01/2018
“. “En ese escrito ( sobre petición de actuación en un vial junto a su vivienda) se encuen-
tran perfectamente identificados todos mis datos personales (nombre y apellidos, domicilio
completo, etc.), y las pretensión perseguida. Aireándose a través de las redes sociales, por
el propio ***CARGO.1, cuando su conocimiento y resolución debiera haber quedado veda-
da a las personas intervinientes en un expediente administrativo de esa naturaleza”
Manifiesta que:
- “…todos los miembros de ese grupo público de esa red social tuvieron acceso a
mis datos personales y al contenido del documento que yo había presentado en las ofici-
nas del Ayuntamiento de ***LOCALIDAD.1”
-“A las 14:49 horas de ese día, el Sr. B.B.B., conociendo perfectamente que había
cometido esa irregularidad, borró ese primer documento y lo sustituyó por una copia par-
cial del mismo, donde ya no se distinguen esos datos personales. Quiero hacer constar ex-
presamente que de ningún modo he autorizado tampoco esa segunda publicación, y que
ese escrito fue realizado por mí para realizar una solicitud al Ayuntamiento y en ningún
caso para que el Sr. B.B.B. haga uso particular y político de él, a título particular en una
red pública y abierta.”
SEGUNDO: A la vista de los hechos manifestados, se trasladó la reclamación al reclama-
do, B.B.B., Ayuntamiento de ***LOCALIDAD.1, para que informara:
1. Especificación clara de las causas que han motivado la incidencia que ha dado lu-
gar a la reclamación.
2. Detalle de las medidas adoptadas por el responsable para solucionar la incidencia y
para evitar que se produzcan nuevas incidencias como la expuesta.
3. Documentación acreditativa de que se ha atendido el derecho del reclamante a ser
informado sobre el curso y el resultado de la presente reclamación.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
2/8
Contesta el 15/02/2019, el delegado de protección de datos del Ayuntamiento, ma-
nifestando que la exposición del documento con los datos se hizo a título de la persona físi-
ca de B.B.B., y que el Ayuntamiento o el cargo no tiene responsabilidad ni trascendencia
alguna no representando a la entidad local, considerando que lo hizo como vecino.
Sobre las medidas a tomar está:
-Sugerir que el reclamado cese su actividad en la red social o lo haga a título perso-
nal sin publicar documentos que puedan inducir a error en la información sobre su natura-
leza o procedencia.
-Que el reclamado remita una carta de disculpas al reclamante indicando la natura-
leza de sus publicaciones.
-Formación en relación con la nueva normativa de protección de datos especial-
mente para las personas que han de difundir información en redes y otros canales de difu-
sión.
En cuanto a si se ha informado al reclamante de la resolución adoptada, aportan
copia de la carta que le envían, de parte del ayuntamiento, concretando que éste no tiene
responsabilidad en el caso.
TERCERO: Con fecha 26/02/2019, la Directora de la AEPD acuerda la admisión a trámite
de la reclamación.
CUARTO: Con fecha 28/11/2019, la Directora de la Agencia Española de Protección de
Datos acordó iniciar procedimiento sancionador de APERCIBIMENTO a B.B.B., por la
presunta infracción del Artículo 5.1.f) del RGPD, en relación con el artículo 5 de la
LOPDGDD, conforme señala el artículo 83.5 a) del RGPD.
QUINTO: Notificado el citado acuerdo de inicio, el reclamado presentó escrito de
alegaciones en el que, en síntesis, manifiesta:
1) Días antes, el 9/10/2018, el Grupo político del PP de ***LOCALIDAD.1 en dicha red
social se atribuía la instalación de un espejo en la carretera regional frente a la bolera de
***LOCALIDAD.2, como una petición de los propios concejales realizada el 1/03/2018.
Adjunta impresión de esa manifestación, que no es visible. Indica que “para aclarar esa
manifestación no cierta, se expusieron los datos del reclamante.”
2) “Se estima legitima la exposición pues la actuación de seguridad vial, de interés
público, tuvo su origen en la instancia del reclamante”, que además es titular de la citada
bolera y de un bar abierto al público. “Los datos del reclamante son datos públicos, notorios,
y se corresponden con una instalación hostelera abierta al público. La actuación de dicha
instalación era una cuestión de interés público.”
3) La página “***PÁGINA.1” en FACEBOOK “de mi perfil particular” es un “vehículo de
transparencia en mi gestión como ***CARGO.1 al frente del Ayuntamiento de
***LOCALIDAD.1”, “por su carácter de grupo público en el que se intenta dar por mi parte
respuesta a las cuestiones de interés público planteadas por los vecinos de Penagos, y ser
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
3/8
un foro de debate y exposición de ideas en torno a las necesidades de la población del
municipio y de las informaciones que puedan ser de interés público en torno al municipio”.
SEXTO: Con fecha 5/03/2020, se formuló propuesta de resolución, proponiendo “Que por la
Directora de la Agencia Española de Protección de Datos se sancione con
APERCIBIMIENTO a B.B.B., por una infracción del artículo 5.1.a) del RGPD, conforme
señala el artículo 83.5 a) y 58.2.a) del RGPD.”
En el plazo otorgado no se recibieron alegaciones.
HECHOS PROBADOS
1) El reclamante presentó una instancia en el Ayuntamiento reclamado el 17/01/2018
sobre petición de actuación en un vial junto a su vivienda.
2) En la cuenta particular y personal de FACEBOOK del reclamado, en un grupo
público” “denominado SOMOS DE***LOCALIDAD.1”, (***URL.1) en su perfil particular
(***URL.2) el reclamado expuso el 11/10/2018 desde las 12,01 hasta las 14h 49 en abierto,
la instancia del reclamante de 17/01/2018 conteniendo nombre y apellidos, domicilio
completo, y la petición de instalación de algún elemento vial.
3) El reclamado justifica el tratamiento que dicha página de FACEBOOK sirve como foro
de discusión y respuesta a las cuestiones de interés público planteadas por los vecinos de
***LOCALIDAD.1, foro de debate y exposición de ideas en torno a las necesidades de la
población del municipio, con informaciones que puedan ser de interés público en torno al
municipio.
4) Añade el reclamado que expuso en FACEBOOK la petición integra del reclamante
con sus datos para contrarrestar las manifestaciones del grupo político del PP que se
atribuía la iniciativa de haber solicitado la instalación de un espejo en un vial, en marzo de
2018 cuando fue el reclamante en una petición anterior presentada en el Ayuntamiento el
que lo inició. Estima el reclamado que el conocimiento integro de los datos del reclamante
que constaban en esa su solicitud de 17/01/2018 era necesario por considerarlo de interés
público y que los datos eran conocidos porque es titular de un establecimiento de hostelería.
FUNDAMENTOS DE DERECHO
I
En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de
control, y según lo establecido en los artículos 47 y 48 de la LOPDGDD, la Directora de la
Agencia Española de Protección de Datos es competente para iniciar y para resolver este
procedimiento.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
4/8
II
El RGPD define en su artículo 4:
1) «datos personales»: toda información sobre una persona física identificada o identificable
(«el interesado»); se considerará persona física identificable toda persona cuya identidad
pueda determinarse, directa o indirectamente, en particular mediante un identificador, como
por ejemplo un nombre, un número de identificación, datos de localización, un identificador
en línea o uno o varios elementos propios de la identidad física, fisiológica, genética,
psíquica, económica, cultural o social de dicha persona;”
2) «tratamiento»: cualquier operación o conjunto de operaciones realizadas sobre datos
personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no,
como la recogida, registro, organización, estructuración, conservación, adaptación o
modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o
cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o
destrucción;
4) «fichero»: todo conjunto estructurado de datos personales, accesibles con arreglo a
criterios determinados, ya sea centralizado, descentralizado o repartido de forma funcional
o geográfica;
7) «responsable del tratamiento» o «responsable»: la persona física o jurídica, autoridad,
servicio u otro organismo que, solo o junto con otros, determine los fines y medios del
tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y
medios del tratamiento, el responsable del tratamiento o los criterios específicos para su
nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros;
10) «tercero»: persona física o jurídica, autoridad, servicio u organismo distinto del
interesado, del responsable del tratamiento, del encargado del tratamiento y de las personas
autorizadas para tratar los datos personales bajo la autoridad directa del responsable o del
encargado;”
El derecho fundamental a la protección de datos persigue garantizar a su titular un
poder de control sobre sus datos personales, sobre su uso y destino, con el propósito de
impedir su tráfico ilícito y lesivo para la dignidad y derecho del afectado.
El documento presentado por el reclamante en el Ayuntamiento contiene datos cuyo
responsable de gestión y custodia es el Ayuntamiento, su carácter y destino no son la
difusión para conocimiento de terceros, en una cuenta de FACEBOOK particular, sino la
atención del Ayuntamiento, competente para la gestión del asunto que el reclamante instó.
Como ***CARGO.1, en su puesto, esta persona, que además es el reclamado puede tener
acceso a dicho documento, pero se acredita que efectúa un uso meramente particular para
contestar a una afirmación de otro grupo político en su cuenta de FACEBOOK privado, sin
referencia alguna al Ayuntamiento o grupo político.
Las cuestiones de transparencia, si es que guardan relación con la publicidad activa
que se ha de exponer, han de serlo a través de los instrumentos específicamente
determinados en la normativa, con los requisitos correspondientes, no estando previsto en
todo caso esa divulgación oficial en el seno de FACEBOOK.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
5/8
Además, la presentación de una instancia por un particular para que se acometan
actuaciones específicas no entra dentro de las materias que se deban exponer por completo
como trasparencia activa, incluyendo los datos personales del peticionario pues no es
proporcional al fin, adecuado, ni pertinente, incluso aunque tenga un bar o regente un
negocio abierto al público, o sea conocido por ello. En este caso los datos iban ligados a una
instancia que se registra en el Ayuntamiento por ser asunto competencia de este, no para el
uso del reclamado en un medio particular cuando lo ha estimado conveniente, para lo que
no tiene competencia ni facultades.
Si lo que el reclamado quería era replicar que la iniciativa sobre la actuación vial
había sido de un particular, no es proporcional ni adecuado ni se ajusta a normativa el
tratamiento de sus datos en dicha plataforma, pudiendo por ejemplo, haber tachado datos
sin que fuera visible cualquier elemento identificativo.
El hecho de que el reclamante ostente establecimiento abierto al público, o que sea
conocido en la zona, es indistinto a efectos de protección de datos pues el reclamado
proporciona sus datos para una finalidad en un asunto publico concreto. El hecho es que
esos datos están sujetos a la reserva propia que le confiere el despacho de asuntos
administrativos, no para la difusión y comentarios con otros intervinientes.
El uso particular del reclamado escapa al círculo de responsabilidad del
Ayuntamiento como ente público. Parece claro que el ***CARGO.1 no puede utilizar los
datos de terceros para defender su actuación o gestión en una red social a nivel particular,
que nada tiene que ver con dicha cuestión ni con el sistema oficial de trasparencia por el
que se ha de manifestar su actividad.
Se desprende que en el acceso y disposición del documento obtenido y divulgado ha
intervenido la voluntad exclusiva del reclamado, que técnicamente lo trata a través de la
plataforma de FACEBOOK, y se produce gracias a ello, un conocimiento de terceros de sus
datos que no se debió de haber dado, ni por otra parte era esperado por el reclamante.
La red social FACEBOOK es una plataforma automatizada de datos, siendo en el
momento de los hechos, el reclamado el que la utilizaba como herramienta de difusión de
información. El hecho de que utilice la plataforma ofrecida para disfrutar de los servicios
asociados a ésta no le exime de cumplir la normativa de protección de datos como
responsable del tratamiento que ha llevado a cabo.
Se concluye que el reclamado realiza un tratamiento de datos con una instancia que
tuvo entrada en el ayuntamiento sobre un asunto de seguridad vial, y sin contar con el
consentimiento del titular de los datos, y con la consiguiente sorpresa, vio expuestos sus
datos, fuera de cualquier expectativa.
En el presente supuesto, la libertad de expresión del reclamado, que adicionalmente
ostentaba la condición de ***CARGO.1 en aquel momento, se pudo haber materializado
igualmente sin dar a conocer los datos completos del reclamante.
El uso de la plataforma social con fines informativos, políticos o sociales no aplica la
exención de “ámbito doméstico”. En este caso, el usuario, el reclamado asume la plena
responsabilidad de un responsable del tratamiento de datos que revela datos personales a
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
6/8
otro responsable del tratamiento de datos (SERVICIO DE RED SOCIAL, SRS) y a terceros
(otros usuarios de SRS o incluso, potencialmente, a otros responsables del tratamiento de
datos que tienen acceso a ellos). En tales circunstancias, el usuario necesitaría el
consentimiento de la personas interesada aludida, u otra base legítima que figure en el
artículo 6.1 del RGPD.
En el presente supuesto, las expresiones a título particular del reclamado no
responden a una actuación sometida a derecho administrativo por cuanto no actuaba
desplegando competencia alguna que le venga atribuida por la norma en ese aspecto, sino
que lo hace en una vía informal, emitiendo opiniones y juicios, acompañados de la instancia
que presentó en el pasado el reclamante, efectuando un uso a él favorable para rebatir lo que
manifestaba otro grupo político. Por responder a interés público la instalación del elemento
viario, el objeto, no por ello se han de sacrificar y exponer los datos del peticionario,
reclamante, no pudiendo prosperar el motivo de tratamiento de interés público.
El reclamado, actuando a título particular carece de base legitima para el tratamiento
que ha realizado, considerándose no lícito, por no sustentarse en base legitima alguna que se
contienen en alguno de los puntos del artículo 6.1.a) a f) del RGPD
En tal sentido, se procedió en la propuesta a variar la imputación al reclamado de la
infracción del artículo 5.1.f) del RGPD, por no actuar el reclamado en este caso en el marco
institucional local que es al que se le exige la toma de medidas de seguridad, y surgir, no
dentro de las competencias y organización del ayuntamiento, sino a título particular en la red
social FACEBOOK desde su cuenta personal, usando su perfil particular.
No acreditándose que dispone el reclamado de título habilitante para el tratamiento
de datos bajo cualquier perspectiva del artículo 6.1 del RGPD, ni motivo específico para el
citado tratamiento llevado a cabo, se considera que la infracción se encuadra en el artículo
5.1.a) del RGPD que indica:
Los datos personales serán:
a) tratados de manera lícita, leal y transparente en relación con el interesado («licitud,
lealtad y transparencia»);
Contribuye asimismo a esta tipificación, que además, no se tratan los datos de
manera leal cuando se presentan en un registro público y se extraen, publicándolos en un
sistema privado como es FACEBOOK, para usos particulares que ejercita el reclamado. El
reclamado debería haberse pensado si el uso que iba a dar a dichos datos confronta con la
lealtad en el uso de los mismos en cuanto se dieron con una finalidad muy concreta, sin que
este justificada la invasión en el derecho del reclamante. El escrito presentado por el
reclamante en enero 2018 como un asunto a gestionar, es susceptible de identificar a su
firmante a través de los datos que se contienen, sea en papel sea en formato electrónico.
Ese documento, al cabo de nueve meses, pudiera ser que con el asunto ya resuelto o
iniciado, se sube a una plataforma como FACEBOOK, voluntariamente por el reclamado,
procediendo a través del mismo a darse a conocer a terceros no interesados en el
procedimiento no solo el asunto sino también los datos de su presentación.
El reclamado no debería utilizar documentos de gestión, de carácter público para en
una página particular y a través de una plataforma a la que puede tener acceso cualquiera
conocer los datos del reclamante.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
7/8
En cuanto al uso propio de FACEBOOK, la principal regla de uso especialmente de
un cargo público es por regla general no exponer en una red social a título particular datos
de carácter personal de ciudadanos referidos a presentación de sus solicitudes que le iden-
tifiquen o les hagan identificables.
III
El artículo 83.5 a) del RGPD, considera que la infracción de “los principios básicos
para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos
5, 6, 7 y 9” es sancionable, con multas administrativas de 20.000.000 € como máximo o,
tratándose de una empresa, de una cuantía equivalente al 4% como máximo del volumen de
negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuan-
tía.”
El artículo 58.2 del RGPD indica: ”Cada autoridad de control dispondrá de todos los
siguientes poderes correctivos indicados a continuación:
b) sancionar a todo responsable o encargado del tratamiento con apercibimiento
cuando las operaciones de tratamiento hayan infringido lo dispuesto en el presente Regla-
mento;
d) ordenar al responsable o encargado del tratamiento que las operaciones de trata-
miento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una de-
terminada manera y dentro de un plazo especificado;
El considerando 148 del RGPD indica que a efectos de imponer la medida correctiva
adecuada, debe prestarse especial atención a la naturaleza, gravedad y duración de la
infracción, o a cualquier infracción anterior pertinente, y a cualquier otra circunstancia
agravante o atenuante. Para las personas físicas, en lugar de sanción mediante multa puede
imponerse un apercibimiento. En este caso, la divulgación de los datos acontece durante
escasas tres horas, aplicándose la medida de apercibimiento.
Por lo tanto, de acuerdo con la legislación aplicable y acreditándose la existencia
de la infracción,
la Directora de la Agencia Española de Protección de Datos RESUELVE:
PRIMERO: IMPONER a B.B.B., por una infracción del artículo 5.1.a) del RGPD, conforme
señala el artículo 83.5a) del RGPD, una sanción de APERCIBIMIENTO, de acuerdo con el
artículo 58.2.b) del RGPD .
SEGUNDO: NOTIFICAR la presente resolución a B.B.B.
TERCERO: De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la
presente Resolución se hará pública una vez haya sido notificada a los interesados.
Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de
la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los
interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de
la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día
siguiente a la notificación de esta resolución o directamente recurso contencioso
administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
8/8
arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta
de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa,
en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto,
según lo previsto en el artículo 46.1 de la referida Ley.
Mar España Martí
Directora de la Agencia Española de Protección de Datos
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es