1/8
Expediente Nº: PS/00129/2022
RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR
Del procedimiento instruido por la Agencia Española de Protección de Datos y en base
a los siguientes
ANTECEDENTES
PRIMERO: D. A.A.A. (en adelante, la parte reclamante) con fecha 21 de febrero de
2022 interpuso reclamación ante la Agencia Española de Protección de Datos. Los
motivos en que basa la reclamación son los siguientes:
Que la parte reclamante ha tenido conocimiento, en el seno de un proceso judicial, de
la denuncia formulada por D. B.B.B., (…) de la Agrupación de Electores Socialistas de
Cacabelos, ante la Fiscalía de Área de Ponferrada el 16 de mayo de 2019, por un
delito electoral consistente en un empadronamiento masivo con la finalidad de obtener
votos en una candidatura, declarando D. B.B.B. que ha podido comprobar:
-
- Que en los meses de diciembre y noviembre de 2018 se procedió a
empadronar a unas cuarenta personas en el municipio de Cacabelos, (…).
- Que en las solicitudes de alta en el padrón consta la misma firma en todos los
documentos. Apunta que en dichas solicitudes no aparece el nombre del declarante,
únicamente el DNI correspondiente al empadronado.
La parte reclamante aporta copia del escrito remitido por D. B.B.B. a la Fiscalía del
Área de Ponferrada y acta de la Junta Electoral de Zona de Ponferrada por la que se
acuerda que las alegaciones de D. B.B.B. exceden de la competencia de la Junta,
pudiendo acudir a la vía judicial.
La parte reclamante expone que D. B.B.B. no puede tener acceso a la información del
padrón municipal, de lo que se desprende una vulneración de la protección de datos,
desconociendo el "modus operandi" y todos los autores involucrados en la presunta
infracción.
SEGUNDO: Con fecha 30 de marzo de 2022, la Directora de la Agencia Española de
Protección de Datos acordó iniciar procedimiento sancionador al AYUNTAMIENTO DE
CACABELOS, con NIF P2403100G (en adelante, la parte reclamada), con arreglo a lo
dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del
Procedimiento Administrativo Común de las Administraciones Públicas (en adelante,
LPACAP), por la presunta infracción del artículo 5.1.f) del Reglamento (UE) 2016/679
(Reglamento General de Protección de Datos, en adelante RGPD), tipificada en el
artículo 83.5 del RGPD, y por la infracción del artículo 32 del RGPD, tipificada en el
artículo 83.4 del RGPD.
El citado acuerdo de inicio fue notificado a la parte reclamada, conforme a las normas
establecidas en la LPACAP, el 30 de marzo de 2022.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
2/8
TERCERO: Con fecha de entrada en registro de 1 de abril de 2022, la parte reclamada
solicitó copia del expediente, así como ampliación de plazo para presentar
alegaciones.
El 4 de abril de 2022, se remitió a la parte reclamada el expediente, concediendo al
mismo tiempo un nuevo plazo para presentar alegaciones.
CUARTO: La parte reclamada presentó escrito de alegaciones el 26 de abril de 2022,
en el que, en síntesis, manifestaba:
1.- No existe prueba de que D. B.B.B. tuviese acceso a documentación del padrón
municipal, que cuando indica que “ha podido comprobar” es una mera manifestación
personal.
2.- Que en el caso de que hubiese alguna infracción, ésta estaría prescrita, de
conformidad con el artículo 73 de la Ley Orgánica 3/2018, de 5 de diciembre, de
Protección de Datos Personales y garantía de derechos digitales (en adelante,
LOPDGDD), el cual establece que las infracciones graves prescribirán a los dos años.
Indica que “aun no sabiendo la fecha exacta de los hechos, pero en todo caso, antes
de mayo de 2019 (fecha de la denuncia ante la Fiscalía) y habiéndose dictado acuerdo
de incoación y notificado a esta parte en abril de 2022 (art.75 de la LOPDGDD) el
acuerdo de incoación del procedimiento sancionador es más que evidente que
transcurrieron muy ampliamente los 2 años.”
QUINTO: Con fecha 29 de abril de 2022 se acuerda abrir una fase de práctica de
prueba. Se acuerda, asimismo, incorporar al expediente, a efectos de prueba, la
reclamación que dio origen al procedimiento sancionador y su documentación anexa y
las alegaciones al acuerdo de inicio del PS/00129/2022 presentadas por la parte
reclamada.
Se practican las siguientes diligencias de prueba:
a. Ante la reclamada:
1. En el mismo escrito de fecha 30 de mayo de 2022 en el que se comunica la
apertura de la fase de prueba, se requiere que remita informe sobre los siguientes
extremos:
- Quién puede acceder a las solicitudes de alta y a los datos del padrón
municipal.
- Qué medidas de seguridad ha adoptado para acceder al padrón municipal.
- Si entre los meses de noviembre y diciembre de 2018 hubo personas que se
empadronaron en (…), y en su caso, cuántos empadronamientos hubo en el citado
lugar.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
3/8
2. Con fecha 13 de mayo de 2022 se recibió respuesta de la parte reclamada a la
prueba solicitada, en el que informa de:
- Qué empleados públicos podían acceder, en los meses de noviembre y
diciembre de 2018, a las solicitudes de alta padronal a través del programa SWAL
(Sistema Web para la Administración Local)
- Qué empleados públicos podían acceder, en los meses de noviembre y
diciembre de 2018, a los datos del padrón municipal a través del programa SWAL con
objeto de obtener certificados de empadronamiento.
- Respecto a las medidas de seguridad adoptadas para acceder al Padrón
Municipal:
a) En relación con las solicitudes realizadas en formato papel,
actualmente se custodian en un armario cerrado bajo llave en las dependencias de la
Secretaría Municipal.
b) En relación con los datos del Padrón Municipal existentes en formato
digital, los mismos se recopilan a través del programa informático SWAL. Para acceder
a ese programa es necesario un registro con usuario y contraseña que se asigna
individualmente a cada empleado público y con permisos restringidos.
- Que, salvo error u omisión, entre los meses de noviembre y diciembre de
2018 se produjo el empadronamiento de 37 personas en (…).
b. Ante la parte reclamante:
1. El 12 de mayo de 2022 se requirió a la parte reclamante copia de documentación
acreditativa de que ha habido un acceso indebido al padrón municipal de Cacabelos,
siempre que se trate de documentación que no hubiera presentado en la reclamación
inicial.
2. Con fecha de entrada en registro de 19 de mayo de 2022, la parte reclamante
presenta:
- Copia del escrito presentado por D. B.B.B. ante la Fiscalía de Área de Ponferrada el
16 de mayo de 2019.
- Copia del acuerdo de la Junta Electoral de Zona de Ponferrada de fecha 13 de mayo
de 2019, donde consta la incidencia relativa a la presentación de escritos (…) de la
Agrupación de Socialistas de Cacabelos (B.B.B.), así como del ***CARGO.1 D.
C.C.C..
- Copia del decreto denuncia de la Fiscalía de Área de Ponferrada presentado ante el
Juzgado de Instrucción de Ponferrada el 3 de octubre de 2019.
- Copia de los 28 documentos de alta en el Padrón Municipal de Cacabelos, que
cuentan con los datos de 37 personas empadronadas en ***DIRECCIÓN.1 de
Cacabelos, correspondiente a (…).
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
4/8
- Copia de la grabación testifical de D. B.B.B. ante el Juzgado de Instrucción nº X de
Ponferrada el 17 de diciembre de 2019 dentro de las Diligencias Previas del
Procedimiento Abreviado 0000XXX/2019.
c. Ante D. B.B.B.:
1. La Instructora del procedimiento sancionador acuerda con fecha 29 de abril de 2022
solicitar a D. B.B.B. información respecto a:
- Cómo ha tenido conocimiento del empadronamiento de unas 40 personas en
el municipio de Cacabelos, en concreto en (…), entre los meses de noviembre y
diciembre de 2018.
- Cómo ha podido comprobar que en las solicitudes de alta en el padrón
municipal de Cacabelos que ha denunciado ante el Ministerio Fiscal, “consta la misma
firma en todos los documentos, no aparece el nombre del declarante y únicamente se
acompaña con dicha solicitud un DNI correspondiente al empadronado”, tal y como
manifiesta en el escrito que registró en la Fiscalía del Área de Ponferrada el 16 de
mayo de 2019.
2. Toda vez que resultó infructuosa la notificación de la mencionada prueba por
dirección incorrecta, con fecha 22 de julio de 2022 se solicitó al Ayuntamiento de
Cacabelos que indicara cuál es el domicilio a efectos de notificaciones de D. B.B.B..
El 28 de julio de 2022, el Ayuntamiento de Cacabelos remitió el domicilio de D. B.B.B.
que consta en el padrón municipal.
3. El 18 de agosto de 2022, la Instructora del procedimiento sancionador solicitó a D.
B.B.B. información respecto a:
- Cómo y cuándo ha tenido conocimiento del empadronamiento de unas 40
personas en el municipio de Cacabelos, en concreto en (…), entre los meses de
noviembre y diciembre de 2018.
- Cómo y cuándo ha podido comprobar que en las solicitudes de alta en el
padrón municipal de Cacabelos que ha denunciado ante el Ministerio Fiscal, “consta la
misma firma en todos los documentos, no aparece el nombre del declarante y
únicamente se acompaña con dicha solicitud un DNI correspondiente al
empadronado”, tal y como manifiesta en el escrito que registró en la Fiscalía del Área
de Ponferrada el 16 de mayo de 2019.
4. El 29 de agosto de 2022 D. B.B.B. presentó escrito en el que indica:
“- He tenido conocimiento del empadronamiento de unas 40 personas (…), en los
primeros meses del año 2019.
- He podido revisar las distintas solicitudes en los primeros meses del año 2019.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
5/8
- Por esas fechas, (primeros meses año 2019), la persona que suscribe, (…), formaba
parte del equipo de gobierno, del Ayuntamiento de Cacabelos, por lo cual tenía acceso
a todo tipo de información relacionada con el mismo.”
SEXTO: Con fecha 12 de septiembre de 2022 se formuló propuesta de resolución,
proponiendo que por la Directora de la Agencia Española de Protección de Datos se
ordene el archivo del presente expediente sancionador al AYUNTAMIENTO DE
CACABELOS, con NIF P2403100G, por encontrarse los hechos objeto del presente
procedimiento sancionador prescritos, de conformidad con la legislación vigente.
SÉPTIMO: Notificada la propuesta de resolución conforme a las normas establecidas
en la LPACAP, la parte reclamada no ha presentado escrito de alegaciones.
A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos
en el presente procedimiento se consideran hechos probados los siguientes,
HECHOS PROBADOS
PRIMERO: En los primeros meses del año 2019, D. B.B.B., miembro del equipo de
gobierno del Ayuntamiento de Cacabelos, accedió a las solicitudes de
empadronamiento de 37 personas en ***DIRECCIÓN.1 de Cacabelos, correspondiente
a (…).
SEGUNDO: Con fecha 21 de febrero de 2022, la parte reclamante interpuso
reclamación ante la Agencia Española de Protección de Datos denunciando que ha
tenido conocimiento, en el seno de un proceso judicial, de que D. B.B.B., como
representante de la Agrupación de Electores Socialistas de Cacabelos, ha accedido a
datos del padrón municipal de Cacabelos.
FUNDAMENTOS DE DERECHO
I
De acuerdo con los poderes que el artículo 58.2 del RGPD, otorga a cada autoridad de
control y según lo establecido en los artículos 47 y 48.1 de la LOPDGDD, es
competente para iniciar y resolver este procedimiento la Directora de la Agencia
Española de Protección de Datos.
Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos
tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto
en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones
reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter
subsidiario, por las normas generales sobre los procedimientos administrativos.”
II
La reclamación que ha dado lugar al procedimiento sancionador se presentó el 21 de
febrero de 2022, iniciándose mediante acuerdo de inicio de 30 de marzo de 2022.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
6/8
Durante el periodo probatorio, D. B.B.B. reconoció que accedió a las solicitudes de
empadronamiento de 37 personas en ***DIRECCIÓN.1 de Cacabelos, correspondiente
a (…) en los primeros meses del año 2019.
Es decir, que a pesar de haberse acreditado que una persona no autorizada ha tenido
acceso a datos de carácter personal del padrón municipal del Ayuntamiento de
Cacabelos, tras la práctica de una prueba completísima y la instrucción del
procedimiento tendente, entre otras cuestiones, a determinar la fecha de comisión de
los hechos, no se ha podido determinar con exactitud cuál es el día exacto de la
comisión de los hechos.
El artículo 83.4, apartado a) del RGPD, bajo la rúbrica “Condiciones generales para la
imposición de multas administrativas” dispone que:
“Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el
apartado 2, con multas administrativas de 10 000 000 EUR como máximo o,
tratándose de una empresa, de una cuantía equivalente al 2 % como máximo del
volumen de negocio total anual global del ejercicio financiero anterior, optándose por
la de mayor cuantía:
a) las obligaciones del responsable y del encargado a tenor de los artículos 8, 11, 25 a
39, 42 y 43;”
Indicando el artículo 73 de la LOPDGDD, a los solos efectos del plazo de prescripción
lo siguiente:
Artículo 73. Infracciones consideradas graves.
“En función de lo que establece el artículo 83.4 del Reglamento (UE) 2016/679 se
consideran graves y prescribirán a los dos años las infracciones que supongan una
vulneración sustancial de los artículos mencionados en aquel y, en particular, las
siguientes:
(…)
f) La falta de adopción de aquellas medidas técnicas y organizativas que resulten
apropiadas para garantizar un nivel de seguridad adecuado al riesgo del tratamiento,
en los términos exigidos por el artículo 32.1 del Reglamento (UE) 2016/679.”
Toda vez que D. B.B.B. ha tenido acceso a los datos del padrón municipal en los
primeros meses del año 2019, tal y como manifiesta reiteradamente sin concretar más,
y el acuerdo de inicio del presente procedimiento sancionador fue iniciado y notificado
a la parte reclamada el 30 de marzo de 2022, los hechos se encuentran prescritos en
relación con la infracción del artículo 32 del RGPD.
Por otro lado, el artículo 83.5, apartado a) del RGPD, bajo la rúbrica “Condiciones
generales para la imposición de multas administrativas” dispone que:
“Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el
apartado 2, con multas administrativas de 20 000 000 EUR como máximo o,
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
7/8
tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del
volumen de negocio total anual global del ejercicio financiero anterior, optándose por
la de mayor cuantía:
a) los principios básicos para el tratamiento, incluidas las condiciones para el
consentimiento a tenor de los artículos 5, 6, 7 y 9;”
Indicando el artículo 72 de la LOPDGDD, a los solos efectos del plazo de prescripción
lo siguiente:
“1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se
consideran muy graves y prescribirán a los tres años las infracciones que supongan
una vulneración sustancial de los artículos mencionados en aquel y, en particular, las
siguientes:
a) El tratamiento de datos personales vulnerando los principios y garantías
establecidos en el artículo 5 del Reglamento (UE) 2016/679.”
Consta acreditado en el presente expediente sancionador que los hechos acaecieron
en los primeros meses del año 2019, sin haber sido posible acreditar una mayor
exactitud de tal suceso a pesar de la prueba practicada, por lo que cabe la duda
razonable de que la presunta infracción del artículo 5.1.f) del RGPD haya prescrito.
Por este motivo, el acceso a los datos del padrón municipal por parte de D. B.B.B.
debería haber tenido lugar después del 30 de marzo de 2019 para que la infracción no
se considere prescrita.
Así, no constando la fecha exacta de comisión de los hechos a los efectos del
cómputo de prescripción, no pudiendo demostrarse que los hechos que integran la
infracción fueron realizados en los tres años anteriores al acuerdo de inicio del
procedimiento sancionador, el principio in dubio pro reo (en caso de duda a favor del
acusado) obliga a archivar el procedimiento al entender que la infracción podía haber
prescrito en el momento en que se acordó la iniciación del procedimiento.
Por lo tanto, de acuerdo con la legislación aplicable, la Directora de la Agencia
Española de Protección de Datos RESUELVE:
PRIMERO: ARCHIVAR el procedimiento PS/00129/2022 iniciado al AYUNTAMIENTO
DE CACABELOS, con NIF P2403100G.
SEGUNDO: NOTIFICAR la presente resolución al AYUNTAMIENTO DE
CACABELOS, con NIF P2403100G.
De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente
Resolución se hará pública una vez haya sido notificada a los interesados.
Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la
LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los
interesados podrán interponer, potestativamente, recurso de reposición ante la
Directora de la Agencia Española de Protección de Datos en el plazo de un mes a
contar desde el día siguiente a la notificación de esta resolución o directamente
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
8/8
recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la
Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de
la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la
Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el
día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la
referida Ley.
Finalmente, se señala que conforme a lo previsto en el art. 90.3.a) de la LPACAP, se
podrá suspender cautelarmente la resolución firme en vía administrativa si el
interesado manifiesta su intención de interponer recurso contencioso-administrativo.
De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante
escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través
del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-
web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la
citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la
documentación que acredite la interposición efectiva del recurso contencioso-
administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso
contencioso-administrativo en el plazo de dos meses desde el día siguiente a la
notificación de la presente resolución, daría por finalizada la suspensión cautelar.
938-120722
Mar España Martí
Directora de la Agencia Española de Protección de Datos
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es