1/9
Procedimiento Nº: PS/00347/2020
RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR
Del procedimiento instruido por la Agencia Española de Protección de Datos y en base
a los siguientes:
ANTECEDENTES
PRIMERO: D. A.A.A. (en adelante, el reclamante), con fecha 14/02/2020, interpuso
reclamación ante la Agencia Española de Protección de Datos. La reclamación se
dirige contra el AYUNTAMIENTO DE EL ESCORIAL con NIF P2805400E (en adelante,
el reclamado). Los motivos en que basa la reclamación son: el reclamante, trabajador
del Ayuntamiento, manifiesta que al publicarse la relación de concesión de ayudas de
acción social se vulnera la normativa de protección de datos; señala que en el listado
consta la cantidad asignada a cada trabajador en relación a la ayuda solicitada; según
el reclamante el listado de ayudas ha sido remitido a todos los trabajadores del
consistorio.
Aporta impresión del listado publicado.
SEGUNDO: Tras la recepción de la reclamación, la Subdirección General de Inspec-
ción de Datos procedió a realizar las siguientes actuaciones:
El 03/06/2020, fue trasladada al reclamado la reclamación presentada para su análisis
y comunicación al reclamante de la decisión adoptada al respecto. Igualmente, se le
requería para que en el plazo de un mes remitiera a la Agencia determinada informa-
ción:
- Copia de las comunicaciones, de la decisión adoptada que haya remitido al recla-
mante a propósito del traslado de esta reclamación, y acreditación de que el reclaman-
te ha recibido la comunicación de esa decisión.
- Informe sobre las causas que han motivado la incidencia que ha originado la recla-
mación.
- Informe sobre las medidas adoptadas para evitar que se produzcan incidencias simi-
lares.
- Cualquier otra que considere relevante.
El 11/09/2020 el reclamado remitió escrito en el que señalaba, en síntesis: que la re-
clamación se refiere a la remisión interna de las resoluciones provisionales y definiti-
vas de ayudas concedidas a los empleados municipales en el marco de fondo de ac-
ción social municipal y que dichas resoluciones solo contienen el nombre, apellidos y
cantidades asignadas a cada trabajador y requerimiento de subsanaciones en la apor-
tación de documentación.
Que resulta necesario para el trabajador conocer ambos datos pues de lo contrario ca-
recería de sentido abrir un trámite de información pública y que el trabajador conociera
la asignación concreta de cantidades que le permitirían ejercer su derecho a reclamar
o subsanar la documentación necesaria. En este sentido hay que destacar que la Ley
19/2013, de 9 de diciembre, de transparencia, acceso a la información pública y buen
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
2/9
gobierno, impuso la publicidad obligatoria de todas las subvenciones y demás ayudas
públicas. La notificación de las resoluciones no permite conocer ningún dato personal
protegido o que vulnere la confidencialidad necesaria.
Que la concesión y tramitación de las ayudas se realiza conforme al reglamento vigen-
te aprobado por la representación social de la que forma parte el reclamante. Este re-
glamento establece expresamente que las ayudas se tramitaran y estudiaran por una
comisión formada por miembros en representación de la parte social y empresa. La
secretaria encargada de la formalización de documentos y publicación de las ayudas
recae en la parte social.
Que no es el Ayuntamiento o la Concejalía delegada de personal y recursos humanos
la encargada de la tramitación y resolución de estas ayudas y por tanto tampoco pue-
de resultar responsable de las actuaciones de este órgano colegiado.
No obstante, si se considerara que esta publicación de nombres y cantidades asigna-
das pudiera vulnerar algún precepto de la ley de protección de datos, a través de la
presidencia se propondrá a este órgano la modificación de su reglamento de gestión
para que en un futuro la secretaria de este órgano lleve a cabo la notificación indivi-
dualizada a cada trabajador de la cantidad asignada.
TERCERO: El 30/09/2020, de conformidad con el artículo 65 de la LOPDGDD, la Di-
rectora de la Agencia Española de Protección de Datos acordó admitir a trámite la re-
clamación presentada por el reclamante contra el reclamado.
CUARTO: Con fecha 16/11/2019, la Directora de la Agencia Española de Protección
de Datos acordó iniciar procedimiento sancionador al reclamado por la presunta infrac-
ción del artículo 5.1.f) del RGPD, contemplada en el artículo 83.5.a) del citado Regla-
mento.
QUINTO: Notificado el acuerdo de inicio, el reclamado, en fecha 27/11/2020, presentó
escrito de alegaciones señalando que el proceso de concesión de ayudas no es de
concurrencia competitiva, de conformidad con el Reglamento municipal en la materia;
que en ningún momento se hizo pública la información en páginas web de libre acceso
por terceros; que dicha comunicación se realizó con el objeto de cumplir lo especifica-
do en el artículo 8.1.c) de la Ley 19/2013; que se propondrá la modificación del regla-
mento de gestión para que se lleve a cabo la notificación individualizada a cada traba-
jador de la cantidad asignada.
SEXTO: Con fecha 14/12/2020 se inició un período de práctica de pruebas, acordán-
dose las siguientes
- Dar por reproducidos a efectos probatorios la reclamación interpuesta por el
reclamante y su documentación, los documentos obtenidos y generados por los
Servicios de Inspección que forman parte del expediente E/10062/2019.
- Dar por reproducido a efectos probatorios, las alegaciones al acuerdo de ini-
cio presentadas por el reclamado
SEPTIMO: Con fecha 31 de marzo de 2021 se formuló propuesta de resolución, pro-
poniendo que por la Directora de la Agencia Española de Protección de Datos se san-
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
3/9
cione al AYUNTAMIENTO DE EL ESCORIAL, por una infracción del Artículo 5.1.f) del
RGPD, tipificada en el Artículo 83.5 del RGPD, con sanción de apercibimiento.
HECHOS PROBADOS
PRIMERO: El 03/12/2018 tiene entrada en la Agencia Española de Protección de Da-
tos escrito del reclamante, Presidente del Comité de Empresa, manifestando que des-
de el año 2016 se viene publicando el listado con la relación de ayudas del denomina-
do Fondo de Acción Social concedidas por el Ayuntamiento conteniendo el nombre y
apellidos de los trabajadores que han solicitado ayuda, la cuantía que percibirán del
Fondo de Acción Social y facilitando información sobre si la ayuda corresponde a gas-
to de odontología, ortodoncia, ortopedia, etc.
SEGUNDO: Consta aportada impresión de pantalla en formato excell del Listado de
ayudas concedidas.
TERCERO: El reclamado mediante escrito de 25/09/2020 ha señalado que:” la conce-
sión y tramitación de las ayudas se realiza conforme al reglamento vigente y aprobado
por la representación social de la que forma parte el reclamante.
Este reglamento establece expresamente que las ayudas se tramitaran y estudiaran
por una comisión formada por miembros en representación de la parte social y empre-
sa. La secretaria encargada de la formalización de documentos y publicación de las
ayudas recae en la parte social”.
CUARTO: El reclamado en escrito de 26/11/2020 señala que: “No obstante y si se
considerara que esta publicación de nombres y cantidades asignadas pudiera vulnerar
algún precepto de la ley de protección de datos, a través de la presidencia se propon-
drá a este órgano la modificación de su reglamento de gestión para que en un futuro la
secretaria de este órgano lleve a cabo la notificación individualizada a cada trabajador
de la cantidad asignada”.
QUINTO: Consta aportado Reglamento Conjunto de la Comisión de Acción Social del
Personal Funcionario y Laboral del Ayuntamiento de El Escorial y su Organismo autó-
nomo.
FUNDAMENTOS DE DERECHO
I
En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de
control, y según lo establecido en los artículos 47 y 48 de la LOPDGDD, la Directora
de la Agencia Española de Protección de Datos es competente para iniciar y para re-
solver este procedimiento.
II
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
4/9
Los hechos denunciados se materializan en la publicación de la relación de concesión
de ayudas de acción social en cuyo listado figuran datos de carácter personal, así
como las cantidades concedidas, causas de denegación, etc., vulnerándose el deber
de confidencialidad.
El artículo 58 del RGPD, Poderes, señala:
“2. Cada autoridad de control dispondrá de todos los siguientes poderes co-
rrectivos indicados a continuación:
(…)
b) sancionar a todo responsable o encargado del tratamiento con apercibimien-
to cuando las operaciones de tratamiento hayan infringido lo dispuesto en el presente
Reglamento;
(…)”
El artículo 5, Principios relativos al tratamiento, del RGPD establece que:
“1. Los datos personales serán:
(…)
f) tratados de tal manera que se garantice una seguridad adecuada de los da-
tos personales, incluida la protección contra el tratamiento no autorizado o ilíci-
to y contra su pérdida, destrucción o daño accidental, mediante la aplicación de
medidas técnicas u organizativas apropiadas («integridad y confidencialidad»).
(…)
También el artículo 5, Deber de confidencialidad, de la Ley Orgánica 3/2018, de 5 de
diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en
lo sucesivo LOPDGDD), señala que:
“1. Los responsables y encargados del tratamiento de datos, así como todas
las personas que intervengan en cualquier fase de este estarán sujetas al deber de
confidencialidad al que se refiere el artículo 5.1.f) del Reglamento (UE) 2016/679.
2. La obligación general señalada en el apartado anterior será complementaria
de los deberes de secreto profesional de conformidad con su normativa aplicable.
3. Las obligaciones establecidas en los apartados anteriores se mantendrán
aun cuando hubiese finalizado la relación del obligado con el responsable o encargado
del tratamiento”.
III
Por otra parte, el artículo 83.5 a) del RGPD, considera que la infracción de “los princi-
pios básicos para el tratamiento, incluidas las condiciones para el consentimiento a te-
nor de los artículos 5, 6, 7 y 9” es sancionable, de acuerdo con el apartado 5 del men-
cionado artículo 83 del citado RGPD, “con multas administrativas de 20.000.000€
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
5/9
como máximo o, tratándose de una empresa, de una cuantía equivalente al 4% como
máximo del volumen de negocio total anual global del ejercicio financiero anterior, op-
tándose por la de mayor cuantía”.
La LOPDGDD en su artículo 72 indica: “Infracciones consideradas muy graves:
1. En función de lo que establece el artículo 83.5 del Reglamento (UE)
2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que
supongan una vulneración sustancial de los artículos mencionados en aquel y, en par-
ticular, las siguientes:
a) El tratamiento de datos personales vulnerando los principios y garantías es-
tablecidos en el artículo 5 del Reglamento (UE) 2016/679.
(…)
IV
La documentación obrante en el expediente ofrece indicios evidentes de que el
reclamado, vulneró el artículo 5 del RGPD, principios relativos al tratamiento, en
relación con el artículo 5 de la LOPGDD, deber de confidencialidad, al ser publicada la
relación de concesión de ayudas de acción social y, además, ser remitido a todos los
trabajadores el listado de ayudas.
Este deber de confidencialidad es una obligación que incumbe no sólo al responsable
y encargado del tratamiento sino a todo aquel que intervenga en cualquier fase del
tratamiento y complementaria del deber de secreto profesional.
Como ya se informaba en el acuerdo de inicio en el caso de ayudas sociales había
que distinguir entre aquellas que se conceden en régimen de concurrencia competitiva
y de concurrencia no competitiva, distinguiéndose por tanto dos escenarios:
En los casos de concurrencia competitiva, y por tanto sin un número máximo de
solicitudes a aceptar por parte la entidad, la notificación debería ser individualizada de
manera que los datos de carácter personal no deberían ser accesibles para terceros.
En los casos de concurrencia no competitiva, los solicitantes – nunca los terceros al
procedimiento- podrán conocer el listado de adjudicación de las ayudas, pero no datos
no necesarios o prescindibles (ej., número de DNI).
Por consiguiente, las entidades que pretendan conceder ayudas con cargo a un fondo
de acción social no pueden publicar el listado de ayudas adjudicadas y/o denegadas
en una página web de libre acceso, o en un tablón de anuncios situado en una zona
abierta al público, porque permitiría que terceros ajenos al procedimiento tuvieran
acceso a datos de carácter personal.
El reclamado en su respuesta al acuerdo de inicio del procedimiento señalaba que el
procedimiento puesto en cuestión no era de concurrencia competitiva, realidad que
podía comprobarse tras la lectura del REGLAMENTO CONJUNTO DE LA COMISION
DE ACCION SOCIAL DEL PERSONAL FUNCIONARIO Y LABORAL DEL
AYUNTAMIENTO DE EL ESCORIAL Y SU ORGANISMO AUTONOMO.
Asimismo, señalaba que el listado conteniendo la información relativa a las ayudas no
se había publicado en páginas web de libre acceso por terceros, sino que la
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
6/9
notificación se realizó a través del programa propio de gestor documental siendo
necesario o tener acceso a dicho software y con el objetivo cumplir lo especificado en
artículo 8.1.c) de la Ley 19/2013, de 9 de diciembre, de transparencia, acceso a la
información pública y buen gobierno que señala:
“1. Los sujetos incluidos en el ámbito de aplicación de este título deberán hacer
pública, como mínimo, la información relativa a los actos de gestión administrativa con
repercusión económica o presupuestaria que se indican a continuación: (…)
c) Las subvenciones y ayudas públicas concedidas con indicación de su
importe, objetivo o finalidad y beneficiarios. (…)”
En un informe de la IGAE se indica que “las ayudas por Acción Social y los anticipos
no reembolsables concedidos al personal de las administraciones públicas no son
subvenciones ni ayudas públicas, sino que entran dentro del ámbito retributivo del
personal, y tienen el tratamiento fiscal y presupuestario de estos gastos”
Indica el reclamado que, si se pudiera considerar que dicha notificación de nombres y
cantidades asignadas pudiera vulnerar algún precepto de la ley de protección de
datos, se propondría la modificación de su reglamento de gestión para que se lleve a
cabo la notificación individualizada a cada trabajador de la cantidad asignada. Con
arreglo a lo indicado, debería procederse a la modificación señalada.
V
La LOPDGDD en su artículo 77, Régimen aplicable a determinadas categorías de res-
ponsables o encargados del tratamiento, establece lo siguiente:
“1. El régimen establecido en este artículo será de aplicación a los tratamientos
de los que sean responsables o encargados:
a) Los órganos constitucionales o con relevancia constitucional y las institucio-
nes de las comunidades autónomas análogas a los mismos.
b) Los órganos jurisdiccionales.
c) La Administración General del Estado, las Administraciones de las comuni-
dades autónomas y las entidades que integran la Administración Local.
d) Los organismos públicos y entidades de Derecho público vinculadas o de-
pendientes de las Administraciones Públicas.
e) Las autoridades administrativas independientes.
f) El Banco de España.
g) Las corporaciones de Derecho público cuando las finalidades del tratamiento
se relacionen con el ejercicio de potestades de derecho público.
h) Las fundaciones del sector público.
i) Las Universidades Públicas.
j) Los consorcios.
k) Los grupos parlamentarios de las Cortes Generales y las Asambleas Legisla-
tivas autonómicas, así como los grupos políticos de las Corporaciones Locales.
2. Cuando los responsables o encargados enumerados en el apartado 1 come-
tiesen alguna de las infracciones a las que se refieren los artículos 72 a 74 de esta ley
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
7/9
orgánica, la autoridad de protección de datos que resulte competente dictará resolu-
ción sancionando a las mismas con apercibimiento. La resolución establecerá asimis-
mo las medidas que proceda adoptar para que cese la conducta o se corrijan los efec-
tos de la infracción que se hubiese cometido.
La resolución se notificará al responsable o encargado del tratamiento, al ór-
gano del que dependa jerárquicamente, en su caso, y a los afectados que tuvieran la
condición de interesado, en su caso.
3. Sin perjuicio de lo establecido en el apartado anterior, la autoridad de protec-
ción de datos propondrá también la iniciación de actuaciones disciplinarias cuando
existan indicios suficientes para ello. En este caso, el procedimiento y las sanciones a
aplicar serán las establecidas en la legislación sobre régimen disciplinario o sanciona-
dor que resulte de aplicación.
Asimismo, cuando las infracciones sean imputables a autoridades y directivos,
y se acredite la existencia de informes técnicos o recomendaciones para el tratamiento
que no hubieran sido debidamente atendidos, en la resolución en la que se imponga la
sanción se incluirá una amonestación con denominación del cargo responsable y se
ordenará la publicación en el Boletín Oficial del Estado o autonómico que correspon-
da.
4. Se deberán comunicar a la autoridad de protección de datos las resolucio-
nes que recaigan en relación con las medidas y actuaciones a que se refieren los
apartados anteriores.
5. Se comunicarán al Defensor del Pueblo o, en su caso, a las instituciones
análogas de las comunidades autónomas las actuaciones realizadas y las resolucio-
nes dictadas al amparo de este artículo.
6. Cuando la autoridad competente sea la Agencia Española de Protección de
Datos, esta publicará en su página web con la debida separación las resoluciones re-
feridas a las entidades del apartado 1 de este artículo, con expresa indicación de la
identidad del responsable o encargado del tratamiento que hubiera cometido la infrac-
ción.
Cuando la competencia corresponda a una autoridad autonómica de protección
de datos se estará, en cuanto a la publicidad de estas resoluciones, a lo que disponga
su normativa específica”.
En el supuesto examinado, la publicación de los datos relativos a la concesión de
ayudas en materia de acción social vulnera la normativa en materia de protección de
datos de carácter personal al considerarse que vulnera el principio de confidencialidad.
De conformidad con las evidencias de las que se dispone, dicha conducta constituye,
por parte del reclamado la infracción a lo dispuesto en el artículo 5.1.f) del RGPD.
No obstante, hay que señalar que el RGPD, sin perjuicio de lo establecido en su
artículo 83, contempla en su artículo 77 la posibilidad de acudir a la sanción de
apercibimiento para corregir los tratamientos de datos personales que no se adecúen
a sus previsiones, cuando los responsables o encargados enumerados en el apartado
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
8/9
1 cometiesen alguna de las infracciones a las que se refieren los artículos 72 a 74 de
esta ley orgánica.
Asimismo, se contempla que la resolución que se dicte establecerá las medidas que
proceda adoptar para que cese la conducta, se corrijan los efectos de la infracción que
se hubiese cometido y su adecuación a las exigencias contempladas en el artículo
5.1.f) del RGPD del RGPD, así como la aportación de medios acreditativos del
cumplimiento de lo requerido.
No obstante, el reclamado ha informado a esta Agencia de las circunstancias en las
que se produjo la incidencia que propició la reclamación, así como las medidas a
adoptar a fin de evitar que hechos como el reclamado vuelvan a producirse en el
futuro, como es que se propondrá la modificación de su reglamento de gestión a fin de
llevar a cabo la notificación individualizada a cada trabajador de la cantidad asignada
del fondo de acción social, por lo que se le requiere para que informe si lo hubiera
llevado a cabo o cualquier otra medida adoptada.
Asimismo, teniendo en cuenta la ausencia de mala fe en la citada publicación, que en
ningún momento se hizo pública la información en páginas web de libre acceso por
terceros, que se realizó una notificación a través del programa interno del gestor
documental y que para acceder al mismo era necesario tener acceso al software, se
considera que la respuesta ha sido razonable, reconociendo los hechos e intentando
subsanar el error cometido, no teniéndose constancia de otras reclamaciones por
parte de las personas afectadas, por lo que no procede instar al reclamado la adopción
de medidas adicionales.
Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de gradua-
ción de las sanciones cuya existencia ha quedado acreditada,
La Directora de la Agencia Española de Protección de Datos RESUELVE:
PRIMERO: IMPONER a AYUNTAMIENTO DE EL ESCORIAL, con NIF P2805400E,
por una infracción del Artículo 5.1.f) del RGPD, tipificada en el Artículo 83.5 del RGPD,
una sanción de apercibimiento.
SEGUNDO: NOTIFICAR la presente resolución a AYUNTAMIENTO DE EL ESCO-
RIAL.
TERCERO: COMUNICAR la presente resolución al Defensor del Pueblo, de
conformidad con lo establecido en el artículo 77.5 de la LOPDGDD.
De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente
Resolución se hará pública una vez haya sido notificada a los interesados.
Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la
LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los inte-
resados podrán interponer, potestativamente, recurso de reposición ante la Directora
de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde
el día siguiente a la notificación de esta resolución o directamente recurso contencioso
administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional,
con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicio-
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
9/9
nal cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-
administrativa, en el plazo de dos meses a contar desde el día siguiente a la notifica-
ción de este acto, según lo previsto en el artículo 46.1 de la referida Ley.
Finalmente, se señala que conforme a lo previsto en el art. 90.3 a) de la LPACAP, se
podrá suspender cautelarmente la resolución firme en vía administrativa si el interesa-
do manifiesta su intención de interponer recurso contencioso-administrativo. De ser
éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito
dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Re-
gistro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-web/], o a
través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley
39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación
que acredite la interposición efectiva del recurso contencioso-administrativo. Si la
Agencia no tuviese conocimiento de la interposición del recurso contencioso-adminis-
trativo en el plazo de dos meses desde el día siguiente a la notificación de la presente
resolución, daría por finalizada la suspensión cautelar.
938-131120
Mar España Martí
Directora de la Agencia Española de Protección de Datos
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es