1/11
Procedimiento Nº: PS/00427/2020
RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR
Del procedimiento instruido por la Agencia Española de Protección de Datos y en base
a los siguientes
ANTECEDENTES
PRIMERO: D. A.A.A. (en adelante, el reclamante) con fecha 17/06/2020 interpuso
reclamación ante la Agencia Española de Protección de Datos. La reclamación se
dirige contra AYUNTAMIENTO DE GIJÓN, con NIF P3302400A (en adelante, el
reclamado). Los motivos en que basa la reclamación son, en síntesis: que el
14/02/2020 remitió correo electrónico al DPD del reclamado para consultar dónde se
puede acceder al registro de actividades de tratamiento y si las actividades de
tratamiento del Patronato Deportivo Municipal del citado Ayuntamiento (que no tiene
declarado DPD) dependen del mismo DPD (el del Ayuntamiento), y dónde puede
acceder a ellas. No consta respuesta del DPD.
SEGUNDO: Con fecha 14/08/2020, la reclamación fue trasladada al reclamado, de
conformidad con lo establecido en el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de
diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en
lo sucesivo, LOPDGDD), a fin de que procediera a su análisis, comunicara al
reclamante de la decisión adoptada y aportara a esta Agencia información al respecto.
El 22/09/2020 el reclamado remitió respuesta en la que expone las funciones del DPD,
plazos de respuesta de las actuaciones que le competen, forma de contactar. Se
desprende de esta respuesta que el Ayuntamiento no tiene establecido el registro de
actividades de tratamiento.
Por otra parte, señala que la consulta dirigida por el reclamante a la DPD no se
produjo por los medios establecidos por la entidad local (web municipal u oficinas de
atención ciudadana, según se explica en el vínculo “contacto con el Delegado de
Protección de Datos”), por lo que no cabe entender que existió falta de respuesta. Y
tampoco se produjo un incumplimiento de plazo, previsto únicamente a efectos de
responder reclamaciones ex art.37 LOPDGDD; cuando el afectado se dirija a la DPD
en reclamación, el plazo de respuesta será de dos meses o un mes, según se
presente directamente o se reciba a través de la AEPD; y para lo que no sean
reclamaciones (consultas, resolución de dudas, etc.), se trata de un procedimiento sin
plazo fijado por lo que regirá el artículo 21.3 Ley 39/2015.
Añade que es el responsable del tratamiento quien debe facilitar al interesado el
acceso al registro de actividades de tratamiento y que dicho registro se encuentra en
proceso de validación y publicación; que a fecha actual los trabajos relacionados con
el registro de actividades de tratamiento aún no han alcanzado la fase de publicación,
debido a las dilaciones derivadas del inicio de un nuevo mandato de la corporación y
sus consecuentes reajustes competenciales, unidas a las dificultades de la actual
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
2/11
crisis sociosanitaria.
TERCERO: El 16/11/2020, de conformidad con el artículo 65 de la LOPDGDD, la
Directora de la Agencia Española de Protección de Datos acordó admitir a trámite la
reclamación.
CUARTO: El 25/01/2021 la Directora de la Agencia Española de Protección de Datos
acordó iniciar procedimiento sancionador al reclamado por la presunta infracción del
artículo 30 del RGPD, tipificada en el artículo 83.4.a) del citado RGPD.
QUINTO: Notificado el acuerdo de inicio, con fecha 10/02/2021, el reclamado presentó
escrito de alegaciones señalando, en síntesis, lo siguiente:
. Señala el AYUNTAMIENTO DE GIJÓN que el 15/03/2019 se aprobó Hoja de Ruta
para la adecuación a la nueva LOPDGDD, entre cuyas medidas se encontraba la
elaboración del RAT, y adjunta un correo acerca de los trabajos preparatorios que lleva
a cabo. Sobre esta cuestión manifiesta expresamente que “se han iniciado los trabajos
aún cuando no se está en condiciones de hacerlo (el registro de actividades de
tratamiento) accesible a la ciudadanía mediante su publicación”.;
. Que la configuración del equipo de gobierno municipal a mediados de 2019 conllevó
una serie de cambios en la organización interna municipal. Así, mediante acuerdo de
la Junta de Gobierno Local de 28/07/2020, se aprobó la relación de puestos de trabajo,
suprimiéndose el Servicio de Planificación y Modernización y creándose el Servicio de
Estrategia y Coordinación de Recursos, a quien se atribuye la asistencia, respaldo
técnico y material a la Delegada de Protección de Datos;
. Que el reclamado ha tenido limitado en los últimos años el incremento de plantilla y
dificultades en el desempeño óptimo de los servicios, a lo que se ha unido la actual
crisis sociosanitaria derivada del COVI-19, que ha provocado retrasos en algunos
procesos en función de necesidades más perentorias y urgentes;
. Que, no obstante, ha decidido dar un impulso e implementación de las políticas de
seguridad y protección de datos licitando un contrato, actualmente en tramitación, para
las soluciones de gestión de la seguridad perimetral, correlación de eventos de
seguridad, capacitación en medidas de seguridad, adaptación al Esquema Nacional de
Seguridad (ENS) y al Reglamento General de Protección de datos (RGPD);
. Que la inmadurez del RAT, que impide su publicación, contrasta con el compromiso
del reclamado con la protección de los derechos de los menores, habiendo adoptado
medidas encaminadas a asegurar de forma proactiva la protección de los menores en
su relación con la entidad.
SEXTO: Con fecha 02/03/2021 se inició un período de práctica de pruebas,
acordándose las siguientes
- Dar por reproducidos a efectos probatorios la reclamación interpuesta por el
reclamante y su documentación, los documentos obtenidos y generados por los
Servicios de Inspección que forman parte del expediente E/06737/2020.
- Dar por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
3/11
presentadas por el reclamado y la documentación que acompaña.
SEPTIMO: Con fecha 03/06/2021 se formuló propuesta de resolución en el sentido de
que por la Directora de la Agencia Española de Protección de Datos se dirija un
apercibimiento a la entidad AYUNTAMIENTO DE GIJÓN, por una infracción de los
artículos 30 del RGPD y 31 de la LOPDGDD, tipificada en el Artículo 83.4.a) del
RGPD.
Asimismo, se propuso que por la Directora de la Agencia Española de Protección de
Datos se requiera al AYUNTAMIENTO DE GIJÓN para que, en el plazo que se
determine, adopte las medidas necesarias para adecuar su actuación a la normativa
de protección de datos personales, con el alcance expresado en los Fundamentos de
Derechos de la citada propuesta de resolución.
OCTAVO: Notificada a la entidad AYUNTAMIENTO DE GIJÓN la propuesta de
resolución, con fecha 17/06/2021 se recibió en esta Agencia escrito de alegaciones en
el que solicita que se tengan por atendidas las obligaciones respecto del registro de
actividades de tratamiento y se acuerde el archivo de las actuaciones en base a las
consideraciones siguientes:
. Cuestiona lo expresado en el Hecho Probado Segundo, por entender que no recoge
las circunstancias expresadas en las alegaciones formuladas al acuerdo de inicio del
procedimiento. Considera que ha de tenerse en cuenta el proceso de adaptación al
RGPD.
. De conformidad con el Considerando 82 del RGPD, el registro de actividades de
tratamiento es un instrumento para probar que la actuación del responsable cumple la
normativa, de modo que la mera ausencia de publicidad de este inventario de
actividades no implica un incumplimiento. Lo contrario supondría una suerte de
responsabilidad objetiva.
. De la misma forma, los criterios para la imposición de multa establecidos en el
artículo 83 del RGPD también son reveladores de la inexistencia de conducta
sancionable, incluidos los medios y medidas implementadas, así como las prácticas de
tratamiento del Patronato Deportivo Municipal que se aportaron como ejemplificativas,
acordes con el RGPD y con el principio de responsabilidad proactiva.
. En todo caso, con fecha 04/06/2021, por Resolución de la Alcaldía se aprobó la
“Instrucción 2/2021, del Registro de actividades de tratamiento de datos personales”,
según el cual el Inventario de actividades de tratamiento será propuesto por la
Dirección General de Servicios para su definitiva aprobación por Resolución de
Alcaldía y publicación. El Inventario será accesible por medios electrónicos en diversos
medios y canales oficiales (Boletín Oficial del Principado de Asturias, web municipal de
transparencia y en la Intranet municipal); y se mantendrá actualizado.
Y con fecha 16/06/2021 ha sido aprobado finalmente dicho “Inventario del registro de
actividades de tratamiento de datos personales” por Resolución de la Alcaldía, y
publicado por escrito y en formato electrónico, como puede comprobarse a través de la
web “gijon.es” (url “https://www.gijon.es/es/publicaciones/inventario-del-registro-de-
actividades-de-tratamiento-de-datos-personales”).
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
4/11
Según indica la reclamada, este Inventario, que está sometido a un proceso de
adaptación y mejora continua, agrupa los tratamientos por materias comunes y propias
de áreas, servicios o unidades administrativas, ascendiendo las mismas a un total de
cuarenta y cinco categorías, en la que se comprenden también las que guardan
relación con la reclamación e inicio del presente procedimiento sancionador, respecto
al Patronato Municipal de Deportes.
El escrito de alegaciones incluye un enlace al citado “Inventario”, en su edición inicial,
el cual resulta accesible a través de la url antes reseñada. Se comprueba que para
cada actividad de tratamiento se detalla su finalidad, base jurídica, categoría de datos
personales, categoría de interesados, destinatarios de las comunicaciones,
transferencias internacionales, plazos de conservación y medidas técnicas y
organizativas. Se detalla, asimismo, la identidad del responsable del tratamiento
(AYUNTAMIENTO DE GIJÓN) y los datos de contacto de la Delegada de Protección
de Datos.
De las actuaciones practicadas en el presente procedimiento, han quedado
acreditados los siguientes:
HECHOS PROBADOS
PRIMERO: El 17/06/2020 tiene entrada en la Agencia Española de Protección de
Datos escrito del reclamante manifestando que el 14-02-2020 remitió correo
electrónico al DPD del reclamado para consultar dónde se puede acceder al Registro
de las Actividades de Tratamiento de la entidad.
SEGUNDO: A fecha actual, el Ayuntamiento de Gijón no dispone del Registro de
Actividades de Tratamiento. La propia entidad reclamada, en los escritos que ha
dirigido a la Agencia Española de Protección de Datos con ocasión de la reclamación
reseñada en el Hecho Probado Primero, ha reconocido que el Registro de Actividades
de Tratamiento se encuentra en proceso de validación y que los trabajos relacionados
con dicho Registro no han alcanzado la fase de publicación.
FUNDAMENTOS DE DERECHO
I
En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de
control, y según lo establecido en los artículos 47 y 48 de la LOPDGDD, la Directora
de la Agencia Española de Protección de Datos es competente para iniciar y para
resolver este procedimiento.
II
Los hechos reclamados se materializan en la ausencia del Registro de Actividades de
Tratamiento por parte del reclamado.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
5/11
El artículo 30, “Registro de las actividades de tratamiento”, del RGPD establece que:
“1. Cada responsable y, en su caso, su representante llevará un registro de las actividades de
tratamiento efectuadas bajo su responsabilidad. Dicho registro deberá contener toda la
información indicada a continuación:
a) el nombre y los datos de contacto del responsable y, en su caso, del corresponsable, del
representante del responsable, y del delegado de protección de datos;
b) los fines del tratamiento;
c) una descripción de las categorías de interesados y de las categorías de datos personales;
d) las categorías de destinatarios a quienes se comunicaron o comunicarán los datos
personales, incluidos los destinatarios en terceros países u organizaciones internacionales;
e) en su caso, las transferencias de datos personales a un tercer país o una organización
internacional, incluida la identificación de dicho tercer país u organización internacional y, en el
caso de las transferencias indicadas en el artículo 49, apartado 1, párrafo segundo, la
documentación de garantías adecuadas;
f) cuando sea posible, los plazos previstos para la supresión de las diferentes categorías de
datos;
g) cuando sea posible, una descripción general de las medidas técnicas y organizativas de
seguridad a que se refiere el artículo 32, apartado 1.
2. Cada encargado y, en su caso, el representante del encargado, llevará un registro de todas
las categorías de actividades de tratamiento efectuadas por cuenta de un responsable que
contenga:
a) el nombre y los datos de contacto del encargado o encargados y de cada responsable por
cuenta del cual actúe el encargado, y, en su caso, del representante del responsable o del
encargado, y del delegado de protección de datos;
b) las categorías de tratamientos efectuados por cuenta de cada responsable;
c) en su caso, las transferencias de datos personales a un tercer país u organización
internacional, incluida la identificación de dicho tercer país u organización internacional y, en el
caso de las transferencias indicadas en el artículo 49, apartado 1, párrafo segundo, la
documentación de garantías adecuadas;
d) cuando sea posible, una descripción general de las medidas técnicas y organizativas de
seguridad a que se refiere el artículo 30, apartado 1.
3. Los registros a que se refieren los apartados 1 y 2 constarán por escrito, inclusive en formato
electrónico.
4. El responsable o el encargado del tratamiento y, en su caso, el representante del
responsable o del encargado pondrán el registro a disposición de la autoridad de control que lo
solicite.
5. Las obligaciones indicadas en los apartados 1 y 2 no se aplicarán a ninguna empresa ni
organización que emplee a menos de 250 personas, a menos que el tratamiento que realice
pueda entrañar un riesgo para los derechos y libertades de los interesados, no sea ocasional, o
incluya categorías especiales de datos personales indicadas en el artículo 9, apartado 1, o
datos personales relativos a condenas e infracciones penales a que se refiere el artículo 10” .
Por otra parte, el artículo 31 de la LOPDGDD establece lo siguiente:
“1. Los responsables y encargados del tratamiento o, en su caso, sus representantes deberán
mantener el registro de actividades de tratamiento al que se refiere el artículo 30 del
Reglamento (UE) 2016/679, salvo que sea de aplicación la excepción prevista en su apartado
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
6/11
5.
El registro, que podrá organizarse en torno a conjuntos estructurados de datos, deberá
especificar, según sus finalidades, las actividades de tratamiento llevadas a cabo y las demás
circunstancias establecidas en el citado reglamento.
Cuando el responsable o el encargado del tratamiento hubieran designado un delegado de
protección de datos deberán comunicarle cualquier adición, modificación o exclusión en el
contenido del registro.
2. Los sujetos enumerados en el artículo 77.1 de esta ley orgánica harán público un inventario
de sus actividades de tratamiento accesible por medios electrónicos en el que constará la
información establecida en el artículo 30 del Reglamento (UE) 2016/679 y su base legal”.
III
Las normas citadas establecen la obligación de los responsables y encargados del
tratamiento de datos personales de llevar un registro de las actividades del
tratamiento. Además, tratándose de los sujetos enumerados en el artículo 77.1 de la
LOPDGDD, entre los que se incluyen las entidades que integran la Administración
Local, como el reclamado, se obliga también a hacer público dicho registro y accesible
por medios electrónicos.
En este caso, la documentación obrante en el expediente acredita que el reclamado
vulneró el artículo 30 del RGPD, “Registro de las actividades de tratamiento”, al no
haber elaborado y publicado este registro hasta junio de 2021. Según consta en el
escrito de alegaciones a la propuesta y en la documentación que adjunta, el
“Inventario del registro de actividades de tratamiento de datos personales” del
AYUNTAMIENTO DE GIJÓN se aprobó mediante Resolución de la Alcaldía e
16/06/2021.
El propio reclamado, con anterioridad al citado trámite de audiencia, había reconocido
que corresponde al responsable del tratamiento facilitar al interesado el acceso al RAT;
y que, en su caso, dicho registro se encontraba en proceso de validación, sin que, a la
fecha en que formula sus alegaciones a la apertura del procedimiento, los trabajos
relacionados con dicho registro hubiesen alcanzado la fase de publicación. Y planteó
estas alegaciones iniciales a la apertura de acuerdo con este hecho, señalando que
ello era debido a dilaciones derivadas del inicio de un nuevo mandato de la
corporación municipal a mediados de 2019, de sus consecuentes reajustes
competenciales y de las dificultades provocadas por la actual crisis sociosanitaria.
Según la entidad reclamada, la configuración del equipo de Gobierno Municipal a
mediados de 2019, motivado por las elecciones locales, conllevó una serie de cambios
en la organización interna municipal. Por medio del Acuerdo de Junta de Gobierno
Local, de 28/07/2020, se aprobó la vigente relación de puesto de trabajo,
suprimiéndose el Servicio de Planificación y Modernización y creándose el Servicio de
Estrategia y Coordinación de Recursos, a quien se le atribuye, entre otros, la
asistencia, respaldo técnico y material a la Delegada de Protección de Datos para el
desempeño de sus funciones.
Por otra parte, señaló el reclamado que ha visto como en los últimos años por
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
7/11
circunstancias determinadas se han impuesto una serie de limitaciones y dificultades
en el desempeño óptimo de los servicios, a lo que ha venido a unirse la actual crisis
sociosanitaria derivada del COVI-19, que ha provocado retrasos en algunos procesos
en marcha, en función de necesidades más perentorias y urgentes.
Explicó el reclamado que el 15/03/2019 aprobó la “Hoja de Ruta” para la adecuación a
la nueva LOPDGDD, entre cuyas medidas se encontraba la elaboración del registro de
actividades de tratamiento, y manifestó expresamente que no se encontraba en
condiciones de hacerlo accesible a los ciudadanos mediante su publicación.
También informó que las políticas de seguridad y protección de datos estaban siendo
impulsadas mediante la licitación de un contrato para tratar de dar soluciones de
gestión derivada de la seguridad perimetral, correlación de eventos de seguridad,
capacitación en medidas de seguridad, adaptación al Esquema Nacional de Seguridad
(ENS) y al RGPD, actualmente en tramitación. Por último, señalo que la “inmadurez”
actual del registro de actividades de tratamiento impedían su publicación.
En definitiva, el reclamado, en sus respuestas a este organismo, adjuntó pruebas que
mostrarían la existencia de los trabajos preparatorios de elaboración del indicado
registro, si bien tales trabajos no habían finalizado en el momento en que se inicia el
presente procedimiento, de modo que dicho Registro no había sido elaborado a esa
fecha, ni tampoco en el momento en que se presentan las alegaciones a la apertura.
Se admitía expresamente que no se encontraba en condiciones de hacer accesible el
registro de actividades de tratamiento a los ciudadanos mediante su publicación.
A estas circunstancias se hace referencia en el Hecho Probado Segundo, que resulta
de la información facilitada por la propia entidad reclamada. No se entienden, en
consecuencia, que las alegaciones a la propuesta de resolución cuestionen lo
expresado en este hecho probado.
En cuanto a las circunstancias alegadas para justificar esta demora en la adaptación al
RGPD, la propuesta de resolución advirtió al reclamado que dicho Reglamento se
encuentra vigente desde el 24/05/2016 y plenamente aplicable desde el 25/05/2018.
Por tanto, la obligación de elaborar el registro de actividades de tratamiento es muy
anterior a la constitución de la nueva corporación municipal y al estallido de la
pandemia. Si el citado Ayuntamiento reclamado, para salvar las limitaciones alegadas,
inició recientemente los trámites para la licitación de un contrato que tiene por objeto el
desarrollo de las tareas necesarias para cumplir aquella adaptación al RGPD, bien
podía haber formalizado dicha contratación años antes.
Por otra parte, en su escrito de alegaciones a la propuesta de resolución, la entidad
reclamada considera que la falta de publicidad del registro de actividades de
tratamiento no implica un incumplimiento, teniendo en cuenta que este registro se
configura en el Considerando 82 del RGPD únicamente como un instrumento “(82)
Para demostrar la conformidad con el presente Reglamento, el responsable o el
encargado del tratamiento debe mantener registros de las actividades de tratamiento
bajo su responsabilidad”.
Es cierto este carácter instrumental del registro de actividades de tratamiento, pero
también lo es la obligación de mantenerlo. El incumplimiento de esta obligación es
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
8/11
constitutivo de infracción, según se expone en el Fundamento de Derecho siguiente.
Por tanto, en el presente caso, queda acreditado el incumplimiento de lo establecido
en los artículos 30 del RGPD y 31 de la LOPDGDD.
IV
El artículo 83.4 a) del RGPD, considera que la infracción de “las obligaciones del
responsable y del encargado a tenor de los artículos 8, 11, 25 a 39, 42 y 43” es
sancionable de acuerdo con el apartado 4 del mencionado artículo 83 del citado
RGPD, “con multas administrativas de 10.000.000 € como máximo o, tratándose de
una empresa, de una cuantía equivalente al 2% como máximo del volumen de negocio
total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía”.
A este respecto, la LOPDGDD, en su artículo 71 establece que “Constituyen
infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del
artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la
presente ley orgánica”.
A efectos del plazo de prescripción, el artículo 73 de la LOPDGDD indica:
“En función de lo que establece el artículo 83.4 del Reglamento (UE) 2016/679 se consideran
graves y prescribirán a los dos años las infracciones que supongan una vulneración sustancial
de los artículos mencionados en aquel y, en particular, las siguientes:
(…)
n) No disponer del registro de actividades de tratamiento establecido en el artículo 30 del
Reglamento (UE) 2016/679.
(…)”.
V
La LOPDGDD en su artículo 77, “Régimen aplicable a determinadas categorías de
responsables o encargados del tratamiento”, establece lo siguiente:
“1. El régimen establecido en este artículo será de aplicación a los tratamientos de los que
sean responsables o encargados:
a) Los órganos constitucionales o con relevancia constitucional y las instituciones de las
comunidades autónomas análogas a los mismos.
b) Los órganos jurisdiccionales.
c) La Administración General del Estado, las Administraciones de las comunidades autónomas
y las entidades que integran la Administración Local.
d) Los organismos públicos y entidades de Derecho público vinculadas o dependientes de las
Administraciones Públicas.
e) Las autoridades administrativas independientes.
f) El Banco de España.
g) Las corporaciones de Derecho público cuando las finalidades del tratamiento se relacionen
con el ejercicio de potestades de derecho público.
h) Las fundaciones del sector público.
i) Las Universidades Públicas.
j) Los consorcios.
k) Los grupos parlamentarios de las Cortes Generales y las Asambleas Legislativas
autonómicas, así como los grupos políticos de las Corporaciones Locales.
2. Cuando los responsables o encargados enumerados en el apartado 1 cometiesen alguna de
las infracciones a las que se refieren los artículos 72 a 74 de esta ley orgánica, la autoridad de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
9/11
protección de datos que resulte competente dictará resolución sancionando a las mismas con
apercibimiento. La resolución establecerá asimismo las medidas que proceda adoptar para que
cese la conducta o se corrijan los efectos de la infracción que se hubiese cometido.
La resolución se notificará al responsable o encargado del tratamiento, al órgano del que
dependa jerárquicamente, en su caso, y a los afectados que tuvieran la condición de
interesado, en su caso.
3. Sin perjuicio de lo establecido en el apartado anterior, la autoridad de protección de datos
propondrá también la iniciación de actuaciones disciplinarias cuando existan indicios
suficientes para ello. En este caso, el procedimiento y las sanciones a aplicar serán las
establecidas en la legislación sobre régimen disciplinario o sancionador que resulte de
aplicación.
Asimismo, cuando las infracciones sean imputables a autoridades y directivos, y se acredite la
existencia de informes técnicos o recomendaciones para el tratamiento que no hubieran sido
debidamente atendidos, en la resolución en la que se imponga la sanción se incluirá una
amonestación con denominación del cargo responsable y se ordenará la publicación en el
Boletín Oficial del Estado o autonómico que corresponda.
4. Se deberán comunicar a la autoridad de protección de datos las resoluciones que recaigan
en relación con las medidas y actuaciones a que se refieren los apartados anteriores.
5. Se comunicarán al Defensor del Pueblo o, en su caso, a las instituciones análogas de las
comunidades autónomas las actuaciones realizadas y las resoluciones dictadas al amparo de
este artículo.
6. Cuando la autoridad competente sea la Agencia Española de Protección de Datos, esta
publicará en su página web con la debida separación las resoluciones referidas a las entidades
del apartado 1 de este artículo, con expresa indicación de la identidad del responsable o
encargado del tratamiento que hubiera cometido la infracción.
Cuando la competencia corresponda a una autoridad autonómica de protección de datos se
estará, en cuanto a la publicidad de estas resoluciones, a lo que disponga su normativa
específica”.
En el supuesto que nos ocupa, se constata que el reclamado, como así lo ha
confirmado en su respuesta al requerimiento informativo de esta AEPD, ha incumplido
la obligación de tener establecido el RAT, así como la de hacerlo público por medios
electrónicos.
Dicha conducta es constitutiva, por parte del reclamado, de una infracción a lo
dispuesto en los artículos 30 del RGPD y 31 de la LOPDGDD.
Hay que señalar que el RGPD, sin perjuicio de lo establecido en su artículo 83,
contempla en su artículo 77 la posibilidad de dirigir un apercibimiento para corregir los
incumplimientos de las previsiones contempladas en dicho Reglamento y en la citada
Ley Orgánica por los responsables o encargados enumerados en el apartado 1.
Siendo así, no cabe aplicar en el presente supuesto las circunstancias establecidas
para graduar las multas administrativas, a las que se refiere el AYUNTAMIENTO DE
GIJÓN en su escrito de alegaciones a la propuesta de resolución.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
10/11
Por otra parte, se contempla que la resolución que se dicte pueda establecer las
medidas que proceda adoptar para que cese la conducta, se corrijan los efectos de la
infracción que se hubiese cometido y se lleve a cabo la necesaria adecuación, en este
caso, a las exigencias contempladas en el artículo 30 del RGPD, así como la
aportación de medios acreditativos del cumplimiento de lo requerido.
Así, conforme a lo establecido en el citado artículo 77 de la LOPD, por el instructor del
procedimiento se formuló propuesta de resolución para que por la Directora de la
AEPD se acordase requerir a la entidad responsable que adecúe su actuación a la
normativa de protección de datos personales, procediendo a elaborar el registro de
actividades de tratamiento y disponiendo lo necesario para hacerlo accesible por
medios electrónicos.
Sin embargo, con ocasión del trámite de audiencia a la propuesta de resolución, la
reclamada ha acreditado haber cumplido estas obligaciones. Consta acreditado que,
por Resolución de la Alcaldía de fecha 16/06/2021, ha sido aprobado finalmente dicho
“Inventario del registro de actividades de tratamiento de datos personales” y publicado
a través de la web “gijon.es” (url “https://www.gijon.es/es/publicaciones/inventario-del-
registro-de-actividades-de-tratamiento-de-datos-personales”).
El escrito de alegaciones incluyó un enlace al citado “Inventario”, en su edición inicial.
Se comprueba que los tratamientos se agrupan por materias comunes y propias de
áreas, servicios o unidades administrativas; y que para cada actividad de tratamiento
se detalla su finalidad, base jurídica, categoría de datos personales, categoría de
interesados, destinatarios de las comunicaciones, transferencias internacionales,
plazos de conservación y medidas técnicas y organizativas. Se detalla, asimismo, la
identidad del responsable del tratamiento (AYUNTAMIENTO DE GIJÓN) y los datos de
contacto de la Delegada de Protección de Datos.
Este “Inventario”, por su contenido y estructura, se ajusta a las previsiones reguladas
de los artículos 30 del RGPD y 31 de la LOPD. Por tanto, a fecha actual, se entiende
cumplida la obligación de llevar un registro de las actividades de tratamiento
efectuadas bajo la responsabilidad del AYUNTAMIENTO DE GIJÓN, no resultando
procedente la imposición de medidas adicionales.
Esta declaración no supone ningún pronunciamiento sobre la regularidad o licitud de
las actividades de tratamiento descritas en el registro aportado por la reclamada, ni
sobre su finalidad o base jurídica, por tratarse de aspectos que exceden el objeto del
presente procedimiento.
Por lo tanto, de acuerdo con la legislación aplicable,
la Directora de la Agencia Española de Protección de Datos RESUELVE:
PRIMERO: DIRIGIR UN APERCIBIMIENTO a la entidad AYUNTAMIENTO DE GIJÓN,
con NIF P3302400A, por una infracción de los artículos 30 del RGPD y 31 de la
LOPDGDD, tipificada en el Artículo 83.4.a) del RGPD.
SEGUNDO: NOTIFICAR la presente resolución a la entidad AYUNTAMIENTO DE
GIJÓN.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
11/11
TERCERO: COMUNICAR la presente resolución al Defensor del Pueblo, de
conformidad con lo establecido en el artículo 77.5 de la LOPDGDD.
De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente
Resolución se hará pública una vez haya sido notificada a los interesados.
Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la
LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los
interesados podrán interponer, potestativamente, recurso de reposición ante la
Directora de la Agencia Española de Protección de Datos en el plazo de un mes a
contar desde el día siguiente a la notificación de esta resolución o directamente
recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la
Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de
la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la
Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el
día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la
referida Ley.
Finalmente, se señala que conforme a lo previsto en el art. 90.3 a) de la LPACAP, se
podrá suspender cautelarmente la resolución firme en vía administrativa si el
interesado manifiesta su intención de interponer recurso contencioso-administrativo.
De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante
escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través
del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-
web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la
citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la
documentación que acredite la interposición efectiva del recurso contencioso-
administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso
contencioso-administrativo en el plazo de dos meses desde el día siguiente a la
notificación de la presente resolución, daría por finalizada la suspensión cautelar.
938-131120
Mar España Martí
Directora de la Agencia Española de Protección de Datos
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es