Aapp-00029-2011 resolucion-de-fecha-14-06-2012 art-ii-culo-6.1-Lopd

RESOLUCIÓN: R/01534/2012
1/11
Procedimiento Nº AP/00029/2011
En el procedimiento de Declaración de Infracción de Administraciones Públicas
AP/00029/2011, instruido por la Agencia Española de Protección de Datos a la entidad
AYUNTAMIENTO DE PÁJARA, vista la denuncia presentada por 18 DENUNCIANTES,
y en base a los siguientes,
ANTECEDENTES
PRIMERO:
Con fecha de 12/01/2011, tuvo entrada en esta Agencia una denuncia
remitida por 18 denunciantes en los que señalan que en los pliegos de condiciones tanto
técnicas como administrativas que el Ayuntamiento de Pájara (Las Palmas) (en lo
sucesivo la denunciada), publicados en la página web de Contrataciones del Estado, se
incluye un anexo de personal adscrito al servicio en la actualidad (como información a
las empresas que quieran participar en el concurso para el contrato de un servicio),
figurando los nombres y apellidos de cada uno de los trabajadores. Se adjunta impresión
del anuncio de licitación de un “contrato de servicios de extinción de incendios y
vigilancia, salvamento y socorrismo del litoral”, publicado en la plataforma de
contratación del Estado el 7/10/2010 y una relación con datos de unos 35 trabajadores
con su nombre y apellidos, categoría, fecha de ingreso, antigüedad, tarifa de cotización,
salario anual los trabajadores.
SEGUNDO: Tras la recepción de las denuncias, el Director de la Agencia Española de
Protección de Datos, ordenó a la Subdirección General de Inspección de Datos la
realización de las actuaciones previas de investigación para el esclarecimiento de los
hechos denunciados, teniendo conocimiento de los siguientes extremos:
El Servicio de Inspección accede el 23/03/2011 a la web
“contratacióndelestado.es”, comprobando que figura la contratación “resuelta”,
adjudicación definitiva 12/11/2010, siendo el número de expediente 2/2010SER, sin que
sea posible acceder a la información asociada a dicho anuncio.
El Alcalde en funciones del Ayuntamiento de Pájara, mediante escrito con fecha
de entrada de 7/04/2011, realiza las siguientes manifestaciones como respuesta al
requerimiento de información remitido por la inspectora responsable de las actuaciones
de referencia:
Respecto a las razones por las cuales los datos de los denunciantes han
resultado de acceso público con la licitación del contrato de servicios, dichos
trabajadores lo son de la empresa EMERGENCIAS Y SEGURIDAD S.L.U., quien
mediante Acuerdo del Pleno del Ayuntamiento de Pájara de fecha 22/09/2000, resultó
adjudicataria de la concesión del servicio público de Rescate, Salvamento, Vigilancia del
Litoral y Unidad Mínima contra Incendios, del Ayuntamiento de Pájara.
Declarada dicha empresa en concurso voluntario y ante la imposibilidad de
continuar prestando el servicio, la Corporación decide iniciar procedimiento de
contratación de los servicios de referencia, mediante procedimiento abierto imponiendo
en los pliegos rectores del mismo la subrogación de los trabajadores, en virtud de lo
establecido no solo en el Estatuto de los Trabajadores sino también en el Convenio de
Empresa que rige las relaciones entre dichos trabajadores con la citada mercantil. La
c. Jorge Juan 6 28001 Madrid www.agpd.es

empresa proporcionó el listado al Ayuntamiento, según copia que adjuntan, mediante
escrito de entrada en la Corporación de 14/09/2010 con el literal “Adjuntamos al
presente escrito listado del personal de Emergencias y ¨Comunidad SLU a fecha de hoy
14/09/2010” El listado que acompañan se titula “Resumen Nómina” y concuerda con el
sellado por el Pleno del Ayuntamiento que aportan los denunciantes. Excepto en el
titulo. Desconoce el Ayuntamiento si “los trabajadores dieron su consentimiento a la
empresa para la cesión de los datos”.
Según informe que acompaña de la Agencia de Protección de Datos de la
Comunidad de Madrid de de 25/11/2008, relativo a una consulta, señala que dicho
supuesto es similar al que aquí nos ocupa, y que se refería a la subrogación de
empleados que entonces prestaban servicios para el Ayuntamiento de San Martin de
Valdeiglesias por parte de la empresa que resultara adjudicataria de la gestión de
diversos servicios públicos. En las consideraciones se apunta a la cesión de datos, a la
ley 30/2007 de 30/10 de Contratos del Sector Público que en su artículo 104 se trata de
los contratos en los que se imponga al adjudicatario la subrogación como empleador,
supuesto en el que se impone “facilitar a los licitadores en el propio pliego o en la
documentación complementaria la información sobre las condiciones de los contratos de
los trabajadores a los que afecte la subrogación que resulte necesaria para permitir la
evaluación de los costes laborales que implicará tal medida”. No obstante finaliza
indicando que los datos que pueden ser objeto de comunicación son los relativos a
puesto de trabajo, salario bruto anual, antigüedad y fecha de nacimiento, sin que sea
necesario comunicar el nombre y apellidos de los afectados. Además, indica que para
no exponer datos de carácter personal en webs institucionales, los datos personales no
deben figurar en el pliego, sino que la comunicación de los mismos se haga a través de
documentación complementaria.
Indican que el listado conteniendo los datos de los trabajadores aparece en un Anexo al
pliego, el cual “ha estado accesible desde el 7/10/2010 al 25/10/2010 fecha en la que se
terminaba el plazo para presentar proposiciones”. Añaden que al quedar desierta el
primer procedimiento, se ha vuelto a proceder a una nueva licitación “en la que se han
omitido los nombres y apellidos de los trabajadores.
TERCERO: Con fecha 13/05/2011, los denunciantes atribuyen su representación a uno
de ellos.
CUARTO: Con fecha 26/12/2012, el Director de la Agencia Española de Protección de
Datos acordó iniciar, procedimiento de declaración de infracción de las
Administraciones Públicas a Ayuntamiento de Pájara (Las Palmas), por presunta
infracción del artículo 6.1 de la Ley Orgánica 15/1999, de 13/12, de Protección de Datos
de Carácter Personal (en lo sucesivo LOPD), al exponer en una web datos de carácter
personal de empleados a los que identifica con nombre y apellidos y ofrece información
sobre su categoría, salario anual, y antigüedad, debido a que sus servicios serán objeto
de subrogación en la entidad que resulte adjudicataria de un nuevo contrato, lo que
supone un tratamiento sin consentimiento ni habilitación legal, tipificada como grave en
el artículo 44.3.d) de dicha norma.
QUINTO: Notificado el acuerdo de inicio, mediante escrito de fecha 19/01/2012 la
denunciada alega:
1) Se actuó para cumplir la Ley y en aras de las transparencia.
2) No se precisa el consentimiento de los trabajadores implicados para la
cesión de sus datos por contratación pública, ni se precisa tampoco para su
recogida pues se actúa en el ejercicio de competencia administrativa.
Acompañan copia del convenio colectivo aplicable, destacando el artículo 9.h)
titulado “Subrogación del contrato con la administración” se indica que cuando la
empresa pierda la adjudicación de los servicios concretados mediante concurso público
de adjudicación de servicios públicos por diversos motivos, la nueva empresa o la

Administración en caso de rescate, estará obligada a la subrogación en los contratos
laborales, indica en el apartado A los trabajadores a los que se aplica dicha medida,
incidiendo en tipo de contrato, fecha de incorporación, e indicando en su apartado B que
todos los supuestos se deberán acreditar por la empresa cesante a la adjudicataria, a
sus trabajadores y a los representantes. En todo momento se refiere a “empresa
adjudicataria” como por ejemplo en el apartado H que indica que la empresa cesante
deberá facilitar a la nueva adjudicataria certificación en la que consten los trabajadores
afectados por la subrogación con nombres y apellidos, y otra serie de datos.
3) No concurre culpabilidad ni siquiera negligencia debido a la complejidad,
dispersión, ambigüedad de la normativa aplicable y además, los hechos
concretos no se incardinan con precisión en el tipo infractor.
SEXTO: Con fecha 12/03/2012, se inició el período de práctica de pruebas, dando por
reproducidos a efectos probatorios la denuncia y su documentación, los documentos
obtenidos y generados por los Servicios de Inspección ante el AYUNTAMIENTO DE
PÁJARA, y el Informe de actuaciones previas de Inspección que forman parte del
expediente E/00438/2011. Asimismo, se da por reproducido a efectos probatorios, las
alegaciones al acuerdo de inicio AP/00029/2011 presentadas por AYUNTAMIENTO DE
PÁJARA, y la documentación que a ellas acompaña.
Además, se incorpora al procedimiento como pruebas, por considerarlo de
interés para el procedimiento por parte del Instructor, las consultas que constan en la
página web http://www.meh.es, que redirige a minhap.es, pestaña “Servicios”, pestaña
“Contratación”, sección Junta Consultiva de Contratación administrativa, incorporando:
1) El Informe de la Junta Consultiva de Contratación administrativa 58/09 de 26/02/2010
“Obligación de subrogarse en las relaciones laborales preexistentes”, obtenido de la
página web del Ministerio de Economía y Hacienda, referido concretamente a que no se
incluyó en los pliegos la obligación de subrogación del personal a cargo de la empresa
contratista. El informe señala que el artículo 104 de la LCSP se limita a establecer la
obligación de información, pero no una regulación sobre la materia. La obligación de
subrogación del personal deriva del convenio colectivo aplicable, igual que en caso
denunciado, la falta de previsión en los pliegos no debe afectar a su exigibilidad, pues
deriva de una norma general aplicable a todos los que actúan en el sector, debiendo
conocer los adjudicatarios este deber.
2) El Informe 33/02, de 23/10/2002. "Consulta sobre datos que deben facilitarse a los
candidatos a la adjudicación de un contrato en los supuestos que el contratista tenga la
obligación de subrogación de personal". En la consulta el consultante hace referencia a
que el licitador debería tener derecho de información a conocer los costes laborales que
va a asumir. En la respuesta se menciona el artículo 44 del Estatuto de los trabajadores,
el 49 de la LCAP sobre que el contenido de los pliegos de cláusulas administrativas
particulares incluirán los pactos y condiciones definidoras de los derechos y obligaciones
que asuman las partes en el contrato, la relación del conocimiento de los costes
laborales para poder fijar el precio de la oferta. La respuesta acepta que el contratista
deba conocer las obligaciones sectoriales que va a asumir, si bien no se infiere que
deba conocer los datos identificativos personales o contractuales e individualizados, y
menos expuestos en la web, pudiendo ser en todo caso datos de costes por puestos, o
datos contractuales disociados en los que no sea posible su identificación.
c. Jorge Juan 6 28001 Madrid www.agpd.es
3/11

SÉPTIMO: Con fecha 10/05/2012, el Instructor del procedimiento emitió Propuesta de
Resolución, en el sentido de que por el Director de la Agencia Española de Protección
de Datos se declare que el AYUNTAMIENTO DE PÁJARA ha infringido lo dispuesto en
el artículo 6.1 de la LOPD, lo que supone una infracción tipificada como grave en el
artículo 44.3.b) de la citada norma, así como que se requiera la adopción de las medidas
de orden interno que impidan que en el futuro pueda producirse una nueva infracción del
citado artículo de la mencionada Ley.
La denunciada presenta el 21/05/2012 alegaciones en las que reitera sus
argumentos.
HECHOS PROBADOS
1) Los 18 DENUNCIANTES del presente procedimiento pudieron acceder, visionar y
obtener copia del listado de trabajadores de la concesionaria EMERGENCIAS Y
SEGURIDAD S.L.U.,”, empresa en la que prestan servicios para cubrir las Emergencias
para el Ayuntamiento de Pájara (folios 1 a 3), y que aparecía expuesto en la web de
Contrataciones del Estado el 7/10/2010, con objeto de la apertura del trámite de
concurso, aportando listado de empleados en los que figuraba el sello del Ayuntamiento
de Pájara de 16/09/2010 y los nombres y apellidos de cada empleado, ligado a la
categoría, fecha de ingreso, salario anual, y antigüedad. (1 a 39).
2) EMERGENCIAS Y SEGURIDAD S.L.U. fue adjudicataria del servicio público de
rescate, salvamento y vigilancia del litoral desde 22/09/2000 y al iniciarse de nuevo el
procedimiento de contratación de dichos servicios en 2010 hubo de publicarse el
concurso (70). La denunciada reconoce que el listado que aparecía expuesto de los
empleados de EMERGENCIAS Y SEGURIDAD S.L.U., se hallaba disponible en abierto
en la web de Contrataciones del Estado como documentación complementaria a los
pliegos del contrato desde el 7/10 al 25/10/2010, fecha en que terminaba el plazo para
presentar proposiciones, y la procedencia del listado fue la petición que hizo a la
empresa EMERGENCIAS Y SEGURIDAD S.L.U, obteniendo le listado el 14/09/2010
(70 a 76).
3) El Convenio Colectivo aplicable a los empleados de la concesionaria,
EMERGENCIAS Y SEGURIDAD S.L.U. según copia que obra en expediente,
publicado en BO Provincia de las Palmas de 16/12/2005 indica en su artículo 9 la
obligación de subrogación de los contratos laborales por parte de la nueva
empresa adjudicataria. En su párrafo 9.h establece la obligación de la cesante de
facilitar a la nueva adjudicataria certificación de los trabajadores afectados así
como una relación de personal (107 y 108).
4) Los servicios de Inspección de la Agencia intentaron acceder al listado objeto de
la denuncia el 23/03/2011, en página web de la Plataforma de Contratación del
Estado, “contrataciondelestado.es” sin ser posible, constando como adjudicación
definitiva el 12/11/2010 (65 a 67).
FUNDAMENTOS DE DERECHO
I

Es competente para resolver este procedimiento el Director de la Agencia
Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37. g)
en relación con el artículo 36 de la LOPD.
II
El procedimiento de contratación administrativa se articula tradicionalmente en
dos fases: la de las actuaciones preparatorias y la de adjudicación propiamente dicha.
La primera, tiene por objeto la predeterminación administrativa de la mayor parte de los
elementos definitorios del objeto (proyecto y pliego de prescripciones) artículos y del
contenido del contrato (pliego de cláusulas administrativas). Al expediente se
incorporarán el pliego de cláusulas administrativas particulares y el de prescripciones
técnicas que hayan de regir el contrato. Esta tramitación del expediente se regirá por los
principios de publicidad, concurrencia, transparencia, accesibilidad a la documentación
y no discriminación de licitadores. Estos principios deben adecuarse a las normas
previstas. Publicidad no significa publicación, y caso de que esta se prevea por la
normativa habrá de hacerse a los sujetos concretos y de modo proporcional. Igualmente,
el sistema de transparencia no se consigue poniendo a disposición de todo el público
documentación referente al contrato.
El artículo 42 de la Ley de Contratos del Sector Público (LCSP) regula el Perfil de
contratante, Se trata de una figura novedosa introducida por la LCSP; es el sistema de
información a la actividad contractual de los Entes del Sector Público. Con el fin de
asegurar la transparencia y el acceso público a la información relativa a su actividad
contractual, los órganos de contratación difundirán, a través de Internet, su perfil de
contratante. La forma de acceso al perfil de contratante deberá especificarse en las
páginas Web institucionales que mantengan los entes del sector público, en la
Plataforma de Contratación del Estado y en los pliegos y anuncios de licitación El perfil
de contratante podrá incluir cualesquiera datos e informaciones referentes a la actividad
contractual del órgano de contratación, tales como los anuncios de información previa
contemplados en el artículo 125, las licitaciones abiertas o en curso y la documentación
relativa a las mismas, las contrataciones programadas, los contratos adjudicados, los
procedimientos anulados, y cualquier otra información útil de tipo general, como puntos
de contacto y medios de comunicación que pueden utilizarse para relacionarse con el
órgano de contratación.
El artículo 104 de la LCSP determina “Información sobre las condiciones de
subrogación en contratos de trabajo”:
“En aquellos contratos que impongan al adjudicatario la obligación de
subrogarse como empleador en determinadas relaciones laborales, el órgano de
contratación deberá facilitar a los licitadores, en el propio pliego o en la documentación
complementaria, la información sobre las condiciones de los contratos de los
trabajadores a los que afecte la subrogación que resulte necesaria para permitir la
evaluación de los costes laborales que implicará tal medida. A estos efectos, la empresa
que viniese efectuando la prestación objeto del contrato a adjudicar y que tenga la
condición de empleadora de los trabajadores afectados estará obligada a proporcionar
la referida información al órgano de contratación, a requerimiento de éste”.
III
El artículo 6.1 de la LOPD, que consagra, el principio de consentimiento,
dictamina:
c. Jorge Juan 6 28001 Madrid www.agpd.es
5/11

“1. El tratamiento de los datos de carácter personal requerirá el consentimiento
inequívoco del afectado, salvo que la Ley disponga otra cosa.
No será preciso el consentimiento cuando los datos de carácter personal se
recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el
ámbito de sus competencias; cuando se refieran a las partes de un contrato o
precontrato de una relación negocial, laboral o administrativa y sean necesarios para su
mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad
proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la
presente Ley, o cuando los datos figuren en fuentes accesibles al público y su
tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el
responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre
que no se vulneren los derechos y libertades fundamentales del interesado.”
La LOPD en su artículo 3 define en términos muy amplios el termino tratamiento
de datos como: “Operaciones y procedimientos técnicos de carácter automatizado o no,
que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y
cancelación, así como las cesiones de datos que resulten de comunicaciones,
consultas, interconexiones y transferencias”.
El tratamiento de datos sin consentimiento de los afectados constituye un límite
al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal
Constitucional en su Sentencia 292/2000, de 30/11 (FJ. 7 primer párrafo)… “consiste en
un poder de disposición y de control sobre los datos personales que faculta a la persona
para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un
particular, o cuáles puede este tercero recabar, y que también permite al individuo saber
quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o
uso. Estos poderes de disposición y control sobre los datos personales, que constituyen
parte del contenido del derecho fundamental a la protección de datos se concretan
jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los
datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos
posibles, por un tercero, sea el estado o un particular (...)”.
Son pues elementos característicos del derecho fundamental a la protección de
datos personales los derechos del afectado a consentir sobre la recogida y uso de sus
datos personales y a saber de los mismos.
El tratamiento de datos de carácter personal tiene que contar con el
consentimiento del afectado o, en su defecto, debe acreditarse que los datos provienen
de fuentes accesibles al público, que existe una Ley que ampara ese tratamiento o una
relación contractual o negocial entre el titular de los datos y el responsable del
tratamiento que sea necesaria para el mantenimiento del contrato.
En lo que atañe a la alegación de que no se precisa el consentimiento de los
trabajadores para la exposición en la página web objeto de denuncia, se debe indicar
que la relación laboral la mantienen la concesionaria con los empleados y en base a tal
trata sus datos por vinculación laboral entre ambos, no siendo entre ellos preciso
consentimiento por subsumirse en dicha relación.
No obstante, publicar los datos de los denunciantes por la denunciada, que no es
la empresa con la que mantienen relación laboral en la web, si que precisaría
consentimiento, pues resulta una cesión en cuanto al hecho de dar a conocer a terceros

ciertos datos, y en todo caso, un tratamiento al incluir sus datos en una modalidad
técnica que permite visualizar los datos e implica la puesta en conocimiento con dicha
técnica. Además, como se ha visto anteriormente, en el presente supuesto, la LCSP no
autoriza el uso y difusión en web de acceso general de la relación de trabajadores
nominada a efectos de la subrogación laboral, refiriéndose a “licitadores” y a “la
información sobre las condiciones de los contratos de los trabajadores a los que afecte
la subrogación que resulte necesaria para permitir la evaluación de los costes laborales
que implicará tal medida”, no siendo necesario el conocimiento que relaciona cada
puesto con su titular.
Respecto a la alegación hecha de que se dio cumplimiento a la Ley de
Contratos del Estado, el hecho de dar a conocer los datos de los trabajadores a través
de la web supone en sentido amplio la cesión de datos a terceros, en este caso en
primera instancia a los licitadores, pero también a cualquier persona que acceda a dicho
apartado, dándose una “Cesión o comunicación de datos: toda revelación de datos
realizada a una persona distinta del interesado” definida en el artículo 3.i de la LOPD,
que de acuerdo con el artículo 11. 1 de la misma Ley precisaría que “Los datos de
carácter personal objeto del tratamiento sólo podrán ser comunicados a un tercero para
el cumplimiento de fines directamente relacionados con las funciones legítimas del
cedente y del cesionario con el previo consentimiento del interesado.
2. El consentimiento exigido en el apartado anterior no será preciso:
a) Cuando la cesión está autorizada en una ley.”
Esta Ley que ampare la cesión, por constituir una excepción a la obtención del
consentimiento, debe prever expresamente la cesión, o del precepto que se considere
que emana la habilitación, se debe de deducir la cesión ineludiblemente para cumplir el
mismo.
La normativa analizada no prevé expresa ni explícitamente ni se deriva que sea
necesario que se hallan de conocer los datos de las personas que ocupan los puestos
por el público en general, ni siquiera por los licitadores. Las circunstancias de
categorías, salarios etc., pueden y deben a estos efectos ser tratadas de modo
disociado de los trabajadores nominativamente, solo así se podrían hacer públicas
dichas circunstancias que lo que pretenden es tener el referente para su valoración
económica.
Además, ya se ha concretado que el artículo 104 de la LCSP, en caso de
subrogación, se refiere a facilitar a los licitadores, no a cualquier persona, que se
consiguió mediante la exposición en web, y tampoco se refiere a cualquier información,
sino a la que permita evaluar los costes laborales. Además, el artículo 4.1 de la LOPD
señala: “Los datos de carácter personal sólo se podrán recoger para su tratamiento, así
como someterlos a dicho tratamiento, cuando sean adecuados, pertinentes y no
excesivos en relación con el ámbito y las finalidades determinadas, explícitas y legítimas
para las que se hayan obtenido.”, consagra el principio de pertinencia en el tratamiento
de los datos de carácter personal, que impide el tratamiento de aquellos que no sean
necesarios o proporcionados a la finalidad que justifica el tratamiento, debiendo
restringirse el tratamiento de los datos excesivos o bien procederse a la supresión de los
mismos. En consecuencia, el tratamiento del dato ha de ser “pertinente” al fin
c. Jorge Juan 6 28001 Madrid www.agpd.es
7/11

perseguido.
Este criterio, se encuentra recogido también en el artículo 6 de la Directiva
95/46/CE, Directiva 95/46/CE del Parlamento Europeo y del Consejo, de 24/10/1995,
relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos
personales y a la libre circulación de estos datos, y aparece también reflejado en el
Convenio 108, cuyo artículo 5 c) indica que "los datos de carácter personal que sean
objeto de un tratamiento automatizado (...) serán adecuados, pertinentes y no excesivos
en relación con las finalidades para las cuales se hayan registrado”.
La pertinencia en el tratamiento de los datos no sólo debe producirse en el
ámbito de la recogida e introducción de los datos en el fichero, sino que habrá asimismo
de respetarse en el posterior tratamiento que se realice de los mismos.
Obviamente el traslado de los datos de los empleados nominativamente al
adjudicatario se ha de dar, aunque no a través de la exposición en la web, pues se ha
de hacer cargo de esos contratos. Sin embargo es excesivo y no pertinente dar los
datos al licitador, pues puede conocer los costes mediante los cálculos por puesto a
asumir que debe calcular la Administración. En segundo lugar, el dar a conocer los
datos de los empleados con sus nombres y apellidos se estaría produciendo una cesión
definida en el artículo 3.i) de la LOPD como “ toda revelación de datos realizada a una
persona distinta del interesado.”, que precisaría según el artículo 11.1 y 2 a) que “Los
datos de carácter personal objeto del tratamiento sólo podrán ser comunicados a un
tercero para el cumplimiento de fines directamente relacionados con las funciones
legítimas del cedente y del cesionario con el previo consentimiento del interesado.
En el presente procedimiento se observa que los datos de carácter personal que
identifican a los denunciantes, trabajadores de la concesionaria, fueron expuestos
durante un período en una página web con acceso generalizado. La inclusión en dicho
sistema vulneró durante un período la normativa de protección de datos, y no se ajusta a
una probable autorización ex 104 de la LCSP, sin adaptarse tampoco al artículo 9 del
Convenio colectivo aplicable a los empleados.
IV
En cuanto a si los datos de personas que aparecen “colgados en la red” pueden
considerarse tratamiento automatizado de datos, la Sentencia del Tribunal de Justicia de
las Comunidades Europeas de 6/11/2003 (Bodil Lindqvist), en un supuesto en el que se
ofrecía información en una página web sobre diversas personas, señalaba en los
considerandos 24 a 27:
“En cuanto al concepto de «tratamiento» de dichos datos que utiliza el artículo 3,
apartado 1, de la Directiva 95/46, éste comprende, con arreglo a la definición del artículo
2, letra b), de dicha Directiva, «cualquier operación o conjunto de operaciones,
efectuadas o no mediante procedimientos automatizados, y aplicadas a datos
personales». Esta última disposición enumera varios ejemplos de tales operaciones,
entre las que figura la comunicación por transmisión, la difusión o cualquier otra forma
que facilite el acceso a los datos. De ello se deriva que la conducta que consiste en
hacer referencia, en una página web, a datos personales debe considerarse un
tratamiento de esta índole.
Queda por determinar si dicho tratamiento está «parcial o totalmente
automatizado». A este respecto, es preciso observar que difundir información en una
página web implica, de acuerdo con los procedimientos técnicos e informáticos que se
aplican actualmente, publicar dicha página en un servidor, así como realizar las
operaciones necesarias para que resulte accesible a las personas que están conectadas

a Internet. Estas operaciones se efectúan, al menos en parte, de manera automatizada.
Por tanto, procede responder a la primera cuestión que la conducta que consiste
en hacer referencia, en una página web, a diversas personas y en identificarlas por su
nombre o por otros medios, como su número de teléfono o información relativa a sus
condiciones de trabajo y a sus aficiones, constituye un «tratamiento total o parcialmente
automatizado de datos personales» en el sentido del artículo 3, apartado 1, de la
Directiva 95/46. “
La Directiva fija en su artículo 3 que sus disposiciones se aplicarán al tratamiento
total o parcialmente automatizado de datos personales, así como al tratamiento no
automatizado de datos personales contenidos o destinados a ser incluidos en un fichero.
La LOPD, por su parte, describe en su artículo 2 su ámbito de aplicación
mediante una descripción general positiva más genérica que la de la Directiva: será de
aplicación a los datos de carácter personal registrados en soporte físico, que los haga
susceptibles de tratamiento, y a toda modalidad de uso posterior de estos datos por los
sectores público y privado.
Pues bien, un sitio Web exige siempre cualquiera que sea su finalidad una
organización o estructura que permita el acceso a la información en él contenida por
terceros. Cumpliría así la primera de las exigencias de un fichero, la estructural u
organizativa. Pero es que además, el sitio Web contuvo datos de carácter personal,
precisamente los referidos a los denunciantes, que fueron difundidos a través de dicho
sitio, lo que supone tratamiento en el sentido antes expresado.
Por otra parte, la información que se publica en Internet puede ser consultada en
cualquier momento por un número indeterminado de personas que residen en múltiples
lugares. La ubicuidad de esta información se debe, en particular, a que los medios
técnicos empleados para acceder a Internet son relativamente sencillos y cada vez
menos costosos, teniendo en cuenta el uso intensivo de Internet el número de
destinatarios posibles es muy numeroso.
Además la exposición del listado conteniendo los datos de los trabajadores no
resulta adecuada a los fines buscados, pues se podría haber operado otro sistema en
sintonía con la finalidad del artículo 9 del Convenio Colectivo de trabajo para
emergencias y Comunidad SLU que no haría precisa la exposición denunciada.
V
En el momento en que sucedieron los hechos denunciados, octubre 2010 la
infracción se halla tipificada en el artículo 44.3.d) de la LOPD que señala “Tratar los
datos de carácter personal o usarlos posteriormente con conculcación de los principios y
garantías establecidos en la presente Ley o con incumplimiento de los preceptos de
protección que impongan las disposiciones reglamentarias de desarrollo, cuando no
constituya infracción muy grave.”
c. Jorge Juan 6 28001 Madrid www.agpd.es
9/11

A partir de 8/03/2011 se produce una modificación de la LOPD en la tipificación y
las cuantías económicas de las sanciones, entre otros preceptos, mediante la Ley
2/2011, de 4/03, de economía sostenible, en su Disposición Final quincuagésima sexta,
punto “Dos”, en el que se da nueva redacción a los apartados 2 a 4 del artículo 44, que
quedan redactados en el 44.3.b) en los siguientes términos:”Tratar datos de carácter
personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea
necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo.” No
obstante, al haberse cometido la infracción antes de su entrada en vigor, se debe
estimar que lo que procede es la tipificación en el artículo 44.3.d) de dicha LOPD.
La Audiencia Nacional ha manifestado, en su Sentencia de 22/10/03, que “la
descripción de conductas que establece el artículo 44.3 d) de la LOPD cumple las
exigencias derivadas del principio de tipicidad, a juicio de esta Sala, toda vez que del
expresado precepto se desprende con claridad cuál es la conducta prohibida. En efecto,
el tipo aplicable considera infracción grave “tratar de forma automatizada los datos de
carácter personal o usarlos posteriormente con conculcación de los principios y
garantías establecidos en la Ley, por tanto, se está describiendo una conducta –el
tratamiento automatizado de datos personales o su uso posterior- que precisa, para
configurar el tipo, que dicha conducta haya vulnerado los principios que establece la Ley
Orgánica. Ahora bien, estos principios no son de aquellos que deben inferirse de dicha
regulación legal, sino que aparecen claramente determinados y relacionados en el título
II de la Ley, concretamente, por lo que ahora interesa, en el artículo 6 se recoge un
principio que resulta elemental en la materia, que es la necesidad de consentimiento del
afectado para que puedan tratarse automatizadamente datos de carácter personal”.
Por tanto, la conducta ilícita por la que se declara la infracción de la denunciada
como responsable del tratamiento consiste en usar datos sin consentimiento de sus
titulares al ponerlos a disposición de terceros en general en la web de la plataforma de
Contratación del Estado. Estos datos fueron eliminados de la página web una vez
finalizado el plazo para formular las proposiciones.
Vistos los preceptos citados y demás de general aplicación,
El Director de la Agencia Española de Protección de Datos RESUELVE:
PRIMERO: DECLARAR que el AYUNTAMIENTO DE PÁJARA ha infringido lo
dispuesto en el artículo 6.1 de la LOPD, tipificada como grave en el artículo 44.3.d) de
de la citada Ley Orgánica.
SEGUNDO: Debido a la naturaleza de la infracción, y a que sus efectos dejaron de
existir, no se insta por parte de la Agencia la adopción de una concreta medida
correctora. No obstante, de acuerdo con lo establecido en el apartado 3 del artículo 46
de la Ley 15/1999, se solicita se comuniquen las que de forma autónoma decida adoptar
sin que quepa realizar valoración alguna por parte de esta institución al no existir
medidas específicas cuya adopción garantice que en el futuro no se vuelva a producir
infracción como la declarada.
TERCERO: NOTIFICAR la presente resolución al AYUNTAMIENTO DE PÁJARA y a
A.A.A., representante de los denunciantes.
CUARTO: COMUNICAR la presente resolución al DEFENSOR DEL PUEBLO, de
conformidad con lo establecido en el artículo 46.4 de la LOPD.

11/11
De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD,
en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de
medidas fiscales, administrativas y del orden social, la presente Resolución se hará
pública, una vez haya sido notificada a los interesados. La publicación se realizará
conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia
Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a
lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que
se aprueba el reglamento de desarrollo de la LOPD.
Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la
LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26
de noviembre, de Régimen Jurídico de las Administraciones Públicas y del
Procedimiento Administrativo Común, se podrá interponer potestativamente recurso de
reposición ante el Director de la Agencia Española de Protección de Datos en el plazo
de un mes a contar desde el día siguiente a la notificación de esta resolución, o,
directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo
de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en
el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio,
reguladora de la Jurisdicción Contencioso-administrativa (en lo sucesivo LJCA), en el
plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según
lo previsto en el artículo 46.1 del referido texto legal.
Sin embargo, el responsable del fichero de titularidad pública, de acuerdo con el
artículo 44.1 de la LJCA, sólo podrá interponer directamente recurso contencioso
administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional
con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional
cuarta de la LJCA, en el plazo de dos meses a contar desde el día siguiente a la
notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal.
Madrid, 14 de junio de 2012
EL DIRECTOR DE LA AGENCIA ESPAÑOLA
DE PROTECCIÓN DE DATOS
Fdo.: José Luis Rodríguez Álvarez
c. Jorge Juan 6 28001 Madrid www.agpd.es