¿Puede la AEPD multar a un ayuntamiento por no anonimizar documentos?

Cuando se conoce una resolución por publicación indebida de datos personales, surge una duda habitual: ¿puede la Agencia Española de Protección de Datos imponer una multa económica a un ayuntamiento?

La respuesta exige distinguir entre la existencia de una infracción y el tipo de consecuencia aplicable. Una Administración pública puede infringir el RGPD y la LOPDGDD, ser objeto de investigación, recibir medidas correctoras y ver publicada la resolución. Sin embargo, determinadas entidades públicas están sometidas al régimen específico del artículo 77 de la Ley Orgánica 3/2018.

Qué establece el artículo 77 de la LOPDGDD

El artículo 77 se aplica, entre otras entidades, a las Administraciones públicas y a sus organismos públicos. Cuando uno de estos responsables o encargados comete una infracción, la autoridad de protección de datos dicta una resolución que declara el incumplimiento y establece, cuando proceda, las medidas necesarias para que cese la conducta o se corrijan sus efectos.

Este régimen excluye la multa administrativa prevista en el artículo 58.2.i del RGPD para las entidades incluidas en dicho artículo. Por eso, en sentido técnico, no es correcto presentar todas las resoluciones contra ayuntamientos como multas económicas.

Fuente oficial: Artículo 77 de la Ley Orgánica 3/2018 (BOE).

Entonces, ¿una infracción municipal queda sin consecuencias?

No. La ausencia de una multa ordinaria no significa que el incumplimiento carezca de efectos. La resolución puede obligar al Ayuntamiento a retirar documentos, generar versiones anonimizadas, modificar procedimientos, acreditar la ejecución de medidas y revisar la actuación de las unidades responsables.

• Declaración pública de la infracción.
• Retirada o sustitución de documentos publicados.
• Medidas técnicas y organizativas obligatorias.
• Comunicación de la resolución al Defensor del Pueblo o institución autonómica equivalente.
• Posible propuesta de actuaciones disciplinarias cuando existan indicios suficientes.
• Daño reputacional y pérdida de confianza de la ciudadanía.
• Costes internos de investigación, corrección y atención a las personas afectadas.

El caso de Los Alcázares: medidas concretas por un acta sin anonimizar

El Ayuntamiento de Los Alcázares publicó un acta de Pleno con el nombre de un vecino, su solicitud de fraccionamiento de impuestos y las cantidades adeudadas. La AEPD consideró que la información era excesiva para la finalidad de publicidad municipal.

El Ayuntamiento tuvo que retirar el acta completa, publicar un extracto y establecer criterios generales de anonimización para actas, acuerdos y resoluciones. También comunicó instrucciones a los departamentos municipales para limitar los datos personales incluidos en los actos administrativos.

Fuente oficial: Expediente E/01062/2016.

Cuándo debe anonimizar documentos un ayuntamiento

La necesidad de anonimizar no depende únicamente de que el archivo vaya a publicarse en el portal de transparencia. También debe analizarse en respuestas al derecho de acceso, expedientes remitidos a concejales, actas, resoluciones, anuncios, contratos, subvenciones, procedimientos sancionadores y documentación compartida con terceros.

• Actas de Pleno y juntas de gobierno.
• Resoluciones de Alcaldía y decretos.
• Expedientes de contratación y subvenciones.
• Documentación tributaria y sancionadora.
• Información de personal y procesos selectivos.
• Expedientes de servicios sociales, salud o menores.
• Respuestas a solicitudes de acceso a información pública.

La mejor defensa es un proceso previo y trazable

Una revisión improvisada justo antes de publicar aumenta el riesgo de errores. El Ayuntamiento debería definir quién solicita la anonimización, quién prepara la versión pública, qué datos se detectan, quién valida el resultado y cómo se conserva evidencia del proceso.

La automatización puede reducir tiempos y mejorar la homogeneidad, pero no sustituye el criterio jurídico y funcional. El sistema debe permitir revisar cada detección, decidir qué información se mantiene y acreditar la versión finalmente publicada.

Preguntas frecuentes

¿La AEPD nunca puede imponer consecuencias económicas a una Administración?

El artículo 77 establece un régimen específico para las entidades públicas incluidas en su ámbito y excluye la multa administrativa ordinaria del artículo 58.2.i del RGPD. Debe analizarse siempre la naturaleza concreta del responsable y el tratamiento realizado.

¿Puede sancionarse personalmente a un empleado público?

La resolución puede proponer la iniciación de actuaciones disciplinarias cuando existan indicios suficientes. La eventual responsabilidad individual debe tramitarse mediante el procedimiento correspondiente y no puede presumirse automáticamente por el mero hecho de que exista una infracción de la entidad.

¿Retirar el documento cierra el procedimiento?

La retirada es una medida necesaria para contener el impacto, pero la autoridad puede continuar investigando, declarar la infracción y exigir cambios que eviten que vuelva a producirse.

Cómo ayuda anonimIA

anonimIA permite incorporar la anonimización al flujo documental de Administraciones públicas, con detección automática, revisión y trazabilidad.