Boletín nº 230 (01-12-2022)

Mediante el presente le comunico que el Pleno, en sesión ordinaria, celebrada el día cuatro de noviembre de 2022, adoptó, entre otros, el acuerdo cuyo tenor literal es el siguiente:

3. CONVENIO DE ADHESIÓN CON LA EXCMA. DIPUTACIÓN PROVINCIAL PARA LA ADAPTACIÓN AL REGLAMENTO GENERAL DE PROTECCIÓN DE DATOS (GEX 1456/022).

Teniendo en cuenta que el anterior Convenio de adhesión Diputación/Entidades Locales para la adaptación al Reglamento de Protección de Datos, suscrito con la Excma. Diputación de Córdoba, en fecha 6/09/2018, con una vigencia de cuatro años terminó el 6/09/2022.

Visto el informe de Secretaría que consta en el expediente, se hace necesario aprobar un nuevo Convenio para regular el Reglamento de Protección de Datos y del Esquema Nacional de Seguridad, cuyo texto es el siguiente:

ACUERDO DE COLABORACIÓN ENTRE EL AYUNTAMIENTO DE LA VICTORIA Y LA DIPUTACIÓN DE CÓRDOBA, EN RELACIÓN AL CUMPLIMIENTO DEL REGLAMENTO GENERAL DE PROTECCIÓN DE DATOS Y SEGURIDAD DE LA INFORMACIÓN.

REUNIDOS

De una parte, el Ilmo. Sr. Don Antonio Ruiz Cruz, Presidente de la Diputación Provincial de Córdoba, en virtud de autorización concedida y actuando en representación de la misma.

Y de otra parte, Don José Abad Pino, Alcalde del Excmo. Ayuntamiento de La Victoria, en nombre y representación de este, debidamente autorizado en acuerdo plenario de__________

Las partes se reconocen mutuamente plena competencia y capacidad para suscribir el presente acuerdo de colaboración y

EXPONEN

Que con fecha 25 de mayo de 2018, se produjo la plena aplicabilidad del Reglamento 2016/679, de 27 de abril, (del Parlamento Europeo y del Consejo) sobre Protección de Personas Físicas (RGPD) en lo que respecta al Tratamiento de Datos Personales y a la Libre Circulación de estos datos. La importancia del Reglamento Europeo se debe principalmente a la revolución tecnológica y la trascendencia que tienen estos datos.

Ya el artículo 37 del Reglamento Europeo impone la presencia de un Delegado de Protección de Datos al señalar que:

El responsable y el encargado del tratamiento designarán un delegado de protección de datos siempre que: a) el tratamiento lo lleve a cabo una autoridad u organismo público..&

Según el artículo 36 de La Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales.

1. El delegado de protección de datos actuará como interlocutor del responsable o encargado del tratamiento ante la Agencia Española de Protección de Datos y las autoridades autonómicas de protección de datos. El delegado podrá inspeccionar los procedimientos relacionados con el objeto de la presente ley orgánica y emitir recomendaciones en el ámbito de sus competencias.

2. Cuando se trate de una persona física integrada en la organización del responsable o encargado del tratamiento, el delegado de protección de datos no podrá ser removido ni sancionado por el responsable o el encargado por desempeñar sus funciones salvo que incurriera en dolo o negligencia grave en su ejercicio. Se garantizará la independencia del delegado de protección de datos dentro de la organización, debiendo evitarse cualquier conflicto de intereses.

3. En el ejercicio de sus funciones el delegado de protección de datos tendrá acceso a los datos personales y procesos de tratamiento, no pudiendo oponer a este acceso el responsable o el encargado del tratamiento la existencia de cualquier deber de confidencialidad o secreto, incluyendo el previsto en el artículo 5 de esta Ley Orgánica.

4. Cuando el delegado de protección de datos aprecie la existencia de una vulneración relevante en materia de protección de datos lo documentará y lo comunicará inmediatamente a los órganos de administración y dirección del responsable o el encargado del tratamiento.

El artículo 37 de La Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales señala:

1. Cuando el responsable o el encargado del tratamiento hubieran designado un delegado de protección de datos el afectado podrá, con carácter previo a la presentación de una reclamación contra aquéllos ante la Agencia Española de Protección de Datos o, en su caso, ante las autoridades autonómicas de protección de datos, dirigirse al delegado de protección de datos de la entidad contra la que se reclame.

En este caso, el delegado de protección de datos comunicará al afectado la decisión que se hubiera adoptado en el plazo máximo de dos meses a contar desde la recepción de la reclamación.

2. Cuando el afectado presente una reclamación ante la Agencia Española de Protección de Datos o, en su caso, ante las autoridades autonómicas de protección de datos, aquellas podrán remitir la reclamación al delegado de protección de datos a fin de que este responda en el plazo de un mes.

Si transcurrido dicho plazo el delegado de protección de datos no hubiera comunicado a la autoridad de protección de datos competente la respuesta dada a la reclamación, dicha autoridad continuará el procedimiento con arreglo a lo establecido en el Título VIII de esta Ley Orgánica y en sus normas de desarrollo.

3. El procedimiento ante la Agencia Española de Protección de Datos será el establecido en el Título VIII de esta Ley Orgánica y en sus normas de desarrollo. Asimismo, las comunidades autónomas.

Que el 18 de mayo de 2018, se acordó por el Pleno de la Diputación de Córdoba, el ACUERDO DE COLABORACIÓN ENTRE DIPUTACIÓN Y EELL DE LA PROVINCIA PARA ADECUACIÓN Y CUMPLIMIENTO DEL REGLAMENTO GENERAL DE PROTECCIÓN DE DATOS.

El Pleno de este Ayuntamiento aprobó dicho acuerdo, en sesión ordinaria, celebrada el 29 de mayo de 2018, y se firmó su texto por ambas Entidades, el 26 de octubre de 2018.

Que al objeto de mantener esta colaboración se precisa la firma de un nuevo acuerdo de colaboración dotado de una mayor precisión en su redacción y que atienda a la la necesidad de los Ayuntamientos de ser asistidos no sólo en la materia de protección de datos, sino también en la seguridad de la información.

El RGPD prevé, como hemos indicado, que todas las autoridades u organismos públicos nombrarán un DPD. También establece cuáles habrán de ser los criterios para su designación (cualidades profesionales y conocimientos en derecho y práctica de la protección de datos), su posición en la organización y sus funciones. Prevé, igualmente, que en el caso de las autoridades u organismos públicos puedan nombrarse un único DPD para varios de ellos, teniendo en cuenta su tamaño y estructura organizativa.

En el ámbito de las AALL las dimensiones de las organizaciones harán inviable en muchos casos que una entidad local cuente con un DPD integrado en su plantilla, ya sea a tiempo completo o a tiempo parcial. Por ello, será preciso encontrar soluciones que permitan que los entes locales cumplan las obligaciones del RGPD en este punto de una forma que se adapte a sus especiales características. Entre las posibles opciones se encuentra la contratación de la actividad de DPD por parte de varias entidades como prestación de servicios o el establecimiento de servicios de DPD a disposición de los municipios en las Diputaciones Provinciales.

En todo caso, debe asegurarse que los DPD designados reúnen los requisitos de cualificación y competencia establecidos por el RGPD y que su actividad en relación con las entidades en las que desempeñen sus funciones debe también seguir los criterios marcados por el RGPD.

La designación del DPD debe comunicarse a las autoridades de protección de datos. Asimismo, deben establecerse mecanismos para que los interesados puedan contactar con el DPD.

En el ámbito de esta Diputación Provincial hemos de acudir a lo dispuesto en el artículo 11 y siguientes de la Ley 5/2010, de 11 de junio, de Autonomía Local de Andalucía que contempla expresamente la asistencia técnica de la provincia en ámbitos tales como el Asesoramiento Jurídico, Técnico, la implantación de Tecnología de la Información y Administración Electrónica y en el mismo sentido el artículo 36 de Ley 7/1985, de 2 de abril, reguladora de las Bases del Régimen Local que atribuye como competencia propia de las Diputaciones la prestación de los servicios de Administración Electrónica y el soporte provincial a los Ayuntamientos para la tramitación de procedimientos administrativos y realización de actividades materiales y de gestión cuando aquellos se las encomienden.

Que para garantizar el cumplimiento de las obligaciones que la nueva normativa impone en materia de protección de datos a los Ayuntamientos de nuestra Provincia, se ha redactado acuerdo de adecuación y cumplimiento del citado Reglamento General, contemplando las obligaciones o compromisos de naturaleza más perentoria y relevante, tales como el denominado Registro de Actividades de Tratamiento, el Impacto de Evaluación y Análisis de Riesgo y muy especialmente las funciones asignadas al Delegado de Protección de Datos que serán las siguientes:

a) Informar y asesorar al responsable o al encargado del tratamiento y a los empleados que se ocupen del tratamiento de las obligaciones que les incumben en virtud del presente Reglamento y de otras disposiciones de protección de datos de la Unión o de los Estados miembros.

b) Supervisar el cumplimiento de lo dispuesto en el presente Reglamento, de otras disposiciones de protección de datos de la Unión o de los Estados miembros y de las políticas del responsable o del encargado del tratamiento en materia de protección de datos personales, incluida la asignación de responsabilidades, la concienciación y formación del personal que participa en las operaciones de tratamiento, y las auditorías correspondientes.

c) Ofrecer el asesoramiento que se le solicite acerca de la evaluación de impacto relativa a la protección de datos y supervisar su aplicación de conformidad con el artículo 35.

d) Cooperar con la autoridad de control.

e) Actuar como punto de contacto de la autoridad de control para cuestione relativas al tratamiento, incluida la consulta previa a que se refiere el artículo 36, y realizar consultas, en su caso, sobre cualquier otro asunto.

Por todo ello, se establecen las siguientes:

ESTIPULACIONES

PRIMERA. Objeto del Acuerdo.

Este acuerdo tiene por objeto regular la colaboración entre la Diputación de Córdoba y el Ayuntamiento en materia de Protección de Datos y seguridad en la información.

SEGUNDA. Ámbito de Aplicación y Vigencia.

El plazo de vigencia del acuerdo es de 4 años.

La denuncia expresa de alguna de las Administraciones intervinientes deberá ser realizada con una antelación mínima de tres meses a la fecha de extinción.

También podrá extinguirse la vigencia del convenio por el mutuo acuerdo de las Administraciones intervinientes, así como por lo dispuesto en Cláusula QUINTA del presente.

TERCERA. Compromisos que asume la Diputación de Córdoba.

1. Asumir las funciones de Delegado de Protección de Datos, y comunicarlo a la Agencia Española de Protección de Datos (a AEPD). Esta asunción de funciones incluye las tareas de asesoramiento y supervisión siguientes:

-Asistir en el cumplimiento de principios relativos al tratamiento, como los de limitación de finalidad, minimización o exactitud de los datos.

-Diseño e implantación de medidas de información a los afectados por los tratamientos de datos.

-Establecimiento de mecanismos de recepción y gestión integral de las solicitudes de ejercicio de derechos por parte de los interesados.

-Asistencia en la contratación de encargados de tratamiento, incluido el contenido de los contratos o actos jurídicos que regulen la relación responsable-encargado y revisión de pliegos administrativos.

-Diseño e implantación de políticas de protección de datos.

-Auditorías de protección de datos.

-Establecimiento y gestión de los registros de actividades de tratamiento.

-Implantación de las medidas de protección de datos desde el diseño y protección de datos por defecto adecuadas a los riesgos y naturaleza de los tratamientos.

-Implantación de las medidas de seguridad adecuadas a los riesgos y naturaleza de los tratamientos.

-Establecimiento de procedimientos de gestión de violaciones de seguridad de los datos, incluida la evaluación del riesgo para los derechos y libertades de los afectados y los procedimientos de notificación a las autoridades de supervisión y a los afectados

-Determinación de la necesidad de realización de evaluaciones de impacto sobre la protección de datos y análisis de riesgo en los tratamientos realizados.

-Relaciones con las autoridades de supervisión.

-Implantación de programas de formación y sensibilización del personal en materia de protección de datos.

2. Realizar el Registro de Actividades de Tratamiento, Impacto de Evaluación y Análisis de Riesgo conforme a lo establecido en RGPD, incluyendo los datos correspondientes a esta Entidad Local y a su sector público institucional.

3. Asistir en la implantación y desarrollo del Esquema Nacional de Seguridad, y de manera concreta categorizar los sistemas de información de las entidades que se convenien a nivel bajo.

4. Realizar cuantas revisiones sean precisas para mantener actualizada dicha información.

CUARTA. Compromisos que asume la Entidad Local

1. La Entidad local se compromete a dar la información que se le solicite para la realización del Registro de Actividades de Tratamiento, Impacto de Evaluación y Análisis de Riesgo.

2. Asignará el mismo Delegado de Protección de Datos de la institución provincial para realizar dichas funciones en la entidad local.

3. Comunicar al Delegado de Protección de Datos cuantas modificaciones se realicen, a fin de que puedan mantenerse actualizados dichos documentos.

QUINTA Cumplimiento de obligaciones

En caso de incumplimiento grave de las obligaciones o compromisos por cada una de las partes, se le podrá notificar requerimiento para su cumplimiento en un determinado plazo, no superior a tres meses, con las obligaciones o compromisos que se consideren incumplidos; trascurrido el plazo anterior y de persistir el incumplimiento se procederá en los términos previstos por el artículo 51 de Ley 40/2015, de Régimen Jurídico del Sector Público.

SEXTA. Seguimiento y control

Para asegurar el cumplimiento de las obligaciones y compromisos y como mecanismo de seguimiento y control, que resolverá igualmente los problemas de interpretación y cumplimiento, se designa a una Comisión Técnica que estará compuesta por el Delegado de Protección designado, la Responsable de la Unidad de Modernización y Administración Electrónica y el Gerente de EPRINSA, quienes contarán en las reuniones que a tal efecto se celebren con la asistencia del personal técnico que se considere oportuno y del representante que se designe por parte del Ayuntamiento.

Y en prueba de conformidad con cuanto antecede, se firma el presente acuerdo

Tras deliberación y por unanimidad de miembros, 11 votos, en todo caso mayoría absoluta del numero legal de miembros, se acuerda:

PRIMERO. Aprobar el Convenio para adaptación al RGPD de la Diputación Provincial de Córdoba, cuyo texto se recoge anteriormente.

SEGUNDO. Designar como Delegado de Protección de Datos de esta Entidad, al Delegado de Protección de Datos que haya sido nombrado por la Diputación de Córdoba.

TERCERO. Dar traslado de la presente resolución a la Diputación Provincial de Córdoba para su conocimiento, significando que la persona que llevará a cabo la firma electrónica del Convenio será don José Abad Pino, con DNI 30.494.331B.

CUARTO. Publicar el presente acuerdo en el Boletín Oficial de la Provincia de Córdoba de Córdoba en cumplimiento del artículo 11.3.b) de la LRJSP.

RECURSOS: Contra el ACUERDO que se notifica podrá interponerse bien recurso de reposición potestativo ante el mismo Órgano que dictó el acto en el plazo de 1 mes contado a partir del día siguiente al de la notificación del presente acuerdo; bien se podrá impugnar directamente ante la Jurisdicción Contencioso-Administrativa en el plazo de 2 meses contados a partir del día siguiente al de la notificación del acuerdo. Se advierte no obstante que si se interpone recurso potestativo de reposición, no se podrá interponer recurso contencioso-administrativo hasta que sea resuelto expresamente o se haya producido la desestimación presunta del recurso de reposición interpuesto. No obstante, podrá interponer cualquier otro recurso que estime procedente.

La Victoria, a 23 de noviembre de 2022. Firmado electrónicamente por la Secretaria Interventora, Inmaculada Blanco Muñoz.