Ayuntamiento de Canals: sancionan brecha de datos personales
El Ayuntamiento de Canals ha recibido un apercibimiento de la Agencia Española de Protección de Datos (AEPD) tras abandonarse en la vía pública exámenes de un taller municipal de empleo con los datos personales de tres participantes a la vista de cualquier transeúnte. La resolución del expediente sancionador, difundida por la abogada Catalina Pou en redes sociales, expone una brecha de seguridad que vulnera el principio de integridad y confidencialidad del Reglamento General de Protección de Datos. El caso reabre el debate sobre las garantías reales que las administraciones locales aplican al tratamiento documental de datos sensibles.
De la papelera al contenedor: cómo acabaron los exámenes en la calle
Los hechos se remontan a un momento indeterminado en que varios ciudadanos de Canals, municipio de la provincia de Valencia, hallaron abandonados junto a unos contenedores los exámenes de un taller de empleo gestionado por el consistorio en colaboración con el Servicio Valenciano de Empleo y Formación (LABORA). Los documentos contenían el nombre, los apellidos, el DNI y las calificaciones de tres alumnos.
Una de las vecinas indignadas difundió la situación en redes sociales, cuestionando públicamente la permisividad del ayuntamiento con documentos que permitían la identificación plena de los participantes. La viralización del caso derivó en la correspondiente denuncia ante la AEPD, que abrió el expediente sancionador nº EXP202408290.
La defensa del consistorio apuntó a una «posible confusión» que habría desviado las pruebas hacia la papelera y, de ahí, al contenedor de residuos. El protocolo interno establecido, no obstante, exige la destrucción previa del papel antes de su deposición en la papelera para recogida por los servicios de limpieza. La discrepancia entre el procedimiento formal y la práctica real constituye el núcleo de la reprobación regulatoria.
Artículo 5.1.f) del RGPD: por qué el protocolo habitual no excusa
La AEPD ha basado su resolución en el artículo 5.1.f) del Reglamento General de Protección de Datos, que obliga al responsable del tratamiento a garantizar la seguridad de los datos personales. Esta salvaguarda comprende específicamente la protección frente al tratamiento no autorizado, la pérdida fortuita y la destrucción accidental.
El órgano regulador ha desestimado el argumento de la confusión administrativa. Que el protocolo de destrucción se aplicara habitualmente en otros casos no exime al ayuntamiento de responsabilidad por su incumplimiento en esta ocasión concreta. La deficiente gestión documental permitió que terceros no autorizados accedieran a datos identificativos y académicos de los participantes del taller.
La resolución declara probada la infracción pero se detiene en el umbral de la sanción económica. El artículo 77 de la Ley Orgánica de Protección de Datos y Garantía de Derechos Digitales (LOPDGDD) somete a las entidades integrantes de la Administración local a un régimen específico que, en este caso, ha derivado en la mera advertencia sin multa.
Catalina Pou y la viralización que forzó la respuesta institucional
La abogada Catalina Pou ha sido el conducto mediante el cual la resolución ha trascendido el ámbito administrativo para entrar en el debate público. Su publicación en redes sociales del contenido del expediente ha evidenciado cómo la presión ciudadana, canalizada a través de la abogacía y las plataformas digitales, puede activar mecanismos de rendición de cuentas que de otro modo quedarían en el silencio de los registros internos.
El papel de Pou ilustra una tendencia creciente en la protección de datos hispana. Los profesionales del derecho utilizan las redes no solo para divulgación doctrinal, sino como herramienta de denuncia y seguimiento de resoluciones que afectan a derechos fundamentales de ciudadanos anónimos. El caso de Canals se suma a una lista de incidentes similares en los que la exposición pública ha precedido o acompañado la actuación de la AEPD.
Te puede interesar
La reacción en el ámbito jurídico especializado ha focalizado la atención en la asimetría sancionadora. Despachos de protección de datos y asesores de compliance cuestionan si el apercibimiento constituye medida suficiente para corregir prácticas que, repetidas sistemáticamente, generan riesgos estructurales para los titulares de datos.
El vacío del régimen sancionador público y su efecto llamada
La ausencia de multa económica al Ayuntamiento de Canals no es un hecho aislado. Constituye la aplicación consistente del artículo 77 de la LOPDGDD, que limita la capacidad punitiva de la AEPD frente a las entidades del sector público. Esta diferenciación normativa, justificada teóricamente por la naturaleza no lucrativa de la Administración, genera en la práctica una zona de impunidad relativa que los operadores privados no disfrutan.
Para los responsables de compliance en corporaciones y despachos asesores, el caso plantea una pregunta incómoda. ¿Por qué una empresa que gestionara documentación de empleo con la misma negligencia enfrentaría sanciones de hasta el 4% de su facturación global según el artículo 83.5 del RGPD, mientras que un ayuntamiento recibe un apercibimiento sin coste financiero? La coherencia del sistema de protección de datos depende en parte de la respuesta a esta disonancia.
La implicación concreta para los juristas de empresa es doble. Por un lado, reafirma la necesidad de protocolos de destrucción documental auditables y trazables, con responsables identificados en cada eslabón. Por otro, evidencia que la contratación de servicios con administraciones locales exige cláusulas de cumplimiento normativo que compensen la asimetría sancionadora con mecanismos contractuales de garantía.
Próximo hito: la AEPD y el informe anual de 2026 sobre infracciones del sector público
La resolución del expediente EXP202408290 se incorporará al próximo informe anual de actividad de la AEPD correspondiente a 2026, que suele publicarse en el primer trimestre del año siguiente. Este documento consolidará estadísticas sobre infracciones en el ámbito público y permitirá verificar si el caso de Canals forma parte de un patrón establecido o constituye una anomalía puntual.
Para los afectados directos, los tres participantes del taller de empleo, la resolución abre la posibilidad de reclamación por responsabilidad patrimonial de la Administración por daños derivados de la vulneración de sus derechos fundamentales a la protección de datos. El plazo para interponer esta reclamación, de seis meses conforme a la Ley 33/2003, de 3 de noviembre, del Patrimonio de las Administraciones Públicas, comenzará a contar desde la notificación de la resolución de la AEPD o desde su publicidad en el caso concreto.
¿Ha modificado realmente este expediente las prácticas de gestión documental del Ayuntamiento de Canals? La respuesta dependerá de si el apercibimiento se traduce en revisión de protocolos o si, una vez cerrado el expediente, se reproduce la misma cadena de negligencias que depositó los exámenes junto a los contenedores.
Preguntas frecuentes
¿Puedo reclamar daños si mis datos aparecieron en los exámenes abandonados?
Sí. Los tres afectados pueden interponer reclamación de responsabilidad patrimonial ante el Ayuntamiento de Canals por daños derivados de la vulneración de su derecho a la protección de datos. El plazo es de seis meses desde la notificación o conocimiento de los hechos.
¿Por qué no hay multa si se vulneró el RGPD?
El artículo 77 de la LOPDGDD establece un régimen sancionador específico para la Administración local que limita la capacidad de la AEPD para imponer sanciones económicas. El apercibimiento es la medida máxima aplicable en este supuesto.
¿Qué debería haber hecho el ayuntamiento con los exámenes?
El protocolo correcto exige destruir físicamente el papel antes de depositarlo en la papelera para su recogida por los servicios de limpieza. La omisión de este paso habilitó el acceso de terceros a los datos personales.
Información publicada originalmente por Confilegal.