El reclamente afirma que el 9 de diciembre de 2021 presentó un documento solicitando una copia del Registro de Actividades de Tratamiento (RAT) a un Ayuntamiento, con el fin de ejercer su derecho de acceso a sus datos personales. Indica que el RAT no está publicado y que no recibió ninguna respuesta a su solicitud.

El Ayuntamiento confirma que en la fecha en que el demandante solicitó el acceso al RAT, este no estaba disponible, razón por la cual su solicitud no fue atendida.

La AEPD destaca que el Reglamento General de Protección de Datos de la Unión Europea entró en vigor en mayo de 2016, y su aplicación directa comenzó el 25 de mayo de 2018. Por tanto, las partes responsables del tratamiento de datos personales tuvieron una holgura de tiempo significativa para implementar las medidas necesarias para cumplir con la referida normativa.

Además, tal y como se sostiene en el escrito presentado, el reclamado licitó los servicios de auditoría de revisión y adecuación de cumplimiento del ENS (Esquema Nacional de Seguridad), solicitado a todo el sector público, en octubre de 2022. No obstante, estaba obligado a haber ejecutado el RAT desde el inicio del tratamiento.

Pese a que el reclamante ya ha elaborado el RAT, cumpliendo con lo regulado en los arts. 30 RGPD y 31.2 LOPDGDD, cabe destacar que en el momento de la presentación de la denuncia que ha desencadenado este procedimiento sancionador, la parte demandada no disponía del RAT. Por lo tanto, se evidencia un incumplimiento de la normativa actual de protección de datos.

En base a lo expuesto, se considera pertinente imponer una sanción a la Administración reclamada por infracción del art. 31.2 a LOPDGDD, habiendo transgredido lo establecido en el art. 30 RGPD

Resolución AEPD PS-00383-2023