Tu ayuntamiento: cada obligación con su norma, y los documentos para que los revises.
ENS conforme RD 311/2022, pliegos LCSP con cláusulas Art. 28 + ENS actualizadas, portal de transparencia minimizado, videovigilancia municipal con el régimen que toca a cada cámara, brechas notificadas en 72h vía Sede Electrónica. Razonamiento auditable sobre la Guía AEPD entidades locales y los apercibimientos documentados a ayuntamientos.
- 3 preguntas
- sin registro
- sin tarjeta
Situación por situación, con la norma que la impone.
Esto es lo propio del sector. Lo que te toca por tu tamaño o por lo que haces (web, cámaras, datos de salud…) lo ves en «¿Qué me aplica?», con este sector ya marcado.
-
Situación 01
Contratar servicio cloud o software con LCSP + ENS
Qué puede costar si se incumpleApercibimiento AEPD + posible nulidad contrato + responsabilidad disciplinaria
- El problema
- Vais a contratar un servicio cloud (correo, expediente electrónico, web municipal). Los pliegos antiguos no incluyen cláusulas ENS actualizadas ni Art. 28 RGPD completo. La AEPD detecta la ausencia en inspección y el contrato puede ser nulo (Art. 39 LCSP).
- Qué exige la normativa
- Categorización ENS previa (RD 311/2022) · pliegos LCSP DA 25ª + Art. 122.2 actualizados · verificación certificación ENS del proveedor · contrato Art. 28 RGPD · transferencias internacionales · auditoría obligatoria categoría media/alta.
- Cómo lo resuelve AIM ÆGIS
- Plantilla de pliegos con cláusulas LCSP + ENS + Art. 28 listas. Checklist por categoría ENS. Listado de proveedores con certificación ENS verificada. Categorizador asistido por el agente.
-
Situación 02
Publicación en portal de transparencia minimizada
Qué puede costar si se incumpleResolución que declara la infracción y ordena corregirla, como al Ayuntamiento de Jerez de los Caballeros por publicar en sus actas el nombre y el NIF de un vecino (PS/00055/2024)
- El problema
- El portal de transparencia exige publicar subvenciones, contratos menores, retribuciones, actas plenarias. Si publicáis con DNI completos y direcciones, la AEPD declara la infracción, como hizo con el Ayuntamiento de Jerez de los Caballeros por las actas de pleno con el nombre y el NIF de un vecino (PS/00055/2024).
- Qué exige la normativa
- Verificar base jurídica concreta · minimización Art. 5.1.c · anonimización parcial · revisión previa por DPD · actas plenarias: acuerdos sin transcripciones íntegras con datos personales · registro auditable.
- Cómo lo resuelve AIM ÆGIS
- Checklist de revisión por DPD antes de publicar · plantilla de acta minimizada · automatización del tachado de DNI parcial · listado de qué publicar exigido por cada tipología.
-
Situación 03
Designar y mantener al Delegado de Protección de Datos
Qué puede costar si se incumpleApercibimiento y orden de nombrarlo en un mes, como al Ayuntamiento de Algete (PS/00381/2022)
- El problema
- El DPD es obligatorio para toda entidad local por el art. 37.1.a RGPD (tratamientos de autoridades y organismos públicos), sea cual sea su tamaño: también en un municipio de 200 habitantes. Muchos ayuntamientos lo tienen designado en papel pero sin actividad real, lo que la AEPD detecta en inspección.
- Qué exige la normativa
- Designación efectiva (interna, externalizada o compartida vía Diputación/Mancomunidad) · comunicación de la designación, el nombramiento y el cese en 10 días a la AEPD o a la autoridad autonómica competente (art. 34.3 LOPDGDD) · publicación en portal de transparencia · funciones del Art. 39 RGPD: informe, supervisión, cooperación AEPD, punto de contacto.
- Cómo lo resuelve AIM ÆGIS
- Plantilla de designación · checklist de funciones DPD activas · informe DPD trimestral · canal de contacto ciudadano automatizado · registro de asesoramientos prestados.
-
Situación 04
Videovigilancia municipal: edificios y vía pública
Qué puede costar si se incumpleApercibimiento y orden de retirar o reorientar las cámaras y poner el cartel, como al Ayuntamiento de Olivenza (PS/00569/2022)
- El problema
- Queréis cámaras en edificios municipales y también en parques o mercadillos. Son dos regímenes distintos y es fácil equivocarse: cámaras sin cartel, que graban más calle de la necesaria o que guardan las imágenes más de un mes.
- Qué exige la normativa
- (1) Edificios e instalaciones municipales (art. 22 LOPDGDD): la instalación la decide el órgano municipal competente; la ley no exige un acuerdo de la Junta de Gobierno Local, que solo existe por ley en municipios de más de 5.000 habitantes (art. 20.1.b LBRL) · test de proporcionalidad · solo la parte de vía pública imprescindible · cartel informativo (modelo AEPD, con QR a la información completa) · supresión en un mes como máximo, salvo que haya que conservar las imágenes por un incidente: entonces se entregan a la autoridad en 72 horas · responsable de visualización · registro de accesos · inscripción en el RAT. (2) Cámaras de seguridad ciudadana en calles, parques o mercadillos: solo puede instalarlas la Policía Local, con autorización del Delegado del Gobierno previo informe de la Comisión de Garantías de la Videovigilancia (art. 3 LO 4/1997 y RD 596/1999).
- Cómo lo resuelve AIM ÆGIS
- Plantilla de resolución de instalación para edificios municipales con test de proporcionalidad · cartelería imprimible · checklist de instalación · aviso de que las cámaras en la vía pública las solicita la Policía Local a la Delegación del Gobierno · workflow de incidentes con entrega a la autoridad en 72 horas.
-
Situación 05
Brecha de seguridad municipal (ransomware, robo)
Qué puede costar si se incumpleApercibimiento AEPD + responsabilidad disciplinaria personal técnico
- El problema
- Ransomware en el servidor municipal, robo de un USB con el padrón, correo comprometido. Si hay datos personales afectados, tenéis 72 horas para notificar a la AEPD o a la autoridad autonómica; y, como entidad del sector público, debéis notificar al CCN-CERT los incidentes de impacto significativo.
- Qué exige la normativa
- Activación del plan de continuidad (ENS) · notificación al CCN-CERT de los incidentes de impacto significativo (art. 33.2 RD 311/2022) · notificación a la AEPD o a la autoridad autonómica en 72 horas si afecta a datos personales (art. 33 RGPD), por su sede electrónica (no por correo ordinario) · comunicación a los ciudadanos afectados si hay alto riesgo · coordinación con Diputación o Mancomunidad · registro Art. 33.5 · revisión de la categorización ENS. La Directiva NIS2 está sin transponer en España a 25/09/2026.
- Cómo lo resuelve AIM ÆGIS
- Workflow guiado de notificación 72h con borradores AEPD-ready · plantilla comunicación a ciudadanos · checklist de coordinación con el CCN-CERT · ejercicio simulacro anual.
-
Situación 06
Cesión a otras AAPP con base jurídica y minimización
Qué puede costar si se incumpleResolución que declara la infracción y ordena las medidas (art. 77 LOPDGDD); caso real: apercibimiento al Ayuntamiento de Zamora por enviar a toda la jefatura un decreto con datos de salud (PS/00044/2022)
- El problema
- Cesiones a Servicios Sociales autonómicos, Hacienda, INSS, INE. Sin verificar base jurídica concreta ni minimizar los datos, la cesión es ilícita aunque sea entre AAPP.
- Qué exige la normativa
- Verificar base jurídica (norma con rango de ley o convenio publicado) · minimización · garantías ENS equivalentes · inscripción en RAT (categorías destinatarios) · plazo de conservación coherente · registro auditable.
- Cómo lo resuelve AIM ÆGIS
- Mapa de cesiones por tipo de procedimiento · checklist de verificación previa · plantilla de petición/cesión · integración con Plataforma Intermediación (PID, SVDR) documentada.
-
Situación 07
Atención al ciudadano · ejercicio de derechos RGPD
Qué puede costar si se incumpleApercibimiento AEPD por entrega incompleta o tardía
- El problema
- Un vecino solicita acceso a sus datos en el padrón, en su expediente urbanístico, en su expediente sancionador. La oficina no tiene protocolo, responde tarde, entrega información incompleta o excesiva. La AEPD recibe reclamación.
- Qué exige la normativa
- Plazo máximo 1 mes (Art. 12 RGPD) · identificación del solicitante · respuesta motivada con copia de los datos · anonimización de terceros · canal accesible (presencial, sede electrónica) · registro del ejercicio.
- Cómo lo resuelve AIM ÆGIS
- Workflow guiado por tipo de derecho (acceso, rectificación, supresión, oposición, portabilidad) · plantillas de respuesta · registro auditable · alertas de plazo · anonimización asistida.
Los marcos del catálogo que cubren este sector, con su referencia oficial. Cada uno explica a quién obliga y desde cuándo.
Lo que puede costar no hacerlo.
Administraciones públicas: la AEPD no les impone multas (art. 77 LOPDGDD)
Según el caso: apercibimiento con medidas correctoras (art. 64.3 LOPDGDD) o resolución que declara la infracción y ordena las medidas necesarias (art. 77.2 LOPDGDD). Se publican con el nombre de la entidad y pueden dar lugar a actuaciones disciplinarias.
-
PS/00181/2024 · El Puerto de Santa María
La AEPD declaró que el Ayuntamiento de El Puerto de Santa María infringió el art. 58.1 RGPD: no contestó a sus requerimientos de información sobre las cámaras de un comercio de la localidad (expediente EXP202405368). Como es una administración, no hubo multa. Lección: los requerimientos de la AEPD se contestan en plazo y por completo.
CausaNo atender los requerimientos de información de la AEPD (Art. 58.1 RGPD)
-
PS/00055/2024 · Jerez de los Caballeros
El Ayuntamiento de Jerez de los Caballeros publicaba en su web actas de pleno con el nombre, los dos apellidos y el NIF de un vecino que había presentado alegaciones, más de veinte veces en una de ellas, aunque el vecino se había opuesto. La AEPD declaró que infringió los arts. 5.1.c y 32 RGPD y le ordenó anonimizar esos datos en las actas; a una administración no se le impone multa (art. 77 LOPDGDD).
CausaActas de pleno en la web con el nombre y el NIF de un vecino (arts. 5.1.c y 32 RGPD)
-
PS/00381/2022 · Algete
El Ayuntamiento de Algete no había comunicado a la AEPD su delegado de protección de datos y no respondió a sus requerimientos. La AEPD le impuso un apercibimiento por infringir el art. 37 RGPD, que obliga a todo organismo público a tener delegado, y le requirió acreditar el nombramiento en un mes.
CausaAyuntamiento sin delegado de protección de datos (art. 37 RGPD)
-
PS/00569/2022 · Olivenza
Dos cámaras en la fachada de un antiguo convento municipal de Olivenza grababan la vía pública y no tenían cartel. La AEPD dirigió al Ayuntamiento un apercibimiento por los arts. 5.1.c y 13 RGPD y le ordenó, en un mes, retirarlas o reorientarlas para que no captaran la calle, y colocar el cartel.
CausaCámaras municipales que graban la calle, sin cartel (arts. 5.1.c y 13 RGPD)
-
PS/00071/2024 · Hoyo de Manzanares
El Ayuntamiento de Hoyo de Manzanares expuso en su tablón un requerimiento a varios empleados que pedían las ayudas del convenio, con su nombre y la documentación que se exigía a cada uno (un informe médico, una sentencia de acogimiento), sin quitar los datos sensibles, y una instrucción de fichaje con el DNI de una funcionaria. La AEPD declaró que infringió los arts. 5.1.f y 32 RGPD.
CausaDatos de salud y DNI de empleados en el tablón (arts. 5.1.f y 32 RGPD)
-
PS/00044/2022 · Zamora
Desde el Ayuntamiento de Zamora se envió a todos los jefes de servicio el texto completo de un decreto de alcaldía con datos de salud de una persona, que debía comunicarse solo a ella y a otra parte. La AEPD le impuso un apercibimiento por tratar datos de más (minimización, art. 5.1.c RGPD).
CausaUn decreto con datos de salud enviado a toda la jefatura (art. 5.1.c RGPD)
8 documentos, cada uno con su base legal.
Se generan a partir del caso de cada empresa: documentos editables para que los revises, con la norma que cumplen a la vista.
-
Pliegos LCSP con cláusulas DA 25ª + ENS + Art. 28
Plantilla actualizada de pliegos con todas las cláusulas LCSP DA 25ª + Art. 122.2 + RD 311/2022 + Art. 28 RGPD. Adaptaciones por categoría ENS (básica/media/alta) y por tipología de contrato (servicios cloud, mantenimiento, consultoría).
Base legal: LCSP 9/2017 DA 25ª y art. 122.2 LCSP + Art. 28 RGPD + RD 311/2022 ENSPDF + Word editable -
Acta plenaria · formato libro + formato publicable minimizado
Doble formato: completo para libro de actas oficial y minimizado para portal de transparencia. Acuerdos y resoluciones sin transcripciones íntegras con referencias a particulares no esenciales.
Base legal: Ley 7/1985 BRL + Art. 5.1.c RGPD + Ley 19/2013PDF + Word editable -
Resolución de instalación de videovigilancia en edificios municipales
Modelo de resolución del órgano municipal competente con test de proporcionalidad, finalidad, ubicación, responsable de visualización, supresión en un mes como máximo y cartel informativo conforme al modelo AEPD. Las cámaras de seguridad en la vía pública siguen otra vía: las solicita la Policía Local al Delegado del Gobierno (LO 4/1997).
Base legal: Art. 22 LOPDGDD + LO 4/1997 (vía pública) + Guía AEPD videovigilanciaPDF + Word editable -
Designación efectiva del Delegado de Protección de Datos
Plantillas de designación interna, externalizada y compartida vía Diputación/Mancomunidad. Funciones Art. 39 RGPD. Comunicación en 10 días a la AEPD o a la autoridad autonómica competente (art. 34.3 LOPDGDD) y publicación en el portal.
Base legal: Arts. 37.1.a y 39 RGPD + Art. 34.3 LOPDGDDPDF + Word editable -
Protocolo brecha 72h específico ayuntamiento
Workflow desde detección hasta cierre. Doble notificación: AEPD o autoridad autonómica (datos personales) y CCN-CERT (ENS). Coordinación con Diputación/Mancomunidad. Comunicación a ciudadanos. Registro Art. 33.5.
Base legal: Arts. 33 + 34 RGPD + Art. 33.2 RD 311/2022 (ENS)PDF + Word editable -
Atención al ciudadano · workflow por tipo de derecho
Workflow guiado por tipo de derecho (acceso, rectificación, supresión, oposición, portabilidad, limitación) con plantillas de respuesta, registro auditable, alertas de plazo.
Base legal: Arts. 12-22 RGPD + Art. 14 Ley 39/2015PDF + Word editable -
Registro de Actividades de Tratamiento · ayuntamiento tipo
RAT preconfigurado con los 18 tratamientos típicos de un ayuntamiento pequeño: padrón, registro civil, urbanismo, multas, videovigilancia, RRHH, contabilidad, transparencia, etc. con base jurídica, conservación y medidas técnicas.
Base legal: Art. 30 RGPD + Guía AEPD entidades localesPDF + Word editable -
Mapa de cesiones a otras AAPP
Inventario de cesiones por tipo de procedimiento (servicios sociales, hacienda, INSS, INE, Diputación). Base jurídica concreta, minimización, garantías ENS equivalentes, integración con Plataforma Intermediación PID.
Base legal: Art. 6 RGPD + Art. 30.1.d RGPD + convenios marcoPDF + Word editable
¿Llevas clientes de este sector? Ofréceselo con tu marca.
Cada cliente del sector ve qué le obliga y por qué, con su artículo; tú revisas lo que exige criterio profesional y lo facturas como servicio tuyo. Te enseñamos cómo, sin compromiso.
~8.131 municipios en España · ~6.800 con menos de 5.000 habitantes · 1.118 mancomunidades.
Lo que te toca a ti, en tres preguntas.
Tu sector ya viene marcado: di cuántas personas sois y qué haces, y verás cada obligación con su porqué y su norma.
- 3 preguntas
- sin registro
- sin tarjeta