La Agencia Española de Protección de Datos (AEPD) ha confirmado una infracción del principio de minimización de datos del artículo 5.1.c del RGPD cometida por el Ayuntamiento de Santander al notificar una denuncia de tráfico en el parabrisas de un vehículo con el nombre, los apellidos y el DNI del conductor.
La resolución administrativa declara que el consistorio incurrió en un tratamiento incorrecto de datos personales al grabar el boletín de denuncia con más información de la estrictamente necesaria para documentar la infracción y el vehículo.
EN 30 SEGUNDOS
- ¿Qué ha resuelto la AEPD? La Agencia Española de Protección de Datos declara que el Ayuntamiento de Santander infringió el artículo 5.1.c del RGPD por incluir nombre, apellidos y DNI en una denuncia de tráfico colocada en el parabrisas.
- ¿Qué base jurídica aplica? Principio de minimización de datos y régimen sancionador de los artículos 83.5 y 83.7 del RGPD; sin multa económica por tratarse de autoridad pública.
- ¿Qué impacto tiene? Fija un criterio administrativo sobre el alcance de los datos admisibles en notificaciones de denuncia visibles por terceros; refuerza la obligación de los ayuntamientos de revisar los boletines.
Reclamación y expediente sancionador
Los hechos se remontan al 8 de noviembre de 2024, cuando el denunciante encontró en el parabrisas la notificación de denuncia por estacionar el vehículo en sentido contrario a la marcha. El boletín incluía los datos del vehículo y, además, nombre, apellidos y DNI del conductor.
En diciembre de 2024, el afectado presentó reclamación ante la AEPD, aportando el boletín, fotografías del vehículo, los intentos de comunicación con el Ayuntamiento de Santander y el justificante de pago de la multa.
La Agencia Española de Protección de Datos trasladó la reclamación al consistorio, que no respondió en el plazo de un mes. La falta de respuesta determinó el inicio de un expediente sancionador por presunta infracción del artículo 5.1.c del RGPD.
El Ayuntamiento de Santander respondió durante el expediente y reconoció que se produjo un error “puntual y personal” al grabar el boletín de denuncia por parte del agente municipal. El consistorio alegó además la adopción de medidas correctoras para evitar que se repita el tratamiento excesivo de datos.
La AEPD confirma que una notificación de denuncia en el parabrisas no puede incluir nombre, apellidos y DNI si esos datos resultan innecesarios.
Declaración de infracción y ausencia de sanción económica
La AEPD consideró acreditado el tratamiento incorrecto de datos personales y declaró la infracción del artículo 5.1.c del RGPD. No impuso sanción económica al tratarse de una administración pública: el régimen sancionador del RGPD permite excluir a las autoridades públicas de las multas administrativas, sin perjuicio de otras medidas correctivas.
El artículo 83.5 del RGPD fija para una entidad privada un máximo de 20.000.000 euros o el 4% del volumen de negocio total anual, referencia que la fuente consultada menciona para dimensionar la gravedad de la conducta.
El análisis de la Agencia subraya que el DNI es un identificador único y su exposición en un documento colocado en un vehículo incrementa el riesgo de acceso por terceros. La inclusión del nombre y apellidos junto al DNI multiplica la posibilidad de reidentificación y usos indebidos.
La doctrina del órgano sancionador
La resolución fija un criterio administrativo claro: una administración pública que tramita denuncias de tráfico debe limitar los datos tratados a los estrictamente necesarios para la finalidad sancionadora. La inclusión de nombre, apellidos y DNI en un boletín colocado en el parabrisas no supera el juicio de minimización cuando la infracción puede documentarse mediante matrícula, fecha, lugar y código de infracción.
El artículo 5.1.c del RGPD obliga a que los datos sean adecuados, pertinentes y limitados a lo necesario en relación con sus fines. La AEPD aplica este principio en su vertiente de reducción de identificadores personales expuestos a terceros; el DNI constituye un dato cuya revelación no es proporcionada para la notificación de una denuncia en un espacio público.
La ausencia de multa no vacía el efecto de la declaración de infracción. El expediente y las medidas correctoras comunicadas por el ayuntamiento generan un precedente administrativo que otros consistorios deberán incorporar a sus plantillas de boletín. La fuente consultada no indica recurso contencioso-administrativo pendiente contra la resolución.
FICHA DEL CASO
- El caso: Reclamación administrativa ante la AEPD por tratamiento excesivo de datos personales en una notificación de denuncia del Ayuntamiento de Santander; expediente sancionador por infracción del artículo 5.1.c del RGPD.
- Datos importantes: Infracción del artículo 5.1.c del RGPD; datos expuestos: nombre, apellidos y DNI; denuncia original de 8 de noviembre de 2024; reclamación de diciembre de 2024; sin sanción económica por tratarse de autoridad pública.
- Fecha de los juicios: Procedimiento administrativo, no judicial; inicio del expediente tras el silencio municipal de un mes; resolución reciente publicada el 10 de septiembre de 2026.
- Personas acusadas y por qué: Entidad denunciada: Ayuntamiento de Santander; infracción de protección de datos por exponer nombre, apellidos y DNI en una denuncia de tráfico.
