La autoridad catalana de protección de datos niega que la amonestación pública del reglamento disciplinario permita colgar un expediente en internet. El mismo día declaró infracción muy grave que un ayuntamiento enviara a toda su plantilla los NIF de sus 17 empleados, y no le impuso multa
La Autoritat Catalana de Protecció de Dades (APDCAT) ha multado con 2.500 euros a la Federació Columbòfila Catalana de Coloms Missatgers por publicar en abierto en su web los expedientes disciplinarios de dos aficionados, con su DNI completo y su domicilio hasta el piso y la puerta, y por reenviar esa documentación a 40 direcciones de correo sin copia oculta. La resolución del procedimiento sancionador PS-0043/2026, fechada el 15 de octubre, rechaza el argumento con el que la federación se defendió desde el principio: que su reglamento disciplinario prevé la amonestación pública de los sancionados.
La federación ya ha pagado. Reconoció su responsabilidad el 1 de julio y ese mismo día abonó 1.500 euros, tras aplicar las dos reducciones del 20 % que el artículo 85 de la Ley 39/2015 concede a quien admite los hechos y paga por adelantado. Además, tiene diez días desde la notificación para borrar los documentos de internet o sustituirlos por versiones anonimizadas.
Ese mismo día, la APDCAT cerró otro expediente que muestra cómo funciona en la práctica el régimen sancionador de protección de datos en España. El Ayuntamiento de Castellet i la Gornal envió a cada uno de sus 17 empleados el modelo 145 del IRPF de todos los demás, con nombre, NIF completo y año de nacimiento. La autoridad lo califica de infracción muy grave. No hay multa.
Un reglamento disciplinario no es una base jurídica
El caso de las palomas empieza con dos denuncias idénticas que llegaron a la autoridad el 25 de noviembre de 2025. A los denunciantes les había abierto expediente la federación junto a su club, y la sanción, inhabilitación y multa, se había difundido por la web colomsmissatgers.cat y por correo electrónico. Según la denuncia, la difusión masiva de una sanción que todavía no era firme solo buscaba su descrédito.
Dos días después, los inspectores entraron en la web y siguieron el enlace a «documentos/sanciones». Allí estaba el expediente casi completo. La propuesta de resolución incluía el nombre y el DNI completo de los dos expedientados. La resolución del juez disciplinario recogía su domicilio con calle, número, piso, puerta y código postal. También había cadenas de correos con direcciones electrónicas, el nombre de un testigo y una clasificación nacional de 2023 con los nombres de al menos 633 colombófilos. En el expediente de un tercer federado aparecían además el DNI y la firma manuscrita de la persona que lo había denunciado.
La federación se defendió con tres argumentos. El primero, que la APDCAT no era competente. El segundo, que el impacto había sido mínimo: unas 439 visitas, menos que el número de federados, con un impacto público que, según escribió, «se puede decir 0». El tercero, que publicar la sanción no era una medida añadida, sino la propia naturaleza de la amonestación pública que prevé el artículo 14 de su reglamento disciplinario, en línea con el artículo 98.1.b del texto único de la Ley del deporte catalana. Para apoyarlo citó dos informes antiguos del gabinete jurídico de la Agencia Española de Protección de Datos, el 550/2006 y el 67/2008.
La autoridad responde a ese tercer argumento en dos planos. Primero, los hechos: en este caso no consta que se acordara ni impusiera ninguna amonestación pública. A los aficionados se les castigó con inhabilitación y multa. Después, el principio: aunque se hubiera impuesto, esa previsión reglamentaria «no puede constituir, en ningún caso, una base jurídica habilitante» para publicar íntegros y sin anonimizar los documentos de un expediente, incluidos los datos de testigos y las direcciones postales (las citas de ambas resoluciones son traducción propia del catalán).
La diferencia de fondo importa. Una amonestación pública permite, como mucho, dar a conocer quién ha sido sancionado y por qué. No convierte el expediente en un documento público. Una nota con el nombre, la infracción y la sanción no es lo mismo que un PDF con el DNI, la vivienda y la declaración de un testigo. Esa distancia es la que el RGPD intenta cerrar con el principio de minimización, aunque la APDCAT haya resuelto el caso por una vía más contundente: la falta de base jurídica.
La web quitó el enlace, pero no los documentos
El detalle más útil del expediente está en el antecedente 7. El 26 de febrero de 2026, tres meses después de la denuncia, la inspección volvió a la web. El acceso a las sanciones ya no estaba en el menú. Pero los PDF seguían ahí: cualquiera con el enlace podía abrirlos y descargarlos con todo su contenido. Por eso la resolución no da por buena la corrección que la federación decía haber hecho. Le ordena eliminar el acceso a cada uno de los quince documentos o sustituirlo por su versión anonimizada, y comunicarlo a la autoridad en los diez días siguientes.
La multa se reparte en tres infracciones del artículo 83.5.a del RGPD. La Ley Orgánica 3/2018 (LOPDGDD) califica las tres de muy graves:
- Publicación en la web: 1.000 euros.
- Correo con las 40 direcciones a la vista: 1.000 euros por romper la confidencialidad. Los destinatarios eran la Real Federación Colombófila Española y otras 39 direcciones, muchas de ellas cuentas personales de Gmail, Yahoo, Hotmail u Outlook.
- Diez documentos adjuntos sin anonimizar, enviados a personas que no eran parte del expediente: 500 euros.
Son cifras pequeñas frente a un máximo legal de 20 millones. La APDCAT partió de 5.000 euros en las dos primeras infracciones y de 4.500 en la tercera, y en cada caso restó 4.000 porque la federación no obtuvo beneficio económico. También tuvo en cuenta que la difusión fue escasa, que no había datos especialmente protegidos y que los daños no quedaron acreditados.
Diecisiete NIF y ninguna multa
El caso de Castellet i la Gornal (PS-0048/2026) es más sencillo. El 14 de enero de 2025, el ayuntamiento envió a su plantilla el modelo 145, el formulario con el que cada trabajador comunica sus datos para calcular la retención del IRPF. El envío debía ser individual. Pero al configurar la notificación en el programa de gestión de expedientes, alguien marcó la casilla para enviarla a todos los interesados del expediente. Los 17 empleados recibieron los formularios de sus compañeros, también los que estaban de baja o de vacaciones.
El ayuntamiento reconoció el error. El 23 de enero pidió a la plantilla que destruyera los documentos ajenos, informó a los representantes de los trabajadores, añadió un aviso en el programa y organizó formación obligatoria. La APDCAT apreció dos infracciones: falta de medidas de seguridad y vulneración de la confidencialidad. Como una fue el medio necesario para cometer la otra (lo que se conoce como concurso medial), solo castigó la más grave, la muy grave del artículo 72.1.i de la LOPDGDD.
Castigar es mucho decir. El artículo 77 de la LOPDGDD incluye a «las entidades que integran la Administración Local» entre los responsables a los que la autoridad no puede multar. Lo que hace es dictar una resolución que declara la infracción y, si procede, ordenar medidas correctoras. La única medida que queda fuera de forma expresa es la del artículo 58.2.i del RGPD, que es precisamente la multa administrativa. Aquí ni siquiera hubo medidas, porque la APDCAT consideró que se trataba de «un hecho puntual y consumado» que el ayuntamiento ya había corregido. La resolución se comunica al Síndic de Greuges y se publica, y el procedimiento termina ahí.
La federación había alegado que publicaba en ejercicio de los poderes que la ley confiere a las federaciones deportivas. Sin embargo, la APDCAT concluye que no encaja en ninguno de los sujetos del artículo 77.1 y le aplica el régimen general del RGPD, con multa incluida. El propio artículo 77 añade otra ironía. La única amonestación con nombre del cargo y publicación en boletín oficial que prevé la LOPDGDD está pensada para autoridades y directivos públicos que no atendieron informes técnicos o recomendaciones (apartado 3).
Qué puede hacer quien encuentra su sanción publicada
El expediente de la federación sirve de guía a cualquier socio, colegiado o federado que vea su expediente disciplinario expuesto en internet.
- Pedir la supresión a la entidad. El artículo 17 del RGPD permite exigir que borre los datos.
- Denunciar ante la autoridad de control si la entidad no responde: la APDCAT para entidades bajo su competencia en Cataluña y la Agencia Española de Protección de Datos en los demás casos.
- Guardar pruebas. Conviene hacer capturas con fecha y conservar la dirección de cada documento, no solo la de la página. Como muestra este caso, quitar el enlace del menú no borra el archivo.
- Pedir la desindexación. Si el documento ya aparece en buscadores, el artículo 93 de la LOPDGDD permite solicitar que deje de mostrarse en las búsquedas por nombre.
La multa va al erario, no al afectado. La indemnización por daños del artículo 82 del RGPD se reclama aparte, ante los tribunales, y en este caso la APDCAT ya dejó escrito que los perjuicios no se acreditaron durante la investigación. Para un empleado público la asimetría es doble: su empleador no paga multa y, por regla general, cualquier reclamación económica tendrá que ir por la vía de la responsabilidad patrimonial de la Administración.
La federación tiene ahora diez días desde que reciba la notificación para retirar los quince documentos, y otros diez para acreditarlo ante una autoridad que ya ha comprobado su web dos veces. En Castellet i la Gornal no queda nada pendiente. Los 17 trabajadores cuyos NIF circularon por la plantilla tienen una declaración oficial de que se vulneró la confidencialidad de sus datos. Si quieren algo más, tendrán que buscarlo por otra vía.
