AAPP-00008-2016

1/8 Procedimiento Nº AP/00008/2016 RESOLUCIÓN: R/01599/2016 En el procedimiento de Declaración de Infracción de Administraciones Públicas AP/00008/2016, instruido por la Agencia Española de Protección de Datos al EXCMO. AYUNTAMIENTO DE PALMA DE GANDÍA, vista la denuncia presentada por Doña A.A.A., y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fecha 26 de marzo de 2015, el Director de la Agencia Española de Protección de Datos resolvió declarar que el Ayuntamiento de Palma de Gandía (Valencia) había infringido lo dispuesto en los artículos 5.1 y 20 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como leve y grave en el artículo 44.2.

1. c)y 44.3.a), respectivamente, de dicha norma. En el mismo acuerdo el Director resolvió requerir al Ayuntamiento de Palma de Gandía, de acuerdo con lo establecido en el apartado 3 del artículo 46 de la Ley 15/1999, para que acredite, en el plazo de un mes desde este acto de notificación ante esta Agencia las medidas de orden interno que impidan que en el futuro pueda producirse una nueva infracción de los artículos 5 y 20 de la LOPD. En concreto: - Se deberá aportar constancia de que se informa a los afectados de los extremos recogidos en el artículo 5 de la LOPD con relación al tratamiento de sus datos personales por medio del sistema de vídeo vigilancia instalado, en los términos previstos en el artículo 3 de la Instrucción 1/2006. - Deberá acreditar que ha procedido a informar a los trabajadores de que los datos personales incorporados al fichero de vídeo vigilancia podrán ser usados para el control laboral de los mismos o, en su defecto, no podrá usar dichos datos para el control laboral de éstos. - Deberá acreditar la creación del fichero con la finalidad de vídeo vigilancia según lo previsto en el artículo 20 de la LOPD. Para constatar el cumplimiento de lo requerido se inició un expediente de actuaciones previas con la referencia E/01741/2015. Dicha resolución fue notificada al Ayuntamiento de Palma de Gandía el 2 de abril de 2015, según consta en el Acuse emitido por el Servicio de Correos. Esta resolución fue comunicada al Defensor del Pueblo de conformidad con lo establecido en el artículo 46.4 de la LOPD C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/8 SEGUNDO: Con fecha 29 de abril de 2015, el Defensor del Pueblo acusó recibo de la Resolución dictada al Ayuntamiento de Palma de Gandía en el procedimiento AP/00002/2015 y solicita que se le informe de las actuaciones que lleve a cabo esa entidad y que esta Agencia exprese su parecer al respecto, y ello con objeto de tener un conocimiento de la adecuada resolución del problema planteado. TERCERO: Con fecha 14 de octubre de 2015, la Subdirección General de Inspección de Datos reiteró lo requerido en la Resolución del Procedimiento de Declaración de Infracción de Administraciones Públicas de referencia AP/00002/2015, exponiendo: <<En el marco de las presentes actuaciones de inspección, E/01741/2015, y sin que hasta la fecha se haya recibido el referido documento, se solicita, en uso de las facultades conferidas por el artículo 40 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, que en el plazo de diez días hábiles remitan a esta Agencia documentación acreditativa de que se ha atendido el requerimiento contenido en la citada Resolución del Director…>> Dicho escrito fue notificado a la citada entidad por el Servicio de Correos con acuse de recibo de 19 de octubre. CUARTO: En fecha 16 de noviembre de 2015, se recibió escrito en esta Agencia del Ayuntamiento de Palma de Gandía, en el que comunicaban que se ha producido un cambio del grupo municipal y un traslado de la sede del Ayuntamiento. Que en la sede del nuevo edificio se ha instalado una única cámara, cuya finalidad es exclusivamente la seguridad, para controlar desde el interior la puerta de acceso. Por último, informan que, dado que no se ha informado a los trabajadores, ya que en la actualidad los posibles datos obtenidos no se usarán en modo alguno para el control laboral de los mismos. QUINTO: Con fecha 19 de noviembre de 2015, la Subdirección General de Inspección de Datos reiteró al Ayuntamiento que acredite el cumplimiento de las medidas requeridas en la Resolución. Consta presentación de escrito del Ayuntamiento imputado, de fecha de entrada en la Agencia 23 de diciembre de 2015, en el que se invoca que la empresa contratista de dicho Ayuntamiento, de quien depende la instalación de las cámaras (SECURITAS DIRECT ESPAÑA SAU) no atiende sus indicaciones de retirada y/o reorientación. Asimismo, se insiste en la responsabilidad de la anterior Alcaldesa y del anterior equipo municipal de gobierno del Ayuntamiento. SEXTO: De la documentación que obra en las actuaciones de investigación de referencia E/01741/2015, se desprende que no consta que se hayan adoptado las medidas correctoras solicitadas y no consta que se haya atendido el requerimiento efectuado en la resolución de 23 de marzo de 2015, por el Director de la Agencia Española de Protección de Datos, al considerarse que no ha atendido los sucesivos requerimientos realizados y acusados de recibo, con el pretexto de cambio de grupo municipal y de incumplimiento de la empresa contratista de la instalación de las cámaras. Sin embargo, la responsabilidad sigue correspondiendo al propio Ayuntamiento, con independencia del cambio político en el gobierno del mismo. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/8 SÉPTIMO: Con fecha 24 de febrero de 2016, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento de declaración de infracción de Administraciones Públicas al Ayuntamiento de Palma de Gandía por la presunta infracción del artículo 37.1.
2. f)de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como grave en el artículo 44.3.
3. i)de dicha norma. OCTAVO: Notificado el citado acuerdo de inicio de procedimiento de declaración de infracción de Administraciones Públicas, en fecha 31 de marzo de 2016, el Ayuntamiento de Palma de Gandía presentó escrito de alegaciones en el que, básicamente, manifestó lo siguiente: - Reiteró lo manifestado durante las actuaciones previas respecto a lo siguiente: o Que se ha producido un cambio del grupo municipal y un traslado de la sede del Ayuntamiento. o Que en la sede del nuevo edificio se ha instalado una única cámara, cuya finalidad es exclusivamente la seguridad, para controlar desde el interior la puerta de acceso y en ningún caso era su función la vigilancia de las personas que trabajan o frecuentan el consistorio. o Que la empresa contratista de dicho Ayuntamiento, de quien depende la instalación de las cámaras (SECURITAS DIRECT ESPAÑA SAU) no atiende sus indicaciones de retirada y/o reorientación. - Que finalmente han optado por rescindir el contrato con la empresa instaladora Securitas Direct (aportan documento de rescisión de contrato). - Respecto a la inscripción del fichero en conformidad con el artículo 20 de la LOPD, exponen que ese Ayuntamiento no está en disposición de si la cámara únicamente captaba imágenes o las grababa, lo que obligaría a la inscripción, pero insiste en que la responsabilidad es la anterior Alcaldesa y del anterior equipo municipal de gobierno del Ayuntamiento. - Que el Ayuntamiento ha retirado la cámara existente en la entrada del edificio consistorial (adjunta fotografías al respecto). En base a todo ello, solicitó que se proceda al archivo del procedimiento. NOVENO: Con fecha 5 de abril de 2016, se acordó por la Instructora del procedimiento la apertura de un período de práctica de pruebas, teniéndose por incorporadas las actuaciones previas de investigación, E/01741/2015, así como la documental aportada por el Ayuntamiento de Palma de Gandía. Asimismo, se dio por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio AP/00008/2016 presentadas por el Ayuntamiento de Palma de Gandía, y la documentación que a ellas acompaña. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/8 DÉCIMO: Con fecha 25 de mayo de 2016, la Instructora del procedimiento emitió Propuesta de Resolución, en el sentido de que por la Directora de la Agencia Española de Protección de Datos se declare que el AYUNTAMIENTO DE PALMA DE GANDIA ha infringido lo dispuesto en el artículo 37.1.
4. f)de la LOPD, tipificada como grave en el artículo 44.3.
5. i)de la citada Ley Orgánica. DÉCIMO PRIMERO: Con fecha de entrada en la Agencia el 16 de junio de 2016, el Ayuntamiento de Palma de Gandía realizó alegaciones frente a la citada propuesta de resolución en las que, básicamente, reiteró lo manifestado en sus alegaciones al Acuerdo de inicio e insiste en que la responsabilidad es de la anterior Alcaldesa y del anterior equipo municipal de gobierno del Ayuntamiento. HECHOS PROBADOS PRIMERO: Con fecha 26 de marzo de 2015, el Director de la Agencia Española de Protección de Datos resolvió declarar que el Ayuntamiento de Palma de Gandía (Valencia) ha infringido lo dispuesto en los artículos 5.1 y 20 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal con relación a una denuncia relativa al sistema de videovigilancia instalado en el edificio consistorial (Resolución R/00690/2015, relativa al procedimiento AP/00002/2015) (folios 1-15) SEGUNDO: En el mismo acuerdo el Director resolvió REQUERIR al Ayuntamiento denunciado de acuerdo con lo establecido en el apartado 3 del artículo 45 de la Ley 15/1999 para que acreditase en el plazo de un mes el cumplimiento de lo previsto en el 5 y 20 de la LOPD, lo siguiente: - - - “En concreto: Se deberá aportar constancia de que se informa a los afectados de los extremos recogidos en el artículo 5 de la LOPD con relación al tratamiento de sus datos personales por medio del sistema de vídeo vigilancia instalado, en los términos previstos en el artículo 3 de la Instrucción 1/2006. Deberá acreditar que ha procedido a informar a los trabajadores de que los datos personales incorporados al fichero de vídeo vigilancia podrán ser usados para el control laboral de los mismos o, en su defecto, no podrá usar dichos datos para el control laboral de éstos. Deberá acreditar la creación del fichero con la finalidad de vídeo vigilancia según lo previsto en el artículo 20 de la LOPD”. (folio 14). Dicha resolución fue notificada al Ayuntamiento de Palma de Gandía el 2 de abril de 2015, según consta en el Acuse emitido por el Servicio de Correos (folios 16-17). TERCERO: Con objeto de constatar el cumplimiento de lo requerido, por el Director de la Agencia Española de Protección de Datos se inició un Expediente de Actuaciones Previas de Investigación E/01741/2015. - Con fecha 29 de abril de 2015, el Defensor del Pueblo acusó recibo de la Resolución dictada al Ayuntamiento de Palma de Gandía en el procedimiento AP/00002/2015 y solicitó que se le informe de las actuaciones que lleve a cabo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/8 esa entidad y que esta Agencia exprese su parecer al respecto, y ello con objeto de tener un conocimiento de la adecuada resolución del problema planteado. Dicho requerimiento fue trasladado al Ayuntamiento denunciado. (folios 18-20) - Con fecha 14 de octubre de 2015, la Subdirección General de Inspección de Datos reiteró lo requerido en la Resolución del Procedimiento de Declaración de Infracción de Administraciones Públicas de referencia AP/00002/2015, exponiendo: <<En el marco de las presentes actuaciones de inspección, E/01741/2015, y sin que hasta la fecha se haya recibido el referido documento, se solicita, en uso de las facultades conferidas por el artículo 40 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, que en el plazo de diez días hábiles remitan a esta Agencia documentación acreditativa de que se ha atendido el requerimiento contenido en la citada Resolución del Director…>>. Dicho escrito fue notificado a la citada entidad por el Servicio de Correos con acuse de recibo de 19 de octubre (folios 22-25). CUARTO: En fecha 16 de noviembre de 2015, el Ayuntamiento de Palma de Gandía informó a esta AEPD que se ha producido un cambio del grupo municipal y un traslado de la sede del Ayuntamiento. Que en la sede del nuevo edificio se ha instalado una única cámara, cuya finalidad es exclusivamente la seguridad, para controlar desde el interior la puerta de acceso. Por último, informan que, dado que no se ha informado a los trabajadores, ya que en la actualidad los posibles datos obtenidos no se usarán en modo alguno para el control laboral de los mismos. QUINTO: Con fecha 19 de noviembre de 2015, la Subdirección General de Inspección de Datos reiteró al Ayuntamiento que acredite el cumplimiento de las medidas requeridas en la Resolución. - Consta presentación de escrito del Ayuntamiento imputado, de fecha de entrada en la Agencia 23 de diciembre de 2015, en el que se invoca que la empresa contratista de dicho Ayuntamiento, de quien depende la instalación de las cámaras (SECURITAS DIRECT ESPAÑA SAU) no atiende sus indicaciones de retirada y/o reorientación. Asimismo, se insiste en la responsabilidad de la anterior Alcaldesa y del anterior equipo municipal de gobierno del Ayuntamiento. SEXTO: De la documentación que obra en las actuaciones de investigación de referencia E/01741/2015, se desprende que no consta que se hayan adoptado las medidas correctoras solicitadas y no consta que se haya atendido el requerimiento efectuado en la resolución de 23 de marzo de 2015, por el Director de la Agencia Española de Protección de Datos, al considerarse que no ha atendido los sucesivos requerimientos realizados y acusados de recibo, con el pretexto de cambio de grupo municipal y de incumplimiento de la empresa contratista de la instalación de las cámaras. Sin embargo, la responsabilidad sigue correspondiendo al propio Ayuntamiento, con independencia del cambio político en el gobierno del mismo. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/8 FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
6. g)en relación con el artículo 36 de la LOPD. II El artículo 37.1.
7. f)de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de los Datos de Carácter Personal señala que “son funciones de la Agencia de Protección de Datos:
8. f)Requerir a los responsables y los encargados de los tratamientos, previa audiencia de éstos, la adopción de las medidas necesarias para la adecuación del tratamiento de datos a las disposiciones de esta Ley y, en su caso, ordenar la cesación de los tratamientos y la cancelación de los ficheros, cuando no se ajuste a sus disposiciones”. En el presente procedimiento de declaración de infracción de las Administraciones Públicas ha quedado acreditado que en la Resolución R/00690/2015, relativa al procedimiento de declaración de infracción de las Administraciones Públicas AP/00002/2015 se instó al denunciado a que “…acreditase en el plazo de un mes el cumplimiento de lo previsto en el 5 y 20 de la LOPD, lo siguiente: “En concreto: Se deberá aportar constancia de que se informa a los afectados de los extremos recogidos en el artículo 5 de la LOPD con relación al tratamiento de sus datos personales por medio del sistema de vídeo vigilancia instalado, en los términos previstos en el artículo 3 de la Instrucción 1/2006; Deberá acreditar que ha procedido a informar a los trabajadores de que los datos personales incorporados al fichero de vídeo vigilancia podrán ser usados para el control laboral de los mismos o, en su defecto, no podrá usar dichos datos para el control laboral de éstos;Deberá acreditar la creación del fichero con la finalidad de vídeo vigilancia según lo previsto en el artículo 20 de la LOPD”.” Por el Director de la Agencia Española de Protección de Datos se inició un Expediente de Actuaciones Previas de Investigación E/01741/2015. con objeto de constatar el cumplimiento de lo requerido al Ayuntamiento de San Roque, sin que conste en el momento del Acuerdo de inicio del presente procedimiento, se hubiera atendido el requerimiento efectuado en la resolución de fecha 26 de marzo de 2015, del Director de la Agencia Española de Protección de Datos. III El artículo 44.3.
9. i)de la LOPD considera que es infracción grave “no atender los requerimientos o apercibimientos de la Agencia Española de Protección de Datos o no proporcionar a aquélla cuantos documentos e informaciones sean solicitados por la misma.” En el presente caso ha quedado acreditado que en el momento del Acuerdo de inicio del presente procedimiento no se había atendido el requerimiento efectuado en el procedimiento de declaración de infracción de las Administraciones Públicas notificada al denunciado. El hecho constatado de la falta de atención al requerimiento del Director de esta Agencia Española de Protección de Datos al imputado en este procedimiento, establece C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/8 la base de facto para fundamentar la imputación de la infracción del artículo 37.1.f). IV Por último, el artículo 46 de la LOPD, “Infracciones de las Administraciones Públicas”, dispone que: «1. Cuando las infracciones a que se refiere el artículo 44 fuesen cometidas en ficheros de titularidad pública o en relación con tratamientos cuyos responsables lo serían de ficheros de dicha naturaleza, el órgano sancionador dictará una resolución estableciendo las medidas que procede adoptar para que cesen o se corrijan los efectos de la infracción. Esta resolución se notificará al responsable del fichero, al órgano del que dependa jerárquicamente y a los afectados si los hubiera. 2. El órgano sancionador podrá proponer también la iniciación de actuaciones disciplinarias, si procedieran. El procedimiento y las sanciones a aplicar serán las establecidas en la legislación sobre régimen disciplinario de las Administraciones Públicas. 3. Se deberán comunicar al órgano sancionador las resoluciones que recaigan en relación con las medidas y actuaciones a que se refieren los apartados anteriores.» 4. El Director de la Agencia comunicará al Defensor del Pueblo las actuaciones que efectúe y las resoluciones que dicte al amparo de los apartados anteriores”. En supuesto presente, no procede proponer medidas correctoras ya que, del examen de las medidas adoptadas por el AYUNTAMIENTO DE PALMA DE GANDÍA, en el transcurso del procedimiento, se constata el cumplimiento del requerimiento de la Directora acordado en la Resolución de fecha 26 de marzo de 2015. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR que el AYUNTAMIENTO DE PALMA DE GANDÍA ha infringido lo dispuesto en el artículo 37.1.
10. f)de la LOPD, infracción tipificada como grave en el artículo 44.3.
11. i)de la citada Ley Orgánica. SEGUNDO: NOTIFICAR la presente resolución al AYUNTAMIENTO DE PALMA DE GANDÍA y a Doña A.A.A.. TERCERO: COMUNICAR la presente resolución al Defensor del Pueblo, de conformidad con lo establecido en el artículo 46.4 de la LOPD. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/8 Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, se podrá interponer potestativamente recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa (en lo sucesivo LJCA), en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Sin embargo, el responsable del fichero de titularidad pública, de acuerdo con el artículo 44.1 de la LJCA, sólo podrá interponer directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la LJCA, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es