1/14 Procedimiento Nº AP/00013/2017 RESOLUCIÓN: R/02567/2017 En el procedimiento de Declaración de Infracción de Administraciones Públicas AP/00013/2017, instruido por la Agencia Española de Protección de Datos al Ayuntamiento de Ocaña, vista la denuncia presentada por Don A.A.A., en representación del B.B.B., y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fecha 25 de enero de 2017 se registra de entrada en esta Agencia Española de Protección de Datos (AEPD) escrito formulado por Don A.A.A., en representación del B.B.B., (en lo sucesivo el denunciante), poniendo de manifiesto que con motivo del contrato de prestación de servicios celebrado en fecha 27 de junio de 2016 entre el Ayuntamiento de Ocaña, (en adelante, el Ayuntamiento o el denunciado), y la mercantil VIALINE GESTIÓN, S.L. (en adelante VIALINE),- empresa encargada del control de infracciones por salto de semáforo en rojo, control de acceso y campañas de radar y etilómeto-, los datos de carácter personal de los infractores que constaban en los ficheros del Ayuntamiento estaban siendo cedidos a la mencionada empresa privada y, por tanto, poniéndose a disposición de trabajadores de esa entidad que no son empleados públicos. El denunciante adjunta copia del “Contrato de Prestación de Servicios Técnicos para la colaboración en el control de infracciones por salto de semáforo en rojo, control de acceso y campañas de radar y etilómetro en el Ayuntamiento de Ocaña” al que se refiere en la denuncia, (en adelante el CONTRATO), señalando que en el mismo se han detectado determinadas irregularidades en materia de protección de datos, entre las que se encuentran: - La posible falta de inscripción por el Ayuntamiento de Ocaña en el Registro General de Protección de Datos de la AEPD del fichero resultante de la creación y mantenimiento de la base de datos de infractores que se cita en la cláusula 5ª B.
- i)del contrato. - El error observado en la cláusula 6ª del contrato en la identificación tanto del responsable del tratamiento de los datos de carácter personal relacionados con la comisión de las infracciones administrativas descritas, que en este caso se correspondería con el Ayuntamiento denunciado, que, también sería el responsable del fichero de titularidad pública resultante de la creación y mantenimiento de la mencionada base de datos de infractores, como en la identificación del encargado del tratamiento que accede a los mencionados datos de carácter personal por cuenta del Ayuntamiento denunciado para la prestación de los servicios encargados, que en este supuesto se correspondería con VIALINE, empresa obligada a tratar dicha información de carácter personal con arreglo a la finalidad e instrucciones expresamente fijadas en el contrato por el responsable del tratamiento y a implementar las medidas de seguridad de índole técnica y organizativa contempladas en el artículo 9 de la LOPD. SEGUNDO: A la vista de la documentación aportada por el denunciante y de la información obtenida en el Registro General de Protección de Datos de la AEPD se ha comprobado: 2.1 El contenido del CONTRATO aportado por el denunciante C/ Jorge Juan, 6 28001 – Madrid referido al tratamiento de www.agpd.es sedeagpd.gob.es 2/14 datos de carácter personal denunciado, dándose por reproducidas, parcialmente, las cláusulas Primera, Cuarta, Quinta y Sexta de dicho documento contractual suscrito entre VIALINE y el Ayuntamiento de Ocaña a los efectos de evitar su posterior reiteración en el Hecho Probado Primero de esta resolución. 2.2 Con fecha 18 de mayo de 2017 se accede al Registro General de Protección de Datos de la AEPD, verificándose que: El Ayuntamiento de Ocaña figura como responsable de un total de siete ficheros de titularidad pública cuya denominación es la siguiente: Control Horario, Fichero de Vehículos, Fichero de Reclutamiento, Fichero de Base de Contribuyentes, Fichero de Padrón de Habitantes, Fichero de Nóminas y Fichero de Deudores y Acreedores. Ninguno de los siete ficheros citados está vinculado al tratamiento de datos de carácter personal registrados en las denuncias y procedimientos sancionadores tramitados por el Ayuntamiento de Ocaña con motivo de la comisión de las infracciones administrativas constatadas mediante los dispositivos técnicos cedidos por VIALINE que figuran señalados en el contrato. Asimismo se constata que la mercantil VIALINE figura como responsable de un total de seis ficheros de titularidad privada. Se verifica que en uno de esos ficheros, inscrito con fecha 26 de enero de 2017 bajo la denominación “EXPEDIENTES ADMINISTRATIVOS” y código ***COD.1, aparece como finalidad y usos previstos del mismo: “Conjunto de datos necesarios para la gestión de expedientes administrativos sancionadores y expedientes tributarios por cuenta y auxilio de la Administración Titular de la potestad.”, constando como destinatarios de la información: “Entidades Aseguradoras; Administración Pública con competencia en la materia; Administración Tributaria; Bancos, Cajas de Ahorros y Cajas Rurales; Organizaciones o Personas directamente relacionadas con el responsable; Fuerzas y Cuerpos de Seguridad.” No consta que el mencionado fichero de “EXPEDIENTES ADMINISTRATIVOS”, que contiene datos personales procedentes de expedientes administrativos tramitados por el Ayuntamiento de Ocaña por la comisión de infracciones administrativas, fuera creado por el Ayuntamiento de Ocaña mediando disposición general en los términos previstos en el artículo 20 de la LOPD. TERCERO: Con fecha 29 de mayo de 2017, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento de declaración de infracción de Administraciones Públicas al Ayuntamiento de Ocaña, por la presunta infracción del artículo 20 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como grave en el artículo 44.3.
- a)de dicha norma; así como incorporar al citado procedimiento, a efectos probatorios la denuncia interpuesta por el denunciante y su documentación, los documentos obtenidos del Registro General de Protección de Datos de la AEPD con fecha 18 de mayo de 2017. Dicho acuerdo de inicio se notificó al Ayuntamiento de Ocaña con fecha 1 de junio de 2017, según consta en el documento de “Prueba de entrega” emitido por la Sociedad Estatal Correos y Telégrafos, S.A. e incorporado al procedimiento. CUARTO: Con fecha 18 de septiembre de 2017 se accede al Registro General de Protección de Datos a los efectos de comprobar los ficheros registrados a nombre del Ayuntamiento de Ocaña y de la mercantil VIALINE GESTIÓN, S.L., obrando impresión en el procedimiento C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/14 del resultado obtenido a través de tales comprobaciones, cuyo resumen Hechos Probados Segundo y Tercero de esta resolución. se cita en los QUINTO: Transcurrido el plazo concedido al Ayuntamiento denunciado para formular alegaciones sin que conste que el mismo hay ejercido ese derecho en su defensa, se procede a elevar el procedimiento a la Directora de la Agencia Española de Protección de Datos a los efectos de dictar resolución al respecto, dado que en la notificación del acuerdo de inicio del procedimiento, se informaba que, en caso de no realizar alegaciones contra dicho acuerdo, se entenderá el mismo como propuesta de resolución en virtud de lo previsto en el artículo 64.2.f de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas. HECHOS PROBADOS PRIMERO: Con fecha 28 de junio de 2016 el Ayuntamiento de Ocaña y la mercantil VIALINE GESTIÓN, S.L. suscribieron “Contrato de Prestación de Servicios Técnicos para la colaboración en el control de infracciones por salto de semáforo en rojo, control de acceso y campañas de radar y etilómetro en el Ayuntamiento de Ocaña” , (en adelante el CONTRATO), que contiene, entre otras, las siguientes cláusulas: “PRIMERA. Objeto. VIALINE GESTIÓN S.L., con CIF B-******** se compromete a prestar al AYUNTAMIENTO DE OCAÑA el suministro de la realización de campañas de etilómetro, radar embarcado en vehículo, un dispositivo de fotorojo y dos cámaras de control de acceso por un período de un año a contar desde el día siguiente a la firma del presente contrato.” “CUARTA. Descripción y características de los trabajos. La descripción del servicio a prestar es la siguiente: VIALINE se compromete a la realización de los trabajos informáticos y de campo necesarios para la emisión, notificación y gestión integral de los expedientes sancionadores por infracciones impuestas mediante el dispositivo de radar embarcado en vehículo, dispositivo fotorojo, las dos cámaras de control de acceso, así como eltilómetro, comprenderán la realización de los trabajos de apoyo y colaboración necesarios, que no impliquen ejercicio de autoridad, ni custodia de fondos públicos en orden a la gestión y cobranza de todas las multas que se impongan en el AYUNTAMIENTO. Dichos trabajos comprenderán dos grandes áreas: A) Colaboración en la gestión de expedientes: Consistente en la realización de procesos informáticos encaminados a la interconexión de información, grabación y emisión de los soportes físicos de expedientes sancionadores, para su posterior notificación , de acuerdo a lo establecido en los artículos 58 y 59 de la Ley 30/92, (…) A) Colaboración en la gestión de recaudación: Consistente en la realización de las gestiones, actividades, trámites, notificaciones y diligencias que, junto conla cumplimentación de tareas meramente formales que no implicando o requiriendo ejercicio de autoridad, ni menoscabando funciones reservadas a funcionarios públicos , favorezcan de manera diferenciada y significativa la recaudación, envía voluntaria, de los recursos generados en la tramitación de los expedientes sancionadores dentro del municipio de OCAÑA. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/14 Para la prestación del servicio objeto de este contrato, VIALINE se compromete a la cesión de los siguientes dispositivos: (…) QUINTA. Obligaciones de las partes: En el desempeño de las actividades necesarias para el funcionamiento óptimo del servicio colaborará, en su caso, el personal propio del AYUNTAMIENTO con el personal que aporte VIALINE. Estas tareas deberán realizarse en estrecha colaboración entre VIALINE y los servicios municipales, correspondiendo a cada una de las partes la realización de los trabajos específicos siguientes: A) Corresponderá al AYUNTAMIENTO DE OCAÑA:
- a)La formulación de las denuncias. (…)
- b)Definir el contenido, la estructura y la forma de los impresos normalizados necesarios para la tramitación, emisión y notificación de los expedientes sancionadores, en periodo voluntario; (…)
- c)Definir el contenido, la estructura y la forma de los documentos necesarios para la publicación edictal en los Boletines Oficiales y en los tablones de los Ayuntamientos respectivos, así como el procedimiento y forma de realizar las notificaciones.
- d)La realización de todas aquellas funciones reservadas legalmente a funcionario público y que impliquen ejercicio de autoridad.
- e)La designación de cuentas específicas de recaudación municipal de multas que se utilizarán en el cobro de las multas generadas y tramitadas por los dispositivos dela empresa VIALINE, así como facilitar un usuario y contraseña de las mismas a los sólo efectos de la mera consulta. (…)
- g)Registro de alegaciones y recursos que se interpongan en los procedimientos sancionadores. B) Corresponderá a VIALINE GESTIÓN SL: (…)
- i)Construcción y mantenimiento de una base de datos de infractores y denuncias y de los correspondientes procedimientos sancionadores, con observancia, en todo caso de lo establecido en la Ley Orgánica 15/1999, del 13 de diciembre, de Protección de Datos de Carácter Personal, y demás normativa sobre la materia.” (…) SEXTA. Protección de datos. De conformidad con lo dispuesto en la Ley Orgánica 15/1999 de Protección de Datos de Carácter Personal, las partes se informan que los datos personales que figuran en el presente Contrato, así como las que surjan de su aplicación, serán incorporados a un fichero responsabilidad VIALINE con la finalidad de llevar a cabo la gestión de la relación contractual generada con la firma del presente Contrato. (…) El uso de las herramientas informáticas facilitadas por VIALINE, y su acceso a las C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/14 bases de datos generadas, obliga expresamente a: 1. (…) 2. Tratar los datos de carácter personal a los que acceda para el cumplimiento del presente contrato, de acuerdo con las instrucciones facilitadas tanto por la entidad municipal como por VIALINE. 3. (…) 6. Devolver o destruir, a requerimiento expreso de VIALINE, los datos de carácter personal de los que es responsable del tratamiento VIALINE, a los que haya accedido para la prestación de sus servicios, así como todos aquellos soportes o documentos en los que conste algún dato de carácter personal objeto de tratamiento, una vez cumplida la prestación contractual prevista en el contrato. 7. (…) 8. VIALINE se obliga a respetar todas las obligaciones que pudieran corresponderle como encargado del tratamiento con arreglo a las disposiciones de la LOPD y normativa de desarrollo o cualquier otra disposición o regulación complementaria que le fuera igualmente aplicable. De conformidad con lo previsto en el artículo 12.4 de la Ley orgánica 15/1999, en caso de que el Ayuntamiento destine los datos a otra finalidad, los comunique o los utilice incumpliendo las estipulaciones del presente contrato, será considerado también responsable del tratamiento , respondiendo de las infracciones en que hub8iera incurrido personalmente.” SEGUNDO: Con fechas 18 de mayo y 18 de septiembre de 2017 se accede al Registro General de Protección de Datos de la AEPD, verificándose que el Ayuntamiento de Ocaña figura como responsable de un total de siete ficheros de titularidad pública cuya denominación es la siguiente: Control Horario; Fichero de Vehículos; Fichero de Reclutamiento; Fichero de Base de Contribuyentes; Fichero de Padrón de Habitantes; Fichero de Nóminas y Fichero de Deudores y Acreedores. Ninguno de los reseñados ficheros guarda relación con el tratamiento de datos de carácter personal registrados en las denuncias y procedimientos sancionadores tramitados por el Ayuntamiento de Ocaña con motivo de la comisión de las infracciones administrativas detectadas mediante el uso de los dispositivos técnicos cedidos por VIALINE a raíz de la firma del aludido CONTRATO de prestación de servicios. TERCERO: Con fechas 18 de mayo y 18 de septiembre de 2017 se accede al Registro General de Protección de Datos de la AEPD, verificándose que la mercantil VIALINE figura como responsable de un total de seis ficheros de titularidad privada cuya denominación es la siguiente: Expedientes Administrativos; GPS Vehículos; Videovigilancia: Formularios Página Web; Clientes, Usuarios, Proveedores y/o Colaboradores; Nóminas, Personal y RRHH. CUARTO: La creación del fichero de titularidad privada denominado “Expedientes Administrativos” citado en el anterior Hecho Probado fue notificada a la AEPD por VIALINE, figurando en el Registro General de Protección de Datos de la AEPD con código ***COD.1 e inscrito en el mismo con fecha 26 de enero de 2017. VIALINE declaró como finalidad y usos previstos del mismo: “Conjunto de datos necesarios para la gestión de expedientes administrativos sancionadores y expedientes tributarios por cuenta y auxilio de la Administración Titular de la potestad.”, y como destinatarios de la cesión C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/14 o comunicación de datos: “Entidades Aseguradoras; Administración Pública con competencia en la materia; Administración Tributaria; Bancos, Cajas de Ahorros y Cajas Rurales; Organizaciones o Personas directamente relacionadas con el responsable; Fuerzas y Cuerpos de Seguridad.” QUINTO: Consta que el reseñado fichero “Expedientes Administrativos” contiene datos de carácter personal procedentes de denuncias y expedientes administrativos sancionadores tramitados por el Ayuntamiento de Ocaña por la comisión de infracciones administrativas detectadas mediante el uso de los dispositivos técnicos cedidos por VIALINE a raíz de la firma del aludido CONTRATO de prestación de servicios. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
- g)en relación con el artículo 36 de la LOPD. II El artículo 64.2.f de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo LPACAP), dispone: “Indicación del derecho a formular alegaciones y a la audiencia en el procedimiento y de los plazos para su ejercicio, así como indicación de que, en caso de no efectuar alegaciones en el plazo previsto sobre el contenido del acuerdo de iniciación, éste podrá ser considerado propuesta de resolución cuando contenga un pronunciamiento preciso acerca de la responsabilidad imputada”. De conformidad con lo expuesto, el acuerdo de iniciación correctamente notificado podrá ser considerado directamente propuesta de resolución cuando contenga un pronunciamiento preciso a cerca de la responsabilidad imputada. Para ello son necesarios varios requisitos: • Que dicha posibilidad sea advertida expresamente al inculpado en el acuerdo de inicio del procedimiento. • Que el acuerdo de iniciación cumpla todas las exigencias que sobre el contenido se exigen en el precitado artículo 64 de la LPACAP. • Que el inculpado no presente alegaciones en plazo sobre el contenido de la iniciación. •.Que como consecuencia de la instrucción no resulte modificada la determinación inicial de los hechos, de su posible calificación, de las sanciones imponibles o de las responsabilidades susceptibles de sanción. En este caso, en la notificación del acuerdo de inicio adoptado por la Directora de la Agencia Española de Protección de Datos se hacía referencia al referido artículo 64.2.f de la LPAC, advirtiendo al citado Ayuntamiento sobre las consecuencias de no efectuar C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/14 alegaciones. Dicho Acuerdo contiene un pronunciamiento preciso sobre la infracción de la que se inculpa al denunciado, por lo que es conforme a derecho considerar el citado acuerdo de inicio como propuesta de resolución, en la medida que notificado el acuerdo de inicio el Ayuntamiento de Ocaña no ha presentado alegaciones en el plazo establecido para ello. III Con carácter previo a dirimir si el Ayuntamiento inculpado resulta responsable de la comisión de una infracción a lo dispuesto en el artículo 20 de la LOPD, debe señalarse que el artículo 1 de dicha norma dispone: “La presente Ley Orgánica tiene por objeto garantizar y proteger, en lo que concierne al tratamiento de los datos personales, las libertades públicas y los derechos fundamentales de las personas físicas, y especialmente de su honor e intimidad personal y familiar”. La LOPD, viene a regular el derecho fundamental a la protección de datos de las personas físicas, esto es, el derecho a disponer de sus propios datos sin que puedan ser utilizados, tratados o cedidos sin su consentimiento, con la salvedad de las excepciones legalmente previstas. En cuanto al ámbito de aplicación de la citada norma, el artículo 2.1 de la misma señala: “La presente Ley Orgánica será de aplicación a los datos de carácter personal registrados en soporte físico que los haga susceptibles de tratamiento, y a toda modalidad de uso posterior de estos datos por los sectores público y privado”; definiéndose el concepto de dato de carácter personal en el apartado
- a)del artículo 3 de la LOPD, como “Cualquier información concerniente a personas físicas identificadas o identificables”. El artículo 5.1.
- f)del Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal, aprobado por Real Decreto 1720/2007, de 21 de diciembre, (en adelante RLOPD), define datos de carácter personal como: “Cualquier información numérica, alfabética, gráfica, fotográfica, acústica o de cualquier otro tipo, concerniente a personas físicas identificadas o identificables”. En lo que respecta al concepto de “fichero” el artículo 3.
- b)de la LOPD lo define como “todo conjunto organizado de datos de carácter personal, cualquiera que fuere la forma o modalidad de su creación, almacenamiento, organización y acceso”, definiéndose en las letras
- l)y
- m)del artículo 5.1 del RLOPD los siguientes conceptos: “
- l)Ficheros de titularidad privada: los ficheros de los que sean responsables las personas, empresas o entidades de derecho privado, con independencia de quien ostente la titularidad de su capital o de la procedencia de sus recursos económicos, así como los ficheros de los que sean responsables las corporaciones de derecho público, en cuanto dichos ficheros no se encuentren estrictamente vinculados al ejercicio de potestades de derecho público que a las mismas atribuye su normativa específica.
- m)Ficheros de titularidad pública: los ficheros de los que sean responsables los órganos constitucionales o con relevancia constitucional del Estado o las instituciones autonómicas con funciones análogas a los mismos, las Administraciones públicas territoriales, así como las entidades u organismos vinculados o dependientes de las mismas y las Corporaciones de derecho público siempre que su finalidad sea el ejercicio de potestades de derecho público. “ C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/14 Por su parte el artículo 3.
- d)de la LOPD define al responsable del fichero o tratamiento como la “persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento.”, mientras que el artículo 3.
- g)de la LOPD define al encargado del tratamiento como “la persona física o jurídica, autoridad pública, servicio o cualquier otro organismo que, sólo o conjuntamente con otros, trate datos personales por cuenta del responsable del tratamiento.” El artículo 3 de la LOPD define en su letra
- c)el tratamiento de datos como aquellas “operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”. La garantía del derecho a la protección de datos, conferida por la normativa de referencia, requiere que exista una actuación que constituya un tratamiento de datos personales en el sentido expresado. En otro caso las mencionadas disposiciones no serán de aplicación. En cuanto a los “Datos especialmente protegidos” el artículo 7.5 de la LOPD dispone que: “5. Los datos de carácter personal relativos a la comisión de infracciones penales o administrativas sólo podrán ser incluidos en ficheros de las Administraciones públicas competentes en los supuestos previstos en las respectivas normas reguladoras.” De conformidad con la normativa expuesta y la valoración de la documentación obrante en el procedimiento, el Ayuntamiento denunciado no sólo resulta responsable del tratamiento efectuado con los datos personales concernientes a las personas físicas a las que ha instruido, en virtud de la competencia ostentada, expedientes sancionadores por la comisión de infracciones administrativas, en este caso en materia de tráfico y seguridad vial, toda vez que ha decidido sobre la finalidad, contenido y uso del tratamiento de los datos personales de los infractores, sino que también es titular del fichero de titularidad pública creado a raíz de la recogida y uso por ese Ayuntamiento de los datos de carácter personal tratados en las denuncias formuladas y procedimientos sancionadores instruidos en el ejercicio de su competencia sancionadora. IV En el presente procedimiento se analiza la posible comisión por parte del Ayuntamiento denunciado de una infracción a lo previsto en el artículo 20 de la LOPD, que dispone: “1. La creación, modificación o supresión de los ficheros de las Administraciones públicas sólo podrán hacerse por medio de disposición general publicada en el «Boletín Oficial del Estado» o Diario Oficial correspondiente. 2. Las disposiciones de creación o de modificación de ficheros deberán indicar:
- a)La finalidad del fichero y los usos previstos para el mismo.
- b)Las personas o colectivos sobre los que se pretenda obtener datos de carácter personal o que resulten obligados a suministrarlos.
- c)El procedimiento de recogida de los datos de carácter personal.
- d)La estructura básica del fichero y la descripción de los tipos de datos de carácter personal incluidos en el mismo. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/14
- e)Las cesiones de datos de carácter personal y, en su caso, las transferencias de datos que se prevean a países terceros.
- f)Los órganos de las Administraciones responsables del fichero.
- g)Los servicios o unidades ante los que pudiesen ejercitarse los derechos de acceso, rectificación, cancelación y oposición.
- h)Las medidas de seguridad con indicación del nivel básico, medio o alto exigible. 3. En las disposiciones que se dicten para la supresión de los ficheros se establecerá el destino de los mismos o, en su caso, las previsiones que se adopten para su destrucción” En cuanto a las obligaciones previas al tratamiento de los datos, los artículos 52, 53.3 y 54 del RLOPD establecen: “Artículo 52. Disposición o Acuerdo de creación, modificación o supresión del fichero. 1. La creación, modificación o supresión de los ficheros de titularidad pública sólo podrá hacerse por medio de disposición general o acuerdo publicados en el «Boletín Oficial del Estado» o diario oficial correspondiente. 2. En todo caso, la disposición o acuerdo deberá dictarse y publicarse con carácter previo a la creación, modificación o supresión del fichero. Artículo 53 .Forma de la disposición o acuerdo. (…) 3.En relación con los ficheros de los que sean responsables las Comunidades Autónomas, entidades locales y las entidades u organismos vinculados o dependientes de las mismas, las universidades públicas, así como los órganos de las Comunidades Autónomas con funciones análogas a los órganos constitucionales del Estado, se estará a su legislación específica. Artículo 54. Contenido de la disposición o acuerdo 1. La disposición o acuerdo de creación del fichero deberá contener los siguientes extremos:
- a)La identificación del fichero o tratamiento, indicando su denominación, así como la descripción de su finalidad y usos previstos.
- b)El origen de los datos, indicando el colectivo de personas sobre los que se pretende obtener datos de carácter personal o que resulten obligados a suministrarlos, el procedimiento de recogida de los datos y su procedencia.
- c)La estructura básica del fichero mediante la descripción detallada de los datos identificativos, y en su caso, de los datos especialmente protegidos, así como de las restantes categorías de datos de carácter personal incluidas en el mismo y el sistema de tratamiento utilizado en su organización.
- d)Las comunicaciones de datos previstas, indicando en su caso, los destinatarios o categorías de destinatarios.
- e)Las transferencias internacionales de datos previstas a terceros países, con indicación, en su caso, de los países de destino de los datos.
- f)Los órganos responsables del fichero.
- g)Los servicios o unidades ante los que pudiesen ejercitarse los derechos de acceso, rectificación, cancelación y oposición. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/14
- h)El nivel básico, medio o alto de seguridad que resulte exigible, de acuerdo con lo establecido en el título VIII del presente reglamento. 2. La disposición o acuerdo de modificación del fichero deberá indicar las modificaciones producidas en cualquiera de los extremos a los que se refiere el apartado anterior. “ Dictado y publicado en el Boletín Oficial correspondiente la creación del fichero de titularidad pública del que se trate, se procederá a su notificación a la AEPD para su inscripción en el Registro General de la misma. Esta obligación, en el caso de los ficheros de titularidad pública, se desarrolla en el artículo 55.1 del RLOPD, que determina: “Artículo 55. Notificación de ficheros. 1. Todo fichero de datos de carácter personal de titularidad pública será notificado a la Agencia Española de Protección de Datos por el órgano competente de la Administración responsable del fichero para su inscripción en el Registro General de Protección de Datos, en el plazo de treinta días desde la publicación de su norma o acuerdo de creación en el diario oficial correspondiente.” En el presente caso, a la vista de los elementos de juicio obrantes en el procedimiento, ha quedado acreditado que el Ayuntamiento de Ocaña utiliza un fichero con datos de carácter personal procedentes de las denuncias formuladas y expedientes sancionadores instruidos, en el marco de su competencia, por la comisión de infracciones administrativas en materia de tráfico y seguridad vial, las cuales fueron constatadas mediante el uso de determinados dispositivos técnicos cedidos por VIALINE a dicho Ayuntamiento en virtud del contrato de prestación de servicios suscrito entre ambas partes, de fecha 28 de junio de 2016 ( Hecho Probado Primero), y en cuyo clausulado también figuraba que el Ayuntamiento de Ocaña encomendaba a VIALINE la prestación de determinados servicios asociados a la tramitación de esas denuncias y expedientes sancionadores que no implicaban el ejercicio de autoridad ni custodia de fondos públicos, aunque si suponían un tratamiento de datos de carácter personal por parte de dicha empresa. Dentro de ese contexto, y de conformidad con lo dispuesto en los artículos 7.5 y 20 de la LOPD el Ayuntamiento de Ocaña resulta responsable de la creación del fichero de titularidad pública resultante de la base de datos de carácter personal creada, precisamente, con motivo de la tramitación de expedientes administrativos derivados de las denuncias formuladas por infracciones administrativas detectadas con el uso de los dispositivos técnicos cedidos por VIALINE, los cuales figuran detallados en el reseñado CONTRATO. Al mismo tiempo, el Ayuntamiento de Ocaña también resulta responsable del tratamiento de los datos de carácter personal de los infractores a los que instruyó expedientes sancionadores tras la formulación de las correspondientes denuncias por las infracciones reseñadas en el mencionado CONTRATO. En el caso analizado, no consta que el Ayuntamiento de Ocaña haya acreditado contar con autorización de disposición general de creación del citado fichero con datos personales de los infractores reseñados publicada en el boletín o diario oficial correspondiente, no habiendo tampoco justificado ante esta Agencia que después de haber recibido la notificación del acuerdo de inicio del presente procedimiento haya adoptado alguna medida dirigida a subsanar la situación analizada al objeto de proceder, posteriormente, a su inscripción en el Registro General de Protección de Datos. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/14 V Acreditada en los anteriores Fundamentos de Derecho la condición de responsable del fichero y del tratamiento ostentada por el Ayuntamiento de Ocaña respecto del tratamiento realizado con los datos personales de los afectados que obran en los expedientes instruidos por comisión de infracciones administrativas, resulta necesario puntualizar la posición ostentada por VIALINE en relación con el tratamiento efectuado, con los datos personales de dichos afectados a los que accedió, precisamente, en razón del “Contrato de Prestación de Servicios Técnicos para la colaboración en el control de infracciones por salto de semáforo en rojo, control de acceso y campañas de radar y etilómetro en el Ayuntamiento de Ocaña” firmado con dicho Ayuntamiento. Para ello hay que acudir a lo dispuesto en el artículo 12 de la LOPD, que dispone lo siguiente: “Artículo 12. Acceso a los datos por cuenta de terceros. 1. No se considerará comunicación de datos el acceso de un tercero a los datos cuando dicho acceso sea necesario para la prestación de un servicio al responsable del tratamiento. 2. La realización de tratamientos por cuenta de terceros deberá estar regulada en un contrato que deberá constar por escrito o en alguna otra forma que permita acreditar su celebración y contenido, estableciéndose expresamente que el encargado del tratamiento únicamente tratará los datos conforme a las instrucciones del responsable del tratamiento, que no los aplicará o utilizará con fin distinto al que figure en dicho contrato, ni los comunicará, ni siquiera para su conservación, a otras personas. En el contrato se estipularán, asimismo, las medidas de seguridad a que se refiere el artículo 9 de esta Ley que el encargado del tratamiento está obligado a implementar. 3. Una vez cumplida la prestación contractual, los datos de carácter personal deberán ser destruidos o devueltos al responsable del tratamiento, al igual que cualquier soporte o documentos en que conste algún dato de carácter personal objeto del tratamiento. 4. En el caso de que el encargado del tratamiento destine los datos a otra finalidad, los comunique o los utilice incumpliendo las estipulaciones del contrato, será considerado también responsable del tratamiento, respondiendo de las infracciones en que hubiera incurrido personalmente. “ A la vista de lo preceptuado en los citados artículos 3.
- g)y 12 de la LOPD, la mercantil VIALINE accede a los datos personales obrantes en los procedimientos sancionadores tramitados por el Ayuntamiento de Ocaña para prestarle los servicios objeto de la referida contratación, cuyas características y descripción aparecen especificados en la cláusula Cuarta del aludido CONTRATO. De esta forma, VIALINE trata esos datos en su condición de encargado del tratamiento del Ayuntamiento de Ocaña, estando obligada a tratar dicha información de carácter personal de acuerdo a la finalidad e instrucciones fijadas en el CONTRATO por dicho Ayuntamiento, responsable del tratamiento, así como a implementar las medidas de seguridad de índole técnica y organizativa contempladas en el artículo 9 de la LOPD. Por lo que la cláusula Sexta del mencionado CONTRATO no se ajusta a lo dispuesto en la normativa de protección de datos en lo que respecta a que los datos personales que surjan de la aplicación del CONTRATO serán incorporados a un fichero responsabilidad de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/14 VIALINE con la finalidad de llevar a cabo la gestión de la relación contractual generada con la firma del citado CONTRATO de prestación de servicios. En consecuencia, VIALINE, en cuya conducta no se observa elemento subjetivo de culpabilidad al haber actuado en la confianza legítima de que procedía conforme a las instrucciones del Ayuntamiento de Ocaña, deberá proceder a notificar al Registro General de Protección de Datos la supresión del fichero de titularidad privada denominado “Expedientes Administrativos” inscrito a su nombre en dicho Registro, toda vez que con independencia de que dicha empresa precise tener acceso al fichero de titularidad pública referido a procedimientos sancionadores del Ayuntamiento de Ocaña a fin de prestar los servicios objeto del CONTRATO, ya se ha razonado que no ostenta la condición de responsable del citado fichero al tratarse de datos de carácter personal relativos a la comisión de infracciones administrativas, siendo su responsable el Ayuntamiento de Ocaña. A los efectos de la supresión de ficheros el artículo 58.2 del RLOPD establece lo siguiente: “ 2. Cuando el responsable del fichero decida su supresión, deberá notificarla a efectos de que se proceda a la cancelación de la inscripción en el registro correspondiente.” VI El artículo 43 de la LOPD establece: ”1. Los responsables de los ficheros y los encargados de los tratamientos estarán sujetos al régimen sancionador establecido en la presente ley. 2. Cuando se trate de ficheros de titularidad pública se estar´, en cuanto al procedimiento y a las sanciones, a lo dispuesto en los artículos 46 y 48 de la presente Ley” El artículo 44.3
- a)de la LOPD tipifica como infracción grave: “Proceder a la creación de ficheros de titularidad pública o iniciar la recogida de datos de carácter personal para los mismos, sin autorización de disposición general, publicada en el “Boletín Oficial del Estado” o Diario Oficial correspondiente”. A la vista de lo actuado, el Ayuntamiento de Ocaña ha incurrido en la infracción descrita, al estar acreditado que dispone de un fichero de titularidad pública con datos de carácter personal registrados en denuncias formuladas y expedientes sancionadores instruidos por dicho Ayuntamiento por la comisión de infracciones administrativas, sin que, previamente a su creación y mantenimiento, haya realizado los trámites oportunos para la inscripción del mismo en el Registro General de Protección de Datos. VII Por último, el artículo 46 de la LOPD, “Infracciones de las Administraciones Públicas”, dispone que: «1. Cuando las infracciones a que se refiere el artículo 44 fuesen cometidas en ficheros de titularidad pública o en relación con tratamientos cuyos responsables lo serían de ficheros de dicha naturaleza, el órgano sancionador dictará una resolución estableciendo las medidas que procede adoptar para que cesen o se corrijan los efectos de la infracción. Esta resolución se notificará al responsable del fichero, al órgano del que dependa jerárquicamente y a los afectados si los hubiera. 2. El órgano sancionador podrá proponer también la iniciación de actuaciones C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/14 disciplinarias, si procedieran. El procedimiento y las sanciones a aplicar serán las establecidas en la legislación sobre régimen disciplinario de las Administraciones Públicas. 3. Se deberán comunicar al órgano sancionador las resoluciones que recaigan en relación con las medidas y actuaciones a que se refieren los apartados anteriores.» 4. El Director de la Agencia comunicará al Defensor del Pueblo las actuaciones que efectúe y las resoluciones que dicte al amparo de los apartados anteriores”. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR que el Ayuntamiento de Ocaña ha infringido lo dispuesto en el artículo 20 de la LOPD, tipificada como grave en el artículo 44.3.
- a)de la citada Ley Orgánica. SEGUNDO: REQUERIR al Ayuntamiento de Ocaña, de acuerdo con lo establecido en el apartado 3 del artículo 46 de la Ley 15/1999, para que acredite en el plazo de un mes desde este acto de notificación las medidas de orden interno que impidan que en el futuro pueda producirse una nueva infracción del artículo 20 de la LOPD. En concreto deberá acreditar: 2.1 La realización de los trámites oportunos para la inscripción del fichero de titularidad pública resultante de la creación y mantenimiento de la base de datos de denuncias, infractores y procedimientos sancionadores seguidos por ese Ayuntamiento, de conformidad con lo previsto en los artículos 7.5 y 20 de la LOPD, lo que conllevaría que VIALINE notificase al Registro General de Protección de Datos la supresión del fichero “Expedientes Administrativos” de titularidad privada. 2.2 La realización de las gestiones oportunas para adecuar la cláusula Sexta del mencionado CONTRATO a lo dispuesto en el artículo 12 de la LOPD, en particular a la condición de responsable del tratamiento y del fichero de titularidad pública resultante de la creación y mantenimiento de la base de datos de infractores que ostenta ese Ayuntamiento con arreglo a lo expuesto, así como a la condición de VIALINE de encargado del tratamiento de los datos de carácter personal a los que tiene acceso por cuenta del Ayuntamiento de Ocaña para la prestación de los servicios encomendados por éste a dicha empresa en el marco del aludido CONTRATO. Para constatar el cumplimiento de lo requerido se inicia un expediente de actuaciones previas con la referencia E/05376/2017. TERCERO: NOTIFICAR la presente resolución al Ayuntamiento de Ocaña CUARTO: COMUNICAR la presente resolución al Defensor del Pueblo, de conformidad con lo establecido en el artículo 46.4 de la LOPD. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/14 publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, se podrá interponer potestativamente recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa (en lo sucesivo LJCA), en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Sin embargo, el responsable del fichero de titularidad pública, de acuerdo con el artículo 44.1 de la LJCA, sólo podrá interponer directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la LJCA, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es