1/14 Procedimiento Nº AP/00023/2017 RESOLUCIÓN: R/03041/2017 En el procedimiento de Declaración de Infracción de Administraciones Públicas AP/00023/2017, instruido por la Agencia Española de Protección de Datos al AYUNTAMIENTO DE BOECILLO, vista la denuncia presentada por Don B.B.B., y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fechas 31 de octubre y 7 de noviembre de 2016, tienen entrada en esta Agencia un total de tres escritos de Don B.B.B., (en lo sucesivo el denunciante), en los que pone de manifiesto que con fecha 26 de noviembre de 2016, el/la propietario/a de un soporte asociado al número 34 ***TEL.1 creó un grupo de WhatsApp denominado “(...)”, en el que incorporó 255 números de teléfono entre los que se encontraba incluida su línea de teléfono móvil, ello a pesar de que no había otorgado su consentimiento ni autorización para dicho tratamiento, que en modo alguno puede calificarse de doméstico o personal. El denunciante indica que según información proporcionada por el ***PARTIDO POLITICO.1 de Boecillo en su página de Facebook Dña. C.C.C., ***CARGO.1, es la titular de la línea de teléfono desde la que se creó el citado grupo. Asimismo, el denunciante afirma no tener ninguna relación con la persona que figura como administrador del grupo, Don A.A.A., ***CARGO.2 de ese mismo Ayuntamiento, ni con el resto de participantes del grupo, muchos de los cuales, a la vista de los comentarios que han realizado ignoraban la identidad de los miembros del grupo y la finalidad para la que se creó. Asimismo, afirma que a fecha 29 de octubre de 2016 aun aparecían participantes en el grupo de WhatsApp. 77 Los escritos de denuncia vienen acompañados de la siguiente documentación: -Impresión de varias capturas de pantalla de un terminal con comentarios de los participantes del grupo de WhatsApp “(...)” preguntando el origen y finalidad del grupo. En dichas capturas aparecen los números de teléfono móvil de los participantes que realizan los comentarios mostrados, cuyos perfiles, con la información de carácter personal obrante en los mismos, resultaba accesible a los integrantes del grupo creado. Además, en una de las capturas presentadas aparece que el citado grupo fue “Creado por + 34 ***TEL.1, 26/16, 9:38, constando también que en el momento de la captura estaba integrado por “77 de 256” participantes. - Impresión de la noticia de fecha 26 de octubre de 2016 que figura en la página de Facebook del ***PARTIDO POLITICO.1 de Boecillo ((...)). - Impresión de unas declaraciones efectuadas al diario ABC en el año 2010 por el entonces Director de la AEPD en relación con el uso de las redes sociales. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/14 SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicitó información al Ayuntamiento de Boecillo, (en adelante el denunciado o el Ayuntamiento), registrándose con fecha 10 de enero de 2017 escrito de contestación en el que se señala que: 2.1 Ante las demandas de información municipal de muchos vecinos del Municipio, y con el objetivo de proporcionar mayor información y transparencia, la ***CARGO.1 intentó crear una lista de distribución por medio de la aplicación WhatsApp, con los teléfonos móviles proporcionados por los propios vecinos. Por error, en lugar de crear una lista de distribución creó un grupo de WhatsApp. Detectada esta circunstancia, la ***CARGO.1 intentó, dentro de los primeros minutos, borrar el grupo. Ante la imposibilidad de la eliminación y, una vez fuera del grupo, la aplicación asigna, de forma automática y al azar, a uno de los participantes incluidos en el grupo. La ***CARGO.1 contactó vía telefónica con el nuevo administrador con el fin de dar solución al error. En vista de esta situación, el concejal A.A.A. es nombrado, voluntariamente, administrador del grupo y procede a eliminar del grupo a todos los participantes. A las tres horas de su creación el grupo quedo disuelto. 2.2 Asimismo, en los primeros minutos se envió al grupo un mensaje informando de lo ocurrido y pidiendo disculpas por el error, e invitando a los miembros a abandonar el grupo. 2.3 Durante las tres horas que, aproximadamente, el grupo de WhatsApp estuvo operativo no hubo transferencia de datos de carácter personal. 2.4 Los números de teléfono fueron facilitados directamente por los titulares de los mismos para contactar directamente con la ***CARGO.1 y recibir información de la misma y del ***CARGO.2. 2.5 La fecha de creación y eliminación del mencionado grupo fue el 10 de noviembre de 2015. TERCERO: Con fecha 19 de junio de 2017, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento de declaración de infracción de Administraciones Públicas al Ayuntamiento de Boecillo por la presunta infracción de los artículos 4.2 y 10 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificadas como graves en los artículos 44.3.c y 44.3d) respectivamente, de dicha norma. El mencionado acuerdo de inicio se notificó al citado Ayuntamiento con fecha 23 de junio de 2017. CUARTO: Notificado el citado acuerdo de inicio de procedimiento de declaración de infracción de Administraciones Públicas, en fecha 11 de julio de 2017, el Ayuntamiento de Boecillo presentó escrito de alegaciones en el que, en síntesis, manifestaba que: Se ratifican en las alegaciones del escrito ya remitido con anterioridad. Exponen que el número de teléfono es un dato de carácter personal. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/14 Plantean la alegación de la excepción doméstica porque la ***CARGO.1 creó un grupo de WhatsApp como un grupo privado entre vecinos conocidos del pueblo para hacer la comunicación más ágil. Manifiestan que el Ayuntamiento cuenta con el consentimiento tácito de los interesados para informarles de acciones o actuaciones de interés vecinal. Expone el Ayuntamiento en su escrito de alegaciones que los vecinos que desean ser informados por vía electrónica (concretamente WhatsApp) lo han manifestado así proporcionando su número de teléfono para ese fin. Informan de que el grupo de WhatsApp denunciado se creó y se cerró el día 26 de octubre de 2016 por la ***CARGO.1, que se constituyó por error y que lo que se pretendía era crear una lista de distribución. Que el número de afectados fue muy reducido y que no se realizó comunicación alguna al grupo. Concluye el Ayuntamiento su escrito de alegaciones manifestando que: “…por parte del Ayuntamiento de Boecillo se han impartido instrucciones al personal y órganos de Gobierno corporativo precisas que extremen el respeto a las previsiones de la LOPD procediéndose a aumentar los controles sobre los procesos de comunicación con los vecinos, así como a incluir en los distintos formularios de recogida de datos cláusulas específicas, adaptadas ya al nuevo Reglamento Europeo a fin de realizar un cumplimiento efectivo de la normativa de protección de datos.” Solicita el Ayuntamiento de Boecillo que se acuerde el archivo del procedimiento. QUINTO: Con fecha 13 de julio de 2017, se acordó por la Instructora del procedimiento la apertura de un período de práctica de pruebas, acordándose practicar las siguientes: 1. Incorporar al expediente del procedimiento arriba indicado, y por tanto dar por reproducida a efectos probatorios, la siguiente documentación: denuncia interpuesta por el denunciante, documentos obtenidos y generados con motivo de las actuaciones previas de inspección que forman parte del expediente E/06406/2016 y las alegaciones al acuerdo de inicio del procedimiento AP/00023/2017 presentadas por el Ayuntamiento de Boecillo. Todo ello con su correspondiente documentación adjunta. 2. Incorporar al procedimiento impresión del resultado de la información obtenida a través del acceso efectuado al sitio web https://***WEB.1 a fin de obtener información sobre los datos del titular del dominio boecillo.es. 3. Incorporar al procedimiento impresión del resultado de la información obtenida a través del acceso efectuado a diferentes páginas del sitio web ***WEB.2. 4. Requerir al Ayuntamiento de Boecillo contestación a los siguientes extremos y remisión de la documentación que se indica: 4.1 Acreditación del titular de la línea de teléfono móvil ***TEL.1. 4.2 Justificación de los miembros del grupo de WhatsApp creado cuyos datos personales fueron directamente facilitados a la ***CARGO.1 por los propios interesados al contactar con ésta, con acreditación tanto de los medios a través de los que se produjeron dichos contactos, como de las fechas y motivos que los originaron (quejas, sugerencias, tipos de solicitudes de información, etc). En cualquier caso, deberá acreditarse que se obtuvo el consentimiento de los afectados, o de sus padres o tutores en caso de ser menores de 14 años, para C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/14 usar sus teléfonos móviles a fin de ser informados de asuntos de interés vecinal a través de un grupo de WhatsApp. 4.3 Para el resto de miembros del grupo se acreditará que éstos habían manifestado su voluntad de ser informados de dichos asuntos por vía electrónica, en concreto a través de un grupo de WhatsApp, facilitando a tales efectos el número de teléfono que se utilizó para la creación del grupo denunciado. 4.4 En cualquier caso, se justificará el modo en que se obtuvo el número de teléfono móvil del denunciante incorporado al reseñado grupo de WhatsApp y la forma exacta en que se recabo el consentimiento del mismo para ser usado con la finalidad indicada por dicho Ayuntamiento. 4.5 Acreditación de que el denunciante se ha comunicado vía WhatsApp con la ***CARGO.1 desde el número de línea del mismo que se incorporó al grupo creado. Se observa que la impresión de pantalla de WhatsApp aportada (documento nº 2) muestra dos mensajes salientes de fechas 3 de octubre y 6 de diciembre de 2016 dirigidos a “D.D.D.”, el segundo de ellos sin incluir el texto íntegro del mismo, en los que no aparecen los números llamante y receptor de los mensajes ni ningún dato que permita identificar a la ***CARGO.1 como remitente de los mismos. 4.6 Número exacto de afectados incluidos en el citado grupo de WhatsApp. 4.7 En el apartado
- c)del escrito de fecha 4 de enero de 2017 formulado por la ***CARGO.1 de ese Ayuntamiento en contestación a la solicitud de información efectuada durante las actuaciones previas de inspección, ésta señalaba respecto del origen de los datos relativos a los números de teléfono incluidos en el mencionado grupo que: “Los números de teléfono fueron facilitados directamente por los titulares de los mismos, para contactar directamente con la ***CARGO.1 y recibir la información de la misma y del ***CARGO.2. Los casos o supuestos de contacto entre vecinos/as y ***CARGO.1/Concejal, han sido: Quejas sobre limpieza y red viaria. Información cultural/deportiva. Información pago tributos/otros. Información centro ocio juvenil. Quejas y Sugerencias Para la obtención de estos teléfonos, no han sido utilizados los sistemas informáticos municipales, ni el padrón ni ningún sistema de gestión municipal, a los que los órganos políticos no tienen acceso, con ningún usuario y contraseña.” A la vista de lo cual deberá especificarse la forma exacta en que la ***CARGO.1 accedió a la información referida a los números de teléfono móvil de los integrantes del grupo de WhatsApp denunciado, acreditando la naturaleza de los ficheros en que dichos datos estaban registrados y el titular de los mismos. Asimismo, y también en relación con las manifestaciones transcritas, se indicará el responsable de los ficheros en los que se registran los datos de carácter personal obtenidos a través de los contactos indicados y la denominación de tales ficheros. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/14 5. Requerir al denunciante contestación a los siguientes extremos y remisión de la documentación que se indica: 5.1 Número de teléfono de su titularidad que fue incorporado al grupo de WhatsApp “Vecinos de Boedillo”, con justificación de tal titularidad. 5.2 Indicación de si en algún momento ha facilitado dicha línea de teléfono para contactar con la ***CARGO.1 o, en su caso, con el Concejal Delegado de Régimen Interior, Urbanismo, y Desarrollo Sostenible del Ayuntamiento de Boecillo, aclarando, en su caso, la finalidad de dicho/s contacto/s y el medio utilizado para su realización (vía telefónica, vía electrónica (correo electrónico, WhatsApp, vía postal), señalando si alguno de ellos se efectuó llamando al número ***TEL.1 que aparece en el sitio web ***WEB.2/***CARGO.1. 5.3 Aclaración de si antes de octubre de 2016 ha otorgado su consentimiento al Ayuntamiento de Boecillo o a su ***CARGO.1 para usar el número de teléfono móvil proporcionado en alguno de tales contactos con la finalidad de remitirle información de interés vecinal y/o municipal a través de WhatsApp y, más particularmente, de un grupo de WhatsApp. SEXTO: Con fecha 1 de agosto de 2017 tiene entrada en el Registro de esta Agencia el escrito del Ayuntamiento de Boecillo en respuesta al requerimiento realizado. En este escrito se expone: Se acredita que el titular del número de teléfono desde el que se creó el grupo de WhatsApp denunciado es el Ayuntamiento de Boecillo, por medio del contrato con la compañía suministradora del servicio. Remiten 37 escritos de quienes dicen ser (...) y afirman que son titulares de las líneas del grupo de WhatsApp denunciado, en los que se expone que han prestado su consentimiento verbal de forma expresa a la ***CARGO.1 para que les mantenga informados de las cuestiones que conciernen al municipio tanto a través de medios tradicionales como electrónicos (email, WhatsApp…) y que han sido informados de sus derechos ARCO. Respecto del denunciante se informa de que el Ayuntamiento dispone de su número de teléfono porque dicho vecino contactó por esa vía con el Ayuntamiento para concertar una cita con la ***CARGO.1 por lo que su número de teléfono se almacenó en el terminal del Ayuntamiento. Informan de que el número de teléfonos que se incluyeron en el grupo fue de 255. SÉPTIMO: Con fecha 1 de agosto de 2017, el denunciante presentó escrito en respuesta al requerimiento en el que: Procede a la acreditación de la titularidad del número de teléfono que fue incorporado al grupo de WhatsApp “(...)” por medio de la presentación del contrato a su nombre, de la compañía suministradora del servicio telefónico. Afirma que no ha facilitado ese teléfono para contactar con la ***CARGO.1 ni con el ***CARGO.3. Manifiesta que no ha otorgado su consentimiento para la utilización de datos personales que se ha producido. Reitera que no resulta de aplicación la exención prevista en el artículo 2.2.
- a)de la LOPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/14 Expone que el Ayuntamiento de Boecillo tiene sus datos personales para cuestiones de solicitud de licencias urbanísticas, tasas e impuestos municipales y denuncias por diversas causas, no estando autorizado para su uso con otras finalidades. Siempre se ha comunicado con dicho Ayuntamiento por escrito, excepto en dos ocasiones en las que la secretaría del mimo transfirió sus llamadas a la ***CARGO.1 del municipio en el año 2015 y en octubre de 2016. OCTAVO: Con fecha 7 de agosto de 2017, la instructora acordó iniciar el trámite de Audiencia, poniendo de manifiesto el expediente al presunto responsable, y concediéndole un plazo de quince días hábiles para formular alegaciones y aportar cuantos documentos estime de interés. Dicho trámite fue notificado al Ayuntamiento de Boecillo con fecha14 de agosto de 2017. NOVENO: Con fecha 2 de octubre de 2017, la Instructora del procedimiento emitió Propuesta de Resolución, en el sentido de que por la Directora de la Agencia Española de Protección de Datos se declare que el Ayuntamiento de Boecillo ha infringido lo dispuesto en los artículos 4.2 y 10 de la LOPD, tipificado como infracción grave en los artículos 44.3.
- c)y 44.3.d), respectivamente, de la citada norma, así como que se requiera al citado Ayuntamiento la adopción de las medidas de orden interno que impidan que en el futuro puedan producirse nuevas infracciones de los reseñados artículos 4.2 y 10 de la la referida Ley Orgánica 15/1999, proponiendo también que se comunique la Resolución que se adopte al Defensor del Pueblo, de conformidad con lo establecido en el artículo 46.4 de la Ley Orgánica 15/1999. La mencionada propuesta de resolución se notificó al Ayuntamiento de Boecillo con fecha 5 de octubre de 2017. HECHOS PROBADOS PRIMERO: Con fecha 26 de octubre de 2016, el Ayuntamiento de Boecillo (Valladolid), creó desde la línea de teléfono móvil ***TEL.1, de su titularidad, el grupo de WhatsApp “(...)” al que incorporó los números de teléfono móvil de 255 personas, la mayor parte vecinos de ese municipio, con la finalidad de proporcionar información de acciones o actuaciones de interés vecinal. (folios 11, 12, 23, 61 al 66, 107, 109 al 127) SEGUNDO: Entre las líneas de teléfono móvil incorporadas al mencionado grupo de WhatsApp estaba la línea número E.E.E. del denunciante. (folios 64, 73) TERCERO: Con fecha 29 de octubre de 2016 aparecían 77 participantes en el grupo de WhatsApp citado. (folios 5, 11, 12 ) CUARTO: Consta acreditado que los números de teléfono de los integrantes del grupo de WhatsApp eran visibles para todos los demás miembros del grupo (folios 11, 12, 23) QUINTO: El Ayuntamiento de Boecillo ha informado que: (folio 53) “Los números de teléfono fueron facilitados directamente por los titulares de los mismos, para contactar directamente con la ***CARGO.1 y recibir la información de la misma y del ***CARGO.2. Los casos o supuestos de contacto entre vecinos/as y ***CARGO.1/Concejal, han C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/14 sido: Quejas sobre limpieza y red viaria. Información cultural/deportiva. Información pago tributos/otros. Información centro ocio juvenil. Quejas y Sugerencias.” SEXTO: Con fecha 1 de agosto de 2017, el denunciante informa a la AEPD lo siguiente: (folios 171 y 172) - Que sólo se ha comunicado vía telefónica con el Ayuntamiento de Boecillo en dos ocasiones. Una, en el año 2015 para denunciar que “me estaban fumigando mi vivienda” y otra, en octubre de 2016, para denunciar “el tema del acoso por ruidos y que la Policía Local no acudía al auxilio.” Respecto de dichas llamadas indica que “En ambas ocasiones, la secretaría del Ayuntamiento de Boecillo me transfirió la llamada a la ***CARGO.1 del Municipio”. - Que el Ayuntamiento de Boecillo tiene sus datos personales para cuestiones de solicitud de licencias urbanísticas, tasas e impuestos municipales y denuncias por diversas causas, no estando autorizado a utilizar sus datos personales para ningún otro fin. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
- g)en relación con el artículo 36 de la LOPD. II El artículo 1 de la LOPD dispone que “la presente Ley Orgánica tiene por objeto garantizar y proteger, en lo que concierne al tratamiento de los datos personales, las libertades públicas y los derechos fundamentales de las personas físicas, y especialmente de su honor e intimidad personal y familiar”. El artículo 2.1 de la misma Ley Orgánica establece: “La presente Ley Orgánica será de aplicación a los datos de carácter personal registrados en soporte físico que los haga susceptibles de tratamiento y a toda modalidad de uso posterior de estos datos por los sectores públicos y privados”. En el artículo 3 de la LOPD se acuñan las siguientes definiciones: “
- a)Datos de carácter personal: Cualquier información concerniente a personas físicas identificadas o identificables.
- b)Fichero: Todo conjunto organizado de datos de carácter personal, cualquiera que fuere la forma o modalidad de su creación, almacenamiento, organización y acceso.
- c)Tratamiento de datos: Operaciones y procedimientos técnicos de carácter C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/14 automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias.
- d)Responsable del fichero o tratamiento: Persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento.
- e)Afectado o interesado: Persona física titular de los datos que sean objeto del tratamiento a que se refiere el apartado
- c)del presente artículo.” “
- h)“Consentimiento del interesado: Toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen.” La LOPD contempla en su Título II (artículos 4 a 12) una serie de principios generales, entre los que destacan los del consentimiento y de calidad de datos, que constituyen el contenido esencial de este derecho fundamental y configuran un sistema que garantiza una utilización racional de los datos personales, que permite el equilibrio entre los avances de la sociedad de la información y el respeto a la libertad de los ciudadanos. El artículo 4 de la LOPD consagra el apartado 2 señala lo siguiente: principio de calidad de datos, cuyo “2. Los datos de carácter personal objeto de tratamiento no podrán usarse para finalidades incompatibles con aquellas para las que los datos hubieran sido recogidos. No se considerará incompatible el tratamiento posterior de éstos con fines históricos, estadísticos o científicos”. El principio de calidad que prohíbe utilizar datos para una finalidad incompatible o distinta de aquella para la que los mismos fueron recabados, se contiene en el Título II de la LOPD, como uno de los principios básicos de la protección de datos. Las “finalidades” a las que alude este apartado 2 han de ligarse o conectarse siempre con el principio de pertinencia o limitación en la recogida de datos regulado en el artículo 4.1 de la misma Ley. Conforme a dicho precepto los datos sólo podrán tratarse cuando “sean adecuados, pertinentes y no excesivos en relación con el ámbito y las finalidades determinadas, explícitas y legítimas para las que se hayan obtenido.” En consecuencia, si el tratamiento del dato ha de ser “pertinente” al fin perseguido y la finalidad ha de estar “determinada”, difícilmente se puede encontrar un uso del dato para una finalidad “distinta” sin incurrir en la prohibición del artículo 4.2 aunque emplee el término “incompatible”. A esta conclusión parece llegar también el propio Tribunal Constitucional cuando en su Sentencia 292/2000, de 30 de noviembre, establece: “el derecho a consentir la recogida y tratamiento de los datos personales no implica en modo alguno consentir la cesión de tales datos a terceros...Y, por tanto, la cesión de los mismos a un tercero para proceder a un tratamiento con fines distintos de los que originaron su recogida, aun cuando puedan ser compatibles con éstos supone una nueva posesión y uso que requiere el consentimiento del interesado.” En esta línea se ha pronunciado en diversas ocasiones la Audiencia Nacional. Así en Sentencia de 17 de marzo de 2004, la Audiencia señala que “Aplicando de forma literalista el artículo 4.2 de la Ley Orgánica, quedaría privado de sentido y vaciado de contenido y para evitar este resultado indeseable esta Sala considera que lo que prohíbe el precepto es que los datos de carácter personal se utilicen para una finalidad C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/14 distinta de aquella para la que han sido recogidos. “ De este modo, tomando la expresión “finalidades incompatibles” que utiliza el legislador de la LOPD como sinónimo de “finalidades distintas”, se concluye que, entregados los datos para una finalidad concreta, el uso o tratamiento posterior que no esté en consonancia con la finalidad para la que fueron facilitados, constituiría un desvío de finalidad que vulneraría el artículo 4.2 de la LOPD. La Audiencia Nacional, en su Sentencia de fecha 15/06/05, considera que el artículo 4 de la LOPD establece una sutil distinción entre finalidad de la recogida y finalidad del tratamiento, “pues la recogida sólo puede hacerse con fines determinados, explícitos y legítimos, y el tratamiento posterior no puede hacerse de manera incompatible con dichos fines. Así pues, y de acuerdo con el artículo 1.
- b)de la Directiva 95/46/CE de 24 de octubre de 1995 (en cuya redacción se inspira el repetido artículo 4.2 de nuestra LOPD), si la recogida se hizo con fines determinados, cualquier uso o tratamiento posterior con finalidad distinta es incompatible con la primera finalidad que determinó la captura por lo que, en este contexto, diferente o incompatible significan lo mismo.” En el caso que nos ocupa, el Ayuntamiento denunciado está habilitado para tratar los datos personales del denunciante en relación con las funciones o atribuciones que recaen bajo el ámbito de sus competencias, entre las que se encontrarían las asociadas a la tramitación de los asuntos que motivaron que el denunciante facilitase sus datos de carácter personal al contactar por escrito o por teléfono con ese Ayuntamiento, tales como solicitud de licencias urbanísticas y diversas denuncias relacionadas con competencias municipales. En definitiva, los datos no pueden ser tratados para fines distintos a los que motivaron su recogida. Téngase en cuenta que el artículo 6.1 de la LOPD, que consagra el principio del consentimiento, dispone como regla general en su apartado 1 que “.El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa”, estableciendo en el apartado 2 del mencionado artículo como una de las excepciones al mismo que: “No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias.” De lo expuesto cabe concluir que la vigente LOPD ha acentuado las garantías precisas para el tratamiento de los datos personales en lo relativo no sólo a los requisitos del consentimiento, sino también de las finalidades para las que los datos pueden ser recabados y tratados. III De acuerdo con lo establecido en los preceptos anteriormente transcritos, en este procedimiento ha quedado probado que el Ayuntamiento de Boecillo (Valladolid), en la persona de su ***CARGO.1, creó con fecha 26 de octubre de 2016 desde un teléfono móvil de su titularidad un grupo de WhatsApp denominado “(...)”, por lo que desde ese Ayuntamiento se creó un fichero automatizado y se realizó un tratamiento de datos de carácter personal con los números de teléfono móvil y resto de información de esa naturaleza de las 255 personas físicas que se incluyeron en dicho grupo. Entre los 255 participantes de ese grupo se encontraba el denunciante, quien, durante el período de práctica de pruebas, se reiteró en que no había autorizado al Ayuntamiento de Boecillo a incorporar su número de teléfono móvil (dato de carácter C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/14 personal) al fichero formado por el grupo de WhatsApp mencionado. El citado Ayuntamiento ha presentado 37 escritos de quienes afirman ser (...) y titulares de las líneas de teléfono móvil incorporadas al mencionado grupo de WhatsApp que detallan, en total 37 de las 255 que forman el grupo, exponiendo que han prestado su consentimiento verbal de forma expresa a la ***CARGO.1 para que les mantenga informados de las cuestiones que conciernen al municipio tanto a través de medios tradicionales como electrónicos (email, WhatsApp…), así como que han sido informados de sus derechos ARCO. Sin embargo, entre dichos escritos no se encuentra ninguno correspondiente al denunciante. Asimismo, dicho Ayuntamiento ha alegado que los vecinos que deseaban ser informados por vía electrónica lo han manifestado así proporcionando su número de teléfono para este fin o comunicando directamente con la Corporación. A este respecto, aunque el Ayuntamiento parece justificar que el conocimiento de un dato de carácter personal faculta para su utilización indiscriminada y para cualquier finalidad, de tal forma que el hecho de tener conocimiento de un dato de carácter personal merma las facultades del titular del dato para disponer sobre su uso, lo cierto es que la facilitación de datos de carácter personal por parte de los titulares de los mismos no habilita al responsable del fichero o tratamiento al uso de esa información para fines distintos de los que motivaron su recogida, no cabiendo tampoco la recogida de los datos de carácter personal asociados al medio de contacto utilizado por los afectados sin informarles sobre las finalidades concretas a las que se van a destinar. En este supuesto, el denunciante ha manifestado que sus comunicaciones con el Ayuntamiento siempre han sido por escrito, salvo en dos ocasiones en que contactó vía telefónica con el Ayuntamiento, una en el año 2015, y otra en octubre de 2016, esta última para denunciar un asunto de ruidos y quejarse de que la Policía Local no acudía en su auxilio, señalando que en ambas ocasiones la secretaría del Ayuntamiento le transfirió la llamada a la ***CARGO.1 del Municipio. Sin embargo, el Ayuntamiento denunciado, responsable del tratamiento objeto de estudio, no ha presentado ningún medio de prueba acreditativo de sus manifestaciones relativas a que el contacto mantenido vía telefónica en octubre de 2016 con el denunciante se realizase por éste “a fin de concertar una cita con la ***CARGO.1 abajo firmante, dejando sus datos personales y un número de teléfono móvil”, ya que el contenido del mensaje de WhatsApp presentado, de fecha 6 de diciembre de 2016 (folios 108 y 166), no hace ninguna referencia a esas circunstancias. En cualquier caso, de acreditase las mismas, tampoco autorizarían a ese Ayuntamiento a almacenar y usar esa información en sus ficheros con una finalidad distinta de la de concertar la cita a la que se refiere, tal y como ha ocurrido al incorporar su número de teléfono al grupo de WhatshApp denunciado con la finalidad de informar sobre asuntos municipales sobre los que el denunciante no se ha interesado. Igualmente, debe rechazarse, como alega el Ayuntamiento denunciado, que el tratamiento analizado se encuentra dentro de la excepción prevista en el artículo 2.2.
- a)de la LOPD, que establece la no aplicación del régimen de protección de datos de carácter personal “A los ficheros mantenidos por personas físicas en el ejercicio de actividades exclusivamente personales o domésticas”. Esta alegación no puede ser tenida en cuenta en esta ocasión, toda vez que el propio Consistorio denunciado ha acreditado que el teléfono desde el que se creó el citado grupo de teléfonos de vecinos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/14 es de titularidad del Ayuntamiento, habiendo afirmado también que la finalidad de la creación de dicho fichero de datos personales era la de proporcionar información de acciones o actuaciones de interés vecinal. No puede aceptarse por tanto, tal como alega el Ayuntamiento, que se tratara de un grupo privado entre vecinos conocidos del pueblo a fin de hacer más ágil la comunicación. El hecho constatado de la utilización de los datos personales del denunciante para un fin distinto del que se recogieron, establece la base de facto para fundamentar la imputación de la infracción del artículo 4.2 de la LOPD. A la vista de los argumentos expuestos, debe considerarse que la utilización, por parte del reseñado Ayuntamiento de los datos personales del denunciante, en concreto de su número de teléfono para incluirlo en un grupo de la aplicación de mensajería instantánea “WhatsApp”, uso que no había autorizado por el afectado, como se detalla en los Hechos Probados de la presente resolución, supone una desviación de la finalidad en el tratamiento de los datos de la denunciante, que implica la vulneración del artículo 4.2 de la LOPD. IV El artículo 44.3.
- c)tipifica como infracción grave “Tratar los datos de carácter personal o usarlos posteriormente con conculcación de los principios y garantías establecidos en el artículo 4 de la presente Ley y las disposiciones que lo desarrollan, salvo cuando sea constitutivo de infracción muy grave”. En este caso, resulta probado que el Consistorio denunciado ha utilizado los datos personales del denunciante para una finalidad distinta a la que motivó su recogida, ello a pesar de que los datos no pueden ser tratados para fines distintos de aquellos para los que fueron recabados, por lo que la conducta del Ayuntamiento de Boecillo, vulnera el principio de calidad de los datos recogido en el artículo 4.2 de la LOPD, infracción que se encuentra tipificada en el artículo 44.3.
- c)de la citada Ley Orgánica. V El artículo 10 de la LOPD que se considera infringido dispone "El responsable del fichero y quienes intervengan en cualquier fase de tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aún después de finalizar sus relaciones con el titular del fichero, o, en su caso, con el responsable del mismo". El artículo 10 de la LOPD contiene una regla que afecta a la confidencialidad como parte de la seguridad de los datos de carácter personal, tratando de salvaguardar el derecho de las personas a mantener la privacidad de tales datos y, en definitiva, el poder de control o disposición sobre los mismos. El deber de secreto trata de salvaguardar o tutelar el derecho de las personas a mantener la privacidad de sus datos de carácter personal y en definitiva el poder de control o disposición sobre sus datos. Este deber de secreto está lógicamente relacionado con el secreto profesional. Según el ATC de 11 de diciembre de 1989 "el secreto profesional se entiende como la sustracción al conocimiento ajeno, justificada por razón de una actividad, de datos o informaciones obtenidas que conciernen a la vida privada de las personas". El deber de secreto en el tratamiento de datos personales, tiene la misma fundamentación jurídica, pero se refiere al ámbito estricto del tratamiento de los datos personales, para que el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/14 responsable del fichero y, cualquier persona que intervenga en el tratamiento, esté obligado al mantener la confidencialidad de los datos personales”. En este sentido el deber de sigilo como hemos señalado en las SSAN, Sec. 1ª, de 14 de septiembre de 2002 (Rec.196/00), 13 de abril de 2005 (Rec. 230/2003), 18 de julio de 2007 (Rec. 377/2005 ) "es una exigencia elemental y anterior al propio reconocimiento del derecho fundamental a la libertad informática a que se refiere la STC 292/2000 (...) Este deber de sigilo resulta esencial en las sociedades actuales cada vez más complejas, en las que los avances de la técnica sitúan a la persona en zonas de riesgo para la protección de los derechos fundamentales, como la intimidad o el derecho a la protección de datos que recoge el artículo 18.4 de la CE (...)". El citado artículo 10 regula de forma individualizada el deber de secreto de quienes tratan datos personales, dentro del título dedicado a los principios de protección de datos, lo que refleja la gran importancia que el legislador atribuye al mismo. Este deber de secreto pretende que los datos personales no puedan conocerse por terceros, salvo de acuerdo con lo dispuesto en otros preceptos de la LOPD, como por ejemplo el artículo 11 (comunicación de datos). En este procedimiento ha quedado acreditado que el Ayuntamiento de Boecillo de Valladolid creó un grupo de WhatsApp “(...)”, el 26 de octubre de 2016, con los números de teléfono móvil de vecinos del municipio, con la finalidad de proporcionar información de acciones o actuaciones de interés vecinal. Consta acreditado también que los números de teléfono de los integrantes del grupo de WhatsApp eran visibles para todos los demás miembros del grupo. En este caso, ese deber de secreto comporta que el Ayuntamiento de Boecillo, responsable de los datos personales de sus vecinos, no puede revelarlos a terceros, salvo con consentimiento de los afectados o en los casos autorizados por la ley. VI La conducta descrita en el anterior Fundamento de Derecho se incardina en el artículo 44.3.
- d)de dicha norma que considera como tal: “La vulneración del deber de guardar secreto acerca del tratamiento de los datos de carácter personal al que se refiere el artículo 10 de la presente Ley”. En este procedimiento se ha acreditado que el Ayuntamiento de Boecillo ha divulgado los datos personales de los vecinos de ese municipio y del resto de personas incluidos en el grupo de WhatsApp creado por la ***CARGO.1, toda vez que sus números de teléfono móvil eran visibles para todos los demás miembros del grupo, así como los datos identificativos de los mismos que aparecían asociados a su condición de participantes del grupo. Dado que ha existido una vulneración en el deber de guardar secreto por parte del Ayuntamiento de Boecillo en relación con datos personales de los vecinos incluidos en el grupo de WhatsApp, se considera que ha incurrido en la infracción descrita. El hecho constatado de la difusión de datos personales fuera del ámbito del afectado, establece la base de facto para fundamentar la imputación de la infracción del artículo 10 de la LOPD. VII C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/14 El artículo 46 de la LOPD, “Infracciones de las Administraciones Públicas”, dispone: “1. Cuando las infracciones a que se refiere el artículo 44 fuesen cometidas en ficheros de titularidad pública o en relación con tratamientos cuyos responsables lo serían de ficheros de dicha naturaleza, el órgano sancionador dictará una resolución estableciendo las medidas que procede adoptar para que cesen o se corrijan los efectos de la infracción. Esta resolución se notificará al responsable del fichero, al órgano del que dependa jerárquicamente y a los afectados si los hubiera. 2. El órgano sancionador podrá proponer también la iniciación de actuaciones disciplinarias, si procedieran. El procedimiento y las sanciones a aplicar serán las establecidas en la legislación sobre régimen disciplinario de las Administraciones Públicas. 3. Se deberán comunicar al órgano sancionador las resoluciones que recaigan en relación con las medidas y actuaciones a que se refieren los apartados anteriores. 4. El Director de la Agencia comunicará al Defensor del Pueblo las actuaciones que efectúe y las resoluciones que dicte al amparo de los apartados anteriores”. En el presente caso no se proponen medidas correctoras concretas a tomar por el Ayuntamiento de Boecillo al haber quedado acreditado en el procedimiento que, tan pronto como éste advirtió la situación irregular que se había producido, se adoptaron las medidas necesarias para cerrar el grupo de WhatsApp “(...)”, constando que el denunciante fue eliminado como integrante del citado grupo a las 11:37 horas del mismo día de creación del grupo. No obstante lo cual, se recuerda al citado Ayuntamiento la exigencia de contar no sólo con el consentimiento previo e inequívoco los titulares afectados para incluir sus datos de carácter personal en grupos de WhatsApp, o de cualquier otra aplicación de mensajería instantánea que ofrezca un servicio de comunicación electrónica grupal semejante, sino también de que dicho uso de datos personales responda a las finalidades concretas para las cuales se obtuvieron y fue autorizado su tratamiento por sus titulares. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR que el AYUNTAMIENTO DE BOECILLO ha infringido lo dispuesto en los artículos 4.2 y 10 de la LOPD, tipificadas como infracción grave en los artículos 44.3.
- c)y 44.3.d), respectivamente, de la citada Ley Orgánica. SEGUNDO: NOTIFICAR la presente resolución al AYUNTAMIENTO DE BOECILLO TERCERO: COMUNICAR la presente resolución al Defensor del Pueblo, de conformidad con lo establecido en el artículo 46.4 de la LOPD. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/14 pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, se podrá interponer potestativamente recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa (en lo sucesivo LJCA), en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Sin embargo, el responsable del fichero de titularidad pública, de acuerdo con el artículo 44.1 de la LJCA, sólo podrá interponer directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la LJCA, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es