1/16 Procedimiento Nº AP/00024/2017 RESOLUCIÓN: R/00339/2018 En el procedimiento de Declaración de Infracción de Administraciones Públicas AP/00024/2017, instruido por la Agencia Española de Protección de Datos a la DIRECCIÓN GENERAL DE LA POLICÍA, vista la denuncia presentada por DOS DENUNCIANTES, y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fecha 5/10/2016 se recibe denuncia de DENUNCIANTE 1, (Agente del CNP) que figura en el ANEXO GENERAL, contra la DIRECCIÓN GENERAL DE LA POLICÍA por haber efectuado consultas sobre su persona en la base de datos “CONTROL” (Controles realizados a una persona en fronteras) sin mediar causa legal que la ampare (razones de seguridad pública ni necesaria para la represión de una infracción penal). En concreto, se refiere a su salida del país que tuvo lugar de DD/MM.1/2015 a DD/MM.2/2015, desde ***LOC.1 a ***PAIS.1. Añade que dicha información se ha usado para instruirle un expediente disciplinario que se inició posteriormente, en diciembre de 2015. Aporta copia de declaración escrita del Agente del CNP ***CNP.1, “en calidad de testigo” que se produjo ante el Instructor el 13/01/2016 en el seno de la información reservada abierta al DENUNCIANTE 1. En su declaración indica: -Presta servicios en el E.E.E. A.A.A.de la Brigada Local de Policía Judicial de la Comisaria B.B.B. de ***LOC.2. -A principios de noviembre de 2015 cuando desempeñaba las funciones de C.C.C., recibió una llamada del Secretario Local de la Comisaria B.B.B. de ***LOC.2 preguntando por el Agente de este E.E.E., D.D.D. ya que no podía localizarlo y debía presentarse ante el Servicio Médico de ***LOC.2 en relación a la baja médica en la cual se encontraba, y que si no podía localizarlo de ninguna manera y veía conveniente que mandara un vehículo policial a su domicilio, conociendo que se había mandado, pero con resultado infructuoso. - Continua manifestando que “temiendo que hubiese ocurrido algún percance de gravedad contra su persona y no se sabía nada de él, procedía hacer gestiones con Centros Médicos del sur de la isla dando como resultado negativo” ”poniéndolo en conocimiento del C.C.C. de la Policía Judicial de esa Comisaria”. “De igual manera se puso en contacto vía telefónica con los demás policías del E.E.E. A.A.A.sobre la localización y la manera de contacto aparte de la telefónica” “Ese mismo día por la tarde recibe una llamada telefónica del policía F.F.F. informándome que un conocido suyo le había comentado que los G.G.G.- policías de esta Comisaría- se habían ido de vacaciones a pescar a ***PAIS.1”. “Que ante tales hechos y a sabiendas de todos los compañeros de este E.E.E. de A.A.A.y de la Comisaria, la gran amistad y aficiones que comparten-pesca- entre el Sr. D.D.D. y los G.G.G., al día siguiente de los hechos mencionados, en horario de mañana y temiendo que le hubiese ocurrido algún percance de gravedad contra su persona y no se sabía nada de él, procedí a acceder a la aplicación ATLAS “Consulta de investigación” ”Control de personas” de las bases de datos policiales C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/16 de la D gral. de la Policía, observando que a H.H.H.le figuraba un control de salida del territorio nacional desde el aeropuerto de ***LOC.1, procediendo a consultar los datos de D.D.D.al cual le figuraba igualmente un control de salida del territorio nacional desde el aeropuerto de ***LOC.1, desconociendo el lugar de destino.” Por tales hechos, y debido a que me encontraba de E.E.E.. y que el Policía D.D.D. pertenece a este E.E.E. así como el día anterior fue preguntado por el Secretario Local y por el Secretario de la Brigada de Policía Judicial, por lo que procedí a comunicar los hechos al C.C.C. Local de Policía Judicial, para su conocimiento y demás efectos oportunos”. -“Que días después volví a consultar la aplicación Atlas” ”Control de personas” pudiendo verificar que figuraba un control de entrada en el territorio nacional, Aeropuerto de ***LOC.1, figurando su lugar de procedencia ***PAIS.1. “Nuevamente y ante tales hechos, procedí a comunicar la comprobación al C.C.C. Local de Policía Judicial para su conocimiento y efectos”. SEGUNDO: Con fecha 7/10/2016, se recibe denuncia de DENUNCIANTE 2 (también Agente del CNP) que consta en el ANEXO GENERAL, indicando las mismas circunstancias que DENUNCIANTE 1, y aporta también la misma hoja de declaración del I.I.I. del CNP ***CNP.1, si bien no se desvela que a él se le esté instruyendo expediente disciplinario como manifiesta en su denuncia. TERCERO: Con fecha 9/03/2017, se recibe escrito de en respuesta a la petición de información del Servicio de Inspección de la AEPD. En el mismo, pone de manifiesto: a. Los motivos por los cuales el I.I.I. de Policía decidió consultar la aplicación policial “Atlas-Control de Personas”, fue consecuencia de la no localización de uno de los denunciantes, ya que tenía que comparecer ante el Servicio Médico por encontrarse de baja médica. Después de intentar el contacto con el mismo, tuvo conocimiento de que podría haber salido del país con el otro denunciante, lo que motivó el acceso al citado fichero para consultar los datos de ambos. b. El uso de la aplicación se ampara en la Orden Interna 1202/2011 de fecha 4/05, de creación del fichero. c. “Del expediente disciplinario tramitado sobre los hechos en los que se encuentran implicados los policías, denunciantes por el control realizado sobre ellos ya se dio traslado a la Unidad de Régimen disciplinario de la división de personal, Madrid, habiendo sido ya resuelto.” Adjunta copia de la declaración del I.I.I. de Policía, practicada en la información reservada previa al expediente ***INFORMACION.1 tramitado. Dicha declaración coincide con la aportada por DENUNCIANTE 1. CUARTO: Con fecha 10/04/2017, se accede al Registro General de Protección de Datos, verificándose que existe un fichero inscrito denominado CONTROL, código ***COD.1, cuya finalidad es: ACTUACIONES DE FUERZAS Y CUERPOS DE SEGURIDAD CON FINES POLICIALES: SEGURIDAD PÚBLICA Y DEFENSA, EL RESPONSABLE ES LA dirección general de la policía Y SE CREÓ POR Orden INT/202/2011 Los Colectivos o categorías de interesados: personas cuyo paso sea controlado en puestos fronterizos o controladas como consecuencia del alquiler de vehículos, compraventa o pignoración. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/16 QUINTO: Con fecha 8/09/2017, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento de declaración de infracción a la DIRECCIÓN GENERAL DE LA POLICÍA, por infracciones de los artículos 9.1 y 4.1 de la Ley Orgánica 15/1999, de 13/12, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificadas como graves en los artículos 44.3.
- h)y 44.3.
- c)de dicha norma. Frente el acuerdo de inicio la denuncia presenta alegaciones siguientes: 1)Los dos denunciantes se hallaban de baja médica para el servicio, a consecuencia de lesiones padecidas en un accidente de tráfico. Los días 4 y 5/11/2015 denunciante 1 fue citado a reconocimiento médico por la Unidad Provincial de Sanidad de la D. Gral. de la Policía al objeto de interesar su comparecencia como “control de absentismo” encomendado a dicha Unidad. Se intentó contactar telefónicamente con resultado negativo. El siguiente día 6 tampoco se pudo localizar en su domicilio al que había acudido una patrulla para localizarle. 2)Reitera que el acceso a dicho fichero CONTROL estuvo amparado por su conexión de seguridad de los funcionarios y el riesgo que conlleva dicha profesión y que en sentido amplio se incluiría en la seguridad de las personas y señala que la consulta no fue excesiva no infringiendo el artículo 4.1 de la LOPD. 3)Añade que cuestión distinta es la apertura de un expediente disciplinario que discurre por lo previsto en la Ley Orgánica 4/2010 de 20/05 de régimen disciplinario del CNP donde entre otros, se prevé el artículo 34 que permite practicar diligencias al Instructor. El artículo 4 de dicha norma “obliga a los miembros de la Policía Nacional a comunicar por escrito a sus superior jerárquico los hechos de los que tengan conocimiento que consideren constitutivos de faltas graves y muy graves” Hay que decir que lo que aquí se discute es la investigación del paradero de los denunciante con el objeto de citación médica, circunstancia para la que no existe competencia por los propios órganos de la Policía, correspondiendo su citación y comunicación a los Servicios del Mutualismo Policial. No existe norma alguna que prevea el uso de los recursos y tiempo para la averiguación de paradero de las personas que es anterior a la comunicación de los datos para abrir actuaciones de investigación, no SEXTO: Con fecha 5/12/2017 se inicia el período de práctica de pruebas, solicitando: A la DIRECCIÓN GENERAL DE LA POLICÍA: a)Motivo por los que se decidió iniciar procedimientos de información reservada a los denunciantes. Medio a través del que tuvieron noticia de las circunstancias que originan la apertura de la información reservada. Se respondió el 4/01/2018 reiterando que ante el requerimiento del Servicio Médico Provincial, se intentó localizar al DENUNCIANTE 1, interpelando también a sus compañeros, conociendo que probablemente estaba de vacaciones con otros compañeros de la misma Comisaría, uno de ellos también de baja laboral. “Teniendo el Comisario jefe Local información referente a la posibilidad de que dos funcionarios en situación de baja médica C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/16 hubieran salido del país, obviando los controles médicos, acordó la apertura de información reservada”. No indica la fecha en que ello aconteció. b)Razones por las que se cita como testigo al I.I.I. del CNP número carnet ***CNP.2 en la información reservada o si fue motu propio que solicitó el su comparecencia, medio por el que se enteró que estaba en trámite dicho expediente de información reservada. Respondió que en dicho procedimiento “no consta la citación a dicho funcionario” ”El Instructor en el fundamento sexto de la propuesta de resolución especifica que “acordó tomar declaración en acta aparte” al testigo mencionado, que se llevó a efecto.
- c)Fecha de inicio de los procedimientos de informaciones reservadas a los denunciantes. Se responde que el 14/12/2015. SÉPTIMO: Se accede a la Orden INT 1202/2011, BOE 13/05/2011, que regula ficheros del Ministerio del Interior. Se imprime la parte referida al fichero CONTROL: 1) Finalidad: Gestionar información sobre inspecciones fronterizas, vigilancia de fronteras, actividades relevantes para la seguridad ciudadana y objetos de interés policial. 2) Usos previstos: Control policial de actividades relevantes para la seguridad ciudadana y de personas que entran y salen del territorio español. 3) Origen de los datos, indicando el colectivo de personas sobre los que se pretende obtener datos de carácter personal o que resulten obligados a suministrarlos, el procedimiento de recogida de los datos y su procedencia: 4) Colectivo: Personas cuyo paso sea controlado en puestos fronterizos, o controladas como consecuencia del alquiler de vehículos, compraventa o pignoración de efectos, hospederías, visitas a centros o instalaciones oficiales, eventos especiales, y otros controles policiales de personas y objetos numerados. 5) Procedencia y procedimiento de recogida: Los datos se graban, vía teleproceso, por los gestores de la información, a partir de las actividades policiales de control de fronteras, establecimientos de compraventa o pignoración, alquiler de vehículos, partes de viajeros, dispositivos operativos, etc. 6) Estructura básica del fichero mediante la descripción detallada de los datos identificativos, y en su caso, de los datos especialmente protegidos, así como de las restantes categorías de datos de carácter personal incluidas en el mismo y el sistema de tratamiento utilizado en su organización: 7) Descripción de los datos: Datos de identidad de la persona controlada policialmente: Documento nacional de identidad, nombre y apellidos, domicilio, nombre de los padres, fecha y lugar de nacimiento, sexo, teléfono, fotografía, nacionalidad, pasaporte, número de identidad de extranjero, impresiones dactilares, representante legal y cualquier otro que pudiera ser identificativo de la persona. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/16 Datos identificadores del objeto: tipo, marca, modelo, numeración o matriculación, descripción, etc. Datos identificadores del control: lugar, motivo, fecha, hora, duración, etcétera. 8) Sistema de tratamiento: Automatizado. 9) Comunicaciones de datos previstas, indicando en su caso, los destinatarios o categorías de destinatarios: A otras fuerzas y Cuerpos de Seguridad según lo previsto en los artículos 3 y 45 de la Ley Orgánica 2/1986, de 13 de marzo, a los órganos jurisdiccionales y al Ministerio Fiscal, de conformidad con lo dispuesto en el artículo 11.2.
- d)de la Ley Orgánica 15/1999, de 13 de diciembre. 10) Transferencias internacionales de datos previstas a terceros países, con indicación, en su caso, de los países de destino de los datos: A organismos internacionales y países extranjeros en los términos establecidos en los tratados y convenios en los que España sea parte (Interpol, Europol, Sistema Información Schengen, Unión Europea y convenios bilaterales). 11) Órgano responsable del fichero: Comisaría General de Extranjería y Fronteras 12) Servicio o Unidad ante el que pudiesen ejercitarse los derechos de acceso, rectificación, cancelación y oposición: Secretaría General de la Comisaría General de Extranjería y Fronteras. 13) Nivel básico, medio o alto de seguridad que resulte exigible: Alto. OCTAVO: Se incorpora a título informativo, extracto de la memoria anual del Defensor del Pueblo del año 2001 (folio o página número 511 del formato electrónico que consta en la web del Defensor del Pueblo, memorias anuales) sobre la cuestión referente al control de incapacidad temporal de funcionarios del CNP, sin que se hubiera extendido baja médica (ausencia inferior a tres días) y aunque se refiere a la veracidad de las bajas, también al control y localización de dichos empleados que se hallan en dicha situación: “En relación con la investigación de carácter general sobre los medios de control empleados para comprobar la veracidad de las bajas médicas alegadas por miembros de las Fuerzas y Cuerpos de Seguridad del Estado, que incluían llamadas de teléfono, visitas al domicilio particular por otros miembros de la policía e incluso la utilización de videocámaras móviles, ante las argumentaciones esgrimidas por la Dirección General de la Policía de que dichas actuaciones se ajustaban al procedimiento habitual, a las instrucciones emitidas por la Jefatura Superior de Policía y a lo dispuesto en el apartado octavo de la Resolución de 27 de abril de 1995 de la Secretaría de Estado para las Administraciones Públicas, por la que se recogen las Instrucciones sobre jornada y horarios de trabajo, permisos, licencias y vacaciones del personal de la Administración Civil del Estado, esta Institución ha puesto de manifiesto que las competencias de los titulares de las unidades administrativas para verificar la realidad de la ausencia por enfermedad de sus funcionarios, se reducen a que se C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/16 les avise inmediatamente de la misma y que el policía, cuando se incorpore a su trabajo, facilite justificación acreditativa. En consecuencia se considera que, de acuerdo con la normativa vigente, los mandos policiales no están habilitados legalmente para comprobar las bajas inferiores a tres días mediante llamadas telefónicas y, mucho menos, mediante el envío de compañeros-policías al domicilio del enfermo. Si se duda de la veracidad de la dolencia puede comprobarse ésta exigiendo que el enfermo presente, en cualquier momento, durante los tres primeros días la justificación documental oportuna, de acuerdo con la facultad discrecional que le reconoce a la Administración el punto 2 del apartado octavo de la Resolución de 27 de abril de 1995, antes mencionada. Únicamente en aquellos casos en los que, solicitada dicha documentación justificativa, ésta no se acompañara o bien, si a partir del cuarto día el enfermo no compareciera a trabajar sin aportar tampoco el correspondiente parte de baja, estaría justificado adoptar medidas especiales. En caso contrario, podría entenderse que la Administración en un «exceso de celo» está extralimitándose en el uso de las facultades que legalmente tiene reconocidas, invadiendo de manera no justificada el derecho al honor, y a la intimidad personal y familiar del funcionario. A la vista de lo anterior, se consideró conveniente recomendar a la Dirección General de la Policía que se cursara la oportuna instrucción a la Jefatura Superior de Policía de Barcelona recordándole las competencias y facultades que legalmente le asisten para verificar las ausencias por enfermedad de los miembros del Cuerpo Nacional de Policía que de ella dependan, con expresa mención de la imposibilidad de que se empleen como medios de control las llamadas telefónicas o la presencia de compañeros-policías en el domicilio particular del enfermo. Dicha recomendación ha sido aceptada
(0009657).” Si bien en el informe se alude a la falta de competencia en procesos de menos de tres días, se considera que para la cuestión del control de la persona en dicha situación no sirve cualquier instrumento ni por cualquier medio empleado. Durante la situación de incapacidad temporal legalmente reconocida por los servicios médicos del Régimen Especial de la Seguridad Social, del Mutualismo Administrativo regulado por el Real Decreto Legislativo 4/2000, de 23/06/2015, sobre Régimen especial de la Seguridad Social de los Funcionarios Civiles del Estado, en el que se incluyen los funcionarios del CNP se establece en su artículo 19:”Situación de incapacidad temporal”:
- Se encontrarán en situación de incapacidad temporal los funcionarios que acrediten padecer un proceso patológico por enfermedad o lesión por accidente que les impida con carácter temporal el normal desempeño de sus funciones públicas o que se encuentren en período de observación médica por enfermedad profesional, siempre y cuando reciban la asistencia sanitaria necesaria para su recuperación facilitada por la Mutualidad General de Funcionarios Civiles del Estado y hayan obtenido licencia por enfermedad.
- Reglamentariamente se determinará la acreditación del proceso patológico o del período de observación médica y la improcedencia de instar la iniciación del procedimiento de jubilación por incapacidad permanente para el servicio.
- La concesión de las licencias y sus posibles prórrogas a los que tendrán derecho los funcionarios que se encuadren en la situación establecida en el apartado 1 corresponderá a los órganos administrativos con competencia en materias de gestión de personal. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/16 Para la concesión y control de estas licencias los órganos administrativos con competencia en materias de gestión de personal podrán hacer uso del asesoramiento facultativo propio o ajeno que consideren oportuno.
- Sin perjuicio de lo dispuesto en el apartado anterior, la Mutualidad General de Funcionarios Civiles del Estado podrá ejercer el control y seguimiento de la situación de incapacidad temporal del funcionario desde el inicio de la situación mediante el reconocimiento a efectuar por las Unidades Médicas de Seguimiento de las que disponga, propias o dependientes de otras Entidades Gestoras de la Seguridad Social y Servicios Públicos de Salud con los que la Mutualidad establezca acuerdos de colaboración.
- Los reconocimientos médicos mencionados en el apartado anterior serán potestativos, pero sus resultados vincularán para la concesión o denegación de las licencias y sus sucesivas prórrogas. Reglamentariamente se determinarán las situaciones, períodos y formas en los que se llevarán a cabo los seguimientos de los distintos procesos patológicos, salvaguardando, en todo caso, el derecho a la intimidad y la dignidad de la persona y la autonomía del paciente, así como a la confidencialidad de las informaciones referentes a su estado de salud sanitario, según lo dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal.” Son los Servicios Médicos los que tienen la competencia para controlar el estado de la baja y la procedencia de los reconocimientos médicos. Mediante el control y entrega de los partes de confirmación de la baja se pueden establecer las modalidades de reconocimientos a los que se le puede citar. Adicionalmente, este servicio puede establecer protocolos de citación para reconocimientos de la situación y localización, informando al afectado. NOVENO: Con fecha 19/01/2018 se emite propuesta de resolución del literal: “PRIMERO: Declarar que la DIRECCIÓN GENERAL DE LA POLICÍA ha infringido lo dispuesto en el artículo 4.1 de la LOPD, tipificada como grave en el artículo 44.
- c) de dicha norma. SEGUNDO: Declarar el ARCHIVO de la infracción del artículo 9.1 de la LOPD imputada a la DIRECCIÓN GENERAL DE LA POLICÍA. TERCERO: Requerir a la DIRECCIÓN GENERAL DE LA POLICÍA, para que adopte las medidas de orden interno que impidan que en el futuro pueda producirse una nueva infracción del artículo 4.1 de la LOPD. CUARTO: Notificar la Resolución que se adopte al responsable del fichero, y al órgano del que dependa jerárquicamente. QUINTO: Comunicar la Resolución que se adopte al DEFENSOR DEL PUEBLO de conformidad con lo establecido en el artículo 46.4 de la LOPD.” Con fecha manifiesta: C/ Jorge Juan, 6 28001 – Madrid 13/02/2018 se reciben alegaciones de la denunciada en las que www.agpd.es sedeagpd.gob.es 8/16 a) Como actividades relevantes para la seguridad ciudadana entra la búsqueda de personas. La localización de cualquier persona que se halla en paradero desconocido entra dentro de las actividades de seguridad ciudadana. No se puede calificar la consulta como excesiva o desproporcionada, pues la intención estuvo amparada por el ejercicio de una actividad relevante en pro de la seguridad de los propios funcionarios. b) Considera que la AEPD no tiene competencia para dictaminar sobre el ajuste a la LOPD del uso de los accesos a la base de datos CONTROL en relación con el procedimiento disciplinario incoado, ya que los afectados disponen para ello de la vía judicial. c) Manifiestan que la consulta a la base de datos no se hizo por un asunto médico, sino simplemente por la necesidad de conocer el paradero de los denunciantes. Dicho fichero es adecuado y el único para confirmar el paradero, al contar ya con la noticia de que habían salido del país, conocimiento que tuvieron de otra persona, no de la consulta de la base de datos. d) No se motiva la referencia a que “en el presente caso no había motivo de seguridad pública” para realizar la consulta a la base de datos control de los datos de los afectados. HECHOS PROBADOS 1) Los dos denunciantes prestan sus servicios como funcionarios de Policía en la Comisaria Sur de ***LOC.2, DENUNCIANTE 1 en el E.E.E. de A.A.A.. Denuncian el uso en modo consulta-acceso a sus datos almacenados en el fichero policial “CONTROL”, referido a controles realizados a una persona en frontera para unos fines distintos a los previstos y sin justificarse, pues indican que con las averiguaciones obtenidas con dichos accesos sirvieron de base al inicio de una investigación reservada abierta a DENUNCIANTE 1, que se hallaba en situación de baja médica,
(16)mientras que DENUNCIANTE 2 indica que la consulta de sus datos no se corresponde con el uso descrito del fichero. 2) De acuerdo con la declaración realizada el 13/01/2016, el I.I.I. del CNP ***CNP.2 (C.C.C.) ante el Instructor de la información reservada, manifestó que dos responsables policiales le preguntaron por el paradero de DENUNCIANTE 1 “ya que no podían localizarlo y debía presentarse ante el Servicio Médico”, habiéndose enviado incluso un coche patrulla a su domicilio. Según la citada declaración ante el Instructor, mediante una llamada telefónica de un funcionario del mismo E.E.E., conoció que un funcionario amigo del DENUNCIANTE 1 estaba de vacaciones pescando en ***PAIS.1. El Agente ***CNP.2 accedió “a la aplicación ATLAS, consulta de investigación, control de personas de las bases de datos policiales”. 3) De la declaración que el I.I.I. del CNP ***CNP.1 efectuó ante el Instructor de la información reservada, se desprende: a. Al día siguiente de haber sido preguntado por los cargos policiales sobre el paradero de DENUNCIANTE 1, realiza una primera consulta al fichero CONTROL con fecha C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/16 posterior a DD/MM.1/2015, pero anterior a DD/MM.2/2015, averiguando primero, que DENUNCIANTE 2 había salido de España desde el aeropuerto de ***LOC.1 “desconociendo el lugar de destino”. A continuación accedió a la consulta con los datos de DENUNCIANTE 1, figurando también en dicho fichero un control de salida del mismo aeropuerto, desconociendo también el lugar al que se dirigió (folio 4). Estas circunstancias se pusieron en conocimiento del Jefe de la Brigada Local de Policía Judicial (JBLPJ) b. “Días después volví a consultar” porque nadie “me había comunicado la localización del Policía” y a DENUNCIANTE 1 “le figuraba en fecha principio del mes de noviembre del año 2015 un control de entrada en el territorio nacional en el aeropuerto de ***LOC.1, figurando su procedencia del país de ***PAIS.1” . Tal hecho se vuelve a comunicar al JBLPJ. 4) Del fichero policial CONTROL, creado por Orden IN T/1202/201 de 4/05, se reseñan las siguientes características: a. Finalidad: Gestionar información sobre inspecciones fronterizas, vigilancia de fronteras, actividades relevantes para la seguridad ciudadana y objetos de interés policial. b. Usos previstos: Control policial de actividades relevantes para la seguridad ciudadana y de personas que entran y salen del territorio español. c. Colectivo: Personas cuyo paso sea controlado en puestos fronterizos. d. Datos de identidad de la persona controlada policialmente: Documento nacional de identidad, nombre y apellidos, domicilio, nombre de los padres, fecha y lugar de nacimiento, sexo, teléfono, fotografía, nacionalidad, pasaporte, número de identidad de extranjero, impresiones dactilares, representante legal y cualquier otro que pudiera ser identificativo de la persona. e. Datos identificadores del control: lugar, motivo, fecha, hora, duración, etcétera. f. Nivel básico, medio o alto de seguridad que resulte exigible: Alto. 5)Según declara la denunciada en actuaciones previas, “A partir del conocimiento de los hechos obtenidos por el control sobre ellos, se dio traslado a la Unidad de régimen disciplinario de la División de Personal, habiendo sido resuelto
(16)“. 6)En alegaciones al acuerdo, la denunciada indica que DENUNCIANTE 1 fue citado por la Unidad Provincial de Sanidad de la Dirección Gral. de la Policía los días 4 y 5/11/2015, como medida de “control de absentismo”, habiendo precisado la denunciada en previas, que se hallaba en situación de baja médica. También manifestó que el día 6/11/2015 se comisionó una patrulla a su domicilio al no ser hallado a través de llamada telefónica. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/16 FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
- g)en relación con el artículo 36 de la LOPD. II El artículo 22 de la LOPD dentro de los ficheros de las Fuerzas y Cuerpos de Seguridad distingue dos tipos de ficheros: “1. Los ficheros creados por las Fuerzas y Cuerpos de Seguridad que contengan datos de carácter personal que, por haberse recogido para fines administrativos, deban ser objeto de registro permanente, estarán sujetos al régimen general de la presente Ley. 2. La recogida y tratamiento para fines policiales de datos de carácter personal por las Fuerzas y Cuerpos de Seguridad sin consentimiento de las personas afectadas están limitados a aquellos supuestos y categorías de datos que resulten necesarios para la prevención de un peligro real para la seguridad pública o para la represión de infracciones penales, debiendo ser almacenados en ficheros específicos establecidos al efecto, que deberán clasificarse por categorías en función de su grado de fiabilidad. El fichero CONTROL es un fichero policial pues así se describe en su inscripción en el Registro. Su finalidad es el gestionar información sobre inspecciones fronterizas, vigilancia de fronteras, actividades relevantes para la seguridad ciudadana y objetos de interés policial, y “usos previstos” control policial de actividades relevantes para la seguridad ciudadano y de personas que entran y salen del territorio nacional. El colectivo “personas cuyo paso sea controlado en puestos fronterizos o controladas como consecuencia de alquiler de vehículos, compraventa o pignoración de efectos, hospederías, visitas a centros o instalaciones oficiales, eventos especiales y otros controles policiales de personas y objetos numerados.” estando las personas obligadas a dar dichos datos, es decir se obtienen sin necesidad de su consentimiento. Existen otros ficheros relacionados con asuntos de seguridad ciudadana pero este puede ser uno de ellos apto para localizar a las personas, sea que viajen dentro del país (control de hospedería), sea que viajan al extranjero. Sobre la alegación de la denunciada de que consultó dicho fichero por no ser localizado denunciante 1 y poder estar en riesgo su seguridad, al no saberse nada de él, se debe indicar que los ficheros policiales están sometidos al límite de la recogida de datos y tratamiento (una consulta es un tratamiento) para esos fines, es decir que resulten necesarios para la prevención de un peligro real para la seguridad pública o para la represión de infracciones penales. Las causas alegadas no se hallan dentro de los supuestos autorizados para el tratamiento de datos, siendo además muy genérica y pudiéndose dar en infinidad de casos similares, no siendo la causa alegada un cheque en blanco para en casos similares proceder a consultar ficheros. Si DENUNCIANTE 1 debía someterse a reconocimiento médico o si podía o no salir del país y fijar formas para ser C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/16 localizado era una cuestión puramente asistencial que debiera corresponder gestionar al servicio médico, no teniendo en este caso relación con la seguridad ciudadana. Por otro lado, no consta justificación para la consulta que antes de los datos de DENUNCIANTE 1 se efectuó para el DENUNCIANTE 2, sobre el que nada se precisa del motivo de la consulta, sino que parece ser la correlación o instrumento para conocer el paradero de DENUNCIANTE 1, y que supone también un tratamiento no pertinente que se incluye en este procedimiento. III Se imputa a la denunciada la infracción del artículo 4.1 de la LOPD que señala: “Los datos de carácter personal sólo se podrán recoger para su tratamiento, así como someterlos a dicho tratamiento, cuando sean adecuados, pertinentes y no excesivos en relación con el ámbito y las finalidades determinadas, explícitas y legítimas para las que se hayan obtenido.” Este artículo 4.1 de la LOPD consagra el “principio de pertinencia en el tratamiento de los datos de carácter personal”, que impide el tratamiento de aquellos que no sean necesarios o proporcionados a la finalidad que justifica el tratamiento, debiendo restringirse el tratamiento de los datos excesivos o bien procederse a la supresión de los mismos. En consecuencia, el tratamiento del dato ha de ser pertinente y no excesivo en relación con el fin perseguido. Únicamente pueden ser sometidos a tratamiento aquellos datos que sean estrictamente necesarios para la finalidad perseguida. Por otra parte, el cumplimiento del principio de proporcionalidad no sólo debe producirse en el ámbito de la recogida de los datos, también debe respetarse en el posterior tratamiento que se realice de los mismos. Se completa dicho artículo en cuanto componente del principio de calidad de datos en el tratamiento con el artículo 4.2 de la LOPD que indica: “Los datos de carácter personal objeto de tratamiento no podrán usarse para finalidades incompatibles con aquellas para las que los datos hubieran sido recogidos. No se considerará incompatible el tratamiento posterior de éstos con fines históricos, estadísticos o científicos.” En el presente supuesto, se parte de la base de que DENUNCIANTE 1 estando de baja médica, iba a ser sometido a una revisión médica y al no ser localizado con los medios habituales de contacto (llamada a su móvil) conociendo por un compañero que denunciante 2 (que no consta estuviera de baja médica) se había ido de vacaciones a ***PAIS.1, se consulta una base de datos policial de control de salida del país. Primero se efectúa una consulta a dicha persona (denunciante 2) sobre el que no consta estuviera de baja médica, ni localizado, conociendo que había salido de España y unos días más tarde, el país donde había estado. Esta consulta que también está fuera de la proporcionalidad en el uso del fichero, no se justifica por la denunciada, no olvidando que también denunciante 2 ha denunciado el uso injustificado de dicho fichero. Ello en sí constituye ya un tratamiento que vulnera el artículo 4.1 de la LOPD. Además, la misma consulta y resultado se hizo y se obtuvo sobre DENUNCIANTE 1. El I.I.I. de Policía accedió a la base de datos que contiene datos personales de control en fronteras, ya que tiene acceso a dicho tipo de ficheros. En principio, no se acredita que no sea necesario el acceso sin contraseñas y usuario, por lo tanto y en función de las tareas que desempeña un Policía, el acceso al sistema era adecuado. Pese a ello, no existe proporcionalidad en los fines por cuanto ni la competencia para la citación ni el medio de consultar un fichero es el previsto en la normativa. La finalidad del fichero está establecida en una Orden Ministerial, la que crea el fichero, y las C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/16 obligaciones del personal que tiene acceso a ficheros son para el desarrollo de sus competencias y tareas, dentro de las cuales no se halla la localización de personas. La denunciada ha alegado que el acceso de datos al fichero CONTROL para saber si esas personas habían salido o entrado del país, dado que DENUNCIANTE 1 debía someterse a un control médico estando de baja, se corresponde con una actividad relevante para la seguridad pública, suponiendo que es un funcionario del CNP. Añade que dichos funcionarios no podían ser localizados por vías habituales. Si bien la denunciada alega que es una cuestión de seguridad ciudadana, con independencia de la definición y extensión del concepto, no solamente consultó el fichero por el temor de no ser hallados o porque podría haber sufrido algún hecho delictivo, sino que una vez sabido que las personas habían salido de España, también días después consultó si habían vuelto y de donde, lo cual es difícil de encauzar en el concepto de seguridad ciudadana cuando con el conocimiento de ello, lo puso en conocimiento del órgano competente desembocando en un perjuicio para DENUNCIANTE 1 consistente en que se le abrió procedimiento disciplinario por la cuestión de estar de baja médica y salir del país. Se acredita que el conocimiento de los datos de los afectados condicionó la apertura de investigación previa que desencadena en un procedimiento disciplinario a DENUNCIANTE 1. El uso de los datos de los ficheros y su adecuación a la LOPD es competencia de esta AEPD pues el artículo 1 de la LOPD señala: “La presente Ley Orgánica tiene por objeto garantizar y proteger, en lo que concierne al tratamiento de los datos personales, las libertades públicas y los derechos fundamentales de las personas físicas, y especialmente de su honor e intimidad personal y familiar.” La seguridad jurídica supone que un fichero creado para unos fines van a ser utilizados para dichos fines. Si los datos recogidos en un determinado fichero pueden ser utilizados para el control laboral, o control de localización del empleado, directa o indirectamente, este debe ser informado de ello, y lógicamente de las consecuencias de su incumplimiento. La consideración de que la localización de personas, en este caso de un funcionario del CNP se corresponde con la seguridad pública puede ser cierta en determinados supuestos en los que se sigue una investigación, pero no es el caso objeto de esta denuncia. El ámbito y finalidad de los datos consultados de los dos denunciantes y el uso que de ellos se hacen en especial para denunciante 1 supone una infracción del artículo 4.1 en cuando además se han destinado a una finalidad no prevista ni explicita a la que responde el fichero de donde se obtuvieron los datos. Se deduce pues que se han utilizado unos datos de un fichero o el conocimiento que se obtuvo de su consulta para otros fines, a un uso no esperado por sus titulares, por no ser el previsto, por el que se le abrió a uno de ellos expediente disciplinario. Denunciantes que pierden el control de sus datos por haberse producido dicha consulta y posterior uso en el seno del disciplinario, acreditándose la comisión de la denunciada de la infracción del artículo 4.1 de la LOPD. IV La denunciada ha incurrido en conducta tipificada en el artículo 44.3.
- c)de la LOPD, que califica como infracción grave: “Tratar datos de carácter personal o usarlos posteriormente con conculcación de los principios y garantías establecidos en el artículo 4 de la presente Ley y las disposiciones que lo desarrollan, salvo cuando sea constitutivo de infracción muy grave” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/16 V Se imputa a la denunciada también la comisión de una infracción del artículo 9.1 de LOPD, que señala: ”El responsable del fichero, y, en su caso, el encargado del tratamiento deberán adoptar las medidas de índole técnica y organizativas necesarias que garantice la seguridad de los datos de carácter personal y evite su alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana del medio físico o natural”. El artículo 9.1 se ha de poner en este caso en relación con los artículos 89.2 y 91, del Reglamento de Desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21/12 (en adelante RLOPD) que indican: Artículo 89.2” El responsable del fichero o tratamiento adoptará las medidas necesarias para que el personal conozca de una forma comprensible las normas de seguridad que afecten al desarrollo de sus funciones así como las consecuencias en que pudiera incurrir en caso de incumplimiento.” Artículo 91” Control de acceso” “1. Los usuarios tendrán acceso únicamente a aquellos recursos que precisen para el desarrollo de sus funciones. 2. El responsable del fichero se encargará de que exista una relación actualizada de usuarios y perfiles de usuarios, y los accesos autorizados para cada uno de ellos. 3. El responsable del fichero establecerá mecanismos para evitar que un usuario pueda acceder a recursos con derechos distintos de los autorizados. 4. Exclusivamente el personal autorizado para ello en el documento de seguridad podrá conceder, alterar o anular el acceso autorizado sobre los recursos, conforme a los criterios establecidos por el responsable del fichero. 5. En caso de que exista personal ajeno al responsable del fichero que tenga acceso a los recursos deberá estar sometido a las mismas condiciones y obligaciones de seguridad que el personal propio.” El problema detectado consiste en un acceso por un Agente que está habilitado por las tareas que realiza, a consultar bases de datos policiales como la de CONTROL que en este caso se nutre del paso de fronteras. Considerando que por la operativa de consultas continuas o masivas no sería eficiente si en cada supuesto se tuviera que justificar cada acceso. Normalmente, se aprecia a posteriori de dicha consulta si dicho acceso estaba o no justificado o relacionado con un asunto de investigación o de seguridad como prevé la orden de creación del fichero. Por ello, no se constata infracción de medidas de seguridad del fichero ni relación causa efecto entre el acceso al fichero y el uso interesado que se hace de los datos obtenidos. En dicho acceso, no se acredita que se haya vulnerado medida de seguridad alguna, sino un desvío de finalidad ya analizado en el artículo 4.1 de la LOPD, por lo que procede el archivo de la infracción del artículo 9.1 de la LOPD. VI C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/16 Se debe tener además en cuenta que aunque las consultas a las bases de datos policiales pueden facilitar conocer datos como el de la localización de una persona, esta se ha de producir, en su caso, en el seno de las competencias y respetando la finalidad del fichero utilizado. Además, el tratamiento o consulta de datos ha de ser proporcionado y no excesivo. En este caso para intentar hallar a uno de los denunciantes por un asunto médico se trataron sus datos mediante búsqueda en fichero policial de nivel de seguridad alto, contemplado para otras finalidades. El artículo 46 de la LOPD, “Infracciones de las Administraciones Públicas”, dispone que: «1. Cuando las infracciones a que se refiere el artículo 44 fuesen cometidas en ficheros de titularidad pública o en relación con tratamientos cuyos responsables lo serían de ficheros de dicha naturaleza, el órgano sancionador dictará una resolución estableciendo las medidas que procede adoptar para que cesen o se corrijan los efectos de la infracción. Esta resolución se notificará al responsable del fichero, al órgano del que dependa jerárquicamente y a los afectados si los hubiera. 2. El órgano sancionador podrá proponer también la iniciación de actuaciones disciplinarias, si procedieran. El procedimiento y las sanciones a aplicar serán las establecidas en la legislación sobre régimen disciplinario de las Administraciones Públicas. 3. Se deberán comunicar al órgano sancionador las resoluciones que recaigan en relación con las medidas y actuaciones a que se refieren los apartados anteriores.» 4. El Director de la Agencia comunicará al Defensor del Pueblo las actuaciones que efectúe y las resoluciones que dicte al amparo de los apartados anteriores”. Se considera pues, que las acciones de tratamiento del fichero CONTROL se producen sobre denunciante 2 sin causa justificada, y en denunciante 2 con el objetivo de localizarle, y que no responden al uso y finalidades que deben regir el tratamiento de los datos obtenidos. Al haber sido la iniciativa de consulta al fichero estrictamente personal, como posibles medidas a futuro, debiera informarse al personal sobre los límites en accesos a ficheros para asuntos como al que aquí se trata, que no resulta amparado por la LOPD. La acción que debe tomar la denunciada se relaciona con la divulgación de los fines del fichero y los medios a su alcance, circunstancias que se espera se produzcan, sin que por lo demás proceda imponer una medida o requerimiento específico de distinto carácter al señalado. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR que la DIRECCION GENERAL DE LA POLICÍA ha infringido lo dispuesto en el artículo 4.1 de la LOPD, tipificada como grave en el artículo 44.3.
- c)de la citada Ley Orgánica. SEGUNDO: NOTIFICAR la presente resolución a la DIRECCION GENERAL DE LA POLICÍA. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/16 TERCERO: COMUNICAR la presente resolución al DEFENSOR DEL PUEBLO, de conformidad con lo establecido en el artículo 46.4 de la LOPD. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30/12 de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22/12, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21/12. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1/10, del Procedimiento Administrativo Común de las Administraciones Públicas, se podrá interponer directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13/07, reguladora de la Jurisdicción Contencioso-administrativa (en lo sucesivo LJCA), en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Sin embargo, el responsable del fichero de titularidad pública, de acuerdo con el artículo 44.1 de la LJCA, sólo podrá interponer directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la LJCA, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/16 C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es