AAPP-00033-2013

1/8 Procedimiento Nº AP/00033/2013 RESOLUCIÓN: R/02890/2013 Mediante Acuerdo de fecha 4/9/13 se inició procedimiento de declaración de Infracción de Administraciones Públicas nº AP/00033/2013 instruido por la Agencia Española de Protección de Datos a AYUNTAMIENTO DEL REAL DE GANDIA por presuntas infracciones a la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, y en base a los siguientes: ANTECEDENTES PRIMERO: Con fecha 5/10/12 tiene entrada en esta Agencia un escrito de B.B.B., (en lo sucesivo el denunciante) en el que manifiesta que en un almacén municipal de acceso libre, propiedad del Ayuntamiento de Real de Gandía en Valencia, existe una caja llena de DNI’S antiguos de vecinos de la localidad, así como documentación privada de centenares de vecinos que viven o han vivido en la localidad. Se adjunta una fotografía, que según manifiesta el denunciante se realizó a principio de septiembre de 2012. SEGUNDO Por parte del Subdirector General de Inspección de Datos, en base al contenido de la denuncia, se procedió a la apertura de actuaciones previas con referencia E/7463/2012 y concluyó la investigación con informe siguiente de la Inspección de Datos de fecha 11/06/13 TERCERO: A la vista del resultado de las actuaciones previas de investigación, el Director de la Agencia Española de Protección de Datos acordó, por resolución de 18/10/12, iniciar procedimiento de declaración de infracción de Administraciones Publicas a AYUNTAMIENTO DEL REAL DE GANDIA con arreglo a lo dispuesto en el artículo 46 de LOPD, por la presunta infracción de los artículos 9 y 10 de la LOPD, tipificadas como grave en los artículos 44.3.h y 44.3.d de la citada Ley Orgánica CUARTO: Con fecha 24/09/13 se ha presentado escrito de alegaciones por la entidad denunciada que se ha tenido en cuenta en la resolución de este expediente. QUINTO: Por el instructor del expediente se apertura periodo de pruebas, dándose por reproducidos a efectos probatorios la denuncia interpuesta por B.B.B. y su documentación, los documentos obtenidos y generados por los Servicios de Inspección ante AYUNTAMIENTO DEL REAL DE GANDIA, y el Informe de actuaciones previas de Inspección que forman parte del expediente E/07463/2012.. Asimismo, se dio por reproducido las alegaciones al acuerdo de inicio AP/00033/2013 presentadas por AYUNTAMIENTO DEL REAL DE GANDIA, y la documentación que a ellas acompaña. HECHOS PROBADOS: 1º Consta denuncia presentada por D. B.B.B., manifestando que en un almacén municipal de acceso libre, propiedad del Ayuntamiento de Real de Gandía en Valencia, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/8 existe una caja llena de DNI’S antiguos de vecinos de la localidad, así como documentación privada de centenares de vecinos que viven o han vivido en la localidad. Se adjunta una fotografía, que según expone el denunciante se realizó a principio de septiembre de 2012. 2º Consta Acta de Inspección levantada por los inspectores de esta Agencia, en la sede del Ayuntamiento de Real de Gandía, con fecha 12/4/13 en el transcurso de la misma se acreditó lo siguiente: * El Real de Gandía cuenta con una población de aproximadamente 2300 habitantes. Hasta hace más o menos quince años, la Policía Nacional de Gandía se desplazaba una vez al año a los locales del Ayuntamiento de El Real de Gandía para realizar las renovaciones y DNI’S nuevos de vecinos del pueblo. * Todos los documentos que eran entregados para su renovación se iban almacenando en una caja, que la Policía Nacional depositaba en los locales del Ayuntamiento hasta que pasaran a recogerlos para su destrucción, parte de los documentos contenidos en la caja tienen una antigüedad de 42 años los más antiguos y 24 años los más modernos, aproximadamente, no obstante, hasta la fecha no se ha producido la retirada de los mismos. * En el año 2010, con motivo de la realización de obras de reforma en los locales del Ayuntamiento, dicha caja fue trasladada a un almacén propiedad del Consistorio, situado en la calle (C/...............1), planta baja, donde se guardan los vehículos municipales y otros enseres de la Policía Local, el cual se encuentra cerrado con llave y las únicas personas que acceden al mismo es la Policía de la localidad. * En el mes de septiembre de 2012, tuvo lugar la concentración anual de motos en esta localidad, denominada “matinal motera”. El Ayuntamiento cede a los participantes mesas y sillas para realizar la celebración de la misma. Todo el material se encuentra guardado en el citado local, el cual fue abierto por un policía local a varios de los participantes para que pudieran coger el material necesario para la celebración, momento en el que alguien visualizó la caja con los carnets allí almacenados y realizó varias fotografías que fueron enviadas a varios medios de comunicación tanto digitales como en formato papel, así como en medios radiofónicos. * Tras la publicación de la noticia, la Policía Nacional de Gandía se puso en contacto con este Ayuntamiento, manifestando que pasarían a recogerlos para su destrucción, no obstante a día de hoy todavía no han sido retirados, encontrándose custodiados en el archivo general del Ayuntamiento, situado en la tercera planta del edificio del Consistorio, el cual se encuentra cerrado llave. Se comprobó por las inspectoras que en la tercera planta se encuentra una puerta cerrada con llave y en su interior se encuentran varias estanterías, en una de ellas se encuentra una caja de madera con los DNI’S. Se comprueba que los DNI’S más antiguos tiene fecha de emisión 1965 y los más modernos de fecha 1980. * Con motivo de dicho incidente, la Policía local reflejó la incidencia de lo ocurrido en el documento denominado “INFORME DIARIO DEL RELEVO I NOVEDADES”, de fecha 13 de septiembre de 2012, fecha en la que se conoció la noticia, donde consta que: El Domingo anterior con motivo de la “Matinal Motera”, el Policía local de servicio de ese C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/8 día, abrió el almacén sito en la calle (C/...............1), y alguno hizo fotos a una caja que allí había con DNI’S antiguos y caducados. * Mediante traslado al almacén donde se encontró la caja con los documentos, se verificó que, la apertura de la puerta, la cual se encontraba cerrada con llave, es realizada por un Policía Local, comprobándose que es un local que cuenta con licencia de apertura a nombre del Ayuntamiento del Real de Gandía, la cual se encuentra colgada en una pared del local, donde consta como actividad: Estancia de vehículos de la Policía municipal y depósito de vehículos retenidos. Se comprueba la existencia de diferente material correspondiente a la Policía local, no encontrándose ningún tipo de documento almacenado en el mismo. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.

1. g)en relación con el artículo 36 de la LOPD. II Finalizado el periodo de actuaciones previas de inspección con la elaboración del informe E/07463/2012, se determinó que, salvo prueba en contrario, el Ayuntamiento del Real de Gandía podía haber incurrido en la infracción de los artículos 9 y 10 de la LOPD, al haber existido un acceso por un tercero a documentación con datos de carácter personal custodiada por la entidad denunciada La representante del Ayuntamiento del el Real de Gandía ha realizado las siguientes manifestaciones, en síntesis, ante los hechos denunciados: * Que no estamos ante un fichero de datos de carácter personal. Lo que se halló es una caja con documentación acumulada, sin ningún orden de clasificación, puesto que eran meros documentos amontonados. * Que el Ayuntamiento no ostenta la condición de responsable del fichero ni de encargado del tratamiento. Ya que sólo presta un espacio a la Policía Nacional para almacenar una caja en un local cuya titularidad es del Ayuntamiento. No siendo por tanto Responsable del fichero ni tampoco encargado del tratamiento ya que no presta ningún servicio a la Policía ni trata dicha información * Que tampoco ha existido infracción del artículo 10 y que, a pesar de no estar obligado sí que existían las siguientes medidas de seguridad: - Se requiere llave para acceder al almacén y el acceso está reservado a las personas autorizadas - Tras la publicación en los medios del hallazgo el Ayuntamiento actuó de forma diligente albergando dicha caja en el archivo general que se encuentra custodiado bajo llave C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/8 - no se ha producido un acceso a la información III En primer lugar, debe tenerse en cuenta que el artículo 3
2. a)de la LOPD establece que se entenderá por datos de carácter personal “cualquier información concerniente a personas físicas identificadas o identificables”. En este mismo sentido se pronuncia el artículo 2
3. a)de la Directiva 95/46/CE del Parlamento y del Consejo, de 24 de octubre de 1995, relativa a la Protección de las Personas Físicas en lo que respecta al tratamiento de datos profesionales y a la libre circulación de estos datos, que dispone “toda información sobre una persona física identificada o identificable (el «interesado»); se considerará identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un número de identificación o uno o varios elementos específicos, característicos de su identidad física, fisiológica, psíquica, económica, cultural o social”. Para interpretar cuándo ha de considerarse que nos encontramos ante un dato de carácter personal esta Agencia ha venido siguiendo el criterio sustentado por las distintas Recomendaciones emitidas por el Comité de Ministros del Consejo de Europa, en las que se indica que la persona deberá considerarse identificable cuando su identificación no requiere plazos o actividades desproporcionados. La Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de carácter Personal, al determinar su ámbito de aplicación señala en su artículo 2.1 que “la presente Ley Orgánica será de aplicación a los datos de carácter personal registrados en soporte físico que los haga susceptibles de tratamiento, y a toda modalidad de uso posterior de estos datos por los sectores público y privado”, añadiendo el artículo 3
4. a)que son datos de carácter personal “cualquier información concerniente a personas físicas identificadas o identificables”. Debe tenerse en cuenta que el concepto de tratamiento de datos está en directa relación con el concepto de fichero, de forma que para hablar de tratamiento es precisa la existencia de fichero, en otro caso el tratamiento manual de datos personales quedaría fuera del ámbito de aplicación de la Ley. En este sentido se pronuncia la SAN de 16/2/06 que se refiere al tratamiento de datos personales, poniendo en relación este concepto con el de fichero, al que configura como un requisito necesario para la aplicación de la Ley Orgánica 15/1999, manifiesta así la sentencia: “Pues bien, para que una actuación manual sobre datos personales (recogida, grabación, conservación, elaboración, modificación, bloqueo...) tenga la consideración de "tratamiento de datos personales" sujeto al sistema de protección de la Ley Orgánica 15/1999 es necesario que dichos datos estén contenidos o destinados a ser incluidos en un fichero, esto es, en un conjunto estructurado u organizados de datos con arreglo a criterios determinados. Si no es así, el tratamiento manual de datos personales quedará fuera del ámbito de aplicación de la ley, no será un "tratamiento de datos personales" según el concepto normativo que la ley proporciona. En realidad la existencia del "fichero" en el sentido legal es siempre precisa para que un tratamiento de datos personales esté sujeto al sistema de protección de la ley. En los casos de tratamiento automatizado de datos -siempre sometidos a la ley- es difícil imaginar la inexistencia de un fichero (aunque no se exija expresamente) puesto que los datos que C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/8 se tratan mediante sistemas automatizados lo son siempre bajo unos criterios de estructura u organización previa”. Para determinar si nos encontramos ante un fichero debe acudirse en primer término a la definición de fichero contenida en el artículo 2 de la Directiva 95/46/CE del Parlamento Europeo y del Consejo, de 24 de octubre de 1995, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, conforme al cual constituye un fichero “todo conjunto estructurado de datos personales accesibles con arreglo a criterios determinados, ya sea centralizado, descentralizado o repartido de forma funcional o geográfica”, permitiendo a los Estados que regulen los criterios que permitan determinar los elementos de un conjunto estructurado de datos y los distintos criterios que regulan el acceso a dicho conjunto de datos.” La Ley Orgánica 15/1999 al establecer el concepto de fichero en su artículo 3.
5. b)configura a éste como “todo conjunto organizado de datos de carácter personal, cualquiera que fuera la forma o modalidad de su creación, almacenamiento, organización y acceso”, En lo relativo a ficheros manuales es preciso tener en cuenta el considerando 27 de la propia Directiva que reza lo siguiente: “Considerando que la protección de las personas debe aplicarse tanto al tratamiento automático de datos como a su tratamiento manual; que el alcance de esta protección no debe depender, en efecto, de las técnicas utilizadas, pues lo contrario daría lugar a riesgos graves de elusión; que, no obstante, por lo que respecta al tratamiento manual, la presente Directiva sólo abarca los ficheros, y no se aplica a las carpetas que no están estructuradas; que, en particular, el contenido de un fichero debe estructurarse conforme a criterios específicos relativos a las personas, que permitan acceder fácilmente a los datos personales; que, de conformidad con la definición que recoge la letra
6. c)del artículo 2, los distintos criterios que permiten determinar los elementos de un conjunto estructurado de datos de carácter personal y los distintos criterios que regulan el acceso a dicho conjunto de datos pueden ser definidos por cada Estado miembro; que, las carpetas y conjuntos de carpetas, así como sus portadas, que no estén estructuradas conforme a criterios específicos no están comprendidas en ningún caso en el ámbito de aplicación de la presente Directiva.” Por consiguiente para hablar de un fichero es necesario que los datos sean objeto de una organización sistemática, con arreglo a una serie de criterios que permitan la búsqueda de los mismos, de modo en otro caso no se consideraría fichero a los efectos de la Ley Orgánica 15/1999. El Reglamento de desarrollo de la Ley Orgánica 15/1999, (RD 1720/07) ha establecido un concepto de fichero no automatizado. Definiendo el mismo (art. 5.1
7. n)como “Fichero no automatizado: todo conjunto de datos de carácter personal organizado de forma no automatizada y estructurado conforme a criterios específicos relativos a personas físicas, que permitan acceder sin esfuerzos desproporcionados a sus datos personales, ya sea aquél centralizado, descentralizado o repartido de forma funcional o geográfica.” Por consiguiente, procede acoger la alegación relativa a que la caja en que se encontraban los DNI de los vecinos de la localidad, no conformaban un fichero manual C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/8 estructurado por no encontrase ordenadas con arreglo a criterios determinados relativos a las personas, y en consecuencia su tratamiento tampoco su tratamiento estaría sujeto a la Ley Orgánica 15/1999. IV El artículo 3
8. d)de la Ley Orgánica 15/1999, define al responsable del fichero como la “persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento”. Por su parte, el artículo 3.
9. g)de la misma Ley define al encargado del tratamiento como “la persona física o jurídica, autoridad pública, servicio o cualquier otro organismo que, sólo o conjuntamente con otros, trate datos personales por cuenta del responsable del tratamiento.” En consecuencia, la condición de responsable o encargado del tratamiento se delimita en virtud de la capacidad de decisión sobre la finalidad, contenido o uso del tratamiento que ostentará el responsable, no correspondiendo dicha potestad al encargado, habida cuenta del hecho de que el mismo se limitará a actuar en virtud de las instrucciones conferidas por el responsable del tratamiento. El artículo 5.1.
10. i)del Reglamento de desarrollo de la Ley Orgánica 15/1999, aprobado por Real Decreto 1720/2007, de 21 de diciembre, precisa así que será encargado de tratamiento “La persona física o jurídica, pública o privada, u órgano administrativo que, solo o conjuntamente con otros, trate datos personales por cuenta del responsable del tratamiento o del responsable del fichero, como consecuencia de la existencia de una relación jurídica que le vincula con el mismo y delimita el ámbito de su actuación para la prestación de un servicio.” Dentro del anterior marco jurídico que delimita las funciones y responsabilidades tanto del responsable como del encargado del tratamiento deben valorarse las circunstancias que operan en este caso. En el transcurso del acta de inspección levantada en la entidad denunciada se puso de manifiesto que la Policía Nacional, desde su sede de Gandía, se trasladaba una vez al año al Ayuntamiento del Real de Gandía para realizar las renovaciones y DNI nuevos de los vecinos del pueblo. Los documentos entregados para su renovación se iban almacenando en una caja que la Policía Nacional depositaba en los locales del Ayuntamiento para su custodia hasta que pasaran a recogerlos para su destrucción. Se continúa manifestando que fue en el año 2010 con motivo de la realización de unas obras cuando dicha caja se trasladó a un almacén propiedad del Consistorio, que se encuentra cerrado con llave, siendo las únicas personas que acceden al mismo la Policía de la localidad. Se manifiesta por la representante del Ayuntamiento del Real de Gandía que en relación a dicha documentación la entidad no ostenta la condición de responsable del fichero ni de encargado del tratamiento. Alegación que debe ser acogida, pues su única responsabilidad en relación a dicha documentación que sólo custodiaban para su retirada (y destrucción) por la Policía nacional era precisamente esa, almacenarla, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/8 recayendo la responsabilidad en cuanto a la gestión de dicha documentación (en relación entre otras materias a la custodia de dicha documentación) en quien decide sobre la finalidad, contenido y uso del tratamiento, esto es, en la Policía Nacional y no el Ayuntamiento del Real. Ahora bien, tampoco puede considerarse que la entidad denunciada sea encargada del tratamiento, ya que la relación de servicio entre un responsable y un encargado del tratamiento debe establecerse contractualmente tal como se establece en el artículo 12.2 de la LOPD: “la realización de tratamientos por cuenta de terceros deberá estar regulada en un contrato que deberá constar por escrito o en alguna otra forma que permita acreditar su celebración y contenido, estableciéndose expresamente que el encargado del tratamiento únicamente tratará los datos conforme a las instrucciones del responsable del tratamiento, que no los aplicará o utilizará con fin distinto al que figure en dicho contrato, ni los comunicará, ni siquiera para su conservación, a otras personas”. En este supuesto el Ayuntamiento sólo se limitaba a ceder un espacio para almacenar una caja cuyo contenido era responsabilidad de la Policía Nacional, y al no mediar contrato de prestación de servicios entre la Policía Nacional y el Ayuntamiento del Real no puede considerarse a este último como encargado del tratamiento; en relación a la exigencia de responsabilidades relativas a las obligaciones sobre la custodia de dicha documentación reguladas en el ordenamiento de protección de datos. V En consecuencia, en relación a la denuncia presentada, relativa al acceso por un tercero no autorizado a documentación con datos de carácter personal, ya que es el responsable de los ficheros y tratamientos, o el encargado del tratamiento, quienes están sujetos al régimen de responsabilidad recogido en el Título VII de la LOPD, y no ostentando el Ayuntamiento del Real de Gandía ninguna de dichas condiciones, no procede imputársele responsabilidad en el presente procedimiento de declaración de infracción de las Administraciones Públicas. Sin perjuicio de lo anterior, como de los hechos relatados pudiera derivarse alguna responsabilidad de la policía nacional en la custodia de la documentación de la que era responsable, por parte de esta Agencia, en virtud de la competencia establecida en el art. 122 del RLOPD, se van a iniciar actuaciones previas de investigación, (E/00574/2014) frente a dicho organismo, con objeto de analizar dichas circunstancias Vistos los preceptos citados y demás de general aplicación, Por el Director de la Agencia Española de Protección de Datos Se ACUERDA: 1. PROCEDER AL ARCHIVO del presente procedimiento de declaración de infracción de las administraciones públicas. 2. NOTIFICAR la presente resolución a C/ Jorge Juan, 6 28001 – Madrid AYUNTAMIENTO DEL REAL DE www.agpd.es sedeagpd.gob.es 8/8 GANDIA Y a D. B.B.B. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es