AAPP-00038-2016

1/8 Procedimiento Nº AP/00038/2016 RESOLUCIÓN: R/00238/2017 En el procedimiento de Declaración de Infracción de Administraciones Públicas AP/00038/2016, instruido por la Agencia Española de Protección de Datos al CONCELLO DE SAN SADURNIÑO, vista la denuncia presentada por Dña. A.A.A. y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fechas 10 de marzo y 5 de abril de 2016, tienen entrada en esta Agencia escritos de A.A.A. (en lo sucesivo la denunciante) comunicando que ha sido conocedora de que el Ayuntamiento de San Sadurniño (A Coruña) (en lo sucesivo el denunciado), ha accedido a datos catastrales de su titularidad y los ha cedido a un tercero sin su consentimiento. Adjunta carta remitida al Ayuntamiento con fecha 2 de marzo de 2016 y una copia de un listado donde consta el acceso. Con fecha 15 de abril de 2016, se recibe nuevamente escrito de la denunciante, con el que adjunta una carta remitida por la Dirección General del Catastro, donde le informan de que realizaran las gestiones oportunas para esclarecer lo ocurrido. Así mismo, con fecha 6 de mayo de 2016, se recibe otro escrito de la denunciante con el que adjunta copia de un escrito suscrito por D. B.B.B., y enviado al Consejo de Defensa del Consumidor, en el que manifiesta haber tenido consentimiento de un familiar de la denunciante para realizar el acceso a los datos del catastro, no obstante la denunciante remitió escrito al Ayuntamiento con fecha 3 de mayo de 2016, desmintiendo la citado información (adjunta copia del dicho escrito). SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información al denunciado, teniendo conocimiento de los siguientes hechos:

1. a)Con fecha 13 de mayo de 2016, se recibe escrito del citado Ayuntamiento, manifestando que el 6 de abril de 2016 tuvieron conocimiento de estos hechos por parte del Gerente Regional del Catastro sobre el acceso realizado desde ese Ayuntamiento con fecha 10 de diciembre de 2015. Se comprobó que el acceso había sido realizado, desde el Ayuntamiento por un funcionario constando el motivo del acceso “consulta”. Una vez solicitada información al mismo, éste aportó escrito donde manifiesta tener el consentimiento de una familiar de la titular de la información. No obstante, el mismo no ha aportado ninguna autorización por escrito de la titular ni de ningún familiar, por lo que se ha solicitado a la Gerencia Regional del Catastro en Galicia, con fecha 2 de mayo de 2016, se retire de forma provisional las C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/8 habilitaciones de acceso a la información catastral, al citado funcionario.
2. b)Con fecha 23 de junio de 2016, se recibe escrito de la Diputación de Coruña, Servicio de Gestión Tributaria, manifestando que por resolución de fecha 13/05/2016, el citado Ayuntamiento, ha acordado incoar expediente disciplinario a un funcionario de dicho Ayuntamiento, como presunto autor de una falta grave. TERCERO: Con fecha 13 de septiembre de 2016, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento de declaración de infracción de Administraciones Públicas al denunciado por la presunta infracción del artículo 4.2 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como grave en el artículo 44.3.
3. c)de dicha norma. CUARTO: Notificado el citado acuerdo de inicio de procedimiento de declaración de infracción de Administraciones Públicas, en fecha 10/10/2016 el denunciado presentó escrito de alegaciones en el que manifestaba: <<…Con anterioridad a los hechos que motivaron la supuesta infracción, este Ayuntamiento hizo entrega a todo su personal funcionario y laboral del debido Acuerdo de Confidencialidad en el que se recogían las obligaciones, las medidas de seguridad y demás procedimientos y/o protocolos en el tratamiento de datos de carácter personal. Este Acuerdo de Confidencialidad fue firmado por el referido personal municipal. Se acompaña, como documento nº 1, copia del Acuerdo de Confidencialidad firmado por B.B.B.. 3. Tras hechos denunciados y antes de la incoación de este expediente, el Concello de San Sadurniño adoptó todas las medidas necesarias para corregir los posibles efectos de la infracción incluyendo medidas de carácter disciplinario. Tras los hechos relativos al acceso indebido a la Sede Social del Catastro por parte del funcionario B.B.B., y antes de la incoación de este expediente, este Ayuntamiento adoptó las siguientes medidas: i. Retirada al ***EXPTE.1. B.B.B. del acceso a los datos catastrales. ii. Con fecha 13/05/2016, incoación de expediente disciplinario contra el ***EXPTE.1. B.B.B. por la presunta comisión de una falta grave tipificada en artículo 186.1.
4. o)de la Ley 2/2015, de 29 de abril, del empleo público de Galicia. Se acompaña, como documento n°2, copia del decreto de incoación de dicho expediente. iii. Asimismo, este Ayuntamiento ha procedido a elaborar una nueva y específica circular informativa sobre implantación de medidas de seguridad en cumplimiento de lo previsto por la actual normativa sobre protección de datos de carácter personal (LOPD y desarrollo reglamento por el Real Decreto 1720/2007, de 21 de diciembre). En dicha circular se les comunica a todos los empleados de esta Administración local con acceso al catastro cuáles son sus obligaciones y responsabilidades respecto al C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/8 almacenamiento, consulta y tratamiento de datos de carácter personal en los ficheros a los que tiene acceso, según las funciones que desarrollan en este Ayuntamiento. Se acompaña, como documento n° 3, copia de dicha circular, al presente escrito…>> QUINTO: Con fecha 14/10/2015, se acordó por el Instructor del procedimiento la apertura de un período de práctica de pruebas, teniéndose por incorporadas las actuaciones previas de investigación E/01980/2016, así como la documental aportada por el denunciado. Con fecha 24/10/2016 la denunciante solicita actuar como interesado. SÉXTO: Con fecha 2 de enero de 2017, el Instructor del procedimiento emitió Propuesta de Resolución, en el sentido de que por la Directora de la Agencia Española de Protección de Datos se declare que el denunciado ha infringido lo dispuesto en el artículo 4.2 de la LOPD, lo que supone una infracción tipificada como grave en el artículo 44.3.
5. c)de la citada norma. Dicha propuesta fue notificada al denunciado y a la denunciante. SÉPTIMO: Con fecha 23/01/2017 tiene entrada en la Agencia escrito de la denunciante, de alegaciones frente a la citada propuesta de resolución en la que comunica: <<…Se tengan en cuenta las presentes alegaciones, considerando el informe de la auditoría de la Gerencia del Catastro a la hora de proponer resolución definitiva de proceso sancionador, tal y como recoge la LOPD 15/1999 del 13 de diciembre y dentro de la misma artículo 45, apartado cuarto, graduarla en función del volumen de tratamiento efectuados, carácter continuado de la infracción ya que no es un hecho aislado según el informe de la auditoría, la naturaleza de los perjuicios causados y demás. Además el denunciado nunca reconoció los hechos…>> OCTAVO: Con fecha 26/01/2017 tiene entrada en la Agencia del denunciado escrito alegaciones frente a la citada propuesta de resolución en la que comunica: <<…La aplicación de esta doctrina al presente caso determina que deba archivarse el presente expediente por falta de tipicidad. Este Concello no ha realizado la conducta infractora que se le atribuye. Tal conducta solo sería atribuible al ***EXPTE.1. B.B.B., quien habría actuado en todo momento por cuenta propia y nunca en representación o bajo el amparo de este Ayuntamiento. En otros términos: no cabe identificar la conducta de ese funcionario que habría actuado al margen de los cometidos que le asigna este Concello con una conducta de esta propia entidad local. La responsabilidad en este caso solo puede ser, en su caso, de carácter personal, pero nunca corporativa…>> HECHOS PROBADOS PRIMERO: Con fechas 10 de marzo y 5 de abril de 2016, tienen entrada en esta Agencia escritos de la denunciante manifestando que ha sido conocedora de que el denunciado, ha accedido a datos catastrales de su titularidad sin su consentimiento. Traslada escrito de la Dirección General del Catastro en el que se manifiesta: <<…En el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/8 registro de accesos de la Sede Electrónica del Catastro se constata que, un empleado del Ayuntamiento de San Sadurniño, identificado con NIF, nombre y apellidos, con fecha 10 de diciembre de 2015 obtuvo a través de la Sede Electrónica del Catastro una certificación de bienes inmuebles con la finalidad "consulta"…>> (folios 1 a 10). FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
6. g)en relación con el artículo 36 de la LOPD. II El Real Decreto Legislativo 1/2004, de 5 de marzo, por el que se aprueba el texto refundido de la Ley del Catastro Inmobiliario, establece en su artículo “Artículo 53 Acceso a la información catastral protegida 1. El acceso a los datos catastrales protegidos sólo podrá realizarse mediante el consentimiento expreso, específico y por escrito del afectado, o cuando una ley excluya dicho consentimiento o la información sea recabada en alguno de los supuestos de interés legítimo y directo siguientes: 
7. a)Para la ejecución de proyectos de investigación de carácter histórico, científico o cultural auspiciados por universidades o centros de investigación, siempre que se califiquen como relevantes por el Ministerio de Hacienda.
8. b)Para la identificación y descripción de las fincas, así como para el conocimiento de las alteraciones catastrales relacionadas con los documentos que autoricen o los derechos que inscriban o para los que se solicite su otorgamiento o inscripción, por los notarios y registradores de la propiedad, de conformidad con lo establecido en esta Ley y en la legislación hipotecaria. Asimismo los notarios podrán acceder a los acuerdos catastrales derivados de dichas alteraciones para su entrega, en su caso, a los interesados. Letra
9. b)del número 1 del artículo 53 redactada por el apartado dieciocho del artículo segundo de la Ley 13/2015, de 24 de junio, de Reforma de la Ley Hipotecaria aprobada por D. de 8 de febrero de 1946 y del texto refundido de la Ley de Catastro Inmobiliario, aprobado por R.D. Legislativo 1/2004, de 5 de marzo («B.O.E.» 25 junio).Vigencia: 26 junio 2015 
10. c)Para la identificación de las parcelas colindantes, con excepción del valor catastral de cada uno de los inmuebles, por quienes figuren en el Catastro Inmobiliario como titulares. 
11. d)Por los titulares o cotitulares de derechos de trascendencia real o de arrendamiento o aparcería que recaigan sobre los bienes inmuebles inscritos en el Catastro Inmobiliario, respecto a dichos inmuebles. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/8 
12. e)Por los herederos y sucesores, respecto de los bienes inmuebles del causante o transmitente que figure inscrito en el Catastro Inmobiliario.  2. No obstante, podrán acceder a la información catastral protegida, sin necesidad de consentimiento del afectado: 
13. a)Los órganos de la Administración General del Estado y de las demás Administraciones públicas territoriales, la Agencia Estatal de Administración Tributaria y las entidades gestoras y servicios comunes de la Seguridad Social, con las limitaciones derivadas de los principios de competencia, idoneidad y proporcionalidad. 
14. b)Las comisiones parlamentarias de investigación, el Defensor del Pueblo y el Tribunal de Cuentas, así como las instituciones autonómicas con funciones análogas. 
15. c)Los jueces y tribunales y el Ministerio Fiscal. 
16. d)Los organismos, corporaciones y entidades públicas, para el ejercicio de sus funciones públicas, a través de la Administración de la que dependan y siempre que concurran las condiciones exigidas en el párrafo a).” III El artículo 6.1 de la LOPD dispone que “El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa”. El apartado 2 del mencionado artículo contiene una serie de excepciones a la regla general contenida en el 6.1 estableciendo que: “No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias.” La LOPD regula en su artículo 4 el principio de calidad de datos que resulta aplicable al presente procedimiento. Este artículo debe interpretarse de forma conjunta y sistemática. El citado artículo en su apartado 2, señala lo siguiente: “2. Los datos de carácter personal objeto de tratamiento no podrán usarse para finalidades incompatibles con aquellas para las que los datos hubieran sido recogidos. No se considerará incompatible el tratamiento posterior de éstos con fines históricos, estadísticos o científicos”. El “principio de calidad”, que prohíbe utilizar datos de carácter personal para una finalidad incompatible o distinta de aquella para la que los mismos fueron recabados, se recoge en el Título II de la LOPD, como uno de los principios básicos de la protección de datos. Las “finalidades” a las que se refiere el transcrito apartado 2, están ligadas con el “principio de pertinencia” o limitación en la recogida de datos regulado en el artículo 4.1 de la misma Ley. Conforme a dicho precepto, los datos sólo podrán tratarse cuando “sean adecuados, pertinentes y no excesivos en relación con el ámbito y las finalidades determinadas, explícitas y legítimas para las que se hayan obtenido.” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/8 La LOPD contempla en su Título II (artículos 4 a 12) una serie de principios generales, entre los que destacan los del consentimiento y de calidad de datos, que constituyen el contenido esencial de este derecho fundamental y configuran un sistema que garantiza una utilización racional de los datos personales, que permite el equilibrio entre los avances de la sociedad de la información y el respeto a la libertad de los ciudadanos. En el caso concreto que nos ocupa en el presente expediente, el funcionario del municipio denunciado habría utilizado los datos del certificado de bienes inmuebles de la denunciante con una finalidad distinta de la prevista en la Ley del Catastro Inmobiliario Asimismo, el apartado 2 del artículo 4 de la LOPD está muy relacionado con el consentimiento regulado en el artículo 6 de la Ley Orgánica mencionada, tal y como recoge el Tribunal Constitucional. La Sentencia del Tribunal Constitucional 292/2000, de 30 de noviembre, que delimita el contenido esencial del derecho fundamental a la protección de los datos personales, se ha pronunciado sobre la importante vinculación entre el consentimiento, la finalidad para el tratamiento de los datos personales y la información, en los siguientes términos: “el derecho a consentir la recogida y el tratamiento de los datos personales (art. 6 LOPD) no implica en modo alguno consentir la cesión de tales datos a terceros, pues constituye una facultad específica que también forma parte del contenido del derecho fundamental a la protección de datos. Y, por tanto, la cesión de los mismos a un tercero para proceder a un tratamiento con fines distintos de los que originaron su recogida, aún cuando puedan ser compatibles con estos (art. 4.2 LOPD), supone una nueva posesión y uso que requiere el consentimiento del interesado. Una facultad que sólo cabe limitar en atención a derechos y bienes de relevancia constitucional y, por tanto, esté justificada, sea proporcionada y, además, se establezca por ley, pues el derecho fundamental a la protección de datos personales no admite otros límites. De otro lado, es evidente que el interesado debe ser informado tanto de la posibilidad de cesión de sus datos personales y sus circunstancias como del destino de éstos, pues sólo así será eficaz su derecho a consentir, en cuanto facultad esencial de su derecho a controlar y disponer de sus datos personales. Pues en otro caso sería fácil al responsable del fichero soslayar el consentimiento del interesado mediante la genérica información de que sus datos pueden ser cedidos. De suerte que, sin la garantía que supone el derecho a una información apropiada mediante el cumplimiento de determinados requisitos legales (art. 5 LOPD) quedaría sin duda frustrado el derecho del interesado a controlar y disponer de sus datos personales, pues es claro que le impedirían ejercer otras facultades que se integran en el contenido del derecho fundamental al que estamos haciendo referencia.” De lo expuesto cabe concluir que la vigente LOPD ha acentuado las garantías precisas para el tratamiento de los datos personales en lo relativo a los requisitos del consentimiento, de la información previa a éste, y de las finalidades para las que los datos pueden ser recabados y tratados. En definitiva, los datos no pueden ser tratados para fines distintos a los que motivaron su recogida, pues esto supondría un nuevo uso que requiere el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/8 consentimiento del interesado. IV El artículo 44.3.
17. c)de la LOPD tipifica como infracción grave: “Tratar datos de carácter personal o usarlos posteriormente con conculcación de los principios y garantías establecidos en el artículo 4 de la presente Ley y las disposiciones que lo desarrollan, salvo cuando sea constitutivo de infracción muy grave”. En el caso concreto que nos ocupa en el presente expediente, el funcionario del municipio denunciado habría utilizado los datos del certificado de bienes inmuebles de la denunciante con una finalidad distinta de la prevista en la Ley del Catastro Inmobiliario, lo que supone una desviación de la finalidad en el tratamiento de los datos de la denunciante, que implica la vulneración del artículo 4.2 de la LOPD. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR que el CONCELLO DE SAN SADURNIÑO ha infringido lo dispuesto en el artículo 4.2 de la LOPD, tipificada como grave en el artículo 44.3.
18. c)de la citada Ley Orgánica. SEGUNDO: NOTIFICAR la presente resolución al CONCELLO DE SAN SADURNIÑO y a Dña. A.A.A.. TERCERO: COMUNICAR la presente resolución al Defensor del Pueblo, de conformidad con lo establecido en el artículo 46.4 de la LOPD. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/8 Sin embargo, el responsable del fichero de titularidad pública, de acuerdo con el artículo 44.1 de la LJCA, sólo podrá interponer directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la LJCA, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es