1/15 Procedimiento Nº AP/00041/2015 RESOLUCIÓN: R/03194/2015 En el procedimiento de Declaración de Infracción de Administraciones Públicas AP/00041/2015, instruido por la Agencia Española de Protección de Datos a la DIRECCIÓN GENERAL DE LA GUARDIA CIVIL, vista la denuncia presentada por A.A.A., y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fecha 3/01/2014, tuvo entrada en esta Agencia escrito de Dña. A.A.A. (en lo sucesivo la denunciante) frente a la DIRECCIÓN GENERAL DE LA GUARDIA CIVIL en lo sucesivo la denunciada. La denunciante indica que en el sistema SIGO se ha registrado el hecho nº ***NÚMERO.1, referido a un documento consistente en una citación a ella por el procedimiento que inició al formular una queja por supuestas irregularidades de una compañera estudiante en la Residencia femenina de Estudiantes de la Guardia Civil. La citación incluida contiene el escrito de referencia 27/06/2013 “remitiendo citación” que cursa el Mando de Operaciones Zona Andalucía. Comandancia de Córdoba”, “Comandante Instructor” y refiere que “con motivo del expediente RRHH/25/13 que se sigue por orden del Ilmo. Sr. Teniente Coronel Jefe de la comandancia de la GC de Córdoba, en relación con una queja formulada por quebrantamiento de las normas de convivencia en la residencia de… se interesa que se persone en…”. La citación aparece firmada por la denunciante el 3/07/2013. Denuncia que los datos se han introducido sin su consentimiento y que cualquier Guardia Civil tiene acceso a los mismos. Adjunta copia del escrito dirigido a su persona objeto de denuncia, firmado el 3/07/2013. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: 1. Con fecha 16/04/2014 se solicitó a la Guardia Civil que nos hiciese llegar la siguiente información: Información que está accesible en el sistema SIGO con la referencia como “hecho SIGO número ***NÚMERO.1”. Criterios que se han aplicado para incluir dicha información en el sistema. Información que en su caso se proporcionó a los sujetos de los datos en el momento de la recogida. Criterios temporales de cancelación o bloqueo que se han aplicado a dichos datos. Accesos realizados a dicha información, y su justificación, entre el 3/07/2013 y el 3/01/2014. En relación a los puntos anteriores, omitir los accesos o la información C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/15 que tenga relación con investigaciones o procedimientos judiciales. 2. Con fecha 8/05/2014 tiene entrada en el Registro de la AEPD la siguiente respuesta a las preguntas planteadas: Información que esta accesible en el sistema SIGO con la referencia como "hecho SIGO número ***NÚMERO.1". o La identidad de la persona y la descripción de la gestión realizada por la Guardia Civil, en este caso, la entrega de un sobre cerrado, a petición del negociado de Expedientes de la Comandancia de Córdoba. 2. Criterios que se han aplicado para incluir dicha información en el Sistema. o Los establecidos en Normativa interna de Guardia Civil. 3. Información que en su caso se proporcionó a los sujetos de los datos. o Consultado a la Dirección del Proyecto SIGO, informa "...fuera de los supuestos anteriores relativos a diligencias policiales la información relativa a esos derechos se encuentra en documento anexo a los procedimientos establecidos sobre cada materia (infracciones administrativas, accidentes, auxilios, inspecciones), y a disposición de todos los guardias civiles". 4. Criterios temporales de cancelación o bloqueo que se han aplicado a dichos datos. o Los datos incluidos en el hecho de referencia, forman parte de la documentación que la Guardia Civil tiene la obligación de conservar por serle de aplicación lo dispuesto en la Ley, 16/1985, de 25/06 del Patrimonio Histórico Español, que establece el procedimiento para la conservación del patrimonio documental. 5. Accesos realizados a dicha información entre el 3/07/2013 y el 3/01/2014. o Realizadas las oportunas operaciones de auditoría, se obtienen resultados, que son remitidos a las Unidades afectadas para poder dar respuesta al punto 6 de su escrito, informando estas que las consultas que constan en la auditoria son las pertenecientes a la persona que realizo su grabación (figurando en el puesto p. de ***LOCALIDAD.1) y, a un Guardia Civil, ***FAMILIAR.1 de la persona a la que se le realizó la notificación, que no ha justificado su acceso a los datos, (figurando también desde el puesto p. de ***LOCALIDAD.1). En relación a los puntos anteriores, omitir os accesos o la información que tenga relación con investigaciones o procedimientos judiciales. o No se omiten datos. 3. En el CD adjunto a la carta de respuesta se encuentra el registro de accesos al sistema SIGO en relación al hecho ***NÚMERO.1 y que son: Alta del hecho referido el 3/07/2013. Consulta del hecho por parte de B.B.B. los días 17 y 18/08, y 26/12/2013. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/15 4. Con fecha 2/06/2014 se solicitó la siguiente información adicional a la Guardia Civil y a las cuestiones formuladas, con fecha 20/06/2014 se respondió: Fichero en el que se encuentran registrados los datos relativos al “hecho SIGO número ***NÚMERO.1”. Fichero INTPOL En el mismo se relata la entrega de un sobre cerrado. Confirmar que, asociado a dicho hecho, no se encuentra el contenido de la comunicación entregada en dicho sobre cerrado. En todo caso, indicar el fichero en el que se registra el contenido de dicha carta. Respondió que en la actualidad, no se encuentra asociado a dicho hecho el contenido de la comunicación entregada en sobre cerrado, tal como se demuestra con las pantallas que adjuntan, aunque en su momento si estuvo asociado durante un tiempo, hasta que a raíz de la solicitud de información interesada de la Comandancia de Córdoba, esta participa. "Por considerar esta Jefatura que los archivos anexados al hecho SIGO número ***NÚMERO.1 no son de interés ni relacionados con ningún procedimiento judicial ni investigación, se han dado instrucciones para que se procedan a su eliminación del aplicativo SIGO. Eliminación ésta que ha sido efectuada por el Cte. Oficial SIGO de la Comandancia". Aporta dos hojas fechadas el 18/06/2014, visionándose en la primera el hecho que fue clasificado como “Interés judicial o administrativo – Otros hechos de interés judicial o administrativo – Entrega de notificación o citación”. Incluye una descripción del hecho mismo de la notificación y del acuse de recibo de la interesada, así como una anotación sobre la grabación del contenido de la carta en SIGO como “Se anexa en multimedia”. Figuran otros apartados como fecha ocurrencia, Unidades, Unidad de grabación, clasificación de seguridad: Sin clasificar La segunda pantalla, relativa al mismo hecho, señala que no existen documentos multimedia adjuntados, y de hecho en la consulta por el número de hecho no figura respuesta informativa Añaden que el contenido de la carta no se incluye en ningún fichero, pues su valor es el de una notificación y una vez firmada por el destinatario se incluye en el expediente a efectos de constancia de cumplimiento de plazos y notificaciones. Criterios temporales y de privilegio que se aplican para permitir el acceso de los usuarios del sistema SIGO al hecho referido, en particular los accesos realizados los días 17 y 18/08, y 26/12/2013. Actualmente no está establecido ningún criterio temporal, los privilegios de acceso de los usuarios son los determinados por los roles (permisos) de acceso asignados al usuario, teniendo en cuenta su empleo y destino, y siempre para actuaciones en el marco de la seguridad pública e investigación policial. TERCERO: Con fecha 13/01/2015, el Director de la Agencia Española de Protección de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/15 Datos acordó el archivo de las actuaciones previas E/01041/2014 por caducidad de las mismas y el inicio de las nuevas E/00066/2015. CUARTO: Mediante diligencia de 14/01/2015 se incorporan los documentos procedentes de actuaciones previas precedentes, las E/1041/2014, que incluyen la denuncia de 3/01/2014 y documentación presentada con ella, incluida en las previas E/01041/2014, solicitud de información a la G. Civil, y respuesta de 8/05/2014, y copia de resolución de archivo de actuaciones E/01041/2014 de 13/01/2015 que declara caducadas las E/01041/2014 y abre las nuevas E/00066/2015. QUINTO: Con fecha 25/06/2015 se inició procedimiento de declaración de infracción de las Administraciones Públicas a la DIRECION GENERAL DE LA GUARDIA CIVIL por la presunta infracción de los artículos 6.1 y 9.1 de la Ley Orgánica 15/1999, de 13/12, de Protección de los Datos de Carácter Personal (en lo sucesivo LOPD), tipificadas como graves en los artículos 44.3.
- b)y 44.3.
- h)de dicha LOPD. SEXTO: Con fecha 28/07/2015 la denunciada indica que la persona que grabó el hecho lo hizo para que quedara constancia de haber entregado el sobre, recibido del Negociado de expedientes de la Comandancia de Córdoba. Tal circunstancia viene contemplada en el Protocolo SIGO de prestación de colaboración o apoyo solicitado por otra unidad u organismo, teniendo en cuenta el escrito de 27/06/2013 emitido por el Instructor del expediente administrativo RRHH/25/13 por el que se da traslado en sobre cerrado de una notificación dirigida a la denunciante. El hecho de figurar la notificación en el sistema SIGO fue el de darle valor de notificación fehaciente, ya que las notificaciones se han de practicar por cualquier medio que permita tener constancia de la recepción por el interesado así como de fecha, identidad y contenido. El fichero INTPOL tiene como finalidad el cumplimiento de las leyes cuya observancia afecta a la Guardia Civil, teniendo como origen los datos, investigaciones o actuaciones realizadas o conocidas por la Guardia Civil en el marco de sus competencias. El presente caso trata de un expediente abierto en el que se nombró Instructor con motivo de vulneración de normas internas de una residencia. Esta depende de la Guardia Civil, y por tanto es el organismo competente para la ordenación del procedimiento. En cuanto a la información que se proporciona a las personas en el momento de la recogida de datos, “Todos los usuarios del SIGO tienen a su disposición una cláusula que mencionan que los datos se van a incorporar al fichero INTPOL, cuya finalidad es el mantenimiento de la seguridad públicas”, y el sistema aporta en cualquier actuación la información que se facilita a la persona interesada en un documento aparte. El acceso a los datos de la denunciante por su ***FAMILIAR.1 se debe a que desempeñaba el puesto en el Área de prevención de la Delincuencia del puesto principal de ***LOCALIDAD.1 y tenía privilegio de acceso al SIGO, teniendo deber de confidencialidad de la información a la que accede. SÉPTIMO: Con fecha 6/10/2015 se inicia el período de pruebas, incorporando toda la documentación relacionada con la denuncia y actuaciones previas producidas en su tramitación. Además, se solicita: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/15
- a)A denunciante, informe sobre el modo y fecha en el que se enteró de que sus datos figuraban en la aplicación SIGO, y si ejercitó el derecho de cancelación de sus datos. Con fecha 19/10/2015 se recibe escrito en el que manifiesta que se enteró de forma anónima, sin recordar la fecha y no ejercitó el derecho de cancelación.
- b)A denunciante, informe sobre el domicilio de su ***FAMILIAR.1 para preguntarle porque accedió a sus datos (17 y 18/08 y 26/12/2013) que obraban en la aplicación SIGO, e indique el destino que ostentaba durante el segundo semestre de 2013 y si otorgó permiso o comentó algo a su ***FAMILIAR.1 para comprobar si sus datos figuraban en SIGO. Afirma que reside en el mismo domicilio y que se encuentra de baja laboral desde 15/01/2014, añadiendo que ella no comentó nada del asunto a su ***FAMILIAR.1. No precisa el destino de su ***FAMILIAR.1 en el periodo preguntado. Al no aportar información sobre el acceso de su ***FAMILIAR.1 se decide no cuestionar al ***FAMILIAR.1 de la denunciante los accesos efectuados.
- c)A la Guardia Civil, informe sobre el fichero en el que se gestionan los procedimientos disciplinarios como el de las normas internas de las residencias de estudiantes de la Guardia Civil, formas y personas que pueden acceder a los datos que se contienen en los mismos y modo de notificación de los actos administrativos a los afectados. Con fecha 5/11/2015 contesta que se gestionan mediante el fichero AYUDAS ACCION SOCIAL, con nivel alto de seguridad y con finalidad de gestión de planes anuales de Acción social que se desarrollan en el ámbito de la Guardia Civil siendo el personal solicitante sobre el que se obtienen datos. En este fichero, se encuentran todos los estudiantes que ocupan plazas en las residencias universitarias. En cuanto a las normas internas de las Residencias de Estudiantes, la Orden General del Cuerpo 11, de 21/12/2015, publicada en el Boletín Oficial de la Guardia Civil, faculta a los Mandos responsables que se mencionan a elaborar sus Reglamentos de Régimen Interior donde se comprenderán el uso de las instalaciones, horarios, normas de seguridad. Adjuntan copia del reglamento de régimen interior de marzo 2006 en el que se observa que la solicitud para las plazas de las residencias se publica en el Boletín Oficial de la Guardia Civil anualmente y se adjudican según una Orden General publica también en dicho Boletín. En cuanto a normas a cumplir y uso de las instalaciones se establecen a sus beneficiarios algunas obligaciones, se indica que como las residencias se hallan en el interior de un acuartelamiento, los alumnos pasan a ser inquilinos de la Casa Cuartel y se hallan sujetos a las normas que para los componentes del Cuerpo y sus familias se encuentren en vigor. La Residencia depende en cuanto a su organización estructura, régimen y C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/15 funcionamiento de la Comandancia de la Guardia Civil de Córdoba, siendo competente para efectuar la investigación En los artículos 17 y ss. se establecen obligaciones de convivencia: no tenencia de animales, guardar silencio, no fumar en zonas comunes etc. En régimen disciplinario se rige por la Orden General 11 y en el artículo 31 del Reglamento de Régimen Interior se prevé la tramitación de expediente.
- d)A la Guardia Civil, en este caso, el hecho de la notificación a la denunciante y sus datos se introdujeron en el puesto de ***LOCALIDAD.1 el 3/07/2013. Al respecto, se le solicita que informe sobre quien decide la introducción de tales referencias en dicha aplicación en el fichero INTPOL. Indique si existen protocolos de actuación en los puestos relacionados con los documentos y datos a introducir en ficheros o aplicaciones. El hecho de introducirse en el sistema SIGO se debió a que se trataba de una simple notificación y “el criterio para incluirlo fue el de darle valor de notificación fehaciente, considerando que el fichero INTPOL tiene como finalidad entre otras, “el cumplimiento de leyes cuya observancia afecta a la Guardia Civil” OCTAVO: El 17/11/2015 se emitió propuesta de resolución con el literal: “PRIMERO: Declarar que la DIRECCIÓN GENERAL DE LA GUARDIA CIVIL ha infringido lo dispuesto en el artículo 4.2 de la LOPD, tipificada como grave en el artículo 44.3.
- c)de dicha norma. SEGUNDO: Declarar el ARCHIVO de la infracción imputada a la DIRECCIÓN GENERAL DE LA GUARDIA CIVIL del artículo 9.1 de la LOPD, tipificada como grave en el artículo 44.3.
- h)de dicha LOPD. “ Frente a dicha propuesta en el plazo otorgado para alegaciones, estas no tuvieron entrada. HECHOS PROBADOS 1) La Comandancia de la Guardia Civil de Córdoba remitió a la denunciante en un sobre cerrado un Oficio fechado el 27/06/2013 con el fin de que compareciera en el puesto principal de ***LOCALIDAD.1 (Cuartel de la Guardia Civil de ***LOCALIDAD.1) el 17/07/2013 para la toma de declaración en una queja que esta formuló. La queja guardaba relación con la infracción de normas de convivencia en la residencia de estudiantes femenina en la que la denunciante cursaba estudios en el curso 2012/2013 (8,10, 12, 53). El oficio va firmado por el Instructor
(12). La Residencia de la Guardia Civil se rige por sus normas de régimen interior. 2) La denunciante finalmente compareció en el puesto el 3/07/2013, firmó y fechó la presentación a la comparecencia según declara la misma y consta en el sello de presentación (8,12). El oficio contiene una cláusula final que precisa “Copia del presente, una vez firmado y datado por el interesado en lugar designado C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/15 para ello, deberá ser devuelta por la misma vía a esta Jefatura de Comandancia como acreditación de haberse efectuado la notificación”
(12). 3) Con fecha 3/07/2013, misma fecha de comparecencia, el funcionario del puesto de ***LOCALIDAD.1, Área de Atención al Ciudadano, escanea e introduce en la aplicación SIGO, como un “hecho”, incluido en el fichero INTPOL, la carta firmada por la denunciante según declara la denunciada y se advierte de la impresión del hecho. (17, 20, 34,36, 37,52). En asunto del “hecho” constaba “Entrega de sobre cerrado a destinataria”, catalogación “Entrega de notificación o citación” Según declara la denunciante se entera de esta circunstancia el día de la fecha en que firma su denuncia, 27/12/2013 (8, 9) aunque no identifica la forma en que se entera
(59)y declara que no sabía que sus datos se integrarían en la citada aplicación, denunciando que sin su consentimiento está el documento en la citada aplicación SIGO donde puede ser vista por un número indeterminado de Guardias Civiles. 4) El contenido de la carta fue visible y accesible como archivo anexo en la citada aplicación y fichero, no estando ya en tal situación desde al menos 18/06/2014, según impresión de acceso a la aplicación (34, 36. 37) al solicitar su exclusión el Cte. Oficial SIGO de la Comandancia
(34). El documento se quitó según la denunciada, por no ser de interés ni relacionado con investigación judicial ni investigación
(34)5) El ***FAMILIAR.1 de la denunciante, Guardia Civil, prestaba sus servicio en el puesto principal de ***LOCALIDAD.1 (Cuartel de la Guardia Civil de ***LOCALIDAD.1)
(17), y reside en el mismo domicilio que su hija, denunciante
(59). Según consta en la auditoría de accesos enviada por la denunciada, el ***FAMILIAR.1 de la denunciante efectuó accesos en modo consulta los días 17/08/2013 18/08/2013 y 26/12/2013 (25, 30, 54). Según declara la denunciada, el acceso no estaba relacionado con una asignación concreta de tarea específica, accediendo porque realiza en general tareas que por su empleo o destino guardan relación con la seguridad pública e investigación policial, en concreto de prevención de la delincuencia. (34, 54). De las hojas de la aplicación del sistema SIGO aportadas, se deduce que la consulta de su contenido se puede hacer con múltiples criterios, por unidades, por fecha ocurrencia, por fecha de grabación entre otros (36,37). FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
- g)en relación con el artículo 36 de la LOPD. II La legitimidad de la Guardia Civil para el tratamiento y conservación de datos, se prevé en la Ley Orgánica 2/1986, de 13/03, de Fuerzas y Cuerpos de Seguridad, que establece en su artículo 11.1.g y h que: 1. Las Fuerzas y Cuerpos de Seguridad del Estado tienen como misión proteger el libre ejercicio de los derechos y libertades y garantizar la seguridad ciudadana mediante el desempeño de las siguientes funciones: • C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/15
- g)Investigar los delitos para descubrir y detener a los presuntos culpables, asegurar los instrumentos, efectos y pruebas del delito, poniéndolos a disposición del Juez o Tribunal competente, y elaborar los informes técnicos y periciales procedentes. •
- h)Captar, recibir y analizar cuantos datos tengan interés para el orden y la seguridad pública, y estudiar, planificar y ejecutar los métodos y técnicas de prevención de la delincuencia.” Los hechos que se recogen en la información almacenada en el fichero INTPOL, hecho SIGO suelen dar lugar a las correspondientes diligencias judiciales. Sobre la aplicación SIGO se indicaba en la resolución E/03654/2012 de 22/03/2013: “SIGO es una aplicación desarrollada con el objetivo de ofrecer al usuario un entorno integrado de trabajo que le permita, en función de su perfil y privilegios, acceder e incorporar la información necesaria para el desarrollo de sus funciones. Esta información está contenida en diversos ficheros o bases de datos, responsabilidad tanto de la Guardia Civil como de otras Fuerzas y Cuerpos de Seguridad del Estado. Por tanto SIGO no es un fichero o sistema de almacenamiento estructurado de información, sino una aplicación que integra el acceso a diversas bases de datos, por lo que no ha sido declarado al Registro General de Protección de Datos. Entre los ficheros a los que se accede a través de la aplicación SIGO se halla el fichero INTPOL. El fichero INTPOL, fue creado por la Orden INT/3764/2004, de 11/11 e inscrito en el Registro General de Protección de Datos (RGPD) describiéndose: Finalidad: Mantenimiento de la seguridad pública mediante el control de personas y hechos de interés policial, relacionados con la prevención o investigación de infracciones penales o para el cumplimiento de las leyes cuya observancia afecta a la Guardia Civil. Usos previstos: Actuaciones en el marco de la seguridad pública e investigación policial. Origen de los datos, indicando el colectivo de personas sobre los que se pretende obtener datos de carácter personal o que resulten obligados a suministrarlos, el procedimiento de recogida de los datos y su procedencia: -Colectivo: Personas incursas en procedimientos judiciales, investigaciones o actuaciones realizadas o conocidas por la Guardia Civil en el marco de sus competencias. -Procedencia y procedimiento de recogida: Los datos se obtienen de las diligencias realizadas con ocasión de actuaciones policiales, reseñas de detenidos, denuncias recibidas y órdenes judiciales de requisitoria, a través de formularios en soporte papel e informático, al amparo de lo establecido en la Ley Orgánica 2/1986, de 13/03, Ley de Enjuiciamiento Criminal, la Ley Orgánica 5/2005, de 17/11, de la Defensa Nacional, y demás Leyes cuyo cumplimiento afecta a las competencias de la Guardia Civil. Estructura básica del fichero mediante la descripción detallada de los datos identificativos, y en su caso, de los datos especialmente protegidos, así como de las restantes categorías de datos de carácter personal incluidas en el mismo y el sistema de tratamiento utilizado en su organización: Descripción de los datos: Datos especialmente protegidos: Salud. Datos relativos a la comisión de infracciones penales y administrativas: Infracciones C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/15 penales y administrativas. Datos de carácter identificativo: DNI/NIF, nombre y apellidos, domicilio, n.º de Seguridad Social o mutualidad, teléfono, correo electrónico, firma/huella digitalizada, imagen/voz, marcas físicas, fórmula decadactilar y cualquier otro dato que pueda ser identificativos de la persona. Datos de características personales. Datos académicos y profesionales. Datos de circunstancias sociales. Datos de información comercial. Datos económico-financieros y de seguros. Datos de transacciones de bienes y servicios. Sistema de tratamiento: Parcialmente automatizado. Comunicaciones de datos previstas, indicando en su caso, los destinatarios o categorías de destinatarios: A las Autoridades Judiciales y Ministerio Fiscal, de conformidad con lo establecido en el artículo 11.2.
- d)de la LOPD; a otras Fuerzas y Cuerpos de Seguridad, Instituciones Penitenciarias y organismos nacionales de coordinación o con competencias en materia de seguridad pública, Defensa Nacional o que versen sobre las mismas materias en las que la Guardia Civil dispone de atribuciones, conforme a lo establecido en los artículos 11.2.
- a)y 21.1 de la LOPD, en cumplimiento de los principios de colaboración, mutuo auxilio y cooperación e información recíprocas que establece la Ley Orgánica 2/1986, de 13 de marzo. A empresas de Seguridad Privada en el marco de las actividades de auxilio y colaboración con las Fuerzas de Seguridad en los casos en que su actividad esté directamente relacionada con la seguridad pública o la Defensa Nacional, al amparo de lo establecido en el artículo 11.2.
- a)de la LOPD. Nivel básico, medio o alto de seguridad que resulte exigible: Alto. En el fichero INTPOL se hallaba expuesta la hoja que la denunciante firmó en su comparecencia sin que se deduzca que fuera un documento relacionado con el mantenimiento de la seguridad ciudadana, ni una infracción administrativa, sino relativo a un expediente de ámbito interno de una Residencia de Estudiantes del Cuerpo de la Guardia Civil que se estaba tramitando, tratándose de una mera citación. Sobre la alegación de la constancia de la notificación realizada con la inclusión del escaneo del documento en la aplicación SIGO, fichero INTPOL, si bien la notificación se puede hacer por cualquier medio, ello no implica que se pueda poner a disposición de terceros no afectados en el transcurso del expediente o procedimiento, que fue lo que se hizo poniéndolo como un hecho en SIGO. Tampoco se trata de una infracción administrativa pues se corresponde con una mera citación firmada, acreditado que se presentó al acto. Se debe poner de manifiesto que la finalidad de los datos que se necesitan para la tramitación de la queja que la denunciante interpuso tienen un mero carácter interno, como la queja misma, producto de una infracción de régimen interno que rige la Residencia de Estudiantes, que no se acredita que revista el carácter de delito, falta o infracción administrativa, pues ello se deduce de la instrucción del mismo y de la propia materia denunciada. Asimismo, la Comandancia de la Guardia Civil procedió en alguna de las peticiones de información que efectuaron los Servicios de Inspección durante las C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/15 actuaciones previas de lo resuelto en el E/01041/2014 a dar de baja el citado documento. Para ello, contemplan que los archivos anexados no son de interés ni relacionados con ningún procedimiento judicial ni investigación. Añadiéndose que su valor es de una notificación que cumple un trámite procedimental, sin ser siquiera una resolución. No estimándose adecuado calificar la queja interpuesta por la denunciante por conducta impropia en una residencia como actuación necesaria para prevenir infracciones penales y peligros reales para la Seguridad Pública es lógico que desaparezca del citado ámbito del fichero, por tanto, no habían de figurar en un fichero del tipo INTPOL. Se sobreentiende que no se precisa del consentimiento de la afectada para el tratamiento de sus datos dentro de la finalidad de tramitar su queja, ella misma iniciaría con su puesta en conocimiento los hechos sin resultar proporcionado ni ajustado al fichero regulador que se vinculen los datos y el documento que los contiene al fichero INTPOL, proceso iniciado al escanear la citada citación. El derecho de protección de datos incorpora un poder de disposición y control sobre los datos personales, que constituye parte del contenido del derecho fundamental a la protección de datos, y se concreta jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el Estado o un particular. Por ello, la recogida y posterior tratamiento de los datos de carácter personal se ha de fundamentar en el consentimiento de su titular, facultad que sólo cabe limitar en atención a derechos y bienes de relevancia constitucional, de modo que esa limitación esté justificada, sea proporcionada y, además, se establezca por Ley. En este caso, existe habilitación para el tratamiento de datos de la reclamante de la queja por ser interesada al residir en la misma, afectada por el cumplimiento de normas internas, incluyéndose esta no necesidad del consentimiento dentro del artículo 6.1 y 2 de la LOPD que indica: 1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6 , de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado. Ese tratamiento incluye la recogida de datos, conservación y tratamiento para la tramitación y notificación de la queja. Cualquier uso de los datos fuera del marco de esta finalidad requeriría el consentimiento sobre un nuevo uso que se propugne. En este sentido existe legitimidad para el tratamiento derivado de una queja de tipo interna, en el ámbito doméstico interno de la institución por insertarse sus afectados C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/15 en el ámbito organizativo de su potestad, en la que rigen normativas internas, pero con los límites y dentro de la proporcionalidad que implica un expediente de ese tipo. En el presente caso, se puede indicar que el tratamiento de los datos en su recogida y para la redacción y entrega del oficio de comparecencia se realizan correctamente sin el consentimiento de la denunciante porque se deriva de la situación de la interposición y tramitación de la queja. Sin embargo, la utilización que se le dan a los datos con posterioridad, a partir del escaneo del documento entregado, anexando la carta en una aplicación informática y en un fichero no relacionado con los asuntos disciplinarios internos derivados de conducta impropia en una residencia de estudiantes, vulnera la LOPD al tratar sobre los datos ya obtenidos de alcanzar una finalidad no contemplada para los mismos como era la de acreditar así la notificación. Así, los datos que debieron quedar en el seno de la instrucción de un procedimiento en el que solo las partes interesadas pueden acceder, bajo el control del órgano instructor del mismo y su titular, acabaron expuestos en la aplicación informatica como parte de un fichero policial con acceso posible al personal que maneja dicha aplicación. Se conviene que los hechos que originaron o relacionados con la queja de la denunciante no se incardinan en el posible contenido del fichero INTPOL. Aunque el régimen de ordenación y funcionamiento de la Residencia de estudiantes corresponde a la Guardia Civil y es el competente para realizar las diligencias que considere convenientes, es desproporcionado considerar que se ha infringido una Ley, pues el régimen interno contiene normas disciplinarias o estatutarias internas aplicable a un conjunto o colectivo de sujetos por unas determinadas circunstancias, no adaptándose al literal del contenido del fichero INTPOL. III Por todo ello se imputó una infracción del artículo 6.1 de la LOPD que indica 1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la ley disponga otra cosa. La acción irregular no consiste en el tratamiento de datos en el seno del procedimiento de instrucción de la queja, para el que, se repite, no se precisa consentimiento, sino en la actividad posterior que se realiza con los datos y la carta. Esta se escanea, se mete en un fichero que no le corresponde, para una finalidad, justificar el recibí administrativo. Por tanto, no se considera que la conducta infractora se ajuste al tratamiento sin consentimiento del artículo 6.1 de la LOPD. La conducta se ajustaría más precisamente a la infracción del artículo 4.2 de la LOPD, dentro del principio de calidad de datos. En efecto, una vez obtenidos los datos para una finalidad prevista (citación en un procedimiento), fue un uso/tratamiento indebido posterior el que desencadena la infracción para el que se utiliza un tratamiento automatizado al introducirlo en un fichero. Al respecto, la denunciada una vez dado de baja el documento, aseguró que el contenido de la carta no se incluye en ningún fichero, al ser su valor una mera citación o notificación, incluyéndose en el expediente. Los datos de la denunciante podrían haber sido incluidos en otro fichero del que C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/15 formaría parte su expediente, pero no en el fichero policial, con lo cual la infracción cometida está motivada porque no se ajusta al principio de calidad el tratamiento de los mismos. El artículo 4.2 que se considera infringido, indica: “Los datos de carácter personal objeto de tratamiento no podrán usarse para finalidades incompatibles con aquellas para las que los datos hubieran sido recogidos. No se considerará incompatible el tratamiento posterior de éstos con fines históricos, estadísticos o científicos.” Dicho artículo 4.2 se inspira en el artículo 6. 1.
- b)de la Directiva 95/46 / CE del Parlamento Europeo y del Consejo, de 24/10/1995, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de esos datos, que exige que los datos personales sean "recogidos con fines determinados, explícitos y legítimos, y no sean tratados posteriormente de manera incompatible con dichos fines". En cuanto a la interpretación de la expresión "finalidades incompatibles" la SAN, Sec. 1ª, de 11/02/2004 (Rec.119/2002 ), que a su vez sigue el criterio de la de 8-2-2002 (rec.1067/2000 ), señala «En relación con la interpretación de la expresión finalidades incompatibles que establece el art 4.2 de la Ley Orgánica 15/1999 , esta Sala no puede compartir el criterio que postula el recurrente, pues aunque el artículo 4.2 de la Ley 5/1992 , ya no se refiere a "finalidades distintas", sino a "finalidades incompatibles", revelando una ampliación de la posibilidad de utilización de los datos, sin embargo la interpretación sistemática del precepto y la ambigüedad del término finalidades incompatibles avalan la interpretación realizada en el acto administrativo impugnado. En efecto, según el diccionario de la Real Academia "incompatibilidad" significa "repugnancia que tiene una cosa para unirse con otra, o de dos o más personas entre sí", por tanto una interpretación literal ampararía el uso de los datos para cualquier fin abriendo una gama indefinida e ilimitada de finalidades, pues es muy difícil imaginar usos que produzcan la repugnancia que evoca la incompatibilidad, por lo que "semejante interpretación conduce al absurdo y como tal ha de rechazarse Teniendo en cuenta, además, que dicho término se introduce en la Ley de 1999, como ha declarado la doctrina, por una traducción poco precisa del artículo 6 de la Directiva 46/1995, de 24 de octubre." Conclusión igualmente avalada por la interpretación sistemática aludida, pues como señalábamos en la citada sentencia de febrero de 2002 , "semejante prescripción no puede ser entendida sino como un enunciado de carácter general, que no puede prevalecer sobre la regulación específica de una materia" citando al efecto el artículo 6 de la citada Ley , y añadiendo que la interpretación de dicho Art 6.2 , a sensu contrario, impone "que cuando los datos se usen con otra finalidad distinta se precisará el consentimiento del afectado". Y no parece que el Art 4.2 , venga a efectuar una ampliación sobre la posibilidad de utilización de los datos, porque ello supondría dejar sin contenido el Art 6.2, cuya redacción en este punto es igual a su homónimo de la Ley 5/92 » El término incompatible también debe relacionarse con el principio de autodeterminación informativa que inspira la LOPD. El fin para el que se facilitaron los datos por la denunciante fue para su queja del asunto de la residencia de estudiantes, y en este caso la denunciada lo saca del ámbito procedimental interno, desviando el fin de los mismos, menoscabando claramente los derechos de la denunciante a que se refiere el artículo 1 de la LOPD: “La presente Ley Orgánica tiene por objeto garantizar y C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/15 proteger, en lo que concierne al tratamiento de los datos personales, las libertades públicas y los derechos fundamentales de las personas físicas, y especialmente de su honor e intimidad personal y familiar.” Pues con la finalidad de acreditar su presentación y notificación de la comparecencia puso en común conocimiento sus datos. La incompatibilidad deriva del tratamiento automatizado (escaneo e introducción en una base de datos). Resultando que los datos se obtuvieron adecuada y correctamente, se produce después un desvío de finalidad al pretender justificar la notificación y firma del recibí de la comparecencia de la denunciante utilizando el fichero INTPOL, siendo desproporcionado a la finalidad perseguida. Se acredita pues la infracción de la denunciada del citado artículo 4.2 de la LOPD. IV La infracción se tipifica como grave en el artículo 44.3.
- c)de dicha norma que señala como tal “Tratar datos de carácter personal o usarlos posteriormente con conculcación de los principios y garantías establecidos en el artículo 4 de la presente Ley y las disposiciones que lo desarrollan, salvo cuando sea constitutivo de infracción muy grave.” V Se imputa a la denunciada que como consecuencia del escaneo e introducción en una base de datos que integra referencias del fichero INTPOL, la hoja de la comparecencia procedimental de la denunciante pudo ser objeto de acceso en modo consulta por un tercero que según la denunciada no tenía encomendado asunto alguno relacionado con dicho acceso. El acceso se produce porque la persona tiene los permisos para acceder a dicho fichero por razón del trabajo encomendado. La infracción imputada es la del artículo 9.1 de la LOPD que indica: “El responsable del fichero, y, en su caso, el encargado del tratamiento deberán adoptar las medidas de índole técnica y organizativas necesarias que garantice la seguridad de los datos de carácter personal y evite su alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana del medio físico o natural.” Los ficheros que contengan o se refieran a datos recabados para fines policiales sin consentimiento de las personas afectadas habrán de tener nivel de seguridad alto (artículo 81.3.
- b)del Reglamento de Desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21/12 (en adelante RLOPD). Dentro del nivel básico y a efectos de accesos a recursos, destaca el artículo 91 del RLOD que indica: “1. Los usuarios tendrán acceso únicamente a aquellos recursos que precisen para el desarrollo de sus funciones. 2. El responsable del fichero se encargará de que exista una relación actualizada de usuarios y perfiles de usuarios, y los accesos autorizados para cada uno de ellos. 3. El responsable del fichero establecerá mecanismos para evitar que un usuario pueda acceder a recursos con derechos distintos de los autorizados.” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/15 Antes de entrar a analizar la infracción se debe tener en cuenta que la denunciante nada expresa en su denuncia del o de los accesos en modo consulta, efectuados por su ***FAMILIAR.1 con el que comparte domicilio, y que este desarrollaba su trabajo en el mismo puesto de la Guardia Civil en que se escaneó el documento. El alta de los datos de la denunciante en el fichero INTPOL se produce el 3/07/2013. Los accesos a la consulta se produjeron el 17, 18/08/2013 y 26/12/2013, interponiendo la denunciante su denuncia el 27/12/2013. En la aplicación para consulta de hechos SIGO son diversos los criterios para su acceso: por unidad responsable, la propia del puesto de ***LOCALIDAD.1, por fecha, no siendo improbable que o bien hallara los datos casualmente o le fuera comentado por algún conocido de su Unidad. En el presente supuesto, el acceso al fichero INTPOL y a la hoja denunciada que en el mismo se hallaba, se produce dentro del sistema de garantía del fichero de nivel alto de seguridad de fichero, registrándose su acceso y motivado por el desempeño general de las labores desempeñadas. Por ello, no se acredita que el acceso del ***FAMILIAR.1 de la denunciante, que contaba para el ejercicio de sus funciones de acceso al fichero INTPOL, contraviniera aspecto alguno de la LOPD ni se divulgara fuera del ámbito profesional o en provecho propio. El acceso se produce dentro del sistema general de acceso que ostentaba su titular por las labores desempeñadas por lo que no se observa vulneración de la normativa de protección de datos. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR que la DIRECCIÓN GENERAL DE LA GUARDIA CIVIL ha infringido lo dispuesto en el artículo 4.2 de la LOPD, tipificada como grave en el artículo 44.3.
- c)de la citada Ley Orgánica. SEGUNDO: DECLARAR el ARCHIVO de la infracción imputada a la DIRECCIÓN GENERAL DE LA GUARDIA CIVIL del artículo 9.1 de la LOPD, tipificada como grave en el artículo 44.3.
- h)de la citada Ley Orgánica. TERCERO: NOTIFICAR la presente resolución a la DIRECCIÓN GENERAL DE LA GUARDIA CIVIL y a A.A.A.. CUARTO: COMUNICAR la presente resolución al DEFENSOR DEL PUEBLO, de conformidad con lo establecido en el artículo 46.4 de la LOPD. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30/12, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22/12, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21/12 por el que se aprueba el reglamento de desarrollo de la LOPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/15 Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26/11, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, se podrá interponer potestativamente recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13/07, reguladora de la Jurisdicción Contenciosoadministrativa (en lo sucesivo LJCA), en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Sin embargo, el responsable del fichero de titularidad pública, de acuerdo con el artículo 44.1 de la LJCA, sólo podrá interponer directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la LJCA, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es