AAPP-00052-2013

1/13 Procedimiento Nº AP/00052/2013 RESOLUCIÓN: R/00914/2014 En el procedimiento de Declaración de Infracción de Administraciones Públicas AP/00052/2013, instruido por la Agencia Española de Protección de Datos al AYUNTAMIENTO DE AZUQUECA DE HENARES, vista la denuncia presentada por Don C.C.C., y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fecha 30 de enero de 2013, tuvo entrada en esta Agencia Española de Protección de Datos escrito de Don C.C.C. (en lo sucesivo el denunciante) en el que se ponen de manifiesto los siguientes hechos: El Ayuntamiento de Azuqueca de Henares ha adjudicado a una empresa privada la Gestión de las Multas cediendo datos tributarios de los ciudadanos y aporta copia del Pliego de Condiciones para la contratación del “Servicio de apoyo al funcionamiento de la administración en su función recaudatoria (Fase Ejecutiva y concurso de acreedores) y tramitación de los expedientes sancionadores del tipo que el Ayuntamiento de Azuqueca de Henares decida” En respuesta a esta denuncia el Director de la Agencia acordó no incoar actuaciones inspectoras y no iniciar procedimiento sancionador. Con fecha 24 de junio de 2013, el denunciante interpuso Recurso de Reposición, aportando copia de la estimación de un recurso presentado por el denunciante ante el Juzgado de lo Contencioso Administrativo de Guadalajara en relación con el Procedimientos sobre Derechos Fundamentales nº 1/2013 y con fecha 26 de julio de 2013, se dictó Resolución por el Director de la Agencia Española de Protección de Datos estimando el recurso de reposición de referencia RR/0509/2013 acordando iniciar las presentes actuaciones previas de inspección. Y con fecha 2 de agosto de 2013, el denunciante presentó escrito de ampliación de la denuncia aportando el Fallo del Recurso Contencioso-Administrativo tramitado en el Procedimiento de los Derechos Fundamentales nº 1/2013. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicitó información al Ayuntamiento de Azuqueca de Henares, teniendo conocimiento de lo siguiente: 1. En el Fallo del Recurso Contencioso-Administrativo tramitado en el Procedimiento de los Derechos Fundamentales nº 1/2013 aportado por el denunciante consta que en la demanda se solicita la anulación del acuerdo adoptado por la Junta de Gobierno Local del Ayuntamiento de Azuqueca de Henares, en fecha 22 de enero de 2013, ya que supone una externalización completa de los servicios de recaudación ejecutiva y multas. En la demanda se formula el posible incumplimiento de diferentes leyes y una posible vulneración de algunos artículos de la LOPD: “El Ayuntamiento de Azuqueca de Henares vulnera el deber de secreto del artículo 10 C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/13 de la LOPD, …., y el derecho fundamental a la protección de datos personales…” y “la externalización supone el otorgamiento de facultades inherentes al Poder Público, y por tanto una vulneración del principio de la calidad de los datos ya que supone utilizar datos de ficheros para finalidades incompatibles. La cesión tampoco estaría avalada por criterios de eficacia…” 2. Asimismo consta que una vez realizadas las actuaciones pertinentes figura: “En las presentes actuaciones no podemos concluir que en el contrato de suscrito entre el EXCMO AYUNTAMIENTO DE AZUQUECA DE HENARES, GUADALAJARA y la entidad mercantil COORDINADORA DE GESTION DE INGRESOS S.A se respeten las previsiones establecidas en el artículo 12 y 9 de la Ley 15/1999 ya que no encontramos referencia expresa alguna en cuanto: “el encargado del tratamiento únicamente tratará los datos conforme a las instrucciones del responsable del tratamiento, que no los aplicará o utilizará con fin distinto al que figure en dicho contrato, ni los comunicará, ni siquiera para su conservación a otras personas”. A “las medidas de seguridad a que se refiere el artículo 9 de esta Ley que el encargado del tratamiento está obligado a implementar. 3. El Fallo del Juzgado revoca el contrato por ser nulo de pleno derecho por la violación del Derecho Fundamental a la protección de datos de conformidad con el artículo 18.4 de la Constitución Española (La ley limitará el uso de la informática para garantizar el honor y la intimidad personal y familiar de los ciudadanos y el pleno ejercicio de sus derechos). Con fechas 10 de septiembre y 3 de octubre de 2013 se remitieron solicitudes de información a Ayuntamiento de Azuqueca de Henares y a la entidad Coordinadora de Gestión de Ingresos SA. De las respuestas recibidas se desprende: 4. Tanto el Ayuntamiento de Azuqueca de Henares como la entidad Coordinadora de Gestión de Ingresos SA han aportado copia del contrato suscrito entre ambas para la prestación del Servicio de apoyo al funcionamiento de la administración en su función recaudatoria (Fase Ejecutiva y concurso de acreedores) y tramitación de los expedientes sancionadores del tipo que el Ayuntamiento de Azuqueca de Henares decida, de fecha 22 de enero de 2013. En el mencionado contrato no se hace referencia a lo estipulado en los artículos 9 y 12 de la LOPD. No obstante, en el “Pliego de Cláusulas técnicas que han de regir el procedimiento abierto para la adjudicación de la prestación del servicio de apoyo al funcionamiento de la administración en su función recaudatoria (fase ejecutiva y concurso de acreedores) y tramitación de los expedientes sancionadores del tipo que el ayuntamiento de Azuqueca de Henares decida, por tramitación ordinaria y múltiples criterios de selección”, en su apartado 5 sobre “Titularidad, suministro, custodia y confidencialidad de la información figura: “La documentación relativa a la información referida a cada contribuyente… y cuantos documentos integren los expedientes individuales o colectivos abiertos, serán custodiados o por la Empresa adjudicataria disposición del Ayuntamiento y para su uso exclusivo, de acuerdo con el contenido y objeto del presente contrato. Esta información, inclusive la que obtenga la Empresa en la realización de sus servicios de asistencia, será en su totalidad y sin excepción alguna propiedad del Ayuntamiento, por lo que la Empresa adjudicataria contrae expresamente la obligación absoluta de no facilitar esta C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/13 información a otras Administraciones, Instituciones o Empresas o Particulares sin que medie autorización escrita. Asimismo, el Ayuntamiento será titular de pleno derecho de toda la información contenida en los ficheros, archivos y registros informáticos que obren en poder de la Empresa adjudicataria, relacionados con los datos tributarios, fiscales, patrimoniales y personales anteriormente obtenidos de aquella, necesarios para el desarrollo de la realización de los servicios convenidos objeto del contrato. Las anteriores obligaciones de confidencialidad se establecen a mayores y sin perjuicio de todas aquellas en garantía del deber de secreto que al efecto establece la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal y sus normas de desarrollo presentes y futuras”. Asimismo, en el apartado 6 del Pliego figura: El Ayuntamiento se obliga con el adjudicatario a facilitar los puestos de trabajo qué precise el adjudicatario para la realización de los servicios objeto de este contrato dentro de las dependencias municipales....de forma que el contratista pueda trabajar con las bases de datos de terceros y de territorio del Ayuntamiento. Para ello el contratista deberá aportar los medios de seguridad necesarios y el Ayuntamiento facilitará los accesos pertinentes. 5. El Ayuntamiento de Azuqueca de Henares ha aportado copia del Acuerdo de ejecución de la sentencia del Procedimiento de los Derechos Fundamentales nº 1/2013 remitido al Juzgado de lo Contencioso-Administrativo nº 1 de Guadalajara en fecha 31 de julio de 2013 y certificado expedido por el Secretario General del Ayuntamiento en el cual se líquida el contrato suscrito con COORDINADORA DE GESTION DE INGRESOS SA en virtud de la sentencia. 6. El Ayuntamiento y la entidad COORDINADORA DE GESTION DE INGRESOS SA han manifestado que el contrato se mantuvo vigente desde el 22 de enero de 2013 al 31 de julio de 3013. Los datos a los que la compañía tenía acceso son los recogidos en los ficheros: Tributos Fiscales, Registro de Entrada y Salida de Documentos, Comunicaciones telemáticas y Expedientes Municipales, los cuales se encuentran inscritos en el Registro General de Protección de Datos y cuyo responsable es el Ayuntamiento de Azuqueca de Henares. El acceso se realizaba directamente a los ficheros mencionados tanto desde los locales del propio Ayuntamiento o en los locales de la empresa adjudicataria a través de una red privada virtual. TERCERO: Con fecha 16 de diciembre de 2013, el Director de la Agencia Española de Protección de Datos acordó iniciar procedimiento de declaración de infracción de Administraciones Públicas al AYUNTAMIENTO DE AZUQUECA DE HENARES por la presunta infracción del artículo 12.2 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como leve en el artículo 44.2.

1. d)de dicha norma. CUARTO: Notificado el citado acuerdo de inicio de procedimiento de declaración de infracción de Administraciones Públicas, en fecha 14 de enero de 2014, el Ayuntamiento de Azuqueca de Henares presentó escrito de alegaciones en el que, en síntesis, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/13 manifestaba lo siguiente: - - - Prescripción de la infracción. Dado que las infracciones leve prescriben al año y el plazo comenzará a contarse desde el día en que la infracción se hubiera cometido, el contrato que trae causa en el presente procedimiento es el resultado de un procedimiento cuyos pliegos de cláusulas fueron aprobados por el Ayuntamiento el 31 de octubre de 2012. La notificación del acuerdo de inicio tuvo entrada en ese Ayuntamiento del 20 de diciembre de 2013, por lo que ha transcurrido el plazo de prescripción de la supuesta infracción. Respecto a la primera decisión que se recoge en el Hecho Primero del acuerdo de inicio de no iniciar procedimiento sancionador alguno a raíz del escrito de denuncia que ha dado origen a este expediente y que, sólo tras un recurso de reposición del denunciante que fue estimado, se ha procedido a la presente incoación, estiman muy grave que se haya resuelto el recurso sin dar traslado y oír a esa parte, por lo que consideran que es motivo suficiente para anular la incoación y revisar la estimación del recuso previa audiencia al Ayuntamiento según lo exigido legalmente. La razón que se esgrime en la denuncia del asunto que da lugar a este expediente está ligada con la que motivó un pronunciamiento de la jurisdicción contencioso-administrativa anulando en un procedimiento especial de derechos fundamentales el contrato de prestación del servicio de apoyo al funcionamiento de la administración en su función recaudatoria y de tramitación de expedientes sancionadores. Ese servicio de apoyo nunca sustituye la labor reservada a los órganos y funcionarios municipales y eso ha de tenerse en cuenta a la hora de dilucidar la supuesta infracción. Si de forma automática se sintiese vinculada la Agencia Española de Protección de Datos por el procedimiento judicial sobre este procedimiento sancionador. Que un pronunciamiento judicial vea una carencia en un expediente no quiere decir que dicha carencia constituya una infracción administrativa y el expediente de la AEPD atentaría contra el principio de “non bis in ídem”. En virtud de todo ello solicitó el archivo del presente procedimiento por prescripción de la infracción y que se anule por la anulación que corresponde la estimación de un recurso sin haber dado la audiencia legalmente exigida. QUINTO: Con fecha 17 de enero de 2014, se acordó por la Instructora del procedimiento la apertura de un período de práctica de pruebas, teniéndose por incorporadas las actuaciones previas de investigación, E/04571/2013, así como la documental aportada por el AYUNTAMIENTO DE AZUQUECA DE HENARES. Asimismo, se dio por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio AP/00052/2013 presentadas por el AYUNTAMIENTO DE AZUQUECA DE HENARES. SEXTO: Con fecha 31 de marzo de 2014, la Instructora del procedimiento emitió Propuesta de Resolución, en el sentido de que por el Director de la Agencia Española de Protección de Datos se declare el Archivo del presente procedimiento. El Ayuntamiento de Azuqueca de Henares no ha presentado hasta la fecha alegaciones frente a la citada propuesta de resolución. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/13 HECHOS PROBADOS PRIMERO: Con fecha 22 de enero de 2013, el Ayuntamiento de Azuqueca de Henares y la entidad Coordinadora de Gestión de Ingresos, S.A. suscribieron un “Contrato de prestación del Servicio de apoyo al funcionamiento de la administración en su función recaudatoria (Fase Ejecutiva y concurso de acreedores) y tramitación de los expedientes sancionadores del tipo que el Ayuntamiento de Azuqueca de Henares decida”. En la cláusula primera dice que los Pliegos de las Cláusulas Administrativas Particulares y de Prescripciones técnicas son documentos contractuales conocidos y aceptados (folio 70). (folios 69-107). SEGUNDO: El Ayuntamiento y la entidad Coordinadora de Gestión de Ingresos, S.A. han manifestado que el contrato se mantuvo vigente desde el 22 de enero de 2013 al 31 de julio de 3013. Los datos a los que la entidad tenía acceso son los recogidos en los ficheros: Tributos Fiscales, Registro de Entrada y Salida de Documentos, Comunicaciones telemáticas y Expedientes Municipales, los cuales se encuentran inscritos en el Registro General de Protección de Datos y cuyo responsable es el Ayuntamiento de Azuqueca de Henares. El acceso se realizaba directamente a los ficheros mencionados tanto desde los locales del propio Ayuntamiento o en los locales de la empresa adjudicataria a través de una red privada virtual. (folios 52 y 66-67, entre otros). TERCERO: Con fecha 5 de marzo de 2013, Don C.C.C. interpuso Recurso contra dicha adjudicación ante el Juzgado de lo Contencioso Administrativo de Guadalajara en relación con el Procedimiento sobre Derechos Fundamentales nº 1/2013 (folio 4). CUARTO: Con fecha 16 de julio de 2013, el Juzgado de lo Contencioso Administrativo de Guadalajara dictó sentencia nº 241/2013 en cuyo Fallo el Juzgado revoca el contrato por estimar que es nulo de pleno derecho por la violación del Derecho Fundamental a la protección de datos de conformidad con el artículo 18.4 de la Constitución Española (La ley limitará el uso de la informática para garantizar el honor y la intimidad personal y familiar de los ciudadanos y el pleno ejercicio de sus derechos). El juzgado considera que no pueden considerarse cumplidos los requisitos del artículo 12 de la LOPD por remisión al Pliego de Cláusulas Administrativas Particulares y entiende que en el contrato no consta de forma inequívoca “Las instrucciones a las que debe ajustarse el adjudicatario del servicio” ni “Las instrucciones que el responsable del tratamiento impone para el uso de los datos de las que el encargado no puede separarse” y considera que ello vulnera los artículos 9 y 12 de la LOPD (folios 414). QUINTO: En cualquier caso, tras la emisión de la sentencia de 31 de julio, la entidad C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/13 Coordinadora de Gestión de Ingresos ha manifestado que se anularon las claves de usuario y contraseña (folio 66). En consecuencia no consta que se haya producido tratamiento de datos tras la notificación de la sentencia. SEXTO: En cuanto al fondo del asunto consta acreditado que: - El contrato de 22/01/2013 no contiene cláusula de encargo, pero en la cláusula primera dice que los Pliegos de las Cláusulas Administrativas Particulares y de Prescripciones técnicas son documentos contractuales conocidos y aceptados (folio 70). - En el Pliego de condiciones administrativas particulares, Disposición general segunda consta la aceptación expresa del Pliego de prescripciones Técnicas, que tiene carácter contractual y es de obligado cumplimiento (folios 75-76). - La cláusula de encargo está (indebidamente) en Prescripciones Técnicas, Cláusula Quinta; “Titularidad, suministro, custodia y confidencialidad de la información” figura: “La documentación relativa a la información referida a cada contribuyente… y cuantos documentos integren los expedientes individuales o colectivos abiertos, serán custodiados o por la Empresa adjudicataria disposición del Ayuntamiento y para su uso exclusivo, de acuerdo con el contenido y objeto del presente contrato. Esta información, inclusive la que obtenga la Empresa en la realización de sus servicios de asistencia, será en su totalidad y sin excepción alguna propiedad del Ayuntamiento, por lo que la Empresa adjudicataria contrae expresamente la obligación absoluta de no facilitar esta información a otras Administraciones, Instituciones o Empresas o Particulares sin que medie autorización escrita. Asimismo, el Ayuntamiento será titular de pleno derecho de toda la información contenida en los ficheros, archivos y registros informáticos que obren en poder de la Empresa adjudicataria, relacionados con los datos tributarios, fiscales, patrimoniales y personales anteriormente obtenidos de aquella, necesarios para el desarrollo de la realización de los servicios convenidos objeto del contrato. Las anteriores obligaciones de confidencialidad se establecen a mayores y sin perjuicio de todas aquellas en garantía del deber de secreto que al efecto establece la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal y sus normas de desarrollo presentes y futuras”. Asimismo, en el apartado 6 del Pliego figura: El Ayuntamiento se obliga con el adjudicatario a facilitar los puestos de trabajo qué precise el adjudicatario para la realización de los servicios objeto de este contrato dentro de las dependencias municipales....de forma que el contratista pueda trabajar con las bases de datos de terceros y de territorio del Ayuntamiento. Para ello el contratista deberá aportar los medios de seguridad necesarios y el Ayuntamiento facilitará los accesos pertinentes” (folio 104). - Incluso aportan documento de seguridad de la encargada del tratamiento (folios 132-136). El contrato de prestación de servicio cumple, por tanto, los requisitos del encargo. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/13 FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
2. g)en relación con el artículo 36 de la LOPD. II Por lo que respecta a la alegación de prescripción realizada por el Ayuntamiento de Azuqueca de Henares respecto de la infracción imputada, habrá que estar a lo dispuesto en el artículo 47 de la LOPD, que establece, en sus apartados 1, 2 y 3, lo siguiente: “1. Las infracciones muy graves prescribirán a los tres años, las graves a los dos años y las leves al año. 2. El plazo de prescripción comenzará a contarse desde el día en que la infracción se hubiera cometido. 3. Interrumpirá la prescripción la iniciación, con conocimiento del interesado, del procedimiento sancionador, reanudándose el plazo de prescripción si el expediente sancionador estuviere paralizado durante más de seis meses por causas no imputables al presunto infractor”. En el presente caso, dado que la infracción imputada es la falta de requisitos del artículo 12.2 de la LOPD que dispone lo siguiente: “La realización de tratamientos por cuenta de terceros deberá estar regulada en un contrato que deberá constar por escrito o en alguna otra forma que permita acreditar su celebración y contenido, estableciéndose expresamente que el encargado del tratamiento únicamente tratará los datos conforme a las instrucciones del responsable del tratamiento, que no los aplicará o utilizará con fin distinto al que figure en dicho contrato, ni los comunicará, ni siquiera para su conservación, a otras personas. En el contrato se estipularán, asimismo, las medidas de seguridad a que se refiere el artículo 9 de esta Ley que el encargado del tratamiento está obligado a implementar”. La vulneración de dicho precepto está tipificada como leve en el artículo 44.3.
3. d)de dicha norma, que considera como tal “La transmisión de datos a un encargado del tratamiento sin dar cumplimiento a los deberes formales establecidos en el artículo 12 de esta Ley”. El Ayuntamiento de Azuqueca de Henares alega que habría que retrotraerse al momento de la firma de los pliegos de cláusulas que fueron aprobados por el Ayuntamiento el 31 de octubre de 2012, mientras que la notificación del acuerdo de inicio tuvo entrada en ese Ayuntamiento del 20 de diciembre de 2013, por lo que habría transcurrido el plazo de prescripción de la supuesta infracción. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/13 Sin embargo, y con independencia de cuando se firmaran las cláusulas, lo que en este supuesto se examina es el propio contrato de prestación de servicio entre el Ayuntamiento y la entidad prestadora, que se firmó mediante Acuerdo del Ayuntamiento con fecha 22 de enero de 2013 y se publicó en el Boletín Oficial de la Provincia de Guadalajara el 15 de febrero de 2013 (folio 35, entre otros). Por otro lado, el acuerdo de inicio del procedimiento se dictó con fecha 16 de diciembre de 2013 y se notificó al Ayuntamiento el 20 de diciembre de 2013. Por lo expuesto, hay que concluir que en la fecha de adopción y de notificación al Ayuntamiento el 20 de diciembre de 2013, no había transcurrido el año de prescripción señalado en el artículo transcrito para las infracciones leves. En consecuencia, la prescripción de la infracción imputada que se invoca debe ser rechazada. III Respecto a las alegaciones del Ayuntamiento según las cuales el Acuerdo de inicio sería nulo de pleno derecho al no haber sido notificado dicho organismo del recurso de reposición planteado por el denunciante frente a la inadmisión a trámite de su denuncia de fecha 30 de enero de 2013, procede señalar que en un procedimiento de Declaración de Infracción de las Administraciones Públicas el procedimiento se inicia de oficio por el Director de la AEPD, que es quien determina la responsabilidad de los hechos susceptibles de motivar una infracción, independientemente de la intencionalidad del denunciante al presentar su escrito de denuncia y de los argumentos que pudiera esgrimir el denunciado frente a los hechos constatados. En cualquier caso, durante las actuaciones previas de investigación el Ayuntamiento imputado ha tenido conocimiento de la denuncia y posibilidad de aportar información y documentación al respecto, todo ello previamente al Acuerdo de inicio del procedimiento de declaración de infracción de las Administraciones Públicas. Por lo tanto, dichas alegaciones deben ser desestimadas. IV En cuanto al artículo 12 de la LOPD, cuya infracción se imputa en el presente procedimiento, estipula: “1. No se considerará comunicación de datos el acceso de un tercero a los datos cuando dicho acceso sea necesario para la prestación de un servicio al responsable del tratamiento. 2. La realización de tratamientos por cuenta de terceros deberá estar regulada en un contrato que deberá constar por escrito o en alguna otra forma que permita acreditar su celebración y contenido, estableciéndose expresamente que el encargado del tratamiento únicamente tratará los datos conforme a las instrucciones del responsable del tratamiento, que no los aplicará o utilizará con fin distinto al que figure en dicho contrato, ni los comunicará, ni siquiera para su conservación, a otras personas. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/13 En el contrato se estipularán, asimismo, las medidas de seguridad a que se refiere el artículo 9 de esta Ley que el encargado del tratamiento está obligado a implementar. 3. Una vez cumplida la prestación contractual, los datos de carácter personal deberán ser destruidos o devueltos al responsable del tratamiento, al igual que cualquier soporte o documentos en que conste algún dato de carácter personal objeto del tratamiento. 4. En el caso de que el encargado del tratamiento destine los datos a otra finalidad, los comunique o los utilice incumpliendo las estipulaciones del contrato, será considerado, también, responsable del tratamiento, respondiendo de las infracciones en que hubiera incurrido personalmente.” La prestación objeto del contrato que el Ayuntamiento de Azuqueca de Henares suscribió con la entidad Coordinadora de Gestión de Ingresos, S.A. se encuadraría en la situación prevista en el referido artículo 12 de la LOPD siempre y cuando dicho contrato cumpliese con todos los requisitos previstos en el citado precepto. De la lectura del citado artículo 12 se deduce que, para que concurra la figura de “el acceso a los datos por cuenta de tercero”, la relación deberá estar regulada en un contrato que deberá constar por escrito o en alguna forma que permita acreditar su celebración y contenido. El citado permite que el responsable del fichero habilite el acceso material a datos de carácter personal por parte de la entidad que va a prestarle un servicio –encargado del tratamiento- sin que, por mandato expreso de la ley, pueda considerarse dicho acceso como una cesión de datos. Sin embargo, ese acceso o tratamiento por parte del que presta el servicio aparece rodeado de un abanico de garantías para los afectados que el propio art. 12 impone. La primera de ellas estriba en que haya una constancia expresa de que el responsable del fichero ha encargado el tratamiento de los datos para lo cual se exige que conste en un contrato. A este respecto, el art. 12 impone un requisito formal por cuanto que el contrato o bien debe constar escrito o, en todo caso, acreditarse formalmente su celebración. Es decir, la norma impone que siempre exista una relación jurídica de naturaleza contractual entre el responsable y el tercero al que encarga el tratamiento y, además, exige una constancia formal de dicha relación. Esta exigencia es congruente con el sistema de protección de la LOPD ya que, sin consentimiento ni conocimiento de los afectados se está permitiendo un tratamiento de sus datos personales por parte de un tercero. Por ello, es preciso que conste quién es el responsable de dicho tratamiento y que éste se encuentre vinculado jurídicamente con el tercero para poder exigirle, en virtud de dicha relación jurídica, el cumplimiento de las garantías previstas en la citada ley. En segundo lugar, el art. 12 de la LOPD garantiza un correcto tratamiento de los datos personales respecto del contenido de ese contrato exigiendo que figuren explícitamente las instrucciones del responsable del fichero al tercero, de forma que este último sólo estará habilitado para tratar los datos conforme a aquéllas, no pudiendo aplicarlos ni utilizarlos para fines distintos de los que expresamente han de figurar en el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/13 contrato. En tercer lugar se impone como garantía para los afectados que no puedan producirse tratamientos ulteriores de dichos datos al establecer rotundamente el mismo artículo que el encargado del tratamiento no podrá comunicarlos ni siquiera para su conservación a otras personas. En el presente caso, figuran las garantías exigidas legalmente en el contrato suscrito entre el Ayuntamiento de Azuqueca de Henares y la entidad Coordinadora de Gestión de Ingresos, S.A., según consta en el Hecho Probado Quinto por lo que puede considerarse dentro del marco del artículo 12 de la LOPD, por lo que procede proponer el Archivo del presente procedimiento. V En cuanto a la sentencia del Juzgado de la Contencioso nº 1 de Guadalajara de 16 de julio de 2013, hemos de realizar algunas consideraciones. En primer lugar, es cierto que dicha Sentencia declara la nulidad del contrato por vulneración del derecho fundamental a la protección de datos de carácter personal. Y la nulidad radical o absoluta de los contratos determina que el mismo deje de producir efecto, puesto que “quod nullum est, nullum effectum producit”. Sin embargo, el hecho de que el contrato – en este caso, el contrato administrativo del servicio de apoyo al funcionamiento de la administración en su función recaudatoria – haya sido declarado nulo, y la necesidad de dejar sin efecto lo hecho a raíz del mismo, no implica que durante su vigencia el mismo diera cobertura legal a un encargo de tratamiento, que es la cuestión que nos ocupa. Es decir, con independencia de que la situación deba reponerse al estado anterior a la celebración del contrato administrativo, del Antecedente Segundo.4 resulta que el contrato de encargo de tratamiento figura por escrito y con los requisitos del artículo 12 LOPD. Bien es cierto que las cláusulas contractuales relativas al encargo del tratamiento no figuran ni en el documento suscrito el 22 de enero de 2013, ni en el pliego de cláusulas administrativas contractuales, como indica la Sentencia indicada. Pero también lo es que figuran en el pliego de prescripciones técnicas, en particular en la Cláusula Quinta; y que la Disposición General Segunda del Pliego de Cláusulas Administrativas Particulares indica que los licitadores y el contratista aceptan de forma expresa la sumisión tanto al PCAP como al pliego de prescripciones técnicas particulares “que tendrán carácter contractual y serán, por tanto, de obligado cumplimiento”. Incluso se llega a aportar el documento de seguridad de la encargada del tratamiento. Por ello, desde el punto de vista de protección de datos, existió un contrato que, aunque posteriormente declarado nulo de pleno derecho, en su día amparó un encargo del tratamiento con los requisitos legales y así no concurren hechos que den lugar a infracción. Es decir, se han cumplido todos los requisitos del encargo, y singularmente la existencia de un contrato, en los términos de la Sentencia del Tribunal Supremo de 22 de junio de 2010, recurso de casación 880/2007, que confirmaba la Sentencia de la Audiencia Nacional de 14 de diciembre de 2006, rec. 567/04, que señala (el subrayado es nuestro): “El motivo no puede prosperar por las siguientes razones: en primer lugar, la Sala de instancia, en contra de lo que se sostiene por la recurrente, no rechaza sus pretensiones en relación con la infracción muy grave por cesión de datos sin consentimiento de su titular, por no haber suscrito por escrito el contrato a que se refiere el art. 12 de la LOPD sino por no haber existido el mismo, a cuyo efecto y tras C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/13 reproducir el contenido de dicho precepto, señala que " por la propia naturaleza del contrato de prestación de servicios y por la importancia y relevancia de los intereses y derechos en juego, el citado artículo 12 exige que en el contrato se especifique con el detalle necesario la finalidad y el objeto concreto del encargo y servicio contratado, de tal forma que el encargado del tratamiento debe cumplir, por cuenta de quien lo contrata, el específico encargo recibido siempre dentro de los límites de las instrucciones recibidas. Si el encargado del tratamiento se excede de los límites del encargo, separándose de las instrucciones recibidas, la Ley prevé -siguiendo las reglas del mandato- que los actos y el tratamiento así realizados sean imputables al citado encargado, a quién se califica de responsable del tratamiento ejecutado, puesto que se trataría de un acto que se realiza no por encargo, sino por su exclusiva voluntad y como tal de su exclusiva responsabilidad, por lo que en este caso respondería personalmente de las infracciones que pudiera haber cometido. Precisamente por ello, para que puedan conocerse los límites del encargo y en beneficio de los afectados -titulares de los datos personales cedidos y tratados- es necesario que queden perfectamente definidos todos los servicios que habrán de realizarse por el encargado. En el caso de autos no consta la existencia de contrato escrito entre Corporación M2 y Bat Media. Tampoco hay constancia del contenido concreto del encargo encomendado por la actora a Bat Media, en relación con la campaña promocional… a la presidencia del CF Valencia, ni de la existencia de medidas de seguridad a adoptar etc. No se ha constatado en modo alguno que el encargo realizado por la actora a Bat Media para la realización de la citada campaña de marketing directo, se formalizara en un contrato con los requisitos y garantías exigidas por el artículo 12 LOPD, por lo que dicho precepto no puede amparar la comunicación de datos realizados a Bat Media. Se justifica con ello el alcance que debe tener el contrato en cuestión, la necesidad de constatación del mismo por escrito o cualquier otra forma que permita acreditar su celebración y contenido y la responsabilidad por la cesión en cuanto no esté amparada en un contrato de tales características, para terminar concluyendo en la falta de acreditación un contrato de tal naturaleza, ni por escrito ni en cualquier otra forma, que ampare la cesión de datos producida en este caso por la entidad sancionada”. Asimismo, queremos destacar que la Sentencia del Juzgado de lo Contencioso Administrativo no despliega sus efectos de cosa juzgada, ni formal ni material de los artículos 207 y 222 de la Ley de Enjuiciamiento Civil, por cuanto no hay identidad de procesos – nos encontramos ante un procedimiento administrativo – y singularmente tampoco la hay de pretensiones, puesto que aquí no se pretende la nulidad del contrato administrativo. Y a pesar del carácter complementario de la jurisprudencia como fuente del Derecho, consagrado en el art. 1.6 del Código Civil respecto a la doctrina del Tribunal Supremo, se considera que en el presente supuesto ha de apreciarse que no existe infracción alguna y mantenerse así la interpretación que al respecto ha venido manteniendo esta Agencia y la Sala de lo Contencioso Administrativo del Tribunal Supremo y la Audiencia Nacional. VI En conclusión, en el presente caso, figuran las garantías exigidas legalmente en el contrato suscrito entre el Ayuntamiento de Azuqueca de Henares y la entidad C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/13 Coordinadora de Gestión de Ingresos, S.A., según consta en el Hecho Probado Quinto por lo que puede considerarse dentro del marco del artículo 12 de la LOPD, por lo que procede proponer el Archivo del presente procedimiento. En cualquier caso, tras la emisión de la sentencia de 31 de julio, la entidad Coordinadora de Gestión de Ingresos ha manifestado que se anularon las claves de usuario y contraseña (folio 66). En consecuencia no consta que se haya producido tratamiento de datos tras la notificación de la sentencia. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR el ARCHIVO del presente procedimiento. SEGUNDO: NOTIFICAR la presente resolución al AYUNTAMIENTO DE AZUQUECA DE HENARES y a Don C.C.C.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, se podrá interponer potestativamente recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa (en lo sucesivo LJCA), en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/13 Sin embargo, el responsable del fichero de titularidad pública, de acuerdo con el artículo 44.1 de la LJCA, sólo podrá interponer directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la LJCA, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es