← España

AAPP-00054-2014

1/16 Procedimiento Nº AP/00054/2014 RESOLUCIÓN: R/01031/2015 En el procedimiento de Declaración de Infracción de Administraciones Públicas AP/00054/2014, instruido por la Agencia Española de Protección de Datos a la DIRECCIÓN GENERAL DE LA POLICÍA, vista la denuncia presentada por A.A.A., y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fecha de 13/11/2013 tiene entrada en esta Agencia una denuncia de A.A.A. en la que declara: Se han publicado fotografías suyas, con su nombre y apellidos en redes sociales, con comentarios en los que se le acusa de hechos que no son ciertos. Las fotografías publicadas, aparecen con el logotipo de la Policía Nacional (Comisaria de XXXX), donde se las hicieron con fecha 10/10/2013. Aporta copia de sus denuncias presentadas en la Comisaria de XXXX, con fecha 19 y 21/10/2013, en las que pone de manifiesto la utilización de su imagen tanto en programas de TV como en redes sociales y que en la página de FACEBOOK de ...@... . Aporta copia de impresión obtenida de internet en las que se hace pública su fotografía identificándolo como el “Violador de XXXX”, la fotografía que se publica tiene el logotipo de DI.FO (Difusión de fotografías de interés policial para identificación asociación de autores). Entre las publicaciones hay una de la red social TWITTER, en la que el usuario ...@..., publica la citada fotografía con el título “Quedaros con su cara, Violador que se mueve por XXXX, ***LOCALIDAD.1 y ***LOCALIDAD.2, se llama A.A.A.”. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información a la DIRECCIÓN GENERAL DE LA POLICÍA, teniendo conocimiento de que:

  1. a)Con fecha 2/04/2014, se realizan varias búsquedas en GOOGLE con objeto de verificar la publicación de la fotografía del denunciante, comprobando que se encuentra publicada en la red social TWITTER, por el usuario “...1@...” con el título “Violador de niñas. Zona Paterna, XXXX, ***LOCALIDAD.2. En las búsquedas realizadas no se obtiene constancia de que se encuentre publicada en la red social FACEBOOK.
  2. b)Con fecha 3/04/2014, se solicita información a la DIRECCIÓN GENERAL DE LA POLICÍA (DGP) sobre el sistema DI.FO y sobre la difusión de la fotografía del denunciante: 1) Respecto al sistema de información DI.FO, la Secretaría General de la Comisaría General de Policía Judicial del Cuerpo Nacional de Policía detalla que para el cumplimiento de los fines constitucionales y legales asignados a la Policía Judicial, trabaja un producto al servicio de las Unidades Investigadoras de Policía Judicial, consistente en la difusión de fotogramas o imágenes. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/16 2) El mecanismo de estas difusiones se lleva a cabo de la siguiente forma: - La difusión es solicitada por el Grupo Investigador en relación a imágenes de autores de hechos delictivos sin identificar o difusión de autores identificados. Dichas imágenes se insertan en el formulario de solicitud. - La solicitud junto con las imágenes son recibidas por la correspondiente UNIDAD TERRITORIAL, la cual supervisa los requisitos de calidad y formato necesarios. Dicha solicitud la remite a la UNIDAD CENTRAL. En el formulario en el margen derecho superior consta las siglas DI.FO, debajo unas siglas y debajo un número de teléfono y e mail. - En la UCIC se le asigna un número de difusión. Aportan copia de la difusión que se realizó del denunciante, en la que no consta fecha emisión, conteniendo una foto tipo DNI y otra de cuerpo entero. Las fotos que la UCIC difunde, coinciden en cuanto a imagen con las que aporta el denunciante y se obtuvieron en TWITTER, si bien estas últimas llevan en la parte superior derecha los literales que aparecen solo en la solicitud DI.FO. - En ningún caso la exposición DI.FO es pública, sino restringida. Estas difusiones internas entre Policías Judiciales, buscan el doble objetivo de prevenir delitos, esto es, salvaguardar derechos y libertades tan fundamentales como la integridad XXXX de los menores, así como de localizar y poner a disposición de la Justicia a los autores de concretos hechos delictivos. 3) Respecto a la normativa que ampara dicha difusión, citan la siguiente: - La Orden INT/1202/2011, de 4/05 modificada por la Orden INT/1031/2012, de 27/04, modificada por la Orden INT/1524/2013, de 26/07, por la que se regulan los ficheros de datos de carácter personal del Ministerio del Interior, recoge el fichero G****. Dicho fichero tiene como finalidad la prevención de la seguridad pública y la represión de infracciones penales. El nivel de seguridad que resulta exigible para este fichero es alto y su órgano responsable es la Comisaría General de Policía Judicial. - El DI.FO es un subsistema del referido fichero y por tanto está sujeto a lo dispuesto en el Real Decreto 1720/2007, de 21/12, por el que se aprueba el Reglamento de Desarrollo de la LOPD, (RLOPD) particularmente en lo concerniente a las medidas de seguridad aplicables a los ficheros y tratamientos automatizados. 4) Respecto a la difusión de la fotografía del denunciante, informan: - Como regla general, la difusión solicitada deberá ser de autores de hechos delictivos con ámbito delincuencial en más de una provincia o que sea un hecho relevante y de interés para el resto de plantillas policiales del territorio nacional. En el caso del denunciante, se difundió con fecha 11/10/2013, a nivel nacional. La DIFO: *****/UCIC se efectuó con motivo de la posible identificación del autor de los hechos delictivos denunciados en el atestado policial ***3/13, en relación con los atestados ***1/13 y ***2/13, por la comisión de tres agresiones XXXX a menores de edad en la localidad valenciana de XXXX, con objeto de poder asociar la autoría de hechos delictivos de similares características que C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/16 pudiesen haber sido denunciados en otras plantillas. “La copia de la fotografía del denunciante que fue publicada en redes sociales, se correspondería con el formato de la solicitud de difusión, al que se hubiera borrado el recuadro que contiene la información. Las diferencias se encuentran en que la leyenda que figura en la parte superior derecha de la solicitud, donde aparecen los datos de contacto teléfono y e-mail de la UCIC, no figuran en el documento que se distribuye desde la citada Unidad Central. “ - Además de lo expuesto, existen unas normas internas aprobadas por la Comisaria General de Policía Judicial, sobre el tratamiento de difusiones a nivel nacional, de noviembre de 2008, de las que aportan copia. Destaca que las difusiones de ámbito local y escasa relevancia a nivel nacional podrán ser difundidas desde la UTI correspondiente para que estas las realicen a nivel regional, previéndose protocolos regionales o provinciales para que algunas difusiones lleguen incluso a la Policía Municipal - No les ha sido posible averiguar ni determinar el origen de la indebida difusión, no obstante, dichas circunstancias están siendo investigadas por la Unidad de Investigación Tecnológica. - Por último, manifiestan que: en los procedimientos policiales de manejo de datos personales y difusión policial de la fotografía del denunciante se han seguido las normas de seguridad establecidas en la normativa citada, no habiéndose producido por tanto difusión irregular alguna desde la Comisaría General de Policía Judicial. TERCERO: Con fecha 4/11/2014, el Director de la Agencia Española de Protección de Datos acordó iniciar, procedimiento de declaración de infracción de las Administraciones Públicas a la DIRECCIÓN GENERAL DE LA POLICÍA por presunta infracción de los artículos 9.1 y 10 de la Ley Orgánica 15/1999, de 13/12, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificadas como graves en los artículos 44.3.
  3. h)y 44.3.
  4. d)de dicha norma. CUARTO: Notificado el acuerdo de inicio, mediante escrito de fecha 4/12/2014 la Secretaria General de la Comisaría General de Policía Judicial (C. Gral. P. J.) reitera lo ya manifestado, y añade:
  5. a)La Comisaria de XXXX-***LOCALIDAD.3 instruyó el atestado ***3 el 10/10/2013 (sin embargo en la nota DI.FO, folio 37 figura la fecha de este de 5/10/2013, y el denunciante en su denuncia precisa que se corresponde con las del atestado policial ***4/2013 detención de 10/10/2013).
  6. b)Manifiestan que la denuncia del denunciante en Comisaría de Policía de XXXX de 19/10/2013 corresponde al atestado ***4/2013 y ha dado lugar al procedimiento judicial diligencias previas ***5/2013 del Juzgado de ***LOCALIDAD.1(pese a ello, en folio 5 consta que dicha denuncia se asigna al atestado ***6/2013, coincidiendo el número de las previas, y la denuncia del denunciante de 21/10/2013 tiene el número ***7/2013 según folio 16 del expediente). Añade que a dichas investigaciones se ha sumado la Unidad de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/16 Investigación Tecnológica de la CGPJ. Pide que dado que está en trámite una denuncia penal, “por los mismos hechos”, se debe suspender el procedimiento a expensas de lo que se declare como hecho probado.
  7. c)Menciona que según las “normas para el tratamiento de difusiones a nivel nacional” de noviembre 2008 que obran en actuaciones previas (39 a 45) la información que se difunda tiene que haber sido previamente incorporada a la base de datos G***, generándose el número de hecho correspondiente, “sin que al mismo en esta ocasión se asociara ninguna imagen”. En este caso la fotografía no fue incluida en fichero G*** hasta 9/01/2014, “cuestión totalmente desvinculada de la difusión y solamente relacionada con la propia detención”. Añade que corresponde a la Policía Científica la práctica de la reseña policial que se incluye en el fichero PERPOL, que no corresponde a la Policía Judicial.
  8. d)Reitera la diferencia de formatos de las fotos de la UCIC y la UTI. que en caso de que la foto filtrada a las redes sociales proviniera de la UCIC “el encabezado solo se corresponde con la solicitud de difusión y su distribución a nivel territorial” porque la que se realiza a nivel nacional desde UCIC tiene otro formato. Añade que DI.FO no es un fichero ni una base de datos sino un procedimiento de investigación que recoge información de diversos ficheros.
  9. e)En cuanto a las medidas de seguridad, no se especifican las medidas reglamentarias que han sido contravenidas. Por ello, estima que habría de estarse a lo que la investigación judicial aclare. La Comisaria General de la Policía Judicial ignora que medida de índole técnica u organizativa pueden haber fallado. Los accesos al fichero G*** están auditados y registrados La denunciada ha cumplido con las medidas de seguridad existentes sin que concurra culpabilidad o antijuridicidad, y no existe relación de causa-efecto. QUINTO: Transcurrido el plazo de alegaciones que se concedió en el Acuerdo de iniciación del Procedimiento de declaración de Infracción de Administraciones Públicas nº AP/00054/2014, el 12/12/2014, se abrió el periodo de práctica de pruebas, incorporando la procedente de actuaciones previas, y además:
  10. a)A la denunciada: en sus alegaciones al acuerdo de inicio indican “La Comisaria de XXXX-***LOCALIDAD.3 instruyó el atestado ***3 el 10/10/2013 (en la nota DIFO, folio 37, figura la fecha de este de 5/10/2013, y el denunciante en su denuncia precisa que las fotos objeto de su denuncia se corresponden con la detención relacionada con el atestado policial ***4/2013 producida el 10/10/2013). En sus alegaciones en actuaciones previas indicaron que la DI.FO de esa UCIC se difundió a nivel nacional el 11/10/2013 y con motivo de otros tres hechos delictivos de tres atestados policiales diferentes. Se solicita aclaración de sus manifestaciones. Con fecha de entrada 7/01/2015 se recibe escrito de la Comisaría Provincial de la Jefatura Superior de Policía de la Comunidad Valenciana. Indica que el denunciante fue detenido el 10/10/2013 por Agentes de la Comisaria del CNP de XXXX***LOCALIDAD.3 por presunta implicación en un delito de agresión XXXX instruyéndose atestado ***4/2013. En este sentido también se ratifica la nota informativa C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/16 de la Comisaria Local de XXXX-***LOCALIDAD.3 que de 21/10/2013 se acompaña por la Comisaría Provincial (folio 90). Ambos precisan que la foto en que solo aparece el rostro procede de una difusión DI.FO (87, 91).
  11. b)A la denunciada: manifiestan en alegaciones al acuerdo de inicio que la denuncia del denunciante en Comisaría de Policía de XXXX de 19/10/2013 corresponde al atestado ***4/2013 y ha dado lugar al procedimiento judicial diligencias previas ***5/2013 del Juzgado de Paterna. (Pese a ello, en folio 5 consta que dicha denuncia se asigna al atestado ***6/2013, coincidiendo el número de las previas, y la denuncia del denunciante de 21/10/2013 tiene el número ***7/2013 según folio 16 del expediente). Se solicita aclaración de sus manifestaciones. Reitera que por esas denuncias se tramitan diligencias ***6/2013 y ***7/2013. Del testimonio del denunciante se desprende que en Internet circulaban DOS fotografías con su imagen cuyas características hacían presumir que podrían haber sido facilitadas por alguna persona del entorno del CNP. Añade que la BPPJ no pudo esclarecer el perfil de la persona que introdujo en la red las imágenes aportando un Oficio de 20/01/2014 de la Brigada Provincial de Policía Judicial, Grupo de Delitos Tecnológicos (94 y ss.). La Comisaria Provincial considera que ambas fotos, sin conocer que funcionario la pudo filtrar, pudieron ser obtenidas de la difusión policial

(87).
  1. c)A la denunciada: en sus alegaciones indican que la difusión de las imágenes del denunciante en DI.FO fue a nivel nacional desde la UCIC el 11/10/2013 y aportan el ANEXO 2 con la nota DI.FO. Sin embargo en esta nota no se aprecia la citada fecha. No se especifica respuesta sobre cómo acreditan que se difundió en la mencionada fecha.
  2. d)A la denunciada, precise si la forma de enviar el formulario desde los Grupos Operativos a la UTI, y desde esta a la UCIC se producen mediante el uso de correos electrónicos. Si así fuera, informar brevemente sobre las medidas de seguridad que se utilizan. No se especifica respuesta para esta cuestión, aunque aparentemente se utiliza dicho medio sin que se concrete ni en la Instrucción de DI.FO ni se ha mencionado por la información que se ha proporcionado.
  3. e)A la denunciada, según sus aseveraciones, las fotos que se visualizan en folios 15 y 57 al portar los detalles del formulario de solicitud de DI.FO no serían acciones directamente imputables a la acción de la difusión efectuada por esa UCIC, pues presuntamente lo que se ve en las fotos, se trataría del formulario de la solicitud de la DI.FO (por las letras que se contienen que coinciden con las del formulario de solicitud de difusión). Entonces ¿dicha imagen podría haber sido filtrada tanto por la originaria solicitante, Comisaria de XXXX, como por la UTI de Valencia? Razones por las que considera que se hallaría excluida pese a suceder la filtración en el seno de la cadena de actuación procedimental de la DI.FO de esa imagen. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/16 No se especifica respuesta para esta cuestión.
  4. f)Se solicita que aporte copia del formulario en papel, originario, recibido y que dio origen luego a la difusión nacional por esa UCIC. Este formulario o solicitud tiene su origen en la Comisaria de XXXX hacia la UTI. Fecha y lugar en que la solicitud originaria con formulario inicial por los Grupos Operativos se cumplimentó, fecha en que se envió y entró en la UTI Valencia, y fecha en que se envió y llegó a la UCIC. Indica que la UTI de Valencia les informó que “la DI.FO fue solicitada por la Comisaria de XXXX, a través del formulario normalizado, entre el 11 y el 14/10/2013 y que “no se puede precisar la fecha exacta por no guardarse registro de los correos enviados”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/16
  5. g)A la Comisaria Local de Policía de XXXX, Oficina de Denuncias XXXX***LOCALIDAD.3, remitiendo copia de folios 5-6 y 16 del procedimiento. Se solicita que aporten copia del envió del formulario para difusión DI.FO que se remitió a la UTI Valencia, relacionada con atestado ***4/13 de XXXX, diligencias previas ***5/2013 de ***LOCALIDAD.1en el que aparece el detenido A.A.A. Además informen si era la primera detención policial del mismo y el primer envío que se efectuaba a dicha UTI por esa dependencia para la DI. FO. Responden que era la primera difusión del denunciante que se solicitaba a la UTI Valencia. Indican que entre el 11 y el 14/10/2013, la UTI Valencia hizo una doble difusión de la DI.FO del denunciante, a nivel nacional “mediante su remisión a la Unidad Central Criminal UCIC, y a nivel provincial, mediante su distribución a toda la estructura de la provincia de Valencia, todas las unidades Locales (ULI) de las Comisarias Locales de la provincia de Valencia, a los CAT de la Brigada Provincial de Policía Judicial y de Seguridad Ciudadana de Valencia, así como a las Comisarías de Distrito, Guardia Civil, y Policía Local de Valencia.” Añade que “Según informa la UTI de Valencia, el 14/10/2013, la UCIC difundió la DI.FO del denunciante a toda la estructura nacional. (Sin embargo la propia UCIC indicó que la fecha de dicha difusión fue el 11/10/2013.)
  6. h)A la Comisaria Local de Policía de XXXX, Oficina de Denuncias XXXX – ***LOCALIDAD.3 informe del estado y situación (remisión a Juzgado, número de diligencias, sede del Juzgado etc.) de las denuncias del denunciante que obran en el atestado policial ***6/12 de 19/10/2013, y la ampliatoria de 21/10/2013 (folios 5-6 y 16). Indican que telefónicamente por llamada al Juzgado de Instrucción 1 de ***LOCALIDAD.1 han conocido que el 13/03/2014 se acordó el sobreseimiento provisional de la causa. La Comisaria Provincial finaliza estableciendo como conclusiones que las dos fotografías procederían de la misma difusión policial que en su momento distribuyó la UTI Valencia, y que se distribuyó a una multitud de direcciones de correo electrónico nacionales y provinciales, incluyendo a la Guardia Civil y Policía Local, estando a disposición de una gran cantidad de personas, y cualquiera de ellas pudo imprimir y /o fotografiar con un teléfono móvil las imágenes para luego ponerlas en circulación. Se acompaña el modelo DI.FO confeccionado en papel por la Comisaria de XXXX, en el que no consta fecha de emisión, tampoco se aporta traza alguna de su envío por correo electrónico a la UTI, ni de la UTI a la UCIC. SEXTO: Con fecha 23/03/2015 se emitió propuesta de resolución del literal: “PRIMERO: Que por el Director de la Agencia Española de Protección de Datos se ARCHIVE la infracción por artículo 10 de la LOPD iniciado a la DIRECCIÓN GENERAL DE LA POLICÍA, tipificada como grave en el artículo 44.3.
  7. d)de la LOPD. SEGUNDO: Que por el Director de la Agencia Española de Protección de Datos se declare que la DIRECCIÓN GENERAL DE LA POLICÍA ha infringido el artículo 9.1 de la LOPD en relación con los artículos 80,97,103 y 104 del RLOPD, tipificada como grave en el artículo 44.3.
  8. h)de la LOPD.” Frente a la propuesta no se recibieron C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/16 alegaciones. HECHOS PROBADOS 1) El denunciante denuncia que unas fotos que le hicieron a raíz de su detención el 10/10/2013 en la Comisaría de XXXX se han filtrado, apareciendo expuestas en FACEBOOK, TWITTER y WHATSAPP. Aporta impresiones de fotos en una página de foros con comentarios y referencias al violador de XXXX con una foto en la que literalmente figura” DI.FO- Difusión de fotogramas de interés policial para identificación Asociación de Autores”. Las impresiones refieren comentarios fechados a partir de 14/10/2013. También aporta foto recibida en la aplicación WHATSAPP. Las fotos son dos, una tipo carnet en la que en la parte superior derecha figura DI.FO Difusión de fotogramas de interés policial para identificación asociación de autores, y CGPJ, y debajo un teléfono 91... y un e mail. La otra foto es de cuerpo entero (1, 7, 8, 10, 11,13 a 23). 2) Según informó en actuaciones previas la Comisaría General de Policía Judicial, el sistema DI.FO de esta denuncia fue recibido por la consiste en una herramienta para relacionar hechos delictivos sin autor identificado o identificados que además puedan ser también autores de otros similares, con el objeto de que se impute el hecho a su posible autor. Para ello, el correspondiente GRUPO INVESTIGADOR, a través de un formulario preestablecido, solicita la difusión de las imágenes (32, 36) fijándose en un recuadro en el que existe un espacio al efecto (32, 36). En el formulario se completan por la solicitante DI.FO Local, nº hecho, diligencias, e mail y tel contacto unidad. Este formulario cuenta en la parte superior derecha con las letras CGPJ/UCIC. Difusiones, un teléfono y un e mail.
(36)que es similar al contenido en las fotos objeto de la denuncia (folios 15 y 57). Estas solicitudes se dirigen y son recibidas por la UNIDAD TERRITORIAL (UTI) en este caso de Valencia, que la remite a la UCIC
(32). Esta asigna un número de difusión, y en formato parecido, sin contener letras en la parte superior derecha de la foto, se maqueta y se difunde a toda la estructura a nivel nacional
(33)como sucedió en el caso denunciado que se hizo el 11/10/2013 (34,69). El uso de la difusión es exclusivo policial y así se contiene en el formulario (33, 37). Aportan copia del formulario con el número que asigna la UCIC, en el que no figura fecha emisión, y entre otros consta que la DI.FO local es la V/******/13, que en diligencias figura ***3 de 5/10/2013, Unidad Investigadora BLPJ XXXX. En descripción física de autores, los datos del denunciante. Debajo de esta parte literal viene la fotografía del denunciante tipo carnet DNI y otra fotografía de cuerpo entero (37,38, 69). Las instrucciones para la difusión de fotogramas, se completan con unas “normas para el tratamiento de difusiones a nivel nacional” emitidas en noviembre 2008 por la “Comisaria General de Policía Judicial”. (39 a 45) entre las que destaca que el formulario de solicitud debe ser facilitado por las Unidades a los grupos Operativos que estos sean los que lo cumplimenten sin referencia alguna a los envíos de los DI.FO por correos electrónicos.
(40). 3) La Comisaría del CNP de XXXX inició un atestado policial el 5/10/2013 número ***3/13 relacionado con los atestados ***1/2013 y ***2/2013 por la comisión de tres agresiones XXXXes a menores de edad en XXXX, y con los datos del C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/16 denunciante solicitó la DI.FO a la UTI de Valencia
(34). La citada Comisaría procedió a la detención del denunciante el 10/10/2013 (diligencias ***4/2013)
(86). Se deduce que los formularios DI.FO. se remiten a través de correo electrónico (40,88). En este caso, el formulario se completó y solicitó por la Comisaria de XXXX
(88)desconociéndose la fecha precisa de envío a la UTI, y de la UTI a la UCIC, suponiendo que de la Comisaría se envió a la UTI entre 11 y 14/10/2013
(88). Según manifestó la Jefatura Superior de Policía de la Comunidad Valenciana, la UTI de Valencia también difundió el DI.FO a las Unidades de Investigación de las Comisarias Locales, Guardia Civil y Policía Local de Valencia
(88)sin concretar fechas. 4) Los fotogramas DI.FO forman parte del fichero G***, con fines policiales responsabilidad del Ministerio de Interior (Comisaria General de Policía Judicial) para prevención de peligros para la seguridad pública, represión de infracciones penales mediante evaluación, tratamiento y análisis de toda la información generada por las Unidades Operativas del CNP (33, 34,40). 5) La diferencia sustancial entre el formulario de petición de difusión con el que finalmente se difunde por la UCIC, radica en que en la solicitud se puede apreciar, como en las fotos expuestas denunciadas, aparece referencia al teléfono 91, antecedido por DI.FO. del formulario, elementos que no se contienen en el ejemplar cuya autorización de difusión a nivel nacional efectúa la UCIC (28, 29, 35,37, 38). 6) El Servicio de Inspección de la Agencia accedió a TWITTER el 2/04/2014, usuario “...1@... que contiene la reseña de la foto objeto de la denuncia (1, 5, 6, 7 10, 11,12, 13, 19, 50,57) en la que se ve en la parte superior un número de teléfono y un e mail coincidente con el que figura en los formularios de solicitud DI.FO. La BPPJ de Valencia determinó en un Oficio de 20/01/2014 que no fue posible averiguar el perfil que dio origen a la distribución de la fotografía. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
  1. g)en relación con el artículo 36 de la LOPD. II En cuanto al régimen de ficheros de las Fuerzas y Cuerpos de Seguridad, el artículo 22 de la LOPD indica: “1. Los ficheros creados por las Fuerzas y Cuerpos de Seguridad que contengan datos de carácter personal que, por haberse recogido para fines administrativos, deban ser objeto de registro permanente, estarán sujetos al régimen general de la presente Ley. 2. La recogida y tratamiento para fines policiales de datos de carácter personal por las Fuerzas y Cuerpos de Seguridad sin consentimiento de las personas afectadas están C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/16 limitados a aquellos supuestos y categorías de datos que resulten necesarios para la prevención de un peligro real para la seguridad pública o para la represión de infracciones penales, debiendo ser almacenados en ficheros específicos establecidos al efecto, que deberán clasificarse por categorías en función de su grado de fiabilidad. 3. La recogida y tratamiento por las Fuerzas y Cuerpos de Seguridad de los datos, a que hacen referencia los apartados 2 y 3 del artículo 7, podrán realizarse exclusivamente en los supuestos en que sea absolutamente necesario para los fines de una investigación concreta, sin perjuicio del control de legalidad de la actuación administrativa o de la obligación de resolver las pretensiones formuladas en su caso por los interesados que corresponden a los órganos jurisdiccionales. 4. Los datos personales registrados con fines policiales se cancelarán cuando no sean necesarios para las averiguaciones que motivaron su almacenamiento. A estos efectos, se considerará especialmente la edad del afectado y el carácter de los datos almacenados, la necesidad de mantener los datos hasta la conclusión de una investigación o procedimiento concreto, la resolución judicial firme, en especial la absolutoria, el indulto, la rehabilitación y la prescripción de responsabilidad.” De acuerdo con el Reglamento de Desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21/12 (en adelante RLOPD); tienen los ficheros nivel de seguridad alto, según el artículo 81, 3.b):”Los que contengan o se refieran a datos recabados para fines policiales sin consentimiento de las personas afectadas. “ La manifestación de que la herramienta DI.FO no es un fichero no puede prosperar pues contiene datos de carácter personal, haciendo identificable a las personas por su imagen, su nombre y apellidos, o por su DNI. Este mecanismo se halla relacionado con el fichero G***, sin perjuicio de que se pueda interrelacionar o pueda agregar datos de otros ficheros. III La infracción que se imputa a la Dirección General de la Policía es la del artículo 10 de la LOPD, que establece “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero, o en su caso, con el responsable del mismo”. Dado el contenido del citado artículo 10 de la LOPD, ha de entenderse que el mismo tiene como finalidad evitar que, por parte de quienes están en contacto con los datos personales almacenados en ficheros, se realicen filtraciones de los datos no consentidas por los titulares de los mismos. Así el Tribunal Superior de Justicia de Madrid ha declarado en su Sentencia n. 361, de 19/07/2001: “El deber de guardar secreto del artículo 10 queda definido por el carácter personal del dato integrado en el fichero, de cuyo secreto sólo tiene facultad de disposición el sujeto afectado, pues no en vano el derecho a la intimidad es un derecho individual y no colectivo. Por ello es igualmente ilícita la comunicación a cualquier tercero, con independencia de la relación que mantenga con él la persona a que se refiera la información (...)”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/16 En este mismo sentido, la Sentencia de la Audiencia Nacional de fecha 18/01/2002, recoge en su Fundamento de Derecho Segundo, segundo y tercer párrafo: <<El deber de secreto profesional que incumbe a los responsables de ficheros automatizados, recogido en el artículo 10 de la Ley Orgánica 15/1999, comporta que el responsable –en este caso, la entidad bancaria recurrente- de los datos almacenados – en este caso, los asociados a la denunciante- no puede revelar ni dar a conocer su contenido teniendo el “deber de guardarlos, obligaciones que subsistirán aún después de finalizar sus relaciones con el titular del fichero automatizado o, en su caso, con el responsable del mismo” (artículo 10 citado). Este deber es una exigencia elemental y anterior al propio reconocimiento del derecho fundamental a la libertad informática a que se refiere la STC 292/2000, y por lo que ahora interesa, comporta que los datos tratados automatizadamente, como el teléfono de contacto, no pueden ser conocidos por ninguna persona o entidad, pues en eso consiste precisamente el secreto>>. Este deber de sigilo resulta esencial en las sociedades actuales cada vez más complejas, en las que los avances de la técnica sitúan a la persona en zonas de riesgo para la protección de derechos fundamentales, como la intimidad o el derecho a la protección de los datos que recoge el artículo 18.4 de la Constitución Española. En efecto, este precepto en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30/11, contiene un “…instituto de garantía de los derechos a la intimidad y al honor y del pleno disfrute de los derechos de los ciudadanos que, además, es en sí mismo un derecho o libertad fundamental, el derecho a la libertad frente a las potenciales agresiones a la dignidad y a la libertad de la persona provenientes de un uso ilegítimo del tratamiento mecanizado de datos”. “Este derecho fundamental a la protección de los datos persigue garantizar a esa persona un poder de control sobre sus datos personales, sobre su uso y destino” que impida que se produzcan situaciones atentatorias con la dignidad de la persona, “es decir, el poder de resguardar su vida privada de una publicidad no querida.” El deber de secreto profesional que incumbe a los responsables de los ficheros y a quienes intervienen en cualquier fase del tratamiento, recogido en el artículo 10 de la LOPD, comporta que el responsable de los datos almacenados o tratados no pueda revelar ni dar a conocer su contenido teniendo el “deber de guardarlos, obligaciones que subsistirán aún después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo”. Este deber es una exigencia elemental y anterior al propio reconocimiento del derecho fundamental a la protección de datos a que se refiere la citada Sentencia del Tribunal Constitucional 292/2000, y por lo que ahora interesa, comporta que los datos personales no pueden ser conocidos por ninguna persona o entidad ajena fuera de los casos autorizados por la Ley, pues en eso consiste precisamente el secreto. En el presente procedimiento ha quedado acreditado que lo que se difundió fue o tuvo su base en la solicitud DI.FO por el formato con el que aparecía en las fotos. La herramienta DI.FO es valiosa porque supone compartir información entre distintos Cuerpos y Fuerzas de Seguridad del Estado como en el presente supuesto en que la foto del citado formulario se cedió a otros Cuerpos y Fuerzas de Seguridad del Estado, presuntamente antes del 14/10/2013, pues en esta fecha se comienzan a verter las opiniones en algunos foros donde la imagen aparecía. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/16 Se debe destacar que la UCIC no ha informado ni en actuaciones previas ni en alegaciones al acuerdo, que se hubiera difundido el DI.FO por la UTI Valencia en otros ámbitos. Aparentemente su papel de coordinador y autorizante de las DI.FO se han dado otras difusiones hechas motu propio por la UTI Valencia a diversos Cuerpos y Fuerzas de Seguridad del Estado, alargando la cadena de personas responsables que han participado en el tratamiento de los datos (Comisarias Locales, Guardia Civil y Policía Local de Valencia), sin que quepa determinar con la certeza necesaria donde se produjo una ruptura en la cadena de custodia. Además, la Brigada Provincial de Policía Judicial (Grupo de Delitos Tecnológicos) efectuó una investigación interna para intentar determinar quién había sido el infractor y el que puso las imágenes en la web, sin lograr determinarlo. Indican que cualquiera, incluso de entre a los que se difundió (G. Civil, Policía Local) puede con un móvil hacer una foto de la reseña que se contenía en la DI.FO, y luego comenzar a difundirla en redes sociales o cederla a otra para que la difunda. Junto a ello, cabe destacar que se trata de una foto que circula entre Unidades de investigación de diferentes Policías y que no existe rastro de envíos cursados a través de los distintos correos electrónicos de las unidades que han participado en solicitud/UTI/UCIC. El Tribunal Constitucional ha declarado reiteradamente que los principios del orden penal, entre los que se encuentra el de culpabilidad, son de aplicación, con ciertos matices, al derecho administrativo sancionador, al ser ambos manifestaciones del ordenamiento punitivo del Estado (STC 18/1987, 150/1991), y que no cabe en el ámbito sancionador administrativo la responsabilidad objetiva o sin culpa, en cuya virtud se excluye la posibilidad de imponer sanciones por el mero resultado, sin acreditar un mínimo de culpabilidad aun a título de mera negligencia (SSTC 76/1990 y 164/2005). El principio de culpabilidad, garantizado por el artículo 25 de la Constitución, limita el ejercicio del ius puniendi del Estado y exige, según refiere el Tribunal Constitucional en la sentencia 129/2003, de 20/06, que la imposición de la sanción se sustente en la exigencia del elemento subjetivo de culpa, para garantizar el principio de responsabilidad y el derecho a un procedimiento sancionador con todas las garantías (STS de 1 de marzo de 2012, Rec 1298/2009). Ciertamente, el principio de culpabilidad, previsto en el artículo 130.1 de la Ley 30/1992, de 26 noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, dispone que solo pueden ser sancionados por hechos constitutivos de infracción administrativa los responsables de los mismos, aún a título de simple inobservancia. Obviamente, ello supone que dicha responsabilidad sólo puede ser exigida a título de dolo o culpa, quedando desterrada del ámbito del derecho administrativo sancionador la llamada "responsabilidad objetiva", y comprendiendo el título culposo la imprudencia, negligencia o ignorancia inexcusable. A lo expuesto debe añadirse, siguiendo la sentencia de 23/01/1998, parcialmente trascrita en las SSTS de 9 de octubre de 2009, Rec 5285/2005, y de 23/10/2010, Rec 1067/2006, que "aunque la culpabilidad de la conducta debe también ser objeto de prueba, debe considerarse en orden a la asunción de la correspondiente carga, que ordinariamente los elementos volitivos y cognoscitivos necesarios para apreciar aquélla forman parte de la conducta típica probada, y que su exclusión requiere que se acredite C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/16 la ausencia de tales elementos, o en su vertiente normativa, que se ha empleado la diligencia que era exigible por quien aduce su inexistencia; no basta, en suma, para la exculpación frente a un comportamiento típicamente antijurídico la invocación de la ausencia de culpa". Las consideraciones realizadas en los anteriores fundamentos de derecho conducen a considerar que se desconoce la entidad responsable de la extracción originaria de la imagen, y del modo en que se pudo producir. Al añadirse nuevas entidades que recibieron la imagen del denunciante no se ha conseguido acreditar que hubiese sido la denunciada la responsable de la citada filtración, por lo que procede el ARCHIVO de la infracción imputada. IV La otra infracción imputada es la del artículo 9.1 de la LOPD que precisa: :”El responsable del fichero, y, en su caso, el encargado del tratamiento deberán adoptar las medidas de índole técnica y organizativas necesarias que garantice la seguridad de los datos de carácter personal y evite su alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana del medio físico o natural”. Las DI.FOs son remitidas por correo electrónico entre las unidades implicadas, si bien en el procedimiento no se aportó ninguna copia de las que se remitieron relacionada con los hechos denunciados. Se debe significar que la Instrucción de la Comisaría General de la Policía Judicial de noviembre de 2008 que rige las normas para el tratamiento de difusiones a nivel nacional podría actualizarse e incluir las circunstancias de remisión de información mediante tales medios, junto a las cautelas y medidas de seguridad que se van a comentar. Considerando que los correos se enmarcan en tratamiento relacionado con ficheros de nivel de seguridad alto, se debe tener en cuenta: El artículo 85 del RLOPD que se enmarca en las disposiciones generales de las medidas de seguridad en el tratamiento de datos de carácter personal precisa: “Acceso a datos a través de redes de comunicaciones”: “Las medidas de seguridad exigibles a los accesos a datos de carácter personal a través de redes de comunicaciones, sean o no públicas, deberán garantizar un nivel de seguridad equivalente al correspondiente a los accesos en modo local, conforme a los criterios establecidos en el artículo 80.” Ello quiere decir que también para el envío y recepción de correos electrónicos que contengan datos de carácter personal en las DIFO se deben implementar las medidas de seguridad de ficheros de nivel alto. Relacionado con el envío y recepción de correos por el que se transmiten las DI.FOs, el artículo 97 del RLOPD estos correos como soportes que contienen datos y documentos se han de ajustar al precepto, que determina: “1. Deberá establecerse un sistema de registro de entrada de soportes que permita, directa o indirectamente, conocer el tipo de documento o soporte, la fecha y hora, el emisor, el número de documentos o soportes incluidos en el envío, el tipo de información que contienen, la forma de envío y la persona responsable de la recepción C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/16 que deberá estar debidamente autorizada. 2. Igualmente, se dispondrá de un sistema de registro de salida de soportes que permita, directa o indirectamente, conocer el tipo de documento o soporte, la fecha y hora, el destinatario, el número de documentos o soportes incluidos en el envío, el tipo de información que contienen, la forma de envío y la persona responsable de la entrega que deberá estar debidamente autorizada.” En el mismo sentido, y respecto de los correos electrónicos que contienen datos personales referidos a la DI.FO el artículo 103 del RLOPD sobre al registro de accesos, para que la persona autorizada a enviar dichos ficheros esté identificada y se puedan seguir las trazas de envíos y recepciones y contenido de dichos envíos en ficheros de nivel de seguridad alto, se ha de tener en cuenta: “1. De cada intento de acceso se guardarán, como mínimo, la identificación del usuario, la fecha y hora en que se realizó, el fichero accedido, el tipo de acceso y si ha sido autorizado o denegado. 2. En el caso de que el acceso haya sido autorizado, será preciso guardar la información que permita identificar el registro accedido. 3. Los mecanismos que permiten el registro de accesos estarán bajo el control directo del responsable de seguridad competente sin que deban permitir la desactivación ni la manipulación de los mismos. 4. El período mínimo de conservación de los datos registrados será de dos años. 5. El responsable de seguridad se encargará de revisar al menos una vez al mes la información de control registrada y elaborará un informe de las revisiones realizadas y los problemas detectados. 6. No será necesario el registro de accesos definido en este artículo en caso de que concurran las siguientes circunstancias:
  2. a)Que el responsable del fichero o del tratamiento sea una persona física.
  3. b)Que el responsable del fichero o del tratamiento garantice que únicamente él tiene acceso y trata los datos personales. La concurrencia de las dos circunstancias a las que se refiere el apartado anterior deberá hacerse constar expresamente en el documento de seguridad.” Finalmente, y no menos importante, es que la información que se contenga en los correos electrónicos transmitidos conteniendo los datos de la DI.FO, se cumpla lo que referido a nivel de seguridad alto se establece en el artículo 104 del RLOPD que determina: “Cuando, conforme al artículo 81.3 deban implantarse las medidas de seguridad de nivel alto, la transmisión de datos de carácter personal a través de redes públicas o redes inalámbricas de comunicaciones electrónicas se realizará cifrando dichos datos o bien utilizando cualquier otro mecanismo que garantice que la información no sea inteligible ni manipulada por terceros.” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/16 La presunción de inocencia, recogida en el artículo 24.2 de la Constitución y 137.1 de la Ley 30/1992, de 26/11, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (LRJPAC), es un principio esencial en materia de procedimiento que opera también en el ejercicio de la potestad administrativa sancionadora ( SSTC 13/1981 , 76/1990 , etc). El derecho a la presunción de inocencia que comporta según las SSTC 76/1990, 120/1994, 154/1994, 23/1995, 97/1995, 147/1995 y 45/1997, que la conducta reprochada esté basada en una suficiente actividad probatoria que pueda ser considerada de cargo y de la que pueda resultar la culpabilidad, correspondiendo la carga de la prueba de los hechos constitutivos de la infracción a la Administración Pública actuante, sin que nadie esté obligado a probar su inocencia. En el presente supuesto no ha quedado acreditada la comisión de la infracción denunciada por la configuración de los sistemas de seguridad del fichero en el que participan varios operadores por el hecho de los envíos efectuados a través de correos electrónicos en un sistema como el DI.FO en el que la circulación de los datos precisa su difusión y puesta en conocimiento. Se desconoce la mecánica e implantación de comunicaciones del citado fichero. Por tanto, no acreditándose por ello comisión de infracción, procede su archivo. No obstante se habilita la iniciación de nuevas actuaciones de investigación tendentes a la averiguación del funcionamiento del sistema de seguridad del procedimiento de Difusión de Fotografías de Interés policial (DI.FO.). Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR el ARCHIVO de la infracción del artículo 9.1 de la LOPD iniciado a la DIRECCIÓN GENERAL DE LA POLICÍA, tipificada como grave en el artículo 44.3.
  4. h)de la LOPD. SEGUNDO: DECLARAR el ARCHIVO de la infracción del artículo 10 de la LOPD iniciado a la DIRECCION GENERAL de la POLICÍA tipificada como grave en el artículo 44.3.
  5. d)de la LOPD. TERCERO: INICIAR actuaciones previas de Inspección E/02699/2015, respecto del funcionamiento de seguridad de los datos en el sistema DI.FO. CUARTO: NOTIFICAR la presente resolución a la DIRECCIÓN GENERAL DE LA POLICÍA y a A.A.A.. QUINTO: De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30/12, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22/12, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21/12 por el que se aprueba el reglamento de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/16 desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26/11, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, se podrá interponer potestativamente recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13/07, reguladora de la Jurisdicción Contenciosoadministrativa (en lo sucesivo LJCA), en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Sin embargo, el responsable del fichero de titularidad pública, de acuerdo con el artículo 44.1 de la LJCA, sólo podrá interponer directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la LJCA, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.