AAPP-00055-2015

1/15 Procedimiento Nº AP/00055/2015 RESOLUCIÓN: R/00243/2016 En el procedimiento de Declaración de Infracción de Administraciones Públicas AP/00055/2015, instruido por la Agencia Española de Protección de Datos al MINISTERIO DEL INTERIOR (Secretaría de Estado de Seguridad), vista la denuncia presentada por la AGRUPACIÓN DE CUERPOS DE LA ADMININISTRACIÓN DE INSTITUCIONES PENITENCIARIAS (ACAIP VALENCIA), y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fecha de 9 de octubre de 2014, tuvo entrada en esta Agencia escrito de la AGRUPACIÓN DE CUERPOS DE LA ADMÓN. INSTITUCIONES PENITENCIARIAS (ACAIP VALENCIA) (en lo sucesivo la denunciante) en el que manifiesta que con fecha 1 de octubre de 2014 se emitió, por parte del Director Accidental del Centro de Inserción Social de Valencia, la Orden de Dirección 4/2014 sobre determinados aspectos relacionados con la implantación del servicio de apoyo a la seguridad exterior en el Complejo Penitenciario de Picassent por parte de una empresa privada de seguridad. Según la adjudicación realizada, una de las funciones que deben llevar a cabo los vigilantes de seguridad es la de efectuar controles de identidad en los accesos o en el interior de los inmuebles determinados. La mencionada Orden entre otros puntos establece que “El CIS facilitará la noche de antes un listado con el nombre de los internos que saldrá a la mañana siguiente”. Manifiestan que estos listados deben ser manejados por personal de la empresa de seguridad privada y esto podría ser contrario a la normativa de protección de datos. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se realizaron las siguientes: 1. Con fecha 17 de febrero de 2015, se solicitó información al Ministerio del Interior, Dirección General de Instituciones Penitenciarias. Con fecha 17 de marzo de 2015, se recibió respuesta en la que se informa que la contratación corresponde a la Secretaría de Estado de Seguridad. 2. Con fecha 7 de abril de 2015, se solicitó información al Ministerio del Interior, Secretaría de Estado de Seguridad y de la respuesta facilitada se desprende lo siguiente: a. En primer lugar hay que significar que no aportan el contrato de prestación de servicios con la entidad adjudicataria SEGUR IBÉRICA encargada del control e identificación de los presos en los accesos o en el interior de los inmuebles determinados, que les fue requerido en la solicitud de información. b. En su lugar, aportan copia del Pliego de Cláusulas Administrativas particulares, redactado de acuerdo con el RD Legislativo 3/2011, de 14 de noviembre, por el que se aprueba el texto refundido de la Ley de contratos del sector público y Pliego de Prescripciones Técnicas que rige C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/15 en la contratación de los servicios de apoyo a la seguridad en centros penitenciarios dependientes del Ministerio del Interior. c. El objeto del contrato es la ejecución de los servicios recogidos en el pliego de prescripciones técnicas. Aportan copia también de este pliego y en el objeto del mismo se recoge la descripción de las tareas que configuran los servicios a contratar. d. Los servicios que deberá prestar la empresa adjudicataria se enmarcan en el contexto de las funciones generales que de conformidad con el artículo 11.1 apartados a), b),

1. c)y
2. d)de la ley 23/1992 de Seguridad Privada. Así, los vigilantes de seguridad podrán entre otros: i.Ejercer la vigilancia y protección de bienes muebles e inmuebles, así como la protección de las personas que puedan encontrarse en los mismos. ii.Efectuar controles de identidad en los accesos o en el interior de los inmuebles determinados, sin que en ningún caso puedan retener la documentación personal. iii.Evitar la comisión de actos delictivos o infracciones en relación con el objeto de su protección. e. En dicho contexto, las tareas específicas a desarrollar serán: i.Control en los puntos que se determinen de todas las personas, vehículos y mercancías que accedan a los centros penitenciarios (control de accesos, autorización de accesos según las instrucciones, impedir intrusiones, observación y atención del entorno y comunicar toda incidencia reseñable al centro de control de la instalación) ii.Operación de los sistemas CCTV instalados en el centro de control iii.Vigilancia desde puestos fijos o garitas f. En el punto 16 del Pliego se hace referencia a “OBLIGACION DE CONFIDENCIALIDAD” y textualmente: “El contratista está obligado a guardar sigilo respecto de los datos o antecedentes que, no siendo públicos o notorios, están relacionados con el objeto del contrato, de los que tenga conocimiento con ocasión del mismo, durante la vigencia del contrato, el plazo de garantía y los cinco años posteriores en los términos del artículo 140.2 del RLCSP”. TERCERO: De la información obtenida en las Actuaciones Previas de Investigación se desprende que la Secretaría de Estado de Seguridad tendría suscrito un contrato de prestación de servicios con la entidad SEGUR IBÉRICA, encargada del control e identificación de los presos en los accesos o en el interior de los inmuebles determinados, que no recogería las estipulaciones del artículo 12. Por otra parte, del examen de la documentación aportada por la Secretaría de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/15 Estado de Seguridad, se deduce que en el Pliego de Cláusulas Administrativas particulares, redactado de acuerdo con el RD Legislativo 3/2011, de 14 de noviembre, por el que se aprueba el texto refundido de la Ley de contratos del sector público, no se recoge referencia alguna a la protección de datos personales lo que podría suponer un incumplimiento de los deberes formales establecidos en el artículo 12.2 de la LOPD. CUARTO: Con fecha 25 de septiembre de 2015, el Director de la Agencia Española de Protección de Datos acordó iniciar procedimiento de declaración de infracción de Administraciones Públicas al MINISTERIO DEL INTERIOR (Secretaría de Estado de Seguridad) por la presunta infracción del artículo 12 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como leve en el artículo 44.2.
3. d)de dicha norma. QUINTO: Notificado el citado acuerdo de inicio de procedimiento de declaración de infracción de Administraciones Públicas, en fecha 9 de octubre de 2015, ACAIP VALENCIA presentó escrito en el que solicitaba personarse como interesada en el procedimiento. Por su parte, con fecha 28 de octubre de 2015, la Secretaría de Estado de Seguridad presentó escrito de alegaciones en el que manifestó lo siguiente: - Para garantizar la eficiencia de las Fuerzas y Cuerpos de Seguridad del Estado (FCSE), por el Ministerio se acordó que en el ámbito de los centros penitenciarios, determinadas tareas que eran desempeñadas por personal de las FCSE, fueran llevadas a cabo por personal de seguridad privada, para ello por esta Secretaria de Estado de Seguridad firmó un contrato de servicios con empresas de seguridad privada para la realización de servicios de apoyo a la seguridad exterior en centros penitenciarios, que estará vigente hasta el 30 de noviembre de 2015. - La empresa de seguridad SEGUR IBÉRICA presta este servicio en el Centro Penitenciario de Picassent (Valencia), como integrante de la UTE "Compañía de Vigilancia Aragonesa, S.L.- SEGUR IBÉRICA, S.A., Unión Temporal de Empresas, adjudicataria esta del lote que engloba a dicho Centro. - El hecho que da origen a la actuación de la Agenda Española de Protección de Datos se debe a las acciones llevadas a cabo en cumplimiento de la Orden de Dirección 4/2014 de 29 de septiembre de 2014, dada por el Director Accidental del Centro, responsable del tratamiento de los datos personales de los internos. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/15 - “El Real Decreto 190/1996, de 09 de febrero, por el que se aprueba el Reglamento Penitenciario, establece en su artículo 63 que "La seguridad exterior de los Establecimientos corresponde a las Fuerzas y Cuerpos de Seguridad del Estado o, en su caso, a los Cuerpos de Policía de las Comunidades Autónomas, los que, sin perjuicio de que se rijan por las normas de los Cuerpos respectivos, en materia de seguridad exterior de los Centros penitenciarios recibirán indicaciones de los Directores de los mismos. - Las tareas a realizar por el personal de seguridad privada se enmarcan en lo establecido en el artículo 11.1.a), b),
4. c)y
5. d)de la Ley 23/1993, de 30 de junio de seguridad privada, [(actual artículos 5 y 6 de la Ley 5/2014, de 4 abril, de Seguridad Privada (LSP)] as! en la vigente LSP el apartado
6. a)del art. 5 establece entre las actividades de seguridad privada las siguientes: "La vigilancia y protección de bienes, establecimientos, lugares y eventos, tanto públicos como privados, así como de las personas que pudieran encontrarse en los mismos", y en el art. 6.2 de la LSP, se indica lo siguiente: "Quedan también fuera del ámbito de aplicación de esta ley, a no ser que impliquen la asunción o realización de servicios o funciones de seguridad privada, y se regirán por las normas sectoriales que les sean de aplicación en cada caso, los siguientes servicios y funciones: a)Las de información o de control en los accesos a instalaciones..., el cumplimiento de la normativa interna de los locales donde presten dicho servicio..., todas ellas realizadas en las puertas o en el interior de inmuebles, locales públicos,.... b)Las tareas de recepción, comprobación de visitantes y orientación de los mismos, así como las de comprobación de entradas, documentos o carnés, en cualquier clase de edificios o inmuebles, y de cumplimiento de la normativa interna de los locales donde presten dicho servicio. Estos servicios y funciones podrán prestarse o realizarse por empresas y personal de seguridad privada, siempre con carácter complementario o accesorio de las funciones de seguridad privada que se realicen y sin que en ningún caso constituyan el objeto principal del servicio que se preste". El ejercicio de tales funciones en el ámbito de los centros penitenciarios por el personal de seguridad privada ha sido atribuida en función de lo dispuesto en los artículos 40.1.
7. d)y41.3.
8. a)dela LSP. - Conforme a lo expuesto cabe distinguir lo siguiente: o C/ Jorge Juan, 6 28001 – Madrid Por un lado el contrato me prestación de servicios de carácter económico-administrativo, entre la empresa SEGURIBER y el Ministerio, www.agpd.es sedeagpd.gob.es 5/15 o que se rige por lo establecido por el Real Decreto Legislativo 3/2011, de 14 de noviembre, por el que se aprueba el texto refundido de la Ley de Contratos del sector Público, y cuyas condiciones se determinan en el Pliego de Cláusulas Administrativas particulares, que comprenden el objeto del contrato, presupuesto base de licitación, plazo de ejecución o de duración del contrato, forma de adjudicación, garantías provisionales y definitivas, derechos y obligaciones específicas de las partes y causas especiales de resolución del contrato. Por otro lado la concreta prestación de servicios por el personal designado por la empresa de seguridad y puesto a disposición de este Ministerio para el cumplimiento de las funciones encomendadas, comprendidas dentro de las competencias que tienen atribuidas para la vigilancia de personas y bienes, funciones que no pueden ser especificadas en un contrato de carácter genérico, sino a través de un régimen jurídico concreto y especial por razón de la materia, como es la contratación de los servicios de apoyo a la seguridad en los centros penitenciarios dependientes de este Ministerio, para lo que se redactó con fecha 26 de marzo de 2014 el Pliego de Prescripciones Técnicas a tal efecto, donde se establecen las características exigidas del servicio a prestar, definiendo las tareas específicas de dicho servicio, entre las que se hallan el control de accesos, la autorización de accesos según las instrucciones, impedir intrusiones, etc.", actuaciones, que teniendo en cuenta su carácter complementario y subordinado con respecto a las FCSE, deben atenerse a los protocolos de actuación que para su ejercicio se establezcan, rigiéndose asimismo por las instrucciones y ordenes de servicio que emanen de los órganos directivos del correspondiente Centro Penitenciario y de las FCSE, de quienes funcionalmente dependen en el desempeño de sus cometidos. Ateniéndose en su actuación por los principios rectores que se recogen en los artículos 8 y 30 de la LSP, entre los que se halla el de "reserva profesional sobre los hechos que conozca en el ejercicio de sus funciones", cuyo incumplimiento se sanciona como infracción muy grave en el art.58.1.
9. c)de dicha Ley. - En el desempeño de sus cometidos dentro del Centro de Inserción Social (CIS) de Valencia, el personal de seguridad privada ha de colaborar y someterse a las instrucciones que emanen de las Fuerzas y Cuerpos de Seguridad, conforme a lo establecido en el artículo 7.3 de la Ley Orgánica 4/2015, de 30 marzo, de protección de la seguridad ciudadana y los arts. 8 apdos 2 y 3, y 30.
10. h)de la LSP y en concreto para el presente supuesto, a los protocolos de actuación que se establezcan por el Jefe de la Guardia Exterior, conforme a lo establecido en la Orden de Dirección n° 4/2014 de 29 de septiembre de 2014, del Director Accidental del Centro de Inserción Social de Valencia. - Así pues el personal de seguridad privada que presta servicio en los correspondientes centros penitenciarios, depende funcionalmente de la Secretaria General de Instituciones Penitenciarias, rigiéndose en los cometidos a realizar por las directrices emanadas del personal directivo de dicho órgano y a C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/15 su vez por las instrucciones que reciban de las fuerzas y cuerpos de seguridad con quienes colaboran en sus tareas. - Tal adscripción funcional, se refuerza con la protección que el código penal les otorga cuando el personal de seguridad privada actúe bajo la dependencia de las fuerzas y cuerpos de seguridad, ex. art. 554.3 del Código Penal: "También se impondrán las penas de los artículos 550 y 551 a quienes acometan, empleen violencia o intimiden gravemente: c)Al personal de seguridad privada, debidamente Identificado, que desarrolle actividades de seguridad privada en cooperación y bajo el mando de las Fuerzas y Cuerpos de Seguridad". - En este sentido, ha de tenerse en cuenta que los datos que se facilitan a los vigilantes de seguridad (listado con el nombre de los internos que saldrá del CIS a la mañana siguiente) no cabe enmarcarlos en una cesión o tratamiento de dichos datos por un tercero, pues dichos datos en ningún momento se han puesto a disposición de la empresa contratista, la cual en cumplimiento de obligaciones contractuales, se ha limitado a poner a disposición de esta Secretarla de Estado de Seguridad al personal adecuado para el ejercicio de las tareas que se han de realizar, limitándose dicho personal, a tenor de su dependencia funcional de la administración penitenciaria, al cotejo de dichos datos para el control de los internos que salgan del CIS, cumpliendo con ello los cometidos que entre otros, dicha administración le ha encomendado en el ámbito de sus competencias. En este sentido el artículo 6 de la LPD, señala que: "No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones públicas en el ámbito de sus competencias". - Así pues, no se considera encargado del tratamiento a la persona física que C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/15 tenga acceso a los datos personales cuando dicho acceso necesario para la prestación de un servicio al responsable del tratamiento, en consonancia con lo establecido en el art. 12.1 de la LPD. Por lo que no es de aplicación el artículo 12.2 de la LPD, en relación con lo dispuesto en la disposición adicional vigésimo sexta de la Ley de Contratos del Sector Publico”. A la vista de todo ello, solicitó que se proceda al archivo del procedimiento. SEXTO: Con fecha 30 de octubre de 2015, se acordó por la Instructora del procedimiento la apertura de un período de práctica de pruebas, teniéndose por incorporadas las actuaciones previas de investigación, E/06781/2014, así como la documental aportada por la Secretaría de Estado de Seguridad. Asimismo, se da por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio AP/00055/2015 presentadas por la Secretaría de Estado de Seguridad. Por otra parte, por la Instructora del expediente se acordó: - Solicitar a la Secretaría de Estado de Seguridad copia del contrato en vigor de prestación de servicios suscrito con la empresa de seguridad SEGUR IBÉRICA para el centro penitenciario de Picassent (Valencia) que es la que, según sus alegaciones, realiza los servicios de apoyo a la seguridad exterior en centros penitenciarios, en el que se recoja las estipulaciones del artículo 12 de la LOPD y en la que se recoja el encargo de control de identidad en los accesos o en el interior y del traslado de presos. - Copia del contrato con la empresa de seguridad que realiza estas funciones, en el supuesto de que dicha empresa no fuera SEGUR IBÉRICA. SÉPTIMO: Con fecha 19 de noviembre de 2015, la Secretaría de Estado de Seguridad contestó a la práctica de pruebas y aportó los siguientes documentos: - - Copia del contrato de prestación de servicios suscrito con la empresa de seguridad SEGUR IBÉRICA con esa Secretaría de Estado, de fecha 1 de octubre de 2014. Copia del Pliego de Prescripciones Técnicas que rige en la contratación de los servicios de apoyo a la seguridad en centros penitenciarios dependientes del Ministerio del Interior de fecha 26 de marzo de 2014, que ya aportó durante las actuaciones previas de investigación. Copia de Resolución de adjudicación del contrato de prestación de servicios de apoyo a la seguridad en los Centros Penitenciarios dependientes del Ministerio del Interior, de fecha 21 de agosto de 2014. Copia de Resolución de prórroga del contrato a SEGUR IBÉRICA, de fecha 29 de septiembre de 2015. En ninguno de los documentos aportados constan las estipulaciones del artículo 12 de la LOPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/15 OCTAVO: Con fecha 30 de noviembre de 2015, la Instructora del procedimiento emitió Propuesta de Resolución, en el sentido de que por la Directora de la Agencia Española de Protección de Datos se declare que el MINISTERIO DEL INTERIOR (Secretaría de Estado de Seguridad), ha infringido lo dispuesto en el artículo 12.2 de la LOPD, lo que supone una infracción tipificada como leve en el artículo 44.2.
11. d)de la citada norma, así como que se requiera la adopción de las medidas de orden interno que impidan que en el futuro pueda producirse una nueva infracción del artículo 12 de la mencionada Ley. NOVENO: Con fecha 28 de diciembre de 2015, el Ministerio del Interior realizó alegaciones frente a la citada propuesta de resolución, en las que, básicamente, reiteró lo ya manifestado en el transcurso del procedimiento e insistió en lo siguiente: - Los vigilantes de seguridad realizan únicamente tareas de apoyo a la seguridad exterior, que está encomendada a las FFCCSE según el artículo 63 del RD 190/1996, de 9 de febrero, por el que se aprueba el Reglamento Penitenciario, sin que en ningún caso, sus tareas se extiendan, complementen o suplan a las encomendadas a los Funcionarios de Prisiones. Sus funciones se circunscriben a las tareas desarrolladas en los puntos de accesos a los centros penitenciarios, recogidas en el Pliego de Prescripciones Técnicas y para las cuales, en principio, no es necesario la realización de tratamiento de datos personales por cuenta de terceros. - La Orden de Dirección 4/2014 alude a funciones propias de la seguridad interior, seguridad que no compete a las FFCCSE y por tanto a los vigilantes de seguridad. - Sin embargo, el artículo 63.1 del RD 190/1996, de 9 de febrero, por el que se aprueba el Reglamento Penitenciario, permite al Director del centro penitenciario realizar indicaciones referentes en materias de seguridad exterior. - Dicha Orden de Dirección incluida dentro de esa competencia, deberá ajustarse a los principios de la LOD, debiendo ser el Director del Centro el encargado de adecuarla a la normativa o dejarla sin efecto. - Indica que desde la Secretaría de Estado se da traslado a al Secretaría General de Instituciones Penitenciarias, a los efectos de que la citada Orden de Dirección 4/2014, del Director Accidental del Centro de Inserción Social de Valencia, de tal modo que se impida la comisión de posibles infracciones del artículo 12.2 dela LOPD. A la vista de todo ello, solicitó que se proceda al archivo del procedimiento. HECHOS PROBADOS C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/15 PRIMERO: Mediante Resolución de 29/08/2014, la Secretaría de Estado de Seguridad encomendó a la empresa de seguridad SEGUR IBÉRICA, como integrante de la UTE "Compañía de Vigilancia Aragonesa, S.L.- SEGUR IBÉRICA, S.A., Unión Temporal de Empresas, los servicios de apoyo a la seguridad en los Centros Penitenciarios dependientes del Ministerio del Interior (folios 85-87). SEGUNDO: Dicha Resolución se materializó mediante el contrato firmado el 1 de octubre de 2014 entre la Secretaría de Estado de Seguridad y la UTE "Compañía de Vigilancia Aragonesa, S.L.- SEGUR IBÉRICA, S.A., Unión Temporal de Empresas (folios 70-71) TERCERO: En el Pliego de Prescripciones Técnicas que rige en la contratación de los servicios de apoyo a la seguridad en centros penitenciarios dependientes del Ministerio del Interior, de fecha 26 de marzo de 2014, se establecen las características exigidas del servicio a prestar. Entre las tareas a realizar por SEGUR IBÉRICA figura la gestión de control de identidad en los accesos, o en el interior de los inmuebles, operación de los sistemas de control…, que conllevan el tratamiento de datos personales, teniendo en cuenta su carácter complementario y subordinado con respecto a las FCSE, deben atenerse a los protocolos de actuación que para su ejercicio se establezcan (folios 3241). CUARTO: La documentación formalizada no contiene ninguna referencia al artículo 12 de la LOPD. QUINTO: Mediante Orden de Dirección nº 4/14, de 29 de septiembre de 2014, la Dirección del Centro Penitenciario de Picassent informó que, con fecha 1 de octubre de 2014, estaba prevista la implantación del servicio de apoyo a la seguridad exterior en el Establecimiento Penitenciario de Valencia, que será desempeñado por vigilantes de seguridad de la empresa adjudicataria SEGUR IBÉRICA. En dicha Orden se especifica que el personal de seguridad privada ha de colaborar y someterse a las instrucciones que emanen de las Fuerzas y Cuerpos de Seguridad, y se establecen las tareas a realizar y los protocolos de actuación en conformidad con lo establecido por el Jefe de la Guardia Exterior (folios 3-5). FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
12. g)en relación con el artículo 36 de la LOPD. II El artículo 12 de la LOPD estipula lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/15 “Acceso a los datos por cuenta de terceros. 1. No se considerará comunicación de datos el acceso de un tercero a los datos cuando dicho acceso sea necesario para la prestación de un servicio al responsable del tratamiento. 2. La realización de tratamientos por cuenta de terceros deberá estar regulada en un contrato que deberá constar por escrito o en alguna otra forma que permita acreditar su celebración y contenido, estableciéndose expresamente que el encargado del tratamiento únicamente tratará los datos conforme a las instrucciones del responsable del tratamiento, que no los aplicará o utilizará con fin distinto al que figure en dicho contrato, ni los comunicará, ni siquiera para su conservación, a otras personas. En el contrato se estipularán, asimismo, las medidas de seguridad a que se refiere el artículo 9 de esta Ley que el encargado del tratamiento está obligado a implementar. 3. Una vez cumplida la prestación contractual, los datos de carácter personal deberán ser destruidos o devueltos al responsable del tratamiento, al igual que cualquier soporte o documentos en que conste algún dato de carácter personal objeto del tratamiento. 4. En el caso de que el encargado del tratamiento destine los datos a otra finalidad, los comunique o los utilice incumpliendo las estipulaciones del contrato, será considerado, también, responsable del tratamiento, respondiendo de las infracciones en que hubiera incurrido personalmente.” De la lectura del citado artículo 12 se deduce que, para que concurra la figura del “acceso a los datos por cuenta de tercero”, la relación deberá estar regulada en un contrato que deberá constar por escrito o en alguna forma que permita acreditar su celebración y contenido. El citado contrato permite que el responsable del fichero habilite el acceso material a datos de carácter personal por parte de la entidad que va a prestarle un servicio –encargado del tratamiento- sin que, por mandato expreso de la ley, pueda considerarse dicho acceso como una cesión de datos. Sin embargo, ese acceso o tratamiento por parte del que presta el servicio aparece rodeado de un abanico de garantías para los afectados que el propio artículo 12 impone. La primera de ellas estriba en que haya una constancia expresa de que el responsable del fichero ha encargado el tratamiento de los datos, para lo cual se exige que conste en un contrato. A este respecto, el artículo 12 impone un requisito formal por cuanto el contrato debe constar escrito o, en todo caso, debe acreditarse formalmente su celebración. Es decir, la norma impone que siempre exista una relación jurídica de naturaleza contractual entre el responsable y el tercero al que encarga el tratamiento y, además, exige una constancia formal de dicha relación, que conste por escrito o en cualquier otra forma que permita acreditar su celebración y contenido, que deberá especificar las circunstancias previstas por los apartados 2 y 3 del citado precepto. Así lo ha recordado la Audiencia Nacional, en su Sentencia de 19 de noviembre de 2003, en la que se señala que “Para tener la condición legal de encargado del tratamiento, al que por cierto le es de aplicación el régimen sancionador que establece la Ley Orgánica 15/1999, según dispone el artículo 43.1 de la expresada Ley, es necesario cumplir una serie de exigencias necesarias, que operan a modo de garantías, establecidas en el artículo 12 C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/15 de la Ley Orgánica 15/1999. Así es, cuando el tratamiento se realice por cuenta de un tercero debe constar “por escrito o en alguna otra forma que permita acreditar su celebración y contenido”, por lo que no basta con acreditar que existe una relación jurídica entre el responsable del fichero y el encargado del tratamiento, sino que ésta ha de constar por escrito o por otra forma que permita acreditar su “celebración y contenido”. En este sentido, la propia Ley prevé un contenido mínimo del contrato entre las partes en el que deben constar una serie de estipulaciones necesarias, a saber, seguir las instrucciones del responsable del tratamiento, no utilizar los datos para un fin distinto, no comunicarlos a otras personas (artículo 12.2 párrafo primero), estipular las medidas de seguridad del artículo 9 (artículo 12.2 párrafo segundo) y cumplida la prestación destruir los datos o proceder a su devolución al responsable del tratamiento (artículo 12.3). Las garantías a que se hace referencia son las expresamente exigidas por el artículo 12 de la LOPD. En este sentido, la propia Ley prevé un contenido mínimo del contrato entre las partes en el que deben constar una serie de estipulaciones necesarias, a saber, seguir las instrucciones del responsable del tratamiento, no utilizar los datos para un fin distinto, no comunicarlos a otras personas (artículo 12.2 párrafo primero), estipular las medidas de seguridad del artículo 9 (artículo 12.2 párrafo segundo), y cumplida la prestación destruir los datos o proceder a su devolución al responsable del tratamiento (artículo 12.3).” Esta exigencia es congruente con el sistema de protección de la LOPD ya que, sin consentimiento ni conocimiento de los afectados, se está permitiendo un tratamiento de sus datos personales por parte de un tercero. Por ello, es preciso que conste quién es el responsable de dicho tratamiento y que éste se encuentre vinculado jurídicamente con el tercero para poder exigirle, en virtud de dicha relación jurídica, el cumplimiento de las garantías previstas en la citada ley. En segundo lugar, el artículo 12 de la LOPD garantiza un correcto tratamiento de los datos personales respecto del contenido de ese contrato exigiendo que figuren explícitamente las instrucciones del responsable del fichero al tercero, de forma que este último sólo estará habilitado para tratar los datos conforme a aquéllas, no pudiendo aplicarlos ni utilizarlos para fines distintos de los que expresamente han de figurar en el contrato. En tercer lugar se impone como garantía para los afectados que no puedan producirse tratamientos ulteriores de dichos datos, al establecer rotundamente el mismo artículo que el encargado del tratamiento no podrá comunicarlos ni siquiera para su conservación a otras personas. En este caso, la prestación de servicios que la Secretaría de Estado de Seguridad encomendó a SEGUR IBÉRICA se encuadra en la situación prevista en el referido artículo 12 de la LOPD. Conforme a la citada normativa, la sociedad SEGUR IBÉRICA interviene en los hechos en su condición de encargado de tratamiento, por virtud del mandato otorgado por la Secretaría de Estado de Seguridad para el apoyo a la seguridad de los centros penitenciarios dependientes del Ministerio del Interior, siendo ésta última la responsable del fichero o tratamientos, por cuanto tiene el poder de decisión sobre la finalidad, contenido y uso del tratamiento. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/15 Para analizar esta cuestión, debe partirse de los conceptos de responsable del tratamiento y encargado del tratamiento, que se definen en el artículo 3 de la LOPD: “
13. d)Responsable del fichero o tratamiento: persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento”. “
14. g)Encargado del tratamiento: La persona física o jurídica, autoridad pública, servicio o cualquier otro organismo que, sólo o conjuntamente con otros, trate datos personales por cuenta del responsable del tratamiento”. En el mismo sentido, el artículo 5.1.
15. i)del Reglamento de desarrollo de la LOPD define al encargado del tratamiento como
16. i)“La persona física o jurídica, pública o privada, u órgano administrativo que, solo o conjuntamente con otros, trate datos personales por cuenta del responsable del tratamiento o del responsable del fichero, como consecuencia de la existencia de una relación jurídica que le vincula con el mismo y delimita el ámbito de su actuación para la prestación de un servicio”. La figura del encargado del tratamiento se ajusta a la actividad desarrollada en este caso por SEGUR IBÉRICA. Dicha figura está regulada por el artículo 12 de la LOPD y en ella tienen cabida aquellos supuestos en que la entidad receptora de los datos se limite a efectuar determinadas operaciones sobre los mismos, sin decidir sobre su finalidad, restituyendo los datos al responsable una vez concluida la prestación contratada con aquél. Por el contrario, no se ajustarán a dicho concepto aquellos casos en los que la persona o entidad que reciba los datos pueda aplicar los mismos a sus propias finalidades, decidiendo sobre el objeto y finalidad del tratamiento, lo que convertirá a dicha persona o entidad, a su vez, en un responsable del fichero o tratamiento. Conforme a lo dispuesto en el artículo 12 de la LOPD y en el artículo 20 del Reglamento de desarrollo de dicha Ley Orgánica, el acceso a los datos por parte de un encargado del tratamiento que resulte necesario para la prestación de un servicio al responsable no se considerará comunicación de datos, siempre y cuando se cumpla lo establecido en la citadas normas salvo que el acceso “tenga por objeto el establecimiento de un nuevo vínculo entre quien accede a los datos y el afectado”. De este modo, la existencia de un encargado del tratamiento vendrá delimitada por la concurrencia de dos características derivadas de la normativa anteriormente citada: la imposibilidad de decisión sobre la finalidad, contenido y uso del tratamiento y la inexistencia de una relación directa entre el afectado y el encargado, que deberá en todo caso obrar en nombre y por cuenta del responsable como si la relación fuese entre éste y el afectado. En los casos en que una Administración contrata la prestación de un servicio con un tercero, para delimitar los supuestos en los que el adjudicatario tendrá la condición de responsable o encargado del tratamiento deberá partirse, precisamente, de la propia naturaleza del contrato y de las consecuencias de su celebración, en el sentido de determinar si de la adjudicación se derivará el nacimiento de una relación directa entre quien gestiona el servicio público y el administrado que hace uso de tal servicio. Si los organismos o entidades colaboradoras se limitan a realizar el acto material de tratamiento sin desarrollar una función o actividad propia ocuparán la posición jurídica de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/15 encargado del tratamiento. En este caso, la entidad SEGUR IBÉRICA se encarga de los servicios de apoyo a la seguridad en centros penitenciarios dependientes del Ministerio del Interior y lo hace en representación de esta entidad, sin que de ello resulte una relación que vincule a SEGUR IBÉRICA con los destinatarios de la seguridad. La citada Secretaría de Estado es quien ostenta la condición de responsable del fichero, no pudiendo ser la entidad colaboradora SEGUR IBÉRICA más que una encargada del tratamiento. SEGUR IBÉRICA accede a los datos de las personas respecto del servicio a prestar (gestión de control de identidad en los accesos o en el interior de los inmuebles, operación de los sistemas de control….) con la única finalidad de prestar un servicio a la Secretaría de Estado, no pudiendo utilizarlos para ninguna otra actividad y debiendo tratarlos conforme a las instrucciones del responsable del tratamiento. Asimismo, deberá devolver los datos a los que accede una vez concluida la prestación del servicio. En consecuencia, la relación jurídica que vincula a la Secretaría de Estado de Seguridad y a SEGUR IBÉRICA para la prestación los servicios de apoyo a la seguridad en centros penitenciarios dependientes del Ministerio del Interior exige la formalización de un contrato de encargado del tratamiento que cumpla las exigencia previstas en el artículo 12 de la LOPD antes reseñadas, aunque en este caso no se trate de un contrato en el sentido de acuerdo de voluntades. El contenido de ese encargo del tratamiento regulado en el apartado 2 del citado artículo puede incorporarse en los actos de la encomienda de gestión o constar por separado en un documento elaborado con esta concreta finalidad. En el presente caso, existe constancia formal sobre la relación jurídica que vincula a la Secretaría de Estado de Seguridad y a SEGUR IBÉRICA, que ampara el acceso por parte de ésta a los datos personales de quienes acceden a las instalaciones penitenciarias, o de quienes son objeto de control en el interior de dichas instalaciones, por virtud de la encomienda de gestión acordada por la misma, pero la documentación formalizada no contiene ninguna referencia al artículo 12 de la LOPD, incumpliendo las obligaciones establecidas en relación al contenido del contrato de encargado del tratamiento. A este respecto, la Sentencia del Tribunal Supremo de 17/04/2007 declaró lo siguiente: “ lo que necesariamente exige una forma que refleje y deje constancia no sólo de su celebración sino de su contenido, que incluso se especifica en sus cláusulas imprescindibles en el propio precepto. Tal exigencia responde a la finalidad de la norma de garantizar que el acceso de terceros a los datos de carácter personal, objeto de tratamiento automatizado, se produzca únicamente en los casos y con las limitaciones legalmente establecidas, plasmándose las condiciones, finalidad y alcance de la cesión de forma que resulte controlable en su desarrollo y cumplimiento”. Este planteamiento, que resulta de la aplicación de la normativa reguladora de la protección de datos de carácter personal, no se modifica por el hecho de que la entidad SEGUR IBÉRICA esté constituida como medio propio y ente instrumental de la Secretaría de Estado de Seguridad o porque los encargos que esta entidad realice a aquélla se lleven a cabo mediante acuerdos de encomienda de gestión. Este carácter de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/15 medio propio excluye de la Ley de Contratos del Sector Público los negocios jurídicos en virtud de los cuales la Secretaría de Estado encargue a SEGUR IBÉRICA la realización de una determinada prestación, pero, obviamente, tales relaciones no quedan fuera del ámbito de aplicación de la LOPD y sus normas de desarrollo, con el alcance que en cada caso corresponda. En cualquier caso, en el presente supuesto no se cuestiona la cesión de datos por parte del Ministerio del Interior, sólo se cuestiona que la documentación en la que se basa la cesión no contempla las estipulaciones del artículo 12 de la LOPD. Finalmente, cabe señalar que la dependencia orgánica o funcional entre entidades, y tampoco la falta de éstas, no determinan la condición de encargado del tratamiento, puesto que lo esencial es el contenido material de la relación jurídica que justifica el acceso a los datos personales. III El artículo 44.2.
17. d)de la LOPD en su vigente redacción aprobada por Ley 2/2011, considera infracción leve: “La transmisión de los datos a un encargado del tratamiento sin dar cumplimiento a los deberes formales establecidos en el artículo 12 de esta Ley.” En el presente procedimiento se imputa al MINISTERIO DEL INTERIOR (Secretaría de Estado de Seguridad) una infracción del artículo 12.2 de la LOPD, que aparece tipificado como infracción leve en el mencionado artículo 44.2.d), que resulta de la falta de instrucciones a SEGUR IBÉRICA, en particular respecto a las medidas de seguridad que debía adoptar como encargada del tratamiento, y del resto de circunstancias previstas en aquel artículo, en relación con el mandato específico para los servicios de apoyo, por parte de la entidad SEGUR IBÉRICA, a la seguridad en centros penitenciarios dependientes del Ministerio del Interior, aprobado por la Secretaría de Estado. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR que el MINISTERIO DEL INTERIOR (Secretaría de Estado de Seguridad) ha infringido lo dispuesto en el artículo 12.2 de la LOPD, tipificada como leve en el artículo 44.2.
18. d)de la citada Ley Orgánica. SEGUNDO: REQUERIR al MINISTERIO DEL INTERIOR (Secretaría de Estado de Seguridad), de acuerdo con lo establecido en el apartado 3 del artículo 46 de la Ley 15/1999, para que acredite en el plazo de un mes desde este acto de notificación las medidas de orden interno que impidan que en el futuro pueda producirse una nueva infracción del artículo 12 de la LOPD, en concreto, que se incluyan las estipulaciones del artículo 12 en el contrato suscrito con la entidad SEGUR IBÉRICA respecto a la seguridad en centros penitenciarios dependientes del Ministerio del Interior, para lo que se abre expediente de actuaciones previas E/00561/2016. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/15 TERCERO: NOTIFICAR la presente resolución al MINISTERIO DEL INTERIOR (Secretaría de Estado de Seguridad) y a la AGRUPACIÓN DE CUERPOS DE LA ADMININISTRACIÓN DE INSTITUCIONES PENITENCIARIAS (ACAIP VALENCIA). CUARTO: COMUNICAR la presente resolución al Defensor del Pueblo, de conformidad con lo establecido en el artículo 46.4 de la LOPD. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, se podrá interponer potestativamente recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa (en lo sucesivo LJCA), en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Sin embargo, el responsable del fichero de titularidad pública, de acuerdo con el artículo 44.1 de la LJCA, sólo podrá interponer directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la LJCA, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es