1/14 Procedimiento Nº AP/00055/2017 RESOLUCIÓN: R/00443/2018 En el procedimiento de Declaración de Infracción de Administraciones Públicas AP/00055/2017, instruido por la Agencia Española de Protección de Datos al AYUNTAMIENTO DE ***LOC.1, y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fechas 22 y 24 de marzo de 2017 se registran de entrada en esta Agencia sendos escritos en los que quienes se denominan, sin identificar, “Compañer@s Ayuntamiento ***LOC.1”, denuncian a Don A.A.A., Policía Local del AYUNTAMIENTO DE ***LOC.1, por el uso mercantilista que, junto con otro compañero de dicho Ayuntamiento, está realizando con los datos de carácter personal registrados en las fichas policiales custodiadas en las dependencias de la Policía Local del AYUNTAMIENTO DE ***LOC.1, (en lo sucesivo el denunciado) al facilitarlos o vénderlos a terceros. Según figura en dichas denuncias, el citado Policía Local “está vendiendo/facilitando Datos de las Fichas Policiales que obran en las dependencias de la Policía Local del Ayuntamiento de ***LOC.1 a terceras personas realizando un uso Mercantilista de unos Datos Personales Policiales sobre los que tanto el Ayuntamiento de ***LOC.1 como todos los trabajadores de esta Ayuntamiento somos Garantes y estamos obligados a velar por su privacidad y no difundirlos y sacar provecho personal, particular y económico como está haciendo este compañero”. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se ha tenido conocimiento de los siguientes hechos: 1 En el Registro General de Protección de Datos de esta Agencia consta que el Ayuntamiento de ***LOC.1 cuenta, entre otros, con un fichero denominado: PERSONAS IDENTIFICADAS Y/O DETENIDAS POR LA POCIA LOCAL, que tiene como finalidad declarada: “Personas identificadas y/o detenidas por la Policía Local o las Fuerzas y Cuerpos de Seguridad del estado que ingresan en el depósito de detenidos municipal” 2 Solicitada información al Ayuntamiento de ***LOC.1, con fechas 14 de julio 4 de septiembre de 2017, tienen entrada en esta Agencia dos escritos remitidos por la Alcaldesa del citado municipio en los que a través de los informes emitidos, con fechas 3 de julio y 24 de agosto de 2017, por el Jefe de la Policía Local de ***LOC.1 se pone de manifiesto que: a. Toda la plantilla tiene acceso a la base de datos de la Dirección General de Tráfico, la cual se encuentra auditada por la misma, accediendo cada agente con el número del DNI y una clave personal. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/14 b. Toda la plantilla puede acceder, con una misma clave, a la base de datos del Ayuntamiento, a través del programa AMAYA, donde se pueden consultar datos del padrón municipal, obras, Juntas <Locales de Gobierno, etc. c. Cualquier intervención policial o comparecencia de ciudadanos solicitando diversas gestiones o informaciones, una vez realizada se remite a la administración peticionaria: Juzgados, Delegación del Gobierno, Jefaturas de Tráfico, etc. Cuando se instruyen diligencias por supuestos delitos contra la Seguridad Vial o diligencia a Prevención, se remiten al Juzgado de Instrucción y se da conocimiento a la Guardia Civil, conforme a lo establecido en la Ley de Fuerzas y Cuerpos de Seguridad. d. Con relación a los detenidos que ingresan y se custodian en las dependencias de la Policía Local, se sigue el siguiente protocolo: Los detenidos ingresan en el depósito de detenidos mediante un mandamiento de la Guardia Civil. En el libro de registro correspondiente se cumplimentan los datos relativos a la entrada y la salida del interno, esto último una vez recibido el mandamiento de libertad del mismo. Los datos que se cumplimentan en dicho libro registro, denominado “Depósito Municipal de Detenidos 2016-2017” según figura en documento adjunto a uno de los informes, son, entre otros: Al registrar la “Entrada”: En relación con el detenido: Nombre y Apellidos, DNI, Localidad y Provincia de nacimiento, Fecha de nacimiento, nombre del padre y de la madre, Localidad, Provincial, Nacionalidad, Rasgos especiales, Alias. En relación con el funcionario actuante: datos identificativos del policía local que lo entrega. Al registrar la “Salida”: Datos identificativos del Policía Local que entrega al detenido y del Agente de la Guardia Civil que lo recoge, incluidos sus respectivos números de N.I.P. y T.I.P. Durante la estancia del detenido en esas dependencias, permanece la cadena de custodia y recogida por la Guardia Civil, cuando trasladan al detenido. Los mandamientos de entrada y libertad, mensualmente se entregan al de Intervención del Ayuntamiento, desde donde se tramita el abono de la comida de cada detenido. De ese mandamiento no queda copia en las dependencias policiales. Desde el departamento de intervención, se envían a Gerencia de administración de justicia los mismos, quedando copia en las dependencias policiales de la relación de socorros de comidas. e. El armario-archivador donde queda constancia de todos los documentos mencionados, teniendo acceso a él toda la plantilla, en C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/14 carpetas archivo A-Z., se encuentra en el despacho de atestados, estando durante dos años en ese lugar, pasando después a la sala archivo. Transcurridos tres años, son destruidos. TERCERO: Con fecha 17 de octubre de 2017, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento de declaración de infracción de Administraciones Públicas al AYUNTAMIENTO DE ***LOC.1 por la presunta infracción del artículo 9 de la de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de los Datos de Carácter Personal, (en lo sucesivo LOPD), en relación con lo dispuesto en el artículo 7.5 de dicha norma y artículos 91, 93, 111 y 113 del Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, aprobado por el Real Decreto 1720/2007, de 21 de diciembre, (RLOPD en adelante). La citada infracción en materia de seguridad de datos está tipificada como grave en el artículo 44.3.
- h)de la LOPD. CUARTO: Notificado el citado acuerdo de inicio de procedimiento de declaración de infracción de Administraciones Públicas, en fecha 31 de octubre de 2017, el AYUNTAMIENTO DE ***LOC.1 presentó escrito de alegaciones en el que, en síntesis, manifestaba lo siguiente: que el fichero “Personas identificadas y/o detenidas por la Policía Local o las Fuerzas y Cuerpos de Seguridad del Estado que ingresan en el depósito de detenidos municipal” sí que cuenta con las medidas técnicas y organizativas necesarias que garantizan la seguridad de los datos que la Ley exige. Para para demostrar este cumplimiento, el Excmo. Ayuntamiento ha solicitado informe a las personas encargadas del tratamiento de dicho fichero. La Unidad de Informática y Telecomunicaciones indica que el fichero mencionado informatizado está vacío de datos en la actualidad al no haberse utilizado en explotación por medios informáticos. El responsable del Archivo Municipal se refiere al almacenamiento de la información referida, en concreto, a la remisión de justificantes para abono de socorros a la alimentación que está protegido con dos puertas de seguridad dotadas de sistema de apertura mediante tres llaves; encontrándose cerradas cuando no es preciso el acceso a documentos archivados. Solo accede la responsable del archivo. Acompañan el informe del Jefe de la Policía Local que deja claro que el fichero citado es utilizado en explotación por medios no informáticos; y que el tratamiento y utilización se realiza en las dependencias de la Policía Local por parte de toda la plantilla, formada por 21 personas. Por último, indican que si la Agencia estima que no se cumplen las medidas de seguridad adecuadas que proponga las medidas complementarias que estime adecuadas para el cumplimiento de las medidas de seguridad. QUINTO: Con fecha 11 de diciembre de 2017 se inicia por la Instructora del procedimiento la apertura de un período de práctica de pruebas, en cuyo marco se acuerda practicar las siguientes pruebas: -Incorporar al expediente del procedimiento arriba indicado, y por tanto dar por reproducida a efectos probatorios, la documentación recabada en las actuaciones previas de inspección que forman parte del expediente E/02645/2017. Asimismo, se dan por reproducidas a efectos probatorios, las alegaciones al acuerdo de inicio del procedimiento AP/00055/2017 presentadas por la Alcaldesa del AYUNTAMIENTO DE ***LOC.1. Todo ello con su correspondiente documentación adjunta. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/14 - Sin perjuicio de su posterior valoración, se acepta la incorporación al procedimiento de la documental consistente en los informes de fechas 23, 24 y 26 de octubre de 2017 emitidos por el responsable de la Unidad de Informatica y Telecomunicaciones, el responsable del Archivo Municipal y el Jefe de la Policía Local, respectivamente, adjuntados al mencionado escrito de alegaciones. -Solicitar al AYUNTAMIENTO DE ***LOC.1 contestación a los siguientes extremos y/o envío de la documentación que a continuación se cita: 1. Envío de copia de los diferentes tipos de ficha/s policial/es que se cumplimentan o tratan en ese Ayuntamiento. 2. Remisión de documentación justificativa de que el fichero “Personas identificadas y/o detenidas por la Policía Local” inscrito en el Registro General de esta Agencia como fichero automatizado no ha sido explotado y “está vació de datos” de carácter personal. 3. En relación con dicho fichero, denominado “Personas identificadas y/o detenidas por la Policía Local”, y dado que continuaba inscrito a fecha 6 de septiembre de 2017, se reitera solicitud efectuada en fase de actuaciones previas de inspección, consistente en el envío de copia de la parte del documento de Seguridad donde figure la información relativa a los aspectos contemplados en los apartados 3 y 4 del artículo 88 del Reglamento de Desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre de Protección de Datos, aprobado por Real Decreto 1720/2007, de 21 de diciembre, (en adelante RLOPD), o, en su caso, de los distintos documentos de seguridad en los que se recogen las medidas a las que se refieren dichos apartados. 4. Respecto de las medidas de seguridad aplicables a los ficheros y tratamientos no automatizados efectuados con los datos de carácter personal obrantes en las fichas policiales utilizadas se solicita: Denominación de los ficheros no automatizados resultantes del tratamiento de la información obrante en las citadas fichas policiales, puntualizándose, en su caso, si sólo han dado lugar a la generación del fichero organizado en carpetas archivo de la a –z que se encuentra el armario-archivador situado en las dependencias de la Policía Local del Ayuntamiento de ***LOC.1. Remisión de documentación acreditativa del cumplimiento de las obligaciones comunes de seguridad contempladas en el artículo 105 del Reglamento de Desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre de Protección de Datos, aprobado por Real Decreto 1720/2007, de 21 de diciembre, respecto de las medidas de seguridad aplicables a los ficheros y tratamientos no automatizados efectuados con los datos de carácter personal obrantes en las fichas policiales utilizadas. Particularmente, se solicita remisión de la parte del documento o protocolos de seguridad que recojan la información referente a los apartados 1 y 2 del artículo 105 del citado RLOPD respecto del fichero/ficheros no automatizado/s creado/s con la referida información de las fichas policiales. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/14 A fin de mayor concreción, y en relación con la información de carácter personal almacenada en el armario-archivador referida a los documentos a los que se refiere el informe del Jefe de la Policía Local de fecha 24 de agosto de 2017, se solicita acreditación del cumplimiento de las medidas de seguridad concretas adoptadas a fin de dar cumplimiento a lo previsto en los artículos 105, 107, 111 y 113 del RLOPD, citando también la ubicación exacta de las dependencias de la Policía Local del Ayuntamiento de ***LOC.1 en el que se encuentra el despacho de atestados y el archivo. En relación con los datos de carácter personal cumplimentados en los documentos de entrada y salida de los internos que figuran registrados en los Libros “Depósito Municipal de Detenidos” se solicita contestación a los extremos reseñados en la letra
- c)anterior, a fin de que ese Ayuntamiento identifique el/los fichero/s no automatizado/s en el/los que se integra esa información y las medidas adoptadas en relación con los mismos en el documento o protocolos de seguridad elaborados en relación con lo dispuesto en los artículos 105, 106, 107, 111 y 113 del RLOPD. También se solicita envío de documentación justificativa de los criterios de archivo adoptados en cuanto a la información almacenada en dichos Libros (lugar de depósito y medidas de seguridad adoptadas para su custodia), personas autorizadas a acceder a la información contenida en los mismos y medidas de control de accesos. 5. En cuanto al informe de fecha 24 de agosto de 2017, se solicita aclaración de si la formulación de denuncias en materia de tráfico y seguridad vial, la cumplimentación de diligencias por supuestos delitos contra la seguridad vial o de diligencias de prevención da lugar a la cumplimentación de fichas policiales almacenadas en el reseñado armario-archivador, en cuyo caso se solicita remisión de copia de un ejemplar anonimizado o sin cumplimentar de las fichas policiales que se utilizan para esos supuestos, informándose de si los datos personales recogidos en las mismas se almacenan en ficheros manuales o automatizados. 6. Identidad del Jefe de la Policía Local de ese Ayuntamiento, con DIP 8201, firmante de los informes de fechas 24/08/2017 y 26/10/2017 remitidos a esta Agencia. 7. Remisión de documento o protocolos de seguridad acreditativos del establecimiento de cada una de las medidas de índole técnico/profesional y organizativas relacionadas con los artículos 91, 93, 111 y 113 del RLOPD que se citan como adoptadas en el informe efectuado por el Jefe de la Policía Local con fecha 26/10/2017, así como de la efectiva implantación de dichas medidas de control de acceso a la información obrante en el fichero no automatizado “Personas identificadas y/o detenidas por la Policía Local”, identificación del usuario, almacenamiento y acceso a la información. 8. Envío de copia, a modo de muestra, de los movimientos de altas y salidas que constan anotados en el Libro Registro del fichero “Personas identificadas y/o detenidas por la Policía Local” durante el primer trimestre del año 2017. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/14 9. Actuaciones seguidas por ese Ayuntamiento en relación con el supuesto uso dado por el policía local Don A.A.A. a los datos personales contenidos en las fichas policiales. Se solicita aclaración del perfil de usuario asignado al mismo. 10. Medidas de control implementadas por ese Ayuntamiento a fin de verificar la idoneidad de los accesos efectuados y el uso dado a la información de carácter personal procedente del fichero no automatizado “Personas identificadas y/o detenidas por la Policía Local” y/o del Libro “Depósito Municipal de Detenidos”. SEXTO: En contestación a la solicitud del Ayuntamiento de ***LOC.1 de ampliación del plazo que le fue concedido para dar respuesta a las pruebas requeridas en veinte días hábiles, registrado de entrada en esta Agencia con fecha 4 de enero de 2018, la Instructora del procedimiento acordó, con fecha 8 de enero de 2018, abrir un período extraordinario de prueba hasta un máximo de diez días hábiles, a computar a partir del día siguiente a aquél en el que finalizara el plazo de diez días hábiles inicialmente acordado con fecha 11 de diciembre de 2017, ello en virtud de lo establecido en el artículo 77.2 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas. SÉPTIMO: El Ayuntamiento de ***LOC.1 envió informe referente a las pruebas solicitadas, en el que se indica lo siguiente: El Ayuntamiento acompaña copia del modelo de ficha policial que cumplimentan los agentes de la Policía Local para documentar la entrada y la salida de los detenidos en los calabozos. El fichero automatizado “Personas identificadas y/o custodiadas por la Policía Local” no ha sido explotado y está vacío de datos. En cuanto al armario archivador con las fichas policiales, se encuentra en la dependencia denominada “atestados” que está cerrada con llave y el armario también. A dicha dependencia solo acceden los agentes de la Policía Local que estén de servicio en cada momento; al armario archivador solo accede el Jefe de Servicio de la Policía Local y el agente en quien delegue. El Libro de Depósitos de Detenidos se encuentra en una estancia que da acceso a los calabozos, en una caja fuerte con doble llave, al que accede el Jefe de Servicio de la Policía Local y el agente en quien delegue. Las denuncias en materia de tráfico y seguridad vial no dan lugar a cumplimentar fichas policiales. Por último, informan que no han realizado actuaciones sobre el uso dado a las fichas policiales por el Policía Local Don A.A.A., ya que no ha habido ninguna denuncia contra él. Es un Policía con perfil de usuario básico con acceso a la base de datos de la Dirección General de Tráfico (auditada por esa misma Dirección) y a las bases de datos del Ayuntamiento de ***LOC.1. OCTAVO: Con fecha 5 de marzo de 2018, la Instructora del procedimiento emitió Propuesta de Resolución, en el sentido de que por la Directora de la Agencia Española de Protección de Datos se declare que el Ayuntamiento de ***LOC.1 ha infringido lo dispuesto en el artículo 9.1 de la LOPD, lo que supone una infracción tipificada como grave en el artículo 44.3.
- h)de la citada norma, así como que se requiera al mismo la adopción de las medidas de orden interno que impidan que en el futuro pueda producirse una nueva infracción del artículo 9 de la mencionada Ley. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/14 La citada propuesta de resolución se notificó al citado Ayuntamiento con fecha 12 de marzo de 2018, sin que conste que el mismo haya ejercido su derecho a formular alegaciones. HECHOS PROBADOS PRIMERO: En fechas 22 y 24 de marzo de 2017 se recibieron en esta Agencia sendos escritos en los que quienes se denominan, “Compañer@s Ayuntamiento ***LOC.1”, denuncian a Don A.A.A., Policía Local del AYUNTAMIENTO DE ***LOC.1, por el uso mercantilista que, junto con otro compañero de dicho Ayuntamiento, está realizando con los datos de carácter personal registrados en las fichas policiales custodiadas en las dependencias de la Policía Local del AYUNTAMIENTO DE ***LOC.1, al facilitarlos o venderlos a terceros. Según figura en dichas denuncias, el citado Policía Local “está vendiendo/facilitando Datos de las Fichas Policiales que obran en las dependencias de la Policía Local del Ayuntamiento de ***LOC.1 a terceras personas realizando un uso Mercantilista de unos Datos Personales Policiales sobre los que tanto el Ayuntamiento de ***LOC.1 como todos los trabajadores de esta Ayuntamiento somos Garantes y estamos obligados a velar por su privacidad y no difundirlos y sacar provecho personal, particular y económico como está haciendo este compañero”. SEGUNDO: En el Registro General de Protección de Datos de esta Agencia consta inscrito por el Ayuntamiento de ***LOC.1 un fichero denominado: PERSONAS IDENTIFICADAS Y/O DETENIDAS POR LA POCIA LOCAL, que tiene como finalidad declarada: “Personas identificadas y/o detenidas por la Policía Local o las Fuerzas y Cuerpos de Seguridad del estado que ingresan en el depósito de detenidos municipal” TERCERO: El Ayuntamiento de ***LOC.1 ha indicado en relación a los accesos por los miembros de la Policía Local lo siguiente: Toda la plantilla tiene acceso a la base de datos de la Dirección General de Tráfico, la cual se encuentra auditada por la misma, accediendo cada agente con el número del DNI y una clave personal. Toda la plantilla puede acceder, con una misma clave, a la base de datos del Ayuntamiento, a través del programa AMAYA, donde se pueden consultar datos del padrón municipal, obras, Juntas <Locales de Gobierno, etc. El fichero automatizado “Personas identificadas y/o custodiadas por la Policía Local” no ha sido explotado y está vacío de datos CUARTO: El armario archivador con las fichas policiales, se encuentra en la dependencia denominada “atestados”, está cerrada con llave y el armario también. QUINTO: A la dependencia de atestados solo acceden los agentes de la Policía Local que están de servicio en cada momento. SEXTO: El Jefe de Servicio de la Policía Local, y el agente en quien delegue, son las personas que acceden al armario archivador C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/14 SÉPTIMO: El Libro de Depósitos de Detenidos se encuentra en una estancia que da acceso a los calabozos, en una caja fuerte con doble llave, al que accede el Jefe de Servicio de la Policía Local y el agente en quien delegue. OCTAVO: El Ayuntamiento de ***LOC.1 no ha realizado actuaciones sobre el uso dado a las fichas policiales por el Policía Local Don A.A.A., ya que no ha habido ninguna denuncia contra él. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
- g)en relación con el artículo 36 de la LOPD. II El artículo 17.1 de la Directiva 95/46/CE, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, establece: “Seguridad del tratamiento: 1. Los Estados miembros establecerán la obligación del responsable del tratamiento de aplicar las medidas técnicas y de organización adecuadas, para la protección de los datos personales contra la destrucción, accidental o ilícita, la pérdida accidental y contra la alteración, la difusión o el acceso no autorizados, en particular cuando el tratamiento incluya la transmisión de datos dentro de una red, y contra cualquier otro tratamiento ilícito de datos personales. Dichas medidas deberán garantizar, habida cuenta de los conocimientos técnicos existentes y del coste de su aplicación, un nivel de seguridad apropiado en relación con los riesgos que presente el tratamiento y con la naturaleza de los datos que deban protegerse” III La LOPD traspuso al ordenamiento interno el contenido de la Directiva 95/46, y en su artículo 1 dispone que “la presente Ley Orgánica tiene por objeto garantizar y proteger, en lo que concierne al tratamiento de los datos personales, las libertades públicas y los derechos fundamentales de las personas físicas, y especialmente de su honor e intimidad personal y familiar”. El artículo 2.1 de la misma Ley Orgánica establece: “La presente Ley Orgánica será de aplicación a los datos de carácter personal registrados en soporte físico que los haga susceptibles de tratamiento y a toda modalidad de uso posterior de estos datos por los sectores públicos y privados”. El artículo 9 de la LOPD dispone lo siguiente: “1. El responsable del fichero, y, en su caso, el encargado del tratamiento, deberán adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten su alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/14 tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural. 2. No se registrarán datos de carácter personal en ficheros que no reúnan las condiciones que se determinen por vía reglamentaria con respecto a su integridad y seguridad y a las de los centros de tratamiento, locales, equipos, sistemas y programas. 3. Reglamentariamente se establecerán los requisitos y condiciones que deban reunir los ficheros y las personas que intervengan en el tratamiento de los datos a que se refiere el artículo 7 de esta Ley.” El art. 7.5 de la LOPD, referido a “Datos especialmente protegidos”, establece como tales: “5. Los datos de carácter personal relativos a la comisión de infracciones penales o administrativas sólo podrán ser incluidos en ficheros de las Administraciones públicas competentes en los supuestos previstos en las respectivas normas reguladoras.“ El art. 9 de la LOPD establece el principio de “seguridad de los datos” imponiendo la obligación de adoptar las medidas de índole técnica y organizativa que garanticen aquélla, añadiendo que tales medidas tienen como finalidad evitar, entre otros aspectos, el “acceso no autorizado”. Para poder delimitar cuáles sean los accesos que la Ley pretende evitar exigiendo las pertinentes medidas de seguridad es preciso acudir a las definiciones de “fichero” y “tratamiento” contenidas en la LOPD. En lo que respecta a los ficheros el art. 3.
- b)los define como “todo conjunto organizado de datos de carácter personal, cualquiera que fuere la forma o modalidad de su creación, almacenamiento, organización y acceso”. Por su parte la letra
- c)del mismo artículo permite considerar tratamiento de datos a las “operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias.” Para completar el sistema de protección en lo que a la seguridad afecta, el art. 44.3.
- h)de la LOPD tipifica como infracción grave el mantener los ficheros “...que contengan datos de carácter personal sin las debidas condiciones de seguridad que por vía reglamentaria se determinen”. Sintetizando las previsiones legales puede afirmarse que:
- a)Las operaciones y procedimientos técnicos automatizados o no, que permitan el acceso –la comunicación o consulta- de datos personales, es un tratamiento sometido a las exigencias de la LOPD.
- b)Los ficheros que contengan un conjunto organizado de datos de carácter personal así como el acceso a los mismos, cualquiera que sea la forma o modalidad en que se produzca están, también, sujetos a la LOPD.
- c)La LOPD impone al responsable del fichero la adopción de medidas de seguridad, cuyo detalle se remite a normas reglamentarias, que eviten accesos no autorizados. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/14
- d)El mantenimiento de ficheros carentes de medidas de seguridad que permitan accesos o tratamientos no autorizados, cualquiera que sea la forma o modalidad de éstos, constituye una infracción tipificada como grave. El Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD, en su artículo 81.1 señala que “Todos los ficheros o tratamientos de datos de carácter personal deberán adoptar las medidas de seguridad calificadas de nivel básico”. Las medidas de seguridad de nivel básico están reguladas en los artículos 89 a 94, las de nivel medio se regulan en los artículos 95 a 100 y las medidas de seguridad de nivel alto se regulan en los artículos 101 a 104. Las medidas de seguridad aplicables a los ficheros y tratamientos no automatizados se regulan en los artículos 105 a 114. Las medidas de seguridad se clasifican en atención a la naturaleza de la información tratada, esto es, en relación con la mayor o menor necesidad de garantizar la confidencialidad y la integridad de la misma. En el caso que nos ocupa como establece el artículo 81.3.
- b)del Reglamento de desarrollo de la LOPD, además de las medidas de nivel básico y medio, deberán adoptarse las medidas de nivel alto a los ficheros o tratamientos de datos de carácter personal que contengan o se refieran a datos recabados para fines policiales sin consentimiento de las personas afectadas. El Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD, en su artículo 81 apartado 3 determina lo siguiente: “Además de las medidas de nivel básico y medio, las medidas de nivel alto se aplicarán en los siguientes ficheros o tratamientos de datos de carácter personal: a Los que se refieran a datos de ideología, afiliación sindical, religión, creencias, origen racial, salud o vida sexual. b Los que contengan o se refieran a datos recabados para fines policiales sin consentimiento de las personas afectadas. c Aquéllos que contengan datos derivados de actos de violencia de género.” El artículo 91 del RLOPD, bajo la rúbrica “Control de acceso”, dispone que: “1. Los usuarios tendrán acceso únicamente a aquellos recursos que precisen para el desarrollo de sus funciones. 2. El responsable del fichero se encargará de que exista una relación actualizada de usuarios y perfiles de usuarios, y los accesos autorizados para cada uno de ellos. 3. El responsable del fichero establecerá mecanismos para evitar que un usuario pueda acceder a recursos con derechos distintos de los autorizados. 4. Exclusivamente el personal autorizado para ello en el documento de seguridad podrá conceder, alterar o anular el acceso autorizado sobre los recursos, conforme a los criterios establecidos por el responsable del fichero. 5. En caso de que exista personal ajeno al responsable del fichero que tenga acceso a los recursos deberá estar sometido a las mismas condiciones y obligaciones de seguridad que el personal propio. “ El artículo dispone que: C/ Jorge Juan, 6 28001 – Madrid 93 del RLOPD, bajo la rúbrica “Identificación y autenticación”, www.agpd.es sedeagpd.gob.es 11/14 “1. El responsable del fichero o tratamiento deberá adoptar las medidas que garanticen la correcta identificación y autenticación de los usuarios. 2. El responsable del fichero o tratamiento establecerá un mecanismo que permita la identificación de forma inequívoca y personalizada de todo aquel usuario que intente acceder al sistema de información y la verificación de que está autorizado. 3. Cuando el mecanismo de autenticación se base en la existencia de contraseñas existirá un procedimiento de asignación, distribución y almacenamiento que garantice su confidencialidad e integridad. 4. El documento de seguridad establecerá la periodicidad, que en ningún caso será superior a un año, con la que tienen que ser cambiadas las contraseñas que, mientras estén vigentes, se almacenarán de forma ininteligible. “ El artículo 111 información”, dispone que: del RLOPD, bajo la rúbrica “Almacenamiento de la “1. Los armarios, archivadores u otros elementos en los que se almacenen los ficheros no automatizados con datos de carácter personal deberán encontrarse en áreas en las que el acceso esté protegido con puertas de acceso dotadas de sistemas de apertura mediante llave u otro dispositivo equivalente. Dichas áreas deberán permanecer cerradas cuando no sea preciso el acceso a los documentos incluidos en el fichero. 2. Si, atendidas las características de los locales de que dispusiera el responsable del fichero o tratamiento, no fuera posible cumplir lo establecido en el apartado anterior, el responsable adoptará medidas alternativas que, debidamente motivadas, se incluirán en el documento de seguridad. “ El artículo dispone que: 113 del RLOPD, bajo la rúbrica “Acceso a la información”, “1. El acceso a la documentación se limitará exclusivamente al personal autorizado. 2. Se establecerán mecanismos que permitan identificar los accesos realizados en el caso de documentos que puedan ser utilizados por múltiples usuarios. 3. El acceso de personas no incluidas en el párrafo anterior deberá quedar adecuadamente registrado de acuerdo con el procedimiento establecido al efecto en el documento de seguridad. Esta última es la concreta medida de seguridad de las legalmente previstas en la que se observa la vulneración del principio de seguridad de los datos, dado que se ha constatado que no existe una trazabilidad de los accesos efectuados a los fichas policiales en papel, pues si bien están en un espacio cerrado con llave y en un armario, asimismo, cerrado, accede el Jefe de Servicio de la Policía Local y el agente en quien delegue; así como los 21 personas que forman la plantilla de la Policía Local, según informó la Alcaldesa del Ayuntamiento de ***LOC.1. Debe indicarse que, al igual que en los tratamientos automatizados de datos existe una trazabilidad de los accesos, pudiendo identificar el usuario que accede a unos datos la fecha y hora y la información accedida, en los ficheros no automatizados (fichas en papel) debe existir la misma trazabilidad, como exige el artículo 113 del C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/14 Reglamento, cuando los accesos se producen por distintos usuarios. IV Conviene recordar que desde el punto de vista material, la culpabilidad consiste en la capacidad que tiene el sujeto obligado para obrar de modo distinto y, por tanto, de acuerdo con el ordenamiento jurídico. Por tanto, lo relevante es la diligencia desplegada en la acción por el sujeto, lo que excluye la imposición de una sanción, únicamente basada en el mero resultado, es decir al principio de responsabilidad objetiva. Por su parte la Sentencia de la Audiencia Nacional dictada el 21 de septiembre de 2005, Recurso 937/2003, establece que “Además, en cuanto a la aplicación del principio de culpabilidad resulta que (siguiendo el criterio de esta Sala en otras Sentencias como la de fecha 21 de enero de 2004 dictada en el recurso 113/2001) que la comisión de la infracción prevista en el art. 77.3
- d)puede ser tanto dolosa como culposa. Y en este sentido, sí el error es muestra de una falta de diligencia, el tipo es aplicable, pues aunque en materia sancionadora rige el principio de culpabilidad, como se infiere de la simple lectura del art. 130 de la Ley 30)1992, lo cierto es que la expresión “simple inobservancia” permite la imposición de la sanción, sin duda en supuestos doloso, y asimismo en supuestos culposos, bastando la inobservancia del deber de cuidado” En definitiva, se ha producido por parte del Ayuntamiento de ***LOC.1 un incumplimiento de las medidas de seguridad establecidas legalmente ya que no tienen establecido el control de accesos a documentos en papel, fichas policiales, que permita identificar los accesos realizados, de manera que no actuó con la diligencia debida, por ello debe considerarse que se ha vulnerado la LOPD. Tampoco ha actuado dicho Ayuntamiento tras conocer estos hechos denunciados al haberles trasladado el acuerdo de inicio de este procedimiento. Conforme a lo señalado, es evidente la existencia en este caso de, al menos, una falta de diligencia debida que le era exigible en los hechos denunciados, atribuible plenamente al Ayuntamiento de ***LOC.1 de acuerdo con las circunstancias antes expresadas. V El artículo 44.3.
- h)tipifica como infracción grave la siguiente: “Mantener los ficheros, locales, programas o equipos que contengan datos de carácter personal sin las debidas condiciones de seguridad que por vía reglamentaria se determinen” En el presente caso ha quedado acreditado que el Ayuntamiento de ***LOC.1 carece de la medida de seguridad de nivel alto prevista en el artículo 113 del RLOPD que la normativa de protección de datos exige al responsable de los ficheros y tratamientos no automatizados en relación con el acceso a documentación que contiene datos especialmente protegidos. De acuerdo con los fundamentos anteriores, se deduce que por parte del C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/14 Ayuntamiento de ***LOC.1 se ha producido una vulneración del principio de seguridad de los datos, que ha tenido como consecuencia el que las fichas policiales estén siendo accedidas sin las debidas medidas de seguridad, infracción que procede calificar como grave, sin que pueda exonerarse su responsabilidad tal como se ha demostrado en este procedimiento, por lo que procede su imputación, elemento necesario en el derecho administrativo sancionador tal como establece la STS de 27/5/99: “Para la imposición de una sanción y las consecuencias derivadas del ilícito administrativo, no basta que la infracción esté tipificada y sancionada sino que es necesario que se aprecie en el sujeto infractor el elemento o categoría denominado culpabilidad. La culpabilidad es el reproche que se hace a una persona, porque ésta debió haber actuado de modo distinto de cómo lo hizo”. VI Por último, el artículo 46 de la LOPD, “Infracciones de las Administraciones Públicas”, dispone que: “1. Cuando las infracciones a que se refiere el artículo 44 fuesen cometidas en ficheros de titularidad pública o en relación con tratamientos cuyos responsables lo serían de ficheros de dicha naturaleza, el órgano sancionador dictará una resolución estableciendo las medidas que procede adoptar para que cesen o se corrijan los efectos de la infracción. Esta resolución se notificará al responsable del fichero, al órgano del que dependa jerárquicamente y a los afectados si los hubiera. 2. El órgano sancionador podrá proponer también la iniciación de actuaciones disciplinarias, si procedieran. El procedimiento y las sanciones a aplicar serán las establecidas en la legislación sobre régimen disciplinario de las Administraciones Públicas. 3. Se deberán comunicar al órgano sancionador las resoluciones que recaigan en relación con las medidas y actuaciones a que se refieren los apartados anteriores.» 4. El Director de la Agencia comunicará al Defensor del Pueblo las actuaciones que efectúe y las resoluciones que dicte al amparo de los apartados anteriores”. En este caso concreto, se entiende que el Ayuntamiento de ***LOC.1 deberá implantar las medidas de seguridad que resulten necesarias para dar respuesta a la trazabilidad de los accesos efectuados a las fichas policiales en papel. En concreto, se considera que dicho Ayuntamiento deberá establecer un mecanismo que permita identificar los accesos que se produzcan a las fichas policiales, identificando a la persona que accede, fecha del acceso, y acceso concreto efectuado. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR que el AYUNTAMIENTO DE ***LOC.1 ha infringido lo dispuesto en el artículo 9.1 de la LOPD en su relación con lo dispuesto en el artículo 113 del RLOPD, tipificada como grave en el artículo 44.3.
- h)de la citada Ley Orgánica. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/14 SEGUNDO: REQUERIR al AYUNTAMIENTO DE ***LOC.1, de acuerdo con lo establecido en el apartado 3 del artículo 46 de la Ley 15/1999, para que acredite en el plazo de un mes desde este acto de notificación las medidas de orden interno que impidan que en el futuro pueda producirse una nueva infracción del artículo 10 de la LOPD, para lo que se abre expediente de actuaciones previas E/01746/2018. TERCERO: NOTIFICAR la presente resolución al AYUNTAMIENTO DE ***LOC.1 CUARTO: COMUNICAR la presente resolución al Defensor del Pueblo, de conformidad con lo establecido en el artículo 46.4 de la LOPD. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, el responsable del fichero de titularidad pública, de acuerdo con el artículo 44.1 de la LJCA, podrá interponer directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la LJCA, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos 1414 C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es