1/8 Procedimiento Nº AP/00058/2015 RESOLUCIÓN: R/00579/2016 En el procedimiento de Declaración de Infracción de Administraciones Públicas AP/00058/2015, instruido por la Agencia Española de Protección de Datos al AYUNTAMIENTO DE LA OLIVA, vista la denuncia presentada por A.A.A., y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fecha 15/10/2014 tuvo entrada en esta Agencia una denuncia de A.A.A. A.A.A. (en lo sucesivo el denunciante) contra el AYUNTAMIENTO DE LA OLIVA por haberle notificado un embargo mostrando a terceros el contenido completo de sus datos de número de cuenta bancaria que era visible en el sobre remitido. Aporta copia del anverso del sobre donde figura el literal NOTIFICACION, su nombre y apellidos y dirección. En el reverso la información “Cuentas cuyos saldos se han declarado embargados y resultado”, constando la fecha, cantidad y número completo de una cuenta bancaria que el denunciante manifiesta es suya. El sobre contiene una referencia numérica PSN que podría ser identificativa interna del expediente. El denunciante asevera que los dígitos de la cuenta eran visibles a todo el mundo y además, que la dirección en la que se envía y recoge no era la suya, aunque la persona que lo recogió le conocía y se la entregó. El denunciante solicita una indemnización por los daños que pudiera ocasionarle la exposición pública de su cuenta y la necesidad de anular la cuenta. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se efectúan las siguientes actuaciones: 1) Con fecha 16/06/2015 se accede a la aplicación que gestiona los ficheros inscritos y se consultan los fichero inscritos hallándose el denominado “PADRON” relacionado con elaboración de listas de censo electoral y del padrón municipal. 2) El Ayuntamiento de la Oliva al que se interpela por distintas cuestiones relacionadas con el sobre respondió el 14/07/2015:
- a)El documento a notificar era un embargo que procedía de expediente ejecutivo ***** (figura en el anverso del sobre). Aportan copia del acuse de recibo entregado por un empleado de Correos el 7/10/2014. Indica la denunciada que la dirección es el domicilio fiscal que como obligado tributario reza del denunciante en los registros de la Agencia Tributaria Estatal pues las notificaciones al domicilio fiscal que obraba en el Ayuntamiento fueron fallidas. Respecto de la entrega a una persona distinta del interesado, la persona que recoge el envío se hallaba en el domicilio y se hizo cargo de ella C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/8
- b)Aportan copia del sobre y el acuse conjunto, que forma un único cuerpo, según la denunciada, idéntico al entregado. El acuse se dispone sobre el reverso del sobre, de modo que tapa la visión y lectura de cualquier literal que pueda existir debajo. Aduce la denunciada que este sobre con formato de tríptico, doblado y termosellado por los laterales, solo resulta visible el papel rosa que va encima, y contiene para la entrega la dirección y datos del destinatario con la indicación del tipo de acto al que se refiere, constando en este caso: “Notificación de embargo”. Añade que la Ley 30/1992 prevé que de la notificación se contenga referente al acto a notificar: la identidad y el contenido del acto notificado. TERCERO: Con fecha 1/10/2015 la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento de declaración de infracción de las Administraciones Públicas al AYUNTAMIENTO DE LA OLIVA por una infracción del artículo 4.1 de la Ley Orgánica 15/1999, de 13/12, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como grave en el artículo 44.3.
- c)de dicha norma. CUARTO: Con fecha 16/11/2015 la denunciada reitera lo manifestado, como novedad se aprecia que aporta el sobre objeto de notificación en el que se visiona también el literal o contenido interno. Se trata de una “notificación de la diligencia de embargo de saldos en cuentas corrientes y de ahorro en entidades de depósito”, notificación de embargo subsiguiente a una providencia de apremio. Se aprecia que el contenido es un folio modelo a 4 que se pliega en tres partes idénticas. Por no caber en la misma hoja del contenido en la parte inferior figura: ”resultados de la diligencia ver al dorso”, si se acude al dorso se vería lo que sería la cuenta bancaria, la cantidad y la fecha de embargo. La parte inferior, o lo que hay debajo de ver al dorso es el papel rosa de Correos que al doblarse queda en el reverso y tapando la cuenta bancaria. QUINTO: Con fecha 3/02/2016 se emitió propuesta indicando: “Que por la Directora de la Agencia Española de Protección de Datos se declare la infracción del artículo 4.1 de la LOPD tipificada como grave en el artículo 4.3.
- c)de la misma por parte del AYUNTAMIENTO DE LA OLIVA.” La denunciada debe tomar algún tipo de medida y comunicarla con el fin de que una infracción como la denunciada no vuelva a suceder. Se sugería que ccomo medida tendente a evitar la infracción, el contenido de la cuenta bancaria figurase en el interior de la carta, bien en el recuadro inicial, junto a dirección o en otro apartado, de modo que al doblarse no quede detrás y se visualice. De igual modo se aconseja prescindir en el papel rosa de la palabra “embargo”, bastando la de “notificación” Con fecha 3/03/2016 se efectúan alegaciones en las que la denunciada indica que como consecuencia de auditorías en el procedimiento de recaudación, se han efectuado cambios en los cuerpos de notificaciones y se han tomado las medidas necesarias para que en las notificaciones de las diligencias de embargos en cuentas corrientes, la cuenta bancaria quede protegida. Manifiestan que han tomado nota de la sugerencia contenida en la propuesta de resolución, adoptándose ya la misma. HECHOS PROBADOS 1) El Ayuntamiento de la Oliva tenía que notificar una diligencia de embargo en cuenta corriente
(30)que firmó el 1/10/2014, dirigida al denunciante. Una persona que no es el denunciante y que estaba en el domicilio fiscal del denunciante al que el Ayuntamiento remite la carta, recogió el envío el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/8 7/10/2014. (2, 30, 32, 39,61). Según el denunciante el receptor le conocía y le entregó la carta
(2). 2) La forma del contenido del sobre enviado consiste en un modelo estandarizado del Servicio de Correos, tamaño folio a4 que se dobla en tres partes iguales de modo que el texto del acuerdo queda en el interior y en el exterior: anverso: figuran los datos del destinatario (63, 64) y la referencia NOTIFICACIÓN mientras que en el reverso doblado, en este caso figuraba “Cuentas cuyos saldos se han declarado embargado y resultado”, constando el número de cuenta completo, la fecha retención 29/04/2014 y el importe 58,39 €
(63). La forma externa de la apariencia del envío queda como la denunciada aporta en (folios 35-36), esto es: anverso igual que lo anteriormente explicado, y sobre el reverso ya explicado, va termosellado el papel rosa de Correos. Este papel rosa va pegado a los cuatro lados debiendo ejercer una acción para desprenderlo y ser entregado al receptor para su firma, de modo que directamente no deja ver la cuenta bancaria que se contiene debajo. Señalar que el Ayuntamiento completa el papel rosa con datos del expediente y en este caso añade “Notificación embargo”
(61). 3) En el presente caso, la persona que se hace cargo de la notificación, que no era el destinatario,
(37)al recoger y hacerse cargo de la notificación, una vez desprendido el acuse de recibo que se queda el cartero, pudo visualizar el literal “Cuentas cuyos saldos se han declarado embargado y resultado”, constando el número de cuenta completo, la fecha retención 29/04/2014, y el importe 58,39 € según se desprende de la estructura y organización del envío producido por la denunciada que fue la que implementó dicho número de cuenta en el reverso del sobre. Este contenido real de “cuentas cuyos saldos….” realmente forma parte del literal del contenido de la notificación, pero por cuestión de tamaño, al doblarse queda en el reverso (63 y 64). FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
- g)en relación con el artículo 36 de la LOPD. II El artículo 1 de la LOPD precisa: ”La presente Ley Orgánica tiene por objeto garantizar y proteger, en lo que concierne al tratamiento de los datos personales, las libertades públicas y los derechos fundamentales de las personas físicas, y especialmente de su honor e intimidad personal y familiar” A los efectos de la presente Ley Orgánica se entenderá por:
- a)Datos de carácter personal: cualquier información concerniente a personas físicas identificadas o identificables.
- b)Fichero: todo conjunto organizado de datos de carácter personal, cualquiera que fuere la forma o modalidad de su creación, almacenamiento, organización y acceso. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/8
- c)Tratamiento de datos: operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias. El Reglamento de Desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21/12 (en adelante RLOPD); artículo 5. 2 ñ) indica: “Soporte: objeto físico que almacena o contiene datos o documentos, u objeto susceptible de ser tratado en un sistema de información y sobre el cual se pueden grabar y recuperar datos.” El Tribunal Constitucional en su sentencia 254/1993, indicó que el artículo 18.4 de la CE, del que son desarrollo las Leyes Orgánicas 5/1992 y 15/1999, incorpora un instituto de garantía de otros derechos, fundamentalmente el honor y la intimidad, pero también de un instituto que es, "en si mismo, un derecho o libertad fundamental, el derecho a la libertad frente a las potenciales agresiones a la dignidad y a la libertad de la persona provenientes de un uso ilegítimo del tratamiento mecanizado de datos, lo que la Constitución llama "la informática". Se añade que dicho derecho tiene un contenido negativo, de modo que el uso de la informática "encuentra un límite en el respeto al honor y la intimidad de las personas y en el pleno ejercicio de sus derechos", pero también un contenido positivo, "en forma de derecho de control sobre los datos relativos a la propia persona". La llamada "libertad informática" es así, también, derecho a controlar el uso de los mismos datos insertos en un programa informático ("habeas data"); doctrina reiterada en la STC 202/1999. De este modo, puede existir lesión del derecho o libertad informática cuando existe conducta que vulnera el derecho de la persona al control de sus datos personales. Es decir, el derecho fundamental a la protección de datos persigue, en suma, garantizar a la persona un poder de control sobre sus datos personales, sobre su uso y destino; o dicho de otro modo, el derecho a la intimidad permite excluir ciertos datos de una persona del conocimiento ajeno; mientras que el derecho a la protección de datos garantiza a los individuos un poder de disposición sobre esos datos. Por lo tanto, el objeto del derecho a la protección de datos -de aquí su singularidad- es más amplio que el objeto del derecho a la intimidad, pues entre otras cosas, y en lo que ahora nos interesa, tiene como contenido esencial del mismo, el conferir a la persona afectada el poder jurídico de imponer a terceros el deber de abstenerse de toda intromisión en la esfera íntima de la persona y la prohibición de usar de los datos a ella referentes. El mismo atribuye a su titular un conjunto de poderes o facultades, que se traducen en auténticos deberes para aquellos que utilizan los datos, y que son, esencialmente: el derecho a que se requiera, con carácter general, el previo consentimiento para la recogida y uso de datos personales; el derecho a saber y ser informado sobre el destino y uso de los mismos; y el derecho a acceder, rectificar y cancelar dichos datos. Pues solo así se puede garantizar el poder de disposición sobre los datos personales”. En el presente caso, no se necesita consentimiento del afectado para tratar sus datos para remitirle una carta de embargo de sus bienes en el desenvolvimiento de las potestades gestoras de la Administración, ejecutadas de acuerdo con la normativa vigente entre las que se encuentran el acomodo a la LOPD. Así, el tratamiento de datos, no solo ha de contar con el consentimiento, sino que en los tratamiento de esos datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/8 debe respetarse el principio de calidad de datos, uno de cuyos artículos específicos se imputa como infringido a la denunciada. Este principio se desglosa en tres ramas: Proporcionalidad (artículo 4.1). Desvío de finalidad (el aquí imputado, artículo 4.2). Exactitud y veracidad (artículo 4.3). III El artículo 4.1 de la LOPD indica: “Los datos de carácter personal sólo se podrán recoger para su tratamiento, así como someterlos a dicho tratamiento, cuando sean adecuados, pertinentes y no excesivos en relación con el ámbito y las finalidades determinadas, explícitas y legítimas para las que se hayan obtenido.” La Audiencia Nacional, sala de lo contencioso, ha señalado en las SSAN, Sec 1ª, de 24-3-204 (rec.445/2002) y 7-7-2006 (rec.31/2005), que los principios generales contenidos en el citado Titulo II definen las pautas a las que debe atenerse la recogida, tratamiento y uso de datos de carácter personal. Se viene a consagrar así, el llamado principio de proporcionalidad o pertinencia (cuantitativa y cualitativa) en el tratamiento de los datos; es decir, se recogerán y trataran solo los datos pertinentes, adecuados y no excesivos, en relación con la finalidad concreta, explícita y legítima para la que hayan de ser utilizados. Este artículo 4.1 de la LOPD impide el tratamiento de aquellos que no sean necesarios o proporcionados a la finalidad que justifica el tratamiento, debiendo restringirse el tratamiento de los datos excesivos o bien procederse a la supresión de los mismos. En consecuencia, el tratamiento del dato ha de ser “pertinente” al fin perseguido. La pertinencia en el tratamiento de los datos no sólo debe producirse en el ámbito de la recogida e introducción de los datos en el fichero, sino que habrá asimismo de respetarse en el posterior tratamiento que se realice de los mismos. Se ha visto, que el tratamiento tiene un concepto amplio según se deduce de la lectura del artículo 3.c de la LOPD ya mencionado. Una de las modalidades del tratamiento de datos que efectúa la denunciada en su gestión es el envío de notificaciones, en este caso de embargo, para las cuales utiliza un soporte que en parte es estándar ofrecido por el Servicio de Correos, y en parte se cumplimenta y completa con datos por parte de la Administración denunciada. Algunos de estos datos son exigidos por la Ley 30/1992 que resulta de aplicación en el proceso de notificaciones. Así, del envío de la notificación se ha de hacer constar en el envío el contenido, de acuerdo con el artículo 59.1 de dicha norma que señala: “Práctica de la notificación”: “Las notificaciones se practicarán por cualquier medio que permita tener constancia de la recepción por el interesado o su representante, así como de la fecha, la identidad y el contenido del acto notificado.” El termino identidad y contenido del acto no ha de reflejar pura y fielmente el contenido del acto a notificar, bastando que la referencia sea genérica o somera, con la denominación de por ejemplo “resolución” o “”acuerdo” y el resto de elementos de correspondencia entre lo notificado y el propio expediente. Se trata de no forzar C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/8 derechos o intereses legítimos del sujeto pasivo de la notificación de modo que o no se conozca en absoluto el contenido o por el contrario, que añadan elementos informativos no necesarios para la notificación, en este caso en el papel rosa figuraba la anotación de “notificación de embargo”, que se puede sustituir por notificación simplemente. Además, el segundo elemento de falta de proporcionalidad en el tratamiento de datos que se imputa es que una vez desprendido el papel rosa, se visualiza el código completo de la cuenta bancaria y la referencia a que se había producido el embargo de una cantidad. El artículo 59.2 segundo párrafo indica: “Cuando la notificación se practique en el domicilio del interesado, de no hallarse presente éste en el momento de entregarse la notificación podrá hacerse cargo de la misma cualquier persona que se encuentre en el domicilio y haga constar su identidad.” En el presente supuesto, la persona que recogió el documento, puede ser en teoría cualquiera, sea o no pariente, pero en todo caso un tercero ajeno al titular de los datos. En este caso, gracias a que los datos que figuraban tanto en el papel rosa “notificación de embargo” y una vez retirado el papel rosa, debajo, el literal con la cuenta bancaria embargada, se aprecia el tratamiento de datos excesivos, llevado a cabo, datos que solo conciernen al afectado, y que debe evitarse dar a conocer en una notificación individualizada como de la que se trata. Ambos procesos acontecen en el transcurso del acto de la notificación debido a los datos excesivos e innecesarios para la finalidad perseguida y encomendada consistente en la puesta a disposición de un envío por correo que puede tener repercusiones conociéndose datos reservados. En el presente supuesto, se utilizan los datos del denunciante en relación con una notificación administrativa a través de un soporte físico, sobre de correos, en el que figuran en el anverso los datos de filiación del denunciante y la palabra “Notificación”. En el reverso se contienen, en una primera capa: la del acuse rosa, los datos necesarios para el envío, pero se añade “Notificación de embargo”. Debajo de este papel rosa, una vez desprendido o despegado figuraba la cuenta bancaria completa. En primer lugar, en el papel rosa modelo de Correos que se completa por la Administración denunciada, figuraban asimismo los datos de filiación, y para identificar el acto se indicaba en el mismo: “notificación embargo” que lógicamente puede ser visionado por un tercero que eventualmente se haga cargo de la recepción de la notificación por residir en el mismo domicilio que el interesado. Este papel rosa está, en palabras de la denunciada “termosellado” por todos los lados. Una vez entregado por el cartero el papel rosa para la firma de la persona que se haga cargo del mismo, esta se apercibe de los 20 dígitos completos de la cuenta bancaria. El hecho de que se haga cargo de la entrega o recoja el envío un tercero, aunque sea en el mismo domicilio, no quiere decir que esa persona tenga que ser informado del número de cuenta, que ha sido embargado, la fecha y la cantidad. IV El artículo 44.3.
- c)de la LOPD, considera infracción grave: “Tratar datos de carácter personal o usarlos posteriormente con conculcación de los principios y garantías establecidos en el artículo 4 de la presente Ley y las disposiciones que lo desarrollan, salvo cuando sea constitutivo de infracción muy grave” En este caso, la denunciada ha incurrido en la infracción descrita ya que ha C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/8 vulnerado dicho principio, consagrado en el artículo 4.1 de la LOPD. V Respecto a la indemnización pedida por el denunciante, el artículo 19 de la LOPD, señala: “1. Los interesados que, como consecuencia del incumplimiento de lo dispuesto en la presente Ley por el responsable o el encargado del tratamiento, sufran daño o lesión en sus bienes o derechos tendrán derecho a ser indemnizados. 2. Cuando se trate de ficheros de titularidad pública, la responsabilidad se exigirá de acuerdo con la legislación reguladora del régimen de responsabilidad de las Administraciones Públicas. 3. En el caso de los ficheros de titularidad privada, la acción se ejercitará ante los órganos de la jurisdicción ordinaria.” La reclamación se encuadra en el artículo 106.2 de la Constitución Española, que desglosa sus efectos en el concepto de funcionamiento anormal de la Administración de los servicios públicos del 139 y siguientes de la LRJPAC y en el Real Decreto 429/1993 de 26/03 por el que se aprueba el reglamento de los procedimientos de las Administraciones Públicas en materia de responsabilidad. La Sentencia de la Audiencia Nacional sección 1, de 18/05/2001, rec. 856/1999 señaló que estas indemnizaciones no las declara la Agencia, sino que el afectado que sufra la lesión o daño en sus bienes o derechos podrá reclamarla en la vía judicial civil o administrativa, y como indicaba la sentencia del Tribunal Supremo sala 3ª de 28/12/2004, rec. 3020/20011, “la prosperabilidad de dicha indemnización no queda supeditada o condicionada a la imposición de una previa sanción a la denunciada. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR que el AYUNTAMIENTO DE LA OLIVA ha infringido lo dispuesto en el artículo 4.1 de la LOPD, tipificada como grave en el artículo 44.3.
- c)de la citada Ley Orgánica. SEGUNDO: NOTIFICAR la presente resolución al AYUNTAMIENTO DE LA OLIVA y a A.A.A.. TERCERO: COMUNICAR la presente resolución al DEFENSOR DEL PUEBLO, de conformidad con lo establecido en el artículo 46.4 de la LOPD. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/8 pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, se podrá interponer potestativamente recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa (en lo sucesivo LJCA), en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Sin embargo, el responsable del fichero de titularidad pública, de acuerdo con el artículo 44.1 de la LJCA, sólo podrá interponer directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la LJCA, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es