AI-00120-2024

1/6  Expediente N.º: EXP202312986 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 11 de agosto de 2023, se presentó reclamación con número de registro de entrada REGAGE23e00054670436 ante la Agencia Española de Protección de Datos contra AYUNTAMIENTO DE SANTANDER con NIF P3907500G (en adelante, la parte reclamada/ AYUNTAMIENTO). Los motivos en que basa la reclamación son los siguientes: La parte reclamante manifiesta que el 10/08/23 recibió un e-mail de la sede electrónica de la parte reclamada para indicarle que había realizado un trámite presencial (solicitud de cartilla de taxista) a las 13:03 horas. Dicha actuación no la había realizado al encontrarse a esa hora en su puesto de trabajo. El trámite citado consistía en la solicitud de una copia de la cartilla de taxista en la que aparecían todos sus datos personales salvo la dirección, que aparecía otra distinta. La parte reclamante manifiesta que, en contacto telefónico, el departamento de Licencias y autorizaciones de la parte reclamada confirmó que efectivamente aparecía esa solicitud como si la hubiera hecho la parte reclamante y un escrito a mano en el que se veía que los datos no eran los suyos. La parte reclamante accede a su expediente en el espacio personal on-line “Carpeta Ciudadana” y puede comprobar que efectivamente el trámite ha sido realizado por un tercero y que puede visualizar los documentos presentados por éste con todos sus datos. De la misma forma, el tercero tiene los datos de la parte reclamante en el resguardo que le han dado al realizar el referido trámite. La parte reclamante revisa los datos que constan en su expediente y comprueba que el NIE del tercero es ***NIF.1 y el DNI del reclamante es ***NIF.2, por lo que entiende que el funcionario del AYUNTAMIENTO ha escrito el NIE sin la X y ha confundido el “(…)” por la "(…)". Entre la documentación aportada con la reclamación figura la “solicitud de copia cartilla taxista” formulada por un tercero, la cual fue cumplimentada de forma manuscrita. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación al AYUNTAMIENTO, para C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/6 que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 28/09/2023 como consta en el acuse de recibo que obra en el expediente. TERCERO: Con fecha 11 de noviembre de 2023, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: Como consecuencia de las actuaciones realizadas, se ha tenido conocimiento de los siguientes extremos: Con fecha 3 de junio de 2024 (REGAGE24e00040789448), se recibe respuesta al requerimiento de esta Agencia, del Ayuntamiento de Santander, con la siguiente información: “El 10 de agosto de 2023 D. A.A.A., con NIE ***NIF.1, se personó en el Registro General de este Ayuntamiento para registrar una solicitud, mediante la cual se pedía una copia de la tarjeta de taxista nº (...), debido a que se había extraviado; aportando, como documentación, su permiso de conducción. El funcionario, al introducir los dígitos del documento de identidad, no escribió en primer lugar la letra X, sino que fueron solo los números. En la Base de Datos del Registro está dado de alta el DNI nº ***NIF.3, que identifica a D. B.B.B.; (…) la aplicación informática envió automáticamente ese mismo justificante a la dirección de correo electrónico que consta en la Base de Datos (que en este caso se trataba del correo electrónico del Sr. B.B.B.). Días después, una funcionaria del Servicio de Licencias y Autorizaciones informó al personal del Registro de lo que había sucedido. Por lo que se procedió a la cancelación de dicha anotación registral, y registrar nuevamente la solicitud con el NIE del Sr. A.A.A.; y se rectificó en la Base de Datos el domicilio del Sr. B.B.B.. A la vista de este error, que puede considerarse humano, se ha recordado al personal adscrito al Registro General que debe seguir observando la mayor diligencia en la ejecución de las tareas encomendadas y que revise n las solicitudes antes de proceder a finalización de la anotación registral, para que estos descuidos no vuelvan a producirse”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/6 Comparando el DNI del reclamante con el que manifiesta el reclamado en esta respuesta, se aprecia un error ya que el NIF del reclamante es ***NIF.2, no el número ***NIF.3 que se cita en la respuesta. El 11 de septiembre de 2024 REGAGE24e00069051991, se recibe respuesta del reclamado a un nuevo requerimiento de esta Agencia en el que incluye capturas de pantalla del sistema en el caso que nos ocupa: “En el supuesto de que, con un mismo criterio de búsqueda, NIE y DNI coincidan en su numeración (tal como ha sucedido en los hechos objeto de expediente), el Asistente de Entradas presentará un listado con todos interesados dados de alta; y el personal del Registro General contrastará todos los datos que consta en el mismo (número de documento, nombre y apellidos, domicilio completo…), con la documentación que aporta el interesado para su registro. Por lo tanto, con el Asistente de Entradas el personal del Registro General podrá seleccionar el interesado adecuado, comprobando que la información que se incorpora al sistema se corresponde realmente con la aportada por el interesado y, de esta manera, evitar que se pueda producir un error de idéntica naturaleza en el futuro.” Como evidencia, envía captura de pantalla de haber corregido el domicilio del reclamante. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con las funciones que el artículo 57.1 a),

1. f)y
2. h)del RGPD confiere a cada autoridad de control y según lo dispuesto en los artículos 47 y 48.1 de LOPDGDD, es competente para resolver estas actuaciones de investigación la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Tratamiento de datos personales. Principio de licitud El artículo 4.2) del RGPD, define «tratamiento» como: “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/6 utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción.” Cualquier tratamiento de datos personales que se realice debe respetar el principio de licitud regulado en el artículo 6 del RGPD, “Licitud del tratamiento”, que en su apartado 1 establece lo siguiente: “1. El tratamiento sólo será lícito si se cumple al menos una de las siguientes condiciones:
3. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
4. b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
5. c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
6. d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
7. e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
8. f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
9. f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones”. Así, de conformidad con el artículo 6.1 del RGPD, el tratamiento de datos requiere la existencia de una base legal que lo legitime. Además del consentimiento, existen otras posibles bases que legitiman el tratamiento de datos sin necesidad de contar con la autorización de su titular, en particular, cuando sea necesario para la ejecución de un contrato en el que el afectado es parte o para la aplicación, a petición de este, de medidas precontractuales, o cuando sea necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del afectado que requieran la protección de tales datos. El tratamiento también se considera lícito cuando sea necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento, para proteger intereses vitales del afectado o de otra persona física o para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento. En el presente caso, consta acreditado que los datos personales de la parte reclamante se asociaron en los sistemas de información del Ayuntamiento de Santander a un trámite realizado por un tercero, sin que la parte reclamante hubiese intervenido en forma alguna y sin que tuviese relación con el trámite en cuestión. Esto constituye un tratamiento de datos personales de la parte reclamante. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/6 En concreto, consta que un tercero presentó ante el citado Ayuntamiento una solicitud de copia de su cartilla de taxista por extravío de la anterior. Dicha solicitud aparecía cumplimentada de forma manuscrita y se presentó de manera presencial en el Registro de la entidad. En dicha solicitud figuraban los datos del tercero, entre ellos su NIE número ***NIF.1. El funcionario que atendió al tercero para recibir la solicitud en cuestión, al capturar los datos que figuraban en la misma para que quedasen almacenados y procesados en el sistema de información del Ayuntamiento, anotó un número erróneo del documento de identificación del tercero solicitante de la cartilla de taxista, excluyendo la primera letra y confundiendo la última con el número X. Como resultado de este error se anotó en el sistema el número (…), que corresponde al número de documento de identidad de la parte reclamante, el cual también constaba registrado en el Ayuntamiento de Santander, ciudad en la que también tiene su residencia la parte reclamante. La consecuencia de ello, como se ha indicado anteriormente, fue que los datos de la parte reclamante quedaron asociados al trámite indicado, produciéndose un tratamiento de sus datos personales. La investigación realizada por los Servicios de Inspección de esta Agencia, atendidas las circunstancias expresadas, ha concluido que se trató de un hecho puntual. En base a ello, aunque puede entenderse que existe una conducta antijurídica consistente en haber tratado los datos personales de la parte reclamante sin la existencia de una base jurídica que legitime el tratamiento, se estima que de tal conducta puede nacer responsabilidad administrativa. Rige en el Derecho Administrativo sancionador el principio de culpabilidad (artículo 28 de la Ley 40/2015, de Régimen Jurídico del Sector Público, LRJSP), por lo que el elemento subjetivo o culpabilístico es una condición indispensable para que surja la responsabilidad sancionadora. El artículo 28 de la LRJSP, “Responsabilidad”, dice: “1. Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas, así como, cuando una Ley les reconozca capacidad de obrar, los grupos de afectados, las uniones y entidades sin personalidad jurídica y los patrimonios independientes o autónomos, que resulten responsables de los mismos a título de dolo o culpa.” El Tribunal Constitucional, entre otras, en su STC 76/1999, ha declarado que las sanciones administrativas participan de la misma naturaleza que las penales, al ser una de las manifestaciones del ius puniendi del Estado, y que, como exigencia derivada de los principios de seguridad jurídica y legalidad penal consagrados en los artículos 9.3 y 25.1 de la CE, es imprescindible su existencia para imponerlas. Así, la decisión de archivar un expediente sancionador podrá fundarse en la ausencia del elemento de la culpabilidad cuando no se aprecie culpa alguna en la conducta antijurídica del responsable. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/6 En el presente caso concreto, atendiendo a las circunstancias de hecho expresadas, no concurre el requisito del dolo o culpa en la actuación del Ayuntamiento reclamado. Se tiene en cuenta que ningún sistema es indefectible ni inmune a la existencia de posibles errores. III Conclusión Por lo tanto, en base a lo indicado en los párrafos anteriores, no se han encontrado evidencias que acrediten la existencia de infracción en el ámbito competencial de la Agencia Española de Protección de Datos. Todo ello sin perjuicio de las posibles actuaciones posteriores que esta Agencia pudiera llevar a cabo, aplicando los poderes de investigación y correctivos que ostenta. Así pues, al no haber sido posible atribuir la responsabilidad por el tratamiento de acuerdo con lo señalado, por la Presidencia de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución al AYUNTAMIENTO DE SANTANDER y a la parte reclamante. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
10. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 940-301023 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es