1/9 Expediente N.º: EXP202405077 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y en base a los siguientes HECHOS PRIMERO: La Agencia Española de Protección de Datos ha tenido conocimiento de ciertos hechos, a través de denuncia presentada el 12 de marzo de 2024), que podrían constituir una posible infracción imputable al AYUNTAMIENTO DE ÁVILA con NIF P0501900E (en adelante, AYTO. ÁVILA). Los hechos que se pusieron en conocimiento de esta autoridad fueron relativos a la colocación de GPS en vehículos propiedad del Ayuntamiento de Ávila, en el Servicio de Obras y en el Servicio de Jardines, utilizados por empleados municipales para el desarrollo de su trabajo. Se señala que dichos dispositivos están en funcionamiento desde el pasado 5/11/2023 y que de esta implementación de GPS no se ha informado a los empleados municipales de los citados servicios ni a sus representantes sindicales. Asegura que con fecha 15/01/2024, se registró una solicitud de información al respecto de estos hechos ante el Ayuntamiento de Ávila, sin que se haya recibido respuesta. La parte denunciante considera que se pueden estar vulnerando la normativa de Protección de Datos Personales, tanto en lo referido a la posibilidad que tienen los trabajadores geolocalizados de ejercer ante el responsable del tratamiento de datos, los derechos de acceso, rectificación, supresión y limitación de tratamiento; como en lo referido a la obligación del Ayuntamiento de informar previamente de forma expresa, clara e inequívoca, a los trabajadores y a sus representantes sindicales y al sindicato del que alguno de los trabajadores fuera delegado sindical. Considera la parte denunciante, que la forma de obrar, por parte del AYTO. ÁVILA, no es ajustada a derecho, al conllevar una vulneración de los derechos de los trabajadores como interesados a ser informados de si los datos personales serán usados para la toma de decisiones automatizadas, las categorías de datos, los destinatarios, plazos previstos de conservación, la posibilidad de ejercitar otros derechos, si han comunicado o van a comunicar a terceros. También manifiesta que los trabajadores no son informados del derecho a oponerse a la adopción de decisiones individuales automatizadas, de la lógica aplicada y de la importancia y consecuencias previstas de ese tratamiento automatizado, para el interesado. Junto a su escrito de denuncia adjunta, entre otros: - Una fotografía del dispositivo de localización. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/9 - La solicitud de información a la que se hacía referencia, presentada a través de registro electrónico el 15/01/2024, por la que se solicitaba confirmación sobre la implementación de dispositivos de geolocalización. SEGUNDO: Como consecuencia de los hechos conocidos, con fecha 8/04/2024, la Directora de la Agencia Española de Protección de Datos instó a la Subdirección General de Inspección de Datos (SGID) a iniciar las actuaciones previas de investigación a las que se refiere el artículo 67 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD). TERCERO: La SGID procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VIII, de la LOPDGDD teniendo conocimiento de los siguientes extremos: En sus respuestas el AYTO. ÁVILA reconoce la existencia de un sistema de geolocalización en sus vehículos en el marco del Decreto 4761/2023, de 7 de julio de 2023, expediente de licitación de las obras de suministro e instalación de los sistemas y elementos que conforman el proyecto Ávila “Smart City” y estrategia de administración electrónica. Dicho expediente se encuadra dentro de la Estrategia de Desarrollo Urbano Sostenible e Integrado (EDUSI) de Ávila, cofinanciada por el FEDER en un 50% dentro del Programa Operativo Plurirregional de España 20142020. Señala que, dentro de este marco referencial, se contempla en el pliego de condiciones un apartado denominado Electrónica. Este apartado lo constituyen el conjunto de elementos tecnológicos con los que se deben de equipar los recursos y elementos a gestionar dentro del servicio, con el fin de facilitar todas las operaciones de estos y reportar el máximo de datos al respecto. Estos sistemas, cuyo objetivo básico es interactuar con la ciudad, deben centrarse en recoger información de los recursos y elementos fijos y móviles adscritos al servicio para localizarlos, monitorizarlos y controlarlos. Asegura que, “la geolocalización de vehículos lo es para control y seguimiento de su operativa, es decir, para el seguimiento de rutas en distintos vehículos de propiedad municipal”. Además, señala: “Que el Ayuntamiento de Ávila está obligado a la gestión del inventario de sus activos municipales, así como a una gestión económica y eficaz de sus recursos, que en el caso de aquellos que son de carácter móvil tienen como única posibilidad el equipamiento de dispositivos de geolocalización con el fin determinar el adecuado uso de los mismos”. Niega, de manera reiterada, que dicho sistema suponga un tratamiento de datos personales en los siguientes términos: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/9 “(…) Dichos dispositivos (…). Por tanto, no hay datos personales que sean gestionados (…)”. Manifiesta que los trabajadores “han sido informados a través de sus responsables de servicios que no se recoge ningún dato personal de los mismos ni existe ningún registro de conductores ni hay toma de datos personales alguno”. Por tanto, concluye: “no hay tratamiento, ni registro de actividad de dichos tratamientos, ni puede informarse singularmente al respecto a los interesados más allá de lo que ya se las ha manifestado en la medida que no hay obtención de datos personales de ningún trabajador”. El Sistema de Geolocalización instalado recibe el nombre de ***SISTEMA.1 y es proporcionado por la empresa adjudicataria ***EMPRESA.1, con la finalidad de gestionar una amplia gama de información, enfocada principalmente a la gestión de recogida de residuos urbanos, que adicionalmente se ha destinado otros servicios del ayuntamiento, en concreto autobuses urbanos y vehículos de brigadas e intervención rápida (BIR). Aporta un informe elaborado por le empresa suministradora (MOVISAT), del que se desprende, entre otros aspectos, lo siguiente: (…) Aportan relación de los Servicios del AYTO. ÁVILA y los servicios externalizados que cuentan con vehículos dotados del sistema ***SISTEMA.1, que son: Servicio de obras. - Actividad que realiza el servicio: carpintería, albañilería, - Número de vehículos con geolocalizadores: 3 - Número de trabajadores que utilizan los vehículos: 17 - Gestión que se realiza respecto a la asignación de vehículos (cuadrantes): Aportan informe del responsable del servicio en el que hace constar que estos vehículos no tienen asignado un único conductor y pueden ser manejados por cualquier persona perteneciente al Servicio de Obras o por cualquier otro trabajador del Ayuntamiento que se le autorice. En ningún caso existe un control, ni registro sobre la persona que maneja o conduce el vehículo. C/ Jorge Juan, 6 28001 – Madrid Servicio de jardines - Actividad que realiza el servicio: Realización de los trabajos de mantenimiento de jardinería. - Número de vehículos con geolocalizadores: 3 - Número de trabajadores que utilizan los vehículos: 18 - Gestión que se realiza respecto a la asignación de vehículos (cuadrantes): www.aepd.es sedeaepd.gob.es 4/9 Aportan informe del responsable del servicio en el que hace constar que estos vehículos no tienen asignado un único conductor y pueden ser manejados por cualquier persona perteneciente al Servicio de Jardines o por cualquier otro trabajador del Ayuntamiento que se le autorice. En ningún caso existe un control, ni registro sobre la persona que maneja o conduce el vehículo. Servicio de alumbrado: - Actividad que realiza el servicio: Mantenimiento de los servicios de alumbrado público. - Número de vehículos con geolocalizadores: 3 - Número de trabajadores que utilizan los vehículos: 4 - Gestión que se realiza respecto a la asignación de vehículos (cuadrantes): Aportan informe del responsable del servicio en el que hace constar que estos vehículos no tienen asignado un único conductor y pueden ser manejados por cualquier persona perteneciente al Servicio o por cualquier otro trabajador del Ayuntamiento que se le autorice. En ningún caso existe un control, ni registro sobre la persona que maneja o conduce el vehículo. Servicio de recogida de residuos urbanos - El servicio se encuentra externalizado, siendo concesionaria la empresa Fomento de Construcciones y Contratas. La finalidad de la instalación es la comprobación de los elementos sujetos a revisión contractual, frecuencias, confirmación de recogida periódica de contenedores y demás elementos sujetos a revisión. El sistema aún no está en explotación, siendo responsabilidad de la adjudicataria tanto la provisión de los elementos tecnológicos que se integrarían en el sistema ***SISTEMA.1 como la gestión de datos personales que proceda frente a sus trabajadores. Servicio de transporte de autobuses urbanos - Servicio externalizado prestado por Avilabus, del grupo Avanza- la finalidad es la verificación contractual de aquellos elementos de explotación del servicio (parámetros como kilómetros recorridos, rutas y frecuencias). No consta que desde la empresa externa se tiene acceso al sistema ***SISTEMA.1. Desde el ayuntamiento se desconoce la gestión que la empresa realiza de los conductores, siendo una cuestión interna de la empresa externa. Por último, se especifica que el ayuntamiento ha asignado y autorizado el acceso al sistema a los responsables de los distintos servicios: (…). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/9 FUNDAMENTOS DE DERECHO I Competencia De acuerdo con las funciones que el artículo 57.1 a),
- f)y
- h)del RGPD confiere a cada autoridad de control y según lo dispuesto en los artículos 47 y 48.1 de la LOPDGDD, es competente para resolver estas actuaciones de investigación la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Deber de información sobre el tratamiento de datos personales mediante sistemas de geolocalización en el ámbito laboral El artículo 13 del RGPD establece la información que deberá facilitarse cuando los datos personales se obtengan del interesado, en virtud del cual: "1. Cuando se obtengan de un interesado datos personales relativos a él, el responsable del tratamiento, en el momento en que estos se obtengan, le facilitará toda la información indicada a continuación:
- a)la identidad y los datos de contacto del responsable y, en su caso, de su representante;
- b)los datos de contacto del delegado de protección de datos, en su caso;
- c)los fines del tratamiento a que se destinan los datos personales y la base jurídica del tratamiento;
- d)cuando el tratamiento se base en el artículo 6, apartado 1, letra f), los intereses legítimos del responsable o de un tercero;
- e)los destinatarios o las categorías de destinatarios de los datos personales, en su caso;
- f)en su caso, la intención del responsable de transferir datos personales a un tercer país u organización internacional y la existencia o ausencia de una decisión de adecuación de la Comisión, o, en el caso de las transferencias indicadas en los artículos 46 o 47 o el artículo 49, apartado 1, párrafo segundo, referencia a las garantías adecuadas o apropiadas y a los medios para obtener una copia de estas o al lugar en que se hayan puesto a disposición. 2. Además de la información mencionada en el apartado 1, el responsable del tratamiento facilitará al interesado, en el momento en que se obtengan los datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/9 personales, la siguiente información necesaria para garantizar un tratamiento de datos leal y transparente:
- a)el plazo durante el cual se conservarán los datos personales o, cuando no sea posible, los criterios utilizados para determinar este plazo;
- b)la existencia del derecho a solicitar al responsable del tratamiento el acceso a los datos personales relativos al interesado, y su rectificación o supresión, o la limitación de su tratamiento, o a oponerse al tratamiento, así como el derecho a la portabilidad de los datos;
- c)cuando el tratamiento esté basado en el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), la existencia del derecho a retirar el consentimiento en cualquier momento, sin que ello afecte a la licitud del tratamiento basado en el consentimiento previo a su retirada;
- d)el derecho a presentar una reclamación ante una autoridad de control;
- e)si la comunicación de datos personales es un requisito legal o contractual, o un requisito necesario para suscribir un contrato, y si el interesado está obligado a facilitar los datos personales y está informado de las posibles consecuencias de no facilitar tales datos;
- f)la existencia de decisiones automatizadas, incluida la elaboración de perfiles, a que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado. 3. Cuando el responsable del tratamiento proyecte el tratamiento ulterior de datos personales para un fin que no sea aquel para el que se recogieron, proporcionará al interesado, con anterioridad a dicho tratamiento ulterior, información sobre ese otro fin y cualquier información adicional pertinente a tenor del apartado 2. Las disposiciones de los apartados 1, 2 y 3 no serán aplicables cuando y en la medida en que el interesado ya disponga de la información." Las obligaciones que establece este artículo forman parte de los principios fundamentales de transparencia y lealtad en el tratamiento de datos personales. El responsable debe proporcionar la información en el momento de la recogida de los datos y la falta de esta información vulnera los derechos de los interesados. Por su parte, el artículo 90 de la LOPDGDD “Derecho a la intimidad ante la utilización de sistemas de geolocalización en el ámbito laboral” establece: “1. Los empleadores podrán tratar los datos obtenidos a través de sistemas de geolocalización para el ejercicio de las funciones de control de los trabajadores o los empleados públicos previstas, respectivamente, en el artículo 20.3 del Estatuto de los Trabajadores y en la legislación de función pública, siempre que estas funciones se ejerzan dentro de su marco legal y con los límites inherentes al mismo. 2. Con carácter previo, los empleadores habrán de informar de forma expresa, clara e inequívoca a los trabajadores o los empleados públicos y, en su caso, a sus representantes, acerca de la existencia y características de estos dispositivos. Igualmente deberán informarles acerca del posible ejercicio de los derechos de acceso, rectificación, limitación del tratamiento y supresión”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/9 Este artículo actúa como complemento y desarrollo del artículo 13 del RGPD, especialmente en el ámbito laboral. El artículo 90 de la LOPDGDD permite el uso de sistemas de geolocalización para el control de las personas trabajadoras, si bien éstas o, en su caso, sus representantes deben ser informados de forma expresa, clara e inequívoca acerca de la existencia de estos dispositivos y sus características. III Presunción de inocencia El artículo 28.1 de la Ley 40/2015, de Régimen Jurídico del Sector Público señala que “sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas, así como, cuando una Ley les reconozca capacidad de obrar, los grupos de afectados, las uniones y entidades sin personalidad jurídica y los patrimonios independientes o autónomos, que resulten responsables de los mismos a título de dolo o culpa”. En relación con lo anterior, conviene señalar que, al Derecho Administrativo Sancionador, por su especialidad, le son de aplicación, con alguna matización pero sin excepciones, los principios inspiradores del orden penal, resultando clara la plena virtualidad del principio de presunción de inocencia. El Tribunal Constitucional en su Sentencia 76/1990, de 26 de abril, en relación con el derecho a la presunción de inocencia y del principio de culpabilidad establece: No puede suscitar ninguna duda que la presunción de inocencia rige sin excepciones en el ordenamiento sancionador y ha de ser respetada en la imposición de cualesquiera sanciones, sean penales, sean administrativas en general o tributarias en particular, pues el ejercicio del ius puniendi en sus diversas manifestaciones está condicionado al juego de la prueba y a un procedimiento contradictorio en el que puedan defenderse las propias posiciones. En tal sentido, el derecho a la presunción de inocencia comporta: que la sanción esté basada en actos o medios probatorios de cargo o incriminadores de la conducta reprochada; que la carga de la prueba corresponda a quien acusa, sin que nadie esté obligado a probar su inocencia; y que cualquier insuficiencia en el resultado de las pruebas practicadas, libremente valorado por el órgano sancionador, debe traducirse en un pronunciamiento absolutorio.” La Sentencia del Tribunal Constitucional de 20/02/1989 indica que “nuestra doctrina y jurisprudencia penal han venido sosteniendo que, aunque ambos puedan considerarse como manifestaciones de un genérico favor rei, existe una diferencia sustancial entre el derecho a la presunción de inocencia, que desenvuelve su eficacia cuando existe una falta absoluta de pruebas o cuando las practicadas no reúnen las garantías procesales y el principio jurisprudencial in dubio pro reo que pertenece al momento de la valoración o apreciación probatoria, y que ha de juzgar cuando, concurre aquella actividad probatoria indispensable, exista una duda racional sobre la real concurrencia de los elementos objetivos y subjetivos que integran el tipo penal de que se trate.” En conclusión, estos principios impiden imputar una infracción administrativa cuando no se haya obtenido y acreditado una prueba de cargo acreditativa de los hechos que C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/9 motivan esta imputación o se conozca con certeza la identidad del presunto infractor, aplicando el principio “in dubio pro reo” en caso de duda. En el presente caso, la denuncia plantea el incumplimiento por parte del AYTO. ÁVILA del deber de informar a los trabajadores previsto en el 13 del RGPD en relación con el artículo 90 de la LOPDGDD, de la realización de un tratamiento de datos personales para el ejercicio de funciones de control, mediante un sistema de geolocalización instalado en sus vehículos. Durante las actuaciones previas de investigación se ha confirmado por parte del AYTO. ÁVILA que ha instalado un sistema de geolocalización en sus vehículos. En concreto, en los servicios de jardinería, obras y alumbrado, afectando a un total de 9 vehículos. Manifiesta que dicho sistema, en la medida en que no se recaban los datos del conductor y que no existe una asignación o distribución del uso de los vehículos conforme a un cuadrante, no implica en ningún caso un tratamiento de datos personales puesto que no permite la identificación de los trabajadores. Asimismo, asegura que la finalidad del mencionado sistema no es, en ningún caso, el seguimiento o control de sus trabajadores, sino que “la geolocalización de vehículos lo es para control y seguimiento de su operativa, es decir, para el seguimiento de rutas en distintos vehículos de propiedad municipal”. En el presente caso, durante las actuaciones previas de investigación realizadas y con la información que obra en el expediente, no ha quedado acreditado que los datos obtenidos por el Ayuntamiento puedan ser atribuidos a una persona física identificada o identificable y, por tanto que puedan tener la consideración de datos personales. Por otra parte, tampoco ha podido comprobarse que el AYTO. ÁVILA utilice el sistema de geolocalización con la finalidad de control de los trabajadores y no para conocer la ubicación de los vehículos en cuestión, como asegura. En consecuencia, procede aplicar el principio de presunción de inocencia. A la vista de lo anterior, en el presente caso no se han hallado elementos probatorios suficientes que permitan acreditar e imputar la existencia de una infracción en el ámbito competencial de la Agencia Española de Protección de Datos. Todo ello sin perjuicio de las posibles actuaciones posteriores que esta Agencia pudiera llevar a cabo, aplicando los poderes de investigación y correctivos que ostenta. Así pues, al no haber sido posible atribuir una infracción en el ámbito competencial de la protección de datos, por la Presidencia de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución al AYUNTAMIENTO DE ÁVILA con NIF P0501900E. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/9 De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente resolución se hará pública. La publicación se realizará una vez la resolución sea firme en vía administrativa. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
- c)de la LPACAP, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 940-120525 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es