AI-00194-2023

1/9  Expediente N.º: EXP202307792 (AI/00194/2023) RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 14 de abril de 2023, se presentó denuncia con número de registro de entrada REGAGE23e (…) ante la Agencia Española de Protección de Datos, por el SINDICATO RIOJANO DE POLICIAS Y FUNCIONARIOS contra el AYUNTAMIENTO DE SANTO DOMINGO DE LA CALZADA con NIF P2613800H (en adelante, AYUNTAMIENTO DE SANTO DOMINGO). Los motivos en que basa la denuncia son los siguientes: La existencia de un posible incumplimiento de la normativa de protección de datos por parte del ***PUESTO.1 de la Policía Local del AYUNTAMIENTO DE SANTO DOMINGO, ante la filtración de un vídeo perteneciente al sumario de un atestado policial, en el que se visualiza una agresión a cargo de una persona. El ***PUESTO.2 del citado sindicato manifiesta que con fecha 25/02/2023 el ***PUESTO.1 se personó en el supermercado donde se había producido el incidente y copió las imágenes captadas por las cámaras de videovigilancia, descargándolas posteriormente en el ordenador común de la "sala de atestados" de la comisaría de policía local, dispositivo al que puede acceder cualquier policía, funcionario y demás trabajadores, lo que ha ocasionado que el referido vídeo haya sido grabado con un teléfono móvil por alguien sin identificar que lo ha hecho público a través de WhatsApp. Junto a la denuncia se aporta copia del vídeo en cuestión, en el que se puede identificar a los intervinientes y enlaces de tres medios de comunicación que se han hecho eco de la noticia. Con fecha 8 de junio de 2023, en virtud de Acuerdo de la Directora de esta Agencia, como consecuencia de la denuncia presentada por el SINDICATO RIOJANO DE POLICIAS Y FUNCIONARIOS, se abrió una investigación de oficio y se instaba a la Subdirección General de Inspección de Datos a que iniciase actuaciones previas de investigación tendentes a acreditar estos hechos y su autoría. SEGUNDO: Con fecha 28 de febrero de 2024, A.A.A. (en adelante, la parte reclamante), presentó reclamación con número de registro de entrada REGAGE24e (…), contra el AYUNTAMIENTO DE SANTO DOMINGO DE LA CALZADA, con NIF P2613800H, por los mismos hechos contenidos en la denuncia referida anteriormente. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/9 Junto a la reclamación se aporta video de una agresión en un supermercado, en el que se identifica como la víctima de dicha agresión, siendo el mismo video que aportó la denunciante según el Hecho Primero, impresión de página web donde se recoge la noticia de la difusión del video, informe médico de la lesión sufrida por la agresión, contestación a una reclamación de daños a la empresa en cuyo supermercado la parte reclamante sufrió la agresión grabada por las cámaras de seguridad y, por último, una la exigencia responsabilidad patrimonial al Ayuntamiento de Santo Domingo de la Calzada por la difusión del video. TERCERO: Con fecha 27 de marzo de 2024, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: A excepción de manifestaciones escritas de la parte denunciante, no se aporta ninguna evidencia de la publicación del vídeo señalado en ningún medio o de la difusión mediante alguna aplicación de mensajería o redes sociales. Por ello, se solicita información adicional a la parte denunciante sobre los hechos señalados en la denuncia presentada en esta Agencia. A este respecto, con fecha de 2 de agosto de 2023 se recibe en esta Agencia, con número de registro REGAGE23e00052547373, escrito con la información solicitada manifestando entre otros asuntos: 1. “No existe un responsable de informática en la comisaría de Policía Local de Santo Domingo de la Calzada, pues no existe tal departamento; no obstante, el responsable último del servicio es el ***PUESTO.1 D. B.B.B., autor de los hechos”. […] 1. El ordenador en cuestión se encuentra en la sala de atestados de la comisaría de policía. Este ordenador de la sala de atestados es el ordenador que todos los miembros de la plantilla usan a diario, y para ello deben introducir una contraseña privada. No obstante, la filtración del video no se produjo accediendo y sustrayendo el contenido del interior del ordenador, sino que, como puede comprobarse en el vídeo aportado, la grabación se produjo directamente de la pantalla del ordenador, por lo que no era un archivo codificado sino abierto a todo aquel que pasase por allí, policía o no, y pulsara el botón “play” para reproducir el vídeo (como puede ser el personal de limpieza, algún ciudadano que se encontrase interponiendo denuncia, algún detenido...), así como cualquier personal con llaves de acceso a las dependencia policiales (alcalde, concejales, policías de baja, policías en comisión de servicios, policías separados del servicio...). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/9 Y adjuntan a este escrito el mismo vídeo en el que, al final del mismo, se puede apreciar que se está grabando directamente de la pantalla de un ordenador. No obstante, aun habiendo sido requerido, la parte denunciante no presenta ninguna evidencia de la publicación del vídeo señalado en ningún medio o de la difusión de éste mediante alguna aplicación de mensajería o redes sociales, tal y como manifiesta en su reclamación. En escrito posterior, con fecha de 18 de agosto de 2023 y número de registro REGAGE23e (…), el denunciante amplía la información indicando respecto a la contraseña privada de acceso al ordenador que, para acceder a éste, cada uno de los agentes posee una clave personal que debe introducir para acceder al equipo. También aclaran que la filtración del video no se produjo accediendo al archivo interno del ordenador, sino que alguien grabó con su móvil las imágenes que se mostraban en la pantalla del ordenador, por lo que no es necesario clave alguna, y que cualquier persona que pase por allí tiene acceso a esas imágenes. Después de exponer diversos escenarios bajo los cuales pudo producirse la grabación con el móvil, finalizan resumiendo, “[…] que una vez que el archivo de video fue negligentemente descargado por […] en el ordenador de la sala de atestados y no en el suyo privado, como manda el deber de custodia y sigilo, pasó a estar en un ordenador cuyo acceso está en manos únicamente de los agentes de la comisaría, pero a cuya pantalla tiene acceso un número indeterminado de personas, como ha quedado demostrado de manera indubitada. Llegados a este punto, y sin posibilidad de saber la identidad de la persona que le da al “play” y graba con su teléfono móvil las imágenes que aparecen en la pantalla del ordenador, el máximo responsable y único culpable conocido es […], pues fue el quién obtuvo ilegalmente la grabación, fue el quien negligentemente la descargó en el ordenador de la sala de atestados y no en el suyo privado, violando el deber de protección de datos de todo agente de la autoridad, y fue el quién provocó la viralización del vídeo (de manera directa llevando a cabo él mismo la grabación y reenvío, o indirecta con su negligencia de dejar la grabación en ese ordenador para que otro lo pudiera hacer)” Requeridas aclaraciones sobre los hechos al Ayuntamiento de Santo Domingo de la Calzada, con fecha de 14 de noviembre de 2023 se recibe en esta Agencia, con número de registro REGAGE23e(…), escrito remitido por el alcalde de este Ayuntamiento manifestando en esa Ayuntamiento no dispone a día de hoy de la figura Delegado de Protección de Datos y adjuntan un informe del ***PUESTO.1 de la Jefatura de Policía Local del Ayuntamiento de Santo Domingo de La Calzada en el que se pone de manifiesto que (…) del supermercado informó a este responsable de la agresión habida en el establecimiento de (…) a un cliente y le remitió el vídeo grabado por las cámaras de seguridad a través de WhatsApp. A su vez, indican que el ***PUESTO.1 descargó el vídeo en el ordenador común de los agentes utilizado para los atestados. Los agentes abren el correspondiente expediente incorporando diligencia reflejando los hechos acaecidos y archivando el vídeo recibido como prueba de las aptitudes agresivas en la vía pública del agresor para una posible ampliación de información en caso de ser requerido por las Autoridades Judiciales. En este sentido, el agredido, según consta en las diligencias, alega que no quiere interponer denuncia sobre los hechos acontecidos en el supermercado. Este ***PUESTO.1. confirma que, para poder utilizar el ordenador, cada agente debe introducir su contraseña personal. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/9 Durante las presentes actuaciones, con fecha de 28 de febrero de 2024 se recibe en esta Agencia, con número de registro REGAGE24e (…), reclamación presentada por el agredido manifestando que el vídeo en cuestión apareció difundido a los pocos días, por redes sociales en el municipio mediante la aplicación WhatsApp sin su consentimiento. Confirma que no se interpuso denuncia de los hechos. Y aporta la siguiente documentación relevante: - Vídeo de la agresión - Escrito remitido al agredido por los representantes del supermercado indicando que no procedía la indemnización solicitada por el agredido por una posible vulneración en el tratamiento de sus datos personales ya que este establecimiento se limitó a poner hechos acaecidos en conocimiento de la Policía al poder ser constitutivos de algún ilícito penal, y a consecuencia de ello ha entregado la grabación obtenida a requerimiento de la autoridad policial. - Copia de la reclamación formulada ante el Ayuntamiento de Santo Domingo de la Calzada solicitando la iniciación de un Procedimiento de Responsabilidad Patrimonial en el que el agredido solicita una indemnización por vulneración de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales. Finalmente, hay que mencionar que tanto el denunciante como el reclamante señalan unas direcciones de periódicos digitales en los que aparecen noticias de los hechos reclamados, pero esta inspección ha podido verificar que las noticias no tratan sobre los hechos reclamados, es decir, sobre la grabación y supuesta difusión, sino de la reclamación que ha presentado la parte denunciante ante el Ayuntamiento. - Se incorporan a estas actuaciones, como Objetos Asociados en el gestor de expedientes SIGRID, los referidos artículos de prensa CONCLUSIÓN El vídeo señalado en la reclamación fue enviado (…) del supermercado directamente al ***PUESTO.1 de la Policía Local a requerimiento de éste, quien lo descargó en el ordenador que utilizan los agentes de la comisaría para la realización de los atestados. A pesar de las manifestaciones de la parte denunciante sobre dónde debía almacenarse el vídeo controvertido, no se encuentra razón por la que este vídeo de la agresión tuviera que ser descargado en el ordenador personal del ***PUESTO.1, en vez de en el ordenador situado en la sala de atestados utilizado exclusivamente por los agentes para el desarrollo de sus funciones. En el propio escrito presentado por la parte denunciante con número de registro REGAGE23e00055678559 se señala que el vídeo controvertido no ha sido extraído del ordenador de uso común de los agentes de la comisaría, sino que se grabó de la pantalla por algún desconocido mientras se reproducía. Este hecho pone de manifiesto que la posibilidad de grabación de este video pudo ser producto de una negligencia de un Agente que dejó el ordenador sin bloquear, o reproduciendo el vídeo en cuestión, en su ausencia. Respecto a la reclamación presentada por el agredido en esta Agencia, un año después de los hechos, no se encuentran en la documentación los indicios necesarios para determinar el origen ni los medios de la supuesta difusión, sino tan solo el vídeo controvertido. Tampoco consta ninguna otra información que conduzca a la conclusión C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/9 de un incorrecto protocolo de actuación en el tratamiento del vídeo de la agresión por parte del ***PUESTO.1, sino que como ya se ha dicho, la grabación pudo ser debida a una negligencia de un Agente. Respecto a grabación realizada directamente de la pantalla del ordenador de la comisaría, no se encuentra, en la documentación obrante en la denuncia ni en la reclamación, indicios que permitan determinar la autoría de esta grabación. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con lo establecido en los artículos 49 y 50 de la Ley Orgánica 7/2021, de 26 de mayo, de protección de datos personales tratados para fines de prevención, detección, investigación y enjuiciamiento de infracciones penales y de ejecución de sanciones penales (en adelante LO 7/2021) y según lo dispuesto en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." Por último, el artículo 52 "Régimen aplicable a los procedimientos tramitados ante las autoridades de protección de datos" de la LO 7/2021 establece que: "1. En el caso de que los interesados aprecien que el tratamiento de los datos personales haya infringido las disposiciones de esta Ley Orgánica o no haya sido atendida su solicitud de ejercicio de los derechos reconocidos en los artículos 21, 22 y 23 tendrán derecho a presentar una reclamación ante la autoridad de protección de datos. 2. Dichas reclamaciones serán tramitadas por la autoridad de protección de datos competente con sujeción al procedimiento establecido en el título VIII de la Ley Orgánica 3/2018, de 5 de diciembre, y, en su caso, a la legislación de las Comunidades Autónomas que resulte de aplicación. Tendrán carácter subsidiario las normas generales sobre los procedimientos administrativos y el régimen jurídico del sector público." II Cuestiones previas El artículo 5.

1. a)de la LO 7/2021, define «datos personales» como: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/9 “toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona;” El artículo 5.
2. b)de la LO 7/2021, define «tratamiento» como: “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción.” Por su parte, el artículo 5.
3. g)de la LO 7/2021, define al «responsable del tratamiento» o «responsable» como: “la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros”. En el presente caso, de acuerdo con lo establecido en el artículo 5.
4. a)y
5. b)de la LO 7/2021, consta la realización de un tratamiento de datos personales, toda vez que el AYUNTAMIENTO DE SANTO DOMINGO realiza, entre otros tratamientos, la conservación y utilización de datos personales de personas físicas, tales como la imagen obrante en grabaciones de video. El AYUNTAMIENTO DE SANTO DOMINGO realiza esta actividad en su condición de responsable del tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud del citado artículo 5.
6. g)de la LO 7/2021. El artículo 5.
7. j)de la LO 7/2021 define, de un modo amplio, las “violaciones de seguridad de los datos personales” (en adelante brecha de seguridad) como “toda violación de la seguridad que ocasionen la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma.” III Presunción de inocencia En el presente caso, se formula reclamación motivada por la existencia de un posible incumplimiento de la normativa de protección de datos por el AYUNTAMIENTO DE SANTO DOMINGO, al haberse producido la filtración de un vídeo perteneciente al sumario de un atestado policial, en el que se visualiza una agresión a cargo de una persona, siendo la víctima la parte reclamante. No obstante, la parte reclamante no presenta ninguna evidencia de la publicación del vídeo señalado en ningún medio o de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/9 la difusión de éste mediante alguna aplicación de mensajería o redes sociales, tal y como manifiesta en su reclamación, ya que sólo se aporta la noticia de la denuncia formulada por el SINDICATO RIOJANO DE POLICIAS Y FUNCIONARIOS, publicada en varios diarios digitales. Como manifestó la parte denunciante, y así parece desprenderse de las características de la propia grabación, el vídeo controvertido no ha sido extraído del ordenador de la sala de atestados, de uso común por los agentes de la comisaría, sino que se grabó de la pantalla por alguien no identificado mientras se reproducía. Además, no consta ninguna otra información que conduzca a la conclusión de la existencia un protocolo de actuación incorrecto o que este haya sido incumplido en el tratamiento del vídeo de la agresión por parte del ***PUESTO.1. Respecto a grabación realizada directamente de la pantalla del ordenador de la comisaría, no se encuentra, en la documentación obrante en la denuncia ni en la reclamación, indicios que permitan determinar la autoría de esta grabación. Tampoco existe ninguna evidencia de que alguien autorizado tuviera acceso a la sala. Por otra parte, tanto el denunciante como la parte reclamante señalan unas direcciones de periódicos digitales en los que aparecen noticias de los hechos reclamados, pero esta Agencia ha podido verificar que las noticias no tratan sobre los hechos reclamados, es decir, sobre la grabación y supuesta difusión, sino de la denuncia que ha presentado la parte denunciante ante el Ayuntamiento. En definitiva, en el caso que nos ocupa, el examen de los documentos aportados tanto por la denuncia interpuesta por el SINDICATO RIOJANO DE POLICIAS Y FUNCIONARIOS, así como en la reclamación efectuada con posterioridad por la parte reclamante, pone de relieve la ausencia de evidencias capaces de justificar la apertura de un procedimiento sancionador, al no haber quedado acreditado que datos personales de la parte reclamante fuesen expuestos a terceros no autorizados, debido a que en ningún modo se ha probado la difusión del vídeo en cuestión. A este respecto, debe destacarse que en el ámbito administrativo sancionador son de aplicación, con alguna matización, pero sin excepciones, los principios inspiradores del orden penal, teniendo plena virtualidad el principio de presunción de inocencia, que debe regir sin excepciones en el ordenamiento sancionador y ha de ser respetado en la imposición de cualesquiera sanciones. El Tribunal Constitucional en Sentencia 76/1990 (STC) considera que el derecho a la presunción de inocencia comporta “que la sanción esté basada en actos o medios probatorios de cargo o incriminadores de la conducta reprochada; que la carga de la prueba corresponda a quien acusa, sin que nadie esté obligado a probar su propia inocencia; y que cualquier insuficiencia en el resultado de las pruebas practicadas, libremente valorado por el órgano sancionador, debe traducirse en un pronunciamiento absolutorio”. De acuerdo con este planteamiento, el artículo 53.2 de la LPACAP, establece que, en el caso de procedimientos administrativos de naturaleza sancionadora, los presuntos responsables tendrán los siguientes derechos: “
8. a)(…) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/9
9. b)A la presunción de no existencia de responsabilidad administrativa mientras no se demuestre lo contrario. Como ha precisado el Tribunal Supremo en Sentencia de 26 de octubre de 1998, la vigencia del principio de presunción de inocencia “no se opone a que la convicción judicial en un proceso pueda formarse sobre la base de una prueba indiciaria, pero para que esta prueba pueda desvirtuar dicha presunción debe satisfacer las siguientes exigencias constitucionales: los indicios han de estar plenamente probados – no puede tratarse de meras sospechas – y tiene que explicitar el razonamiento en virtud del cual, partiendo de los indicios probados, ha llegado a la conclusión de que el imputado realizó la conducta infractora, pues, de otro modo, ni la subsunción estaría fundada en Derecho ni habría manera de determinar si el proceso deductivo es arbitrario, irracional o absurdo, es decir, si se ha vulnerado el derecho a la presunción de inocencia al estimar que la actividad probatoria pueda entenderse de cargo.” Así las cosas, se debe distinguir la verdadera prueba de indicios de las meras sospechas o conjeturas. El Tribunal Constitucional ha manifestado en su Sentencia 24/1997, que “los criterios para distinguir entre pruebas indiciarias capaces de desvirtuar la presunción de inocencia y las simples sospechas se apoyan en que:
10. a)La prueba indiciaria ha de partir de hechos plenamente probados.
11. b)Los hechos constitutivos de delito deben deducirse de esos indicios (hechos completamente probados) a través de un proceso mental razonado y acorde con las reglas del criterio humano, explicitado en la sentencia condenatoria (SSTC 174/1985, 175/1985, 229/1988, 107/1989, 384/1993 y 206/1994, entre otras).” En definitiva, el principio de presunción de inocencia impide imputar una infracción administrativa cuando no se haya obtenido y constatado una prueba de cargo que acredite los hechos que pudiesen motivar la imputación o la intervención en los mismos del presunto infractor. En este caso, como se ha expuesto, no existen esos indicios racionales que permitan imputar a la parte reclamada la comisión de infracción alguna de la normativa de protección de datos personales por los hechos objeto de la reclamación, por lo que, no cabe estimar enervado el derecho a la presunción de inocencia que le ampara. IV Conclusión Por lo tanto, en base a lo indicado en los párrafos anteriores, no se han encontrado evidencias que acrediten la existencia de infracción en el ámbito competencial de la Agencia Española de Protección de Datos. Todo ello sin perjuicio de las posibles actuaciones posteriores que esta Agencia pudiera llevar a cabo, aplicando los poderes de investigación y correctivos que ostenta. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/9 Así pues, al no haber sido posible atribuir responsabilidad alguna por una exposición de los datos personales de la parte reclamante, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a AYUNTAMIENTO DE SANTO DOMINGO DE LA CALZADA y a la parte reclamante. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
12. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 940-301023 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es