AI-00270-2025

1/7  Expediente N.º: EXP202301149 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 7 de diciembre de 2022 se interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra el AYUNTAMIENTO DE ARES con NIF P1500400E (en adelante la parte reclamada) por la presunta infracción de la normativa de protección de datos. Los hechos que se ponen de manifiesto a esta autoridad son los siguientes: Asegura la parte reclamante que el Ayuntamiento de Ares ha obtenido su número de teléfono de forma ilícita y que el citado dato ha sido tratado por la parte reclamada sin su consentimiento. En concreto tales afirmaciones se materializan en la recepción de una llamada el ***FECHA.1. En relación lo anterior, señala que el 17/07/2020 ejercitó el derecho de acceso y supresión ante la parte reclamada. Dicha petición no fue atendida y motivó la apertura del procedimiento TD/00271/2020. A los efectos de cumplir con la resolución dictada en dicho procedimiento, la parte reclamada intentó notificar en el domicilio de la parte reclamante la contestación emitida el 11/03/21 para atender los derechos ejercitados, siendo infructuosa la citada actuación. El ***FECHA.1 la parte reclamada contactó telefónicamente con la parte reclamante para concretar el cauce para poder notificarle el acto, indicándoles que deseaba que se le remitiese por carta certificada. El 22/03/21 el Ayuntamiento de Ares notifica a la parte reclamante que no tienen datos de su DNI, ni de la cartilla de su perro en la Policía Local (concretando que no tienen ningún dato suyo) y se le reconoce el derecho de oposición al tratamiento de sus datos. El 20/07/21 la parte reclamante ejercitó el derecho de acceso ante la parte reclamada a los efectos de que le respondieran a las siguientes cuestiones: de dónde se ha obtenido el número de su terminal telefónico, identidad/ identificación del interlocutor, finalidad de la llamada, copia del consentimiento para llamar a su terminal telefónico, en el caso de haberse obtenido su número telefónico a través de algún formulario solicita la copia de dicho documento con el consentimiento para su tratamiento para una finalidad diferente a la de dicha gestión, y en el supuesto caso en el que se hubiera obtenido de algún fichero informático solicita conocer: si es un fichero de uso común o se usa con restricciones de uso, si se ha implementado un registro de actividades de tratamiento, si se ha implementado una evaluación de impacto en protección de datos y si se dispone de una grabación de su llamada. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/7 El 14 de octubre de 2021 el reclamante presentó nueva reclamación ante la falta de atención a su ejercicio de derechos lo que motivó la apertura del EXP202104932. En este expediente la parte reclamada alegó que "la Policía Local no dispone de libro de telefonemas y no se puede comprobar si dicha llamada de teléfono haya sido hecha desde las dependencias de la policía local. Al no figurar en las bases de datos de la Policía Local ninguna llamada telefónica al reclamante no se puede comprobar si se efectúo dicha llamada, como tampoco identificar al agente ni la finalidad, no disponiéndose de sistema de grabación de llamadas." El 08/02/22 se dicta resolución de archivo de la reclamación al no apreciarse indicios racionales de la existencia de una infracción. En su reclamación de 7 de diciembre de 2022, manifiesta que, además del reconocimiento de la realización de la llamada telefónica por parte de la policía local del Ayuntamiento de Ares en escrito de 26 de marzo de 2021, aporta un acta notarial, número (…), donde se certifica la llamada telefónica del Ayuntamiento de Ares a su teléfono particular, obtenida en fecha 22/06/2021. Se aporta el acta notarial y una impresión de pantalla en la que consta el teléfono de la policía local (que coincide con el que obra en el acta). SEGUNDO: De acuerdo con el mecanismo previo a la admisión a trámite de las reclamaciones que se formulan ante la AEPD, previsto en el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo, LOPDGDD), que consiste en dar traslado de las mismas a los delegados de protección de datos designados por los responsables o encargados del tratamiento, o a estos cuando no los hubieren designado, y con la finalidad señalada en el referido artículo, se dio traslado de la reclamación al AYUNTAMIENTO DE ARES (en adelante, la parte reclamada) para que procediera a su análisis y diera respuesta en el plazo de un mes. TERCERO: En fecha 27 de abril de 2023 tras analizarse la documentación que obraba en el expediente, se dictó resolución por la Directora de la Agencia Española de Protección de Datos, acordando el archivo de la reclamación. La resolución fue notificada a la parte recurrente, en fecha 27 de abril de 2023, según consta acreditado en el expediente. CUARTO: En fecha 10 de mayo de 2023 la parte recurrente interpone un recurso potestativo de reposición a través del Registro Electrónico de la AEPD, contra la resolución recaída en el expediente EXP202301149, en el que muestra su disconformidad con la resolución impugnada, solicitando que se continúe la tramitación de la reclamación inicial presentada. Señala que su teléfono móvil se recabó en una solicitud de exención del Impuesto de Vehículos de Tracción Mecánica (IVTM) dirigida a la Diputación de La Coruña, servicio de gestión tributaria, y que el Ayuntamiento de Ares actuaba sólo como registro administrativo para remitir su solicitud, apropiándose de datos dirigidos a otro organismo. Junto al recurso de reposición aporta las resoluciones dictadas en los procedimientos tramitados por la Agencia con anterioridad, el acta notarial elaborada el 22/06/21 y una C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/7 impresión de pantalla obtenida de la página web de la parte reclamada en el que consta el teléfono de la policía local, que coincide con el que obra en el acta notarial. Aporta también la información mostrada en la sede de la Diputación de A Coruña en referencia a los Servicios Tributarios que informan de que “La Diputación Provincial de A Coruña asume, por delegación expresa de los ayuntamientos, las competencias en materia tributaria, en relación con los tributos, precios públicos y otros ingresos de derecho público de carácter municipal”. Entre dichos impuestos se encuentra el documento de exención del IVTM. QUINTO: Para la resolución del recurso de reposición se dio audiencia al Ayuntamiento de Ares el 06/09/2023 y conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 15/09/2023 como consta en el acuse de recibo que obra en el expediente. Con fecha 26/09/2023, se recibe en esta Agencia escrito de respuesta del Ayuntamiento de ARES en el que reconoce que el número de teléfono fue obtenido del formulario aportado para el IVTM por la parte reclamada. SEXTO: Con fecha de 23/10/2023 se estimó el recurso de reposición presentado por la parte reclamante al entender que lo anterior podía suponer una posible infracción de lo previsto en la normativa de protección de datos. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con las funciones que el artículo 57.1 a),

1. f)y
2. h)del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) confiere a cada autoridad de control y según lo dispuesto en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver esta reclamación la Presidencia de la Agencia Española de Protección de Datos. II Procedimiento El artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/7 III Licitud del tratamiento El primer apartado del artículo 6 del RGPD establece lo siguiente: "1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
3. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
4. b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
5. c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
6. d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
7. e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
8. f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
9. f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones. " IV Principios relativos al tratamiento Señala el artículo 5 del RGPD que: “1. Los datos personales serán:
10. a)tratados de manera lícita, leal y transparente en relación con el interesado («licitud, lealtad y transparencia»);
11. b)recogidos con fines determinados, explícitos y legítimos, y no serán tratados ulteriormente de manera incompatible con dichos fines; de acuerdo con el artículo 89, apartado 1, el tratamiento ulterior de los datos personales con fines de archivo en interés público, fines de investigación científica e histórica o fines estadísticos no se considerará incompatible con los fines iniciales («limitación de la finalidad»);
12. c)adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados («minimización de datos»);
13. d)exactos y, si fuera necesario, actualizados; se adoptarán todas las medidas razonables para que se supriman o rectifiquen sin dilación los datos personales que sean inexactos con respecto a los fines para los que se tratan («exactitud»); C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/7
14. e)mantenidos de forma que se permita la identificación de los interesados durante no más tiempo del necesario para los fines del tratamiento de los datos personales; los datos personales podrán conservarse durante períodos más largos siempre que se traten exclusivamente con fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos, de conformidad con el artículo 89, apartado 1, sin perjuicio de la aplicación de las medidas técnicas y organizativas apropiadas que impone el presente Reglamento a fin de proteger los derechos y libertades del interesado («limitación del plazo de conservación»);
15. f)tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»). 2. El responsable del tratamiento será responsable del cumplimiento de lo dispuesto en el apartado 1 y capaz de demostrarlo («responsabilidad proactiva»)”. IV Prescripción de las posibles infracciones El RGPD tipifica el tratamiento de datos de personales sin contar con base de legitimación y sin respetar los principios relativos al tratamiento en el artículo 83.5 al señalar: “5. Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
16. a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9” Por su parte, la LOPDGD, en sus artículos 72, 73 y 74, califica a efectos de prescripción las infracciones al RGPD estableciendo que las infracciones muy graves prescriben a los tres años, las graves a los dos años y las leves transcurrido un año desde que se cometieron. En concreto, el artículo 72 señala: “1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
17. a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679.
18. b)El tratamiento de datos personales sin que concurra alguna de las condiciones de licitud del tratamiento establecidas en el artículo 6 del Reglamento (UE) 2016/679”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/7 A su vez, la Ley 39/2015 Procedimiento Administrativo Común establece en el apartado 1º Artículo 21. La obligación de resolver los procedimientos por prescripción del siguiente modo: “1. La Administración está obligada a dictar resolución expresa y a notificarla en todos los procedimientos cualquiera que sea su forma de iniciación. En los casos de prescripción, (…), la resolución consistirá en la declaración de la circunstancia que concurra en cada caso, con indicación de los hechos producidos y las normas aplicables.” V Conclusión En el caso que nos ocupa, la parte reclamante presenta reclamación contra la parte reclamada porque esta le realizó una llamada al número de teléfono del que era titular el ***FECHA.1. Asegura la parte reclamante que el tratamiento de sus datos personales, en concreto, el número de teléfono se realizó sin su consentimiento, obteniéndose sus datos de manera ilícita en tanto que habían sido entregados para otra finalidad. No obstante, debe subrayarse que el artículo 6 del RGPD establece que un tratamiento será lícito cuando exista alguna de las bases de legitimación previstas. Lo anterior no obsta para que, todo tratamiento de datos personales, aun cuando cuente con una base de legitimación válida, haya de realizarse conforme a los principios previstos en el artículo 5 del RGPD. En el presente caso, de haberse confirmado que la llamada efectuada el ***FECHA.1 por el AYUNTAMIENTO DE ARES carecía de base de legitimación y/o que el mencionado tratamiento se realizó sin respetar los principios previstos en el artículo 5 del RGPD, habría supuesto la vulneración de los preceptos anteriormente indicados. No obstante, el incumplimiento de lo previsto en los artículos 6 y 5 del RGPD, prescribe a los 3 años desde que se produjeron los hechos. Asimismo, a tenor de lo dispuesto en los artículos de la LOPDGDD antes citados, cualquier infracción que pudiera derivarse de los hechos objeto de la reclamación, aunque se calificara como muy grave, ha de entenderse prescrita si han transcurrido más de tres años contados desde la fecha en estos ocurrieron – en el presente caso el ***FECHA.1-, fecha en la que tuvo lugar el tratamiento de datos que constituye el objeto de las actuaciones, a saber, la llamada efectuada por la parte reclamada. Siendo así, conviene remarcar que cualquier posible infracción derivada de tales hechos prescribió el 15 de marzo de 2024. En definitiva, en base a lo indicado en los párrafos anteriores, habiendo transcurrido ya más de 3 años desde los hechos reclamados, habría prescrito cualquier presunta infracción del RGPD. Atendiendo a lo anterior, al haber prescrito las posibles infracciones del RGPD, procede dictar resolución en los términos previstos por el artículo 21 de la LPACAP. En consecuencia, por la Presidencia de la Agencia Española de Protección de Datos, SE ACUERDA: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/7 PRIMERO: DECLARAR la PRESCRIPCIÓN de la presunta infracción cometida en el marco del expediente EXP202301149 y el archivo de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a AYUNTAMIENTO DE ARES y a la parte reclamante. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución. La publicación se realizará una vez la resolución sea firme en vía administrativa. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
19. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 940-120525 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es