← España

AI-00287-2023

1/7  Expediente N.º: EXP202307615 (AI/00287/2023) RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 15 de mayo de 2023, se presentó reclamación con número de registro de entrada ***REFERENCIA.1 ante la Agencia Española de Protección de Datos contra AYUNTAMIENTO DE NOÁIN (VALLE DE ELORZ)/NOAIN (ELORTZIBAR) con NIF P3108700J (en adelante, AYUNTAMIENTO DE NOÁIN). Los motivos en que basa la reclamación son los siguientes: La parte reclamante expone que con fecha 29/05/23, a las 20:30 h., sufrieron una tentativa de allanamiento de morada, lo que derivó en una persecución a los delincuentes, la grabación de unos vídeos y su puesta a disposición de la Policía Municipal del Ayuntamiento reclamado a través del número de teléfono oficial ***TELÉFONO.1, vía WhatsApp. Al día siguiente, la parte reclamante advierte que tales videos, únicamente compartidos con la Policía Municipal, circulan, sin su consentimiento, por las redes sociales (Facebook, Instagram) y grupos de la aplicación de mensajería instantánea WhatsApp. En las imágenes se identifica al reclamante y su mujer, la entrada a su vivienda y, también, a los presuntos delincuentes, indicando las consecuencias personales que esta divulgación está teniendo para ellos. Asimismo, refiere que ese mismo día interponen una denuncia ante la Guardia Civil por estos hechos. No aporta documentación apreciativa de dicho extremo. Alega que el 02/05/23 se ha extendido la publicación de los vídeos a medios de comunicación, motivo por el cual han interpuesto denuncia en el Juzgado de Aoiz y, el 03/05/23, denuncia ante la Guardia Civil contra el Diario de Noticias (EDITA ZEROA MULTIMEDIA S.A.- GRUPO NOTICIAS). No aporta documentación apreciativa de dichos extremos. Junto a la reclamación se aporta la siguiente documentación: ─ Copia de los vídeos señalados en la reclamación. En uno de los vídeos, tomado por la cámara de seguridad exterior de la vivienda, sólo aparecen las personas que supuestamente pretenden allanar la vivienda. El otro vídeo está realizado desde una cámara personal de la parte reclamante y en él, además de los sospechosos y el vehículo utilizado para abandonar el lugar de los hechos, se apreciarían imágenes de otras dos personas (previsiblemente el reclamante y su mujer). ─ Capturas de pantalla de distintas redes sociales y aplicaciones de mensajería instantánea donde aparecen tanto el vídeo captado por la cámara de seguridad externa del edificio como el video grabado por la parte reclamante junto a comentarios relativos a éstos sin que puedan determinarse las fechas de publicación. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/7 SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación al AYUNTAMIENTO DE NOÁIN, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 08/06/2023 como consta en el acuse de recibo que obra en el expediente. Con fecha 12/06/2023 se recibe en esta Agencia escrito de alegaciones al traslado de la reclamación remitido por el Delegado de Protección de Datos del Ayuntamiento reclamado manifestando, entre otros asuntos, que “una vez recibidos los archivos [de 29 de abril de 2023], la patrulla de Policía Municipal de Noáin llama nuevamente al Centro de Mando y Coordinación de Policía Foral de Navarra (CMC) para asegurarse que el número de enlace de mensajería de WhatsApp que hay en el teléfono corporativo es correcto. Tras confirmar que se trata del número correcto se les reenvían los archivos para su conocimiento a las 20:46 horas no siendo reenviados a ningún otro destinario que el anterior” por lo que señalan que la Policía Municipal de Noáin ha actuado con total corrección y siguiendo estrictamente el procedimiento policial establecido para este tipo de casos. Asimismo, informan que desde esa entidad local no se ha producido ninguna filtración de datos de carácter personal que derivara en las publicaciones posteriores de los vídeos facilitados en redes sociales, habiéndose enviado los ficheros de vídeo facilitados por el reclamante única y exclusivamente al CMC de Policía Foral. Por último, adjuntan copia del expediente de actuación de la Policía Municipal del Ayuntamiento de Noáin con todas las actuaciones realizadas al efecto. TERCERO: Con fecha 15 de agosto de 2023, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: A partir de la documentación presentada por la parte reclamante, se aprecia que los vídeos señalados en la reclamación han sido publicados en las redes sociales y han circulado por aplicaciones de mensajería. Se ha localizado un vídeo publicado en el perfil de la red social X “(...)” con usuario “***USUARIO.1” publicado con fecha ***FECHA.1. En este vídeo publicado, los rostros han sido emborronados digitalmente. Con fecha de 30 de octubre de 2023 se comprueba la publicación en el digital Diario de Noticias de Navarra (noticiasdenavarra.com) con fecha de ***FECHA.1, en el que C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/7 aparece la imagen de un fotograma del video captado por la cámara de seguridad exterior, los rostros de los intervinientes han sido emborronados digitalmente. Esta imagen no corresponde a los reclamantes, sino a los que pretendían entrar en la vivienda. Aunque estos intervinientes que aparecen no correspondan a la parte reclamante, si aparece claramente la entrada a la vivienda. Dado que se trata de una localidad pequeña, 8.429 habitantes, sería posible la identificación de la vivienda de la parte reclamante. A fecha de este informe la publicación sigue activa en la dirección: ***URL.1 Según las manifestaciones realizadas por el Delegado de Protección de Datos del Ayuntamiento de Noáin en su escrito de alegaciones al traslado de la reclamación, los vídeos facilitados a la Policía Municipal fueron trasladados al Centro de Mando y Coordinación de Policía Foral de Navarra el mismo día de los hechos, apareciendo en las publicaciones citadas un día más tarde. Por lo tanto, dado que los vídeos fueron publicados una vez que estos fueran transmitidos la Policía Foral, no se tienen indicios a priori de la procedencia de los vídeos publicados. Requerida a la Policía Foral de Navarra información sobre (

  1. i)el tratamiento de datos enviados a través de la aplicación WhatsApp, personas con acceso a este canal, cadena de custodia, y seguridad del tratamiento, y (
  2. ii)las causas que hubieran podido facilitar la filtración de las imágenes del reclamante y su mujer con posterior publicación en medios digitales y redes sociales, con fecha de 26 de abril de 2024, se recibe en esta Agencia, escrito remitido por esta Policía manifestando que en el informe del Servicio de Protección Civil 112, extraído del Sistema Gestor de Emergencias, se refleja la incidencia y las gestiones practicadas sobre intento de intrusión en el domicilio de los hechos. En el citado incidente y anotado el día 29 de abril de 2023, por el Jefe de Operaciones del turno, se anota la recepción del video en el que se contienen las imágenes de los sospechosos, así como del vehículo utilizado para abandonar el lugar. Así mismo se anota su remisión al número de teléfono corporativo asignado a los Jefes de Operaciones de la Brigada de Comunicación y Enlace Operativo (en lo sucesivo, BCEO) de la Policía Foral, número ***REFERENCIA.2, en el que se confirma que no existe, a fecha de remisión de la presente información, archivo del mismo. A su vez, se remite el vídeo a otro teléfono corporativo, el asignado a los Inspectores de Servicio de la División de Prevención y Atención Ciudadana Pamplona, número ***REFERENCIA.3, al objeto de su conocimiento y de que sea puesto a disposición de la Brigada de Policía Judicial-Norte en previsión de una posterior interposición de denuncia, que es interpuesta de forma efectiva el mismo día de actos en el domicilio de los reclamantes. Transcriben el siguiente extracto del procedimiento normalizado PNT 2009-088, “Atención de emergencias”: “La vía a utilizar, de forma generalizada, para la movilización por la BCEO de las patrullas operativas que se encuentren de servicio, es la Radio Tetra, si bien se establece el teléfono como vía complementaria de comunicación entre la BCEO y las distintas unidades. En cuanto al uso del teléfono, la norma general es el uso de números operativos genéricos, asignados a unidades, no a personas. El uso de estos números genéricos implica la obligación de su conocimiento por parte de los miembros de la BCEO y la obligación de ser portado por parte de los responsables operativos de las diferentes unidades.” Al no ser posible determinar cómo fueron filtrados los videos señalados en la reclamación, se requiere al Ayuntamiento de Noain y Policía Foral de Navarra C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/7 información sobre las medidas técnicas y organizativas para la seguridad del tratamiento implementadas según lo señalado en el artículo 37 de la Ley Orgánica 7/2021, de 26 de mayo, de protección de datos personales tratados para fines de prevención, detección, investigación y enjuiciamiento de infracciones penales y de ejecución de sanciones penales (LO 7/2021 en lo sucesivo) y artículo 32 Reglamento General de Protección de Datos. Con fecha de 13 de septiembre de 2024 se recibe en esta Agencia, escrito remitido por el Ayuntamiento de Noain manifestando que dado que la mensajería de WhatsApp podría no haber sido el más adecuado en su caso, se está tratando con los Cuerpos Policiales que operan en Navarra la coordinación de un método seguro de traspaso de información de carácter personal. Adjuntan el documento PROCEDIMIENTO DE TRABAJO Nº: 001/2024 creado para el tratamiento de datos personales para todo el personal adscrito a la Comisaría Policial del Ayuntamiento en consonancia con el artículo 37 de la LO 7/2021. En este documento se recuerda la obligatoriedad de guardar el secreto profesional en cuanto a la gestión de la información de los datos personales derivados de cualquier intervención policial y se dan directrices tratamiento para los datos de carácter personal que obren en su poder, ya sean recogidos dentro de una intervención policial o sean aportados por terceros para la investigación de cualquier ilícito penal. Con fecha de 23 de septiembre de 2024, se recibe en esta Agencia escrito remitido por la Policía Foral de Navarra poniendo de manifiesto que por Orden Foral 210/2007, de 04 de julio, se establecen las Normas de Seguridad en los Sistemas de Información y las Comunicaciones en la Administración de la Comunidad Foral de Navarra y sus organismos públicos, accesible en la dirección de internet http://www.lexnavarra.navarra.es/detalle.asp?r=29467, añaden que mediante el decreto foral 20/2019, de 6 de marzo, por el que se aprueba la política de protección de datos y seguridad de la información de la administración de la comunidad foral de navarra y sus organismos públicos, se definió el marco de referencia que permite la gestión de la protección de datos y de la seguridad de la información en el contexto de las actividades de tratamiento con datos personales y los sistemas de información. Este decreto es accesible en la dirección https://www.lexnavarra.navarra.es/detalle.asp?r=51367#Ar.7. Además, detallan la Guía de uso y buenas prácticas del Teléfono móvil, las medidas técnicas y organizativas implementadas en la Policía Foral de Navarra para garantizar la seguridad del tratamiento y las acciones formativas que se imparten al efecto. Se requiere a la Policía Foral de Navarra la remisión de las conclusiones de la actuación investigadora iniciada dentro de la de División de Prevención y Atención Ciudadana de Pamplona a consecuencia de los hechos reclamados mencionada en escrito anterior, y esta Policía significa en el mismo escrito con fecha de 23 de septiembre de 2024, “que el intento de robo es grabado, además de por los propietarios de vivienda, por las cámaras de seguridad de la casa. El vídeo grabado por la cámara de seguridad del portal en ningún momento se facilitó a la Policía Foral de Navarra. Las imágenes que se viralizaron y compartieron de forma masiva las conformaban ambos videos de forma conjunta, el grabado por los propietarios y el grabado por las cámaras de seguridad”, y añaden como conclusión que “no se puede evidenciar que la filtración de imágenes se haya producido desde Policía Foral. En cualquier caso, estos hechos han servido para analizar y mejorar la Instrucción de la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/7 Jefatura de la Policía Foral, nº IJ.004.JEF.24 “Uso de dispositivos móviles para el tratamiento de datos de carácter personal o sensible”. A la vista de las manifestaciones de las partes y de la documentación obrante en este expediente, no se ha podido determinar si la difusión de los vídeos señalados en la reclamación ha procedido de la filtración de éstos desde el Ayuntamiento de Noáin (parte reclamada), la policía Foral de Navarra, o de otra fuente. Respecto a las medidas técnicas y organizativas para la seguridad del tratamiento implementadas según lo señalado en el artículo 37 de la LO 7/2021, y el artículo 32 del RGPD, ambos cuerpos han facilitado a esta Agencia información sobre instrucciones específicas de obligado cumplimiento, reforzadas con acciones formativas, para el correcto tratamiento de los datos de carácter personal. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con lo establecido en los artículos 49 y 50 de la LO 7/2021 y según lo dispuesto en los artículos 47 y 48.1 de la LOPDGDD es competente para resolver estas actuaciones de investigación la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." Por último, el artículo 52 "Régimen aplicable a los procedimientos tramitados ante las autoridades de protección de datos" de la LO 7/2021 establece que: "1. En el caso de que los interesados aprecien que el tratamiento de los datos personales haya infringido las disposiciones de esta Ley Orgánica o no haya sido atendida su solicitud de ejercicio de los derechos reconocidos en los artículos 21, 22 y 23 tendrán derecho a presentar una reclamación ante la autoridad de protección de datos. 2. Dichas reclamaciones serán tramitadas por la autoridad de protección de datos competente con sujeción al procedimiento establecido en el título VIII de la Ley Orgánica 3/2018, de 5 de diciembre, y, en su caso, a la legislación de las Comunidades Autónomas que resulte de aplicación. Tendrán carácter subsidiario las normas generales sobre los procedimientos administrativos y el régimen jurídico del sector público." II El artículo 37 de la LO 7/2021, bajo la rúbrica “Seguridad del tratamiento”, establece que: “1. El responsable y el encargado del tratamiento, teniendo en cuenta el estado de la técnica y los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/7 del tratamiento, así como los niveles de riesgo para los derechos y libertades de las personas físicas, aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado, especialmente en lo relativo al tratamiento de las categorías de datos personales a las que se refiere el artículo 13. En particular, deberán aplicar a los tratamientos de datos personales las medidas incluidas en el Esquema Nacional de Seguridad. 2. Por lo que respecta al tratamiento automatizado, el responsable o encargado del tratamiento, a raíz de una evaluación de los riesgos, pondrá en práctica medidas de control con el siguiente propósito:
  3. a)En el control de acceso a los equipamientos, denegar el acceso a personas no autorizadas a los equipamientos utilizados para el tratamiento.
  4. b)En el control de los soportes de datos, impedir que estos puedan ser leídos, copiados, modificados o cancelados por personas no autorizadas.
  5. c)En el control del almacenamiento, impedir que se introduzcan sin autorización datos personales, o que estos puedan inspeccionarse, modificarse o suprimirse sin autorización.
  6. d)En el control de los usuarios, impedir que los sistemas de tratamiento automatizado puedan ser utilizados por personas no autorizadas por medio de instalaciones de transmisión de datos.
  7. e)En el control del acceso a los datos, garantizar que las personas autorizadas a utilizar un sistema de tratamiento automatizado, sólo puedan tener acceso a los datos personales para los que han sido autorizados.
  8. f)En el control de la transmisión, garantizar que sea posible verificar y establecer a qué organismos se han transmitido o pueden transmitirse, o a cuya disposición pueden ponerse los datos personales mediante equipamientos de comunicación de datos.
  9. g)En el control de la introducción, garantizar que pueda verificarse y constatarse, a posteriori, qué datos personales se han introducido en los sistemas de tratamiento automatizado, en qué momento y quién los ha introducido.
  10. h)En el control del transporte, impedir que durante las transferencias de datos personales o durante el transporte de soportes de datos, los datos personales puedan ser leídos, copiados, modificados o suprimidos sin autorización.
  11. i)En el control de restablecimiento, garantizar que los sistemas instalados puedan restablecerse en caso de interrupción.
  12. j)En el control de fiabilidad e integridad, garantizar que las funciones del sistema no presenten defectos, que los errores de funcionamiento sean señalados y que los datos personales almacenados no se degraden por fallos de funcionamiento del sistema”. III El artículo 6.1.
  13. f)de la LO 7/2021 dispone lo siguiente: “1. Los datos personales serán: […]
  14. f)Tratados de manera que se garantice una seguridad adecuada, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/7 o daño accidental. Para ello, se utilizarán las medidas técnicas u organizativas adecuadas”. IV Conclusión Por lo tanto, en base a lo indicado en los párrafos anteriores, no se han encontrado evidencias que acrediten la existencia de infracción en el ámbito competencial de la Agencia Española de Protección de Datos. Todo ello sin perjuicio de las posibles actuaciones posteriores que esta Agencia pudiera llevar a cabo, aplicando los poderes de investigación y correctivos que ostenta. Así pues, al no haber sido posible atribuir al Ayuntamiento de Noáin (parte reclamada), a la policía Foral de Navarra, o a otra fuente la responsabilidad por la difusión, de forma no autorizada, de las imágenes y vídeos señalados en la reclamación en redes sociales (Facebook, Instagram) y grupos de la aplicación de mensajería instantánea WhatsApp, de acuerdo con lo señalado, por la Presidencia de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución al AYUNTAMIENTO DE NOÁIN (VALLE DE ELORZ)/NOAIN (ELORTZIBAR), a la POLICIA FORAL DE NAVARRA y a la parte reclamante. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
  15. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 940-301023 Olga Pérez Sanjuán La Subdirectora General de Inspección de Datos, de conformidad con el art. 48.2 LOPDGDD, por vacancia del cargo de Presidencia y Adjuntía C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.