1/8 Expediente N.º: EXP202205519 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes: HECHOS PRIMERO: Con fecha 6 de mayo de 2022, se presentó reclamación ante la Agencia Española de Protección de Datos contra el AYUNTAMIENTO DE GANDÍA, con NIF P4613300E (en adelante, la parte reclamada). Los motivos en que basa la reclamación son los siguientes: Reclama porque un agente del Ayuntamiento de Gandía (con ***TIP.1) fotografió con el teléfono móvil su DNI, por ambas caras, y la matrícula del vehículo que conducía, no contestando cuando el reclamante le preguntó para qué lo hacía. Cuestión que fue puesta en conocimiento del referido ayuntamiento mediante escrito de registro de entrada ***REGISTRO.1, no habiendo obtenido respuesta. Junto a la notificación se aporta: - Solicitud de información al ayuntamiento de Gandía. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada/ ALIAS, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), mediante notificación electrónica, fue recogido por el responsable, en fecha 13 de mayo de 2022, como consta en el certificado que obra en el expediente. No se ha recibido respuesta a este escrito de traslado. TERCERO: Con fecha 18 de julio de 2022, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/8 con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: Con fecha 23 de agosto de 2022 se remite un requerimiento de información a la parte reclamada en el que se solicita, entre otras cosas, informar de la contestación facilitada por ese Ayuntamiento al reclamante ante el ejercicio de derecho de información sobre el tratamiento de sus datos personales. El requerimiento es notificado con fecha 24 de agosto de
- Con fecha 1 de septiembre de 2022, la parte reclamada remite a esta Agencia la siguiente información y manifestaciones: - Con fecha 31-08-2022 se da traslado de la contestación al reclamante a través de la sede electrónica, (registro salida 9328/2022). - Los dispositivos móviles que los agentes deben utilizar para su trabajo son los corporativos, todos los agentes tienen a su disposición dispositivos móviles corporativos. - El responsable del tratamiento es el Ayuntamiento de Gandía (Policía Local de Gandía). El objeto del tratamiento es el de llevar a cabo el trabajo policial. - Los DNI fotografiados, así como toda imagen que sea tomada para cumplimentar expedientes o fichas de entidades son traspasadas a los sistemas del ayuntamiento, de manera online, a través de la app de gestión policial instalada en cada uno de los móviles corporativos utilizados por la policía de Gandía. - Existen dos modos de traspasar las imágenes, tomadas mediante fotografía, a los sistemas del ayuntamiento a través de la app del dispositivo móvil:
- Realizar la fotografía directamente desde la APP, en tal caso la imagen nunca queda almacenada en el dispositivo móvil
- En un primer paso realizar la foto desde la aplicación fotográfica del mismo dispositivo móvil y posteriormente pasarla a la aplicación de gestión policial, en este caso la imagen quedaría almacenada en la memoria del teléfono y es el mismo agente el que, una vez la imagen ya es traspasada, debe eliminar la imagen del dispositivo móvil. Todos los dispositivos disponen de un PIN de acceso y la APP también dispone de contraseña que debe de constar de letras mayúsculas y minúsculas, números y con un mínimo de ocho caracteres, de acceso individual para cada uno de los usuarios que según el rol tienen restringido su acceso. Además, para que se pueda acceder a la APP, el dispositivo móvil debe estar registrado en la base de datos central del programa de gestión, por lo que en cualquier momento se le puede restringir el acceso a la APP, puntualizar que la APP no guarda ningún dato en el dispositivo móvil. Según el caso los dispositivos pueden: - Tras finalizar el servicio el agente deposita el dispositivo móvil en las dependencias policiales donde permanecen custodiados 24h al día, estos dispositivos son utilizados por diferentes agentes. - El agente es responsable del dispositivo y siempre es custodiado por él, este dispositivo sólo lo utiliza ese agente. (Nota: el subrayado ha sido incorporado por la Agencia). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/8 Se comprueba que el Ayuntamiento dispone de un enlace en su página web donde se pueden ejercer los derechos de las personas afectadas ante el tratamiento de sus datos: ***URL.1 Desde esa página web es posible descargar el Registro de Actividades de Tratamiento del Ayuntamiento de Gandía (en adelante, RAT), que se encuentra publicado en el enlace: ***URL.2 En el RAT se especifican los siguientes tratamientos, entre otros: *.* Tratamiento XX/XX .- Página 112 del Registro de Actividades de tratamiento. .- Actividad de tratamiento: Seguridad Vial .- Finalidad del tratamiento: Mejorar la seguridad vial mediante la prevención e investigación de accidentes, a través de la gestión de atestados, registro de accidentes, retirada del carné de conducir; y el establecimiento de controles de alcoholemia, sustancias tóxicas, documentación, cinturón de seguridad o cualquier otro que conduzca a una circulación más segura. .- Base Jurídica: ..* Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos. ..* Real Decreto Legislativo 6/2015, de 30 de octubre, por el que se aprueba el texto refundido de la Ley sobre Tráfico, Circulación de Vehículos a Motor y Seguridad Vial. . - Categoría de datos personales: • Identificativos (Nombre y apellidos, Imagen, Firma, DNI/NIF, Firma, Dirección, Teléfono, Huella) • Personales (Fecha de nacimiento, Nacionalidad, Lugar de nacimiento, Sexo, Edad, Características físicas o antropomórficas, Datos de contacto) • Sociales (Licencias, permisos, autorizaciones) • Económico-financiero (Seguros) • Especialmente Protegidos (Salud) • Relativos a infracciones penales o administrativas (Infracciones penales, Infracciones administrativas) *.* Tratamiento XX/XX .- Página 128 del Registro de Actividades de tratamiento. .- Actividad de tratamiento: Infracciones a la Ordenanza de Movilidad C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/8 .- Finalidad del tratamiento: Ordenar y regular el uso y la utilización de las vías públicas mediante la tramitación del procedimiento sancionador derivado de las infracciones a la Ordenanza de Movilidad, así como realizar seguimiento y control de las multas en las diferentes fases de su tramitación .- Base Jurídica: ..* Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos. ..* Ordenanza de Movilidad. .- Categoría de datos personales: • Identificativos (Nombre y apellidos, Imagen, DNI/NIF, Dirección) • Personales (Nacionalidad, Edad) • Sociales (Otros datos, Licencias, permisos, autorizaciones) • Relativas a infracciones penales o administrativas (Infracciones penales) • Otros tipos de datos: en consultas realizadas a datos del conductor se pueden tener conocimiento de datos de salud) Con fecha 13 de abril de 2023 se remite un segundo requerimiento de información a la parte reclamada en el que se solicita aclaración de ciertos aspectos de su respuesta anterior, aportando la siguiente información y manifestaciones: Punto 1.- Con relación a la copia del traslado de la contestación remitida al reclamante, la parte reclamada remite copia del informe realizado, firmado con fecha 31 de agosto de
- El escrito hace referencia a los hechos acontecidos. La parte reclamada expone que el Agente requirió a la parte reclamante que se identificase y “como era difícil tomar los datos por escrito, ya que estaba regulando el tráfico, se hizo una fotografía al DNI y al vehículo, para identificación del mismo, pero sin interponer multa de ningún tipo finalmente.” La parte reclamada alega la aplicación de la Ley Orgánica 4/2015, de 30 de marzo, de protección de la seguridad ciudadana, que en su artículo 16 establece la identificación de personas por parte de los agentes de las Fuerzas y Cuerpos de Seguridad en el cumplimiento de sus funciones de indagación y prevención delictiva, así como para la sanción de infracciones penales y administrativas. Punto 2.- Respecto al motivo por el cual el traslado no se realizó en el plazo indicado para ello, la parte reclamada explica que en fecha 31 de agosto de 2022 realiza informe para contestar al reclamante y que “Tras recibir oficio, por parte AEPD, donde se requería el motivo por el cual no se realizó el traslado al reclamante en tiempo y forma y tras consultar los archivos, se detecta que la funcionaria encargada de tramitar el registro de salida cometió un error en el circuito del programa informático, quedando el informe pendiente de envío en el registro de salida.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/8 Punto 3.- La parte reclamada indica que no constan datos del reclamante en los archivos de la Policía Local de Gandía. Punto 4.- La parte reclamada continúa exponiendo que “Si de forma excepcional se tiene que tomar fotografías de alguna documentación, siempre se realiza con los dispositivos oficiales facilitados por esta Jefatura y una vez hechas las comprobaciones necesarias para la identificación, las imágenes son borradas sin dejar rastro alguno en ningún fichero policial.” Punto 5.- La parte reclamante manifiesta que “En la Policía local de Gandía NO existen protocolos de capturas de imagen, se adjunta la Orden de servicio existente sobre la captura de imágenes.” La orden facilitada está firmada con fecha 26 de abril de
- La Orden de servicio indica los siguientes puntos: “*1.- Los dispositivos móviles a utilizar durante el transcurso del servicio deben ser los corporativos. *2.- Las imágenes, que, de forma excepcional, se tomen para rellenar los expedientes de cualquier infracción, se realizarán directamente desde la APP. En el caso de que la fotografía deba ser tomada directamente desde la cámara del dispositivo, se traspasará a la app con la mayor brevedad y una vez hecha las comprobaciones necesarias, se eliminará la imagen sin que quede rastro de ella, en el plazo máximo de 48 horas. *3.- Se debe evitar fotografiar documentos de identificación de los ciudadanos en la medida de lo posible, ya que existen otros métodos para registrar la identificación. *4.- Antes de finalizar el servicio y devolver el material a control de acceso, y en cualquier caso, en el plazo máximo de 48 horas, se revisará el dispositivo y se eliminarán todas las imágenes capturadas. *5.- Se recuerda que NO pueden hacer uso de los teléfonos personales para fotografiar la documentación de las personas identificadas.” Punto 6.- Con relación a la información facilitada al reclamante en el momento de solicitar su DNI para realizar fotografías, la parte reclamada remite el informe del Agente actuante, con fecha 20 de mayo de 2022, donde se detallan las causas que motivaron la toma de fotografías. El agente manifiesta, entre otros aspectos de los hechos acaecidos, que: “Como era imposible tomar los datos por escrito (porque repito estaba regulando el tráfico) le hice foto al D.N.I y al vehículo que dicho señor abandono. El motivo por el que no redacte informe del comportamiento de este señor fue, porque son muchísimos conductores los que se comportan de esa misma forma, y en la inmensa mayoría de las cosas todo queda ahí, y sí tuviéramos que hacer informes de todos sería imposible poder atender nuestra obligación de regular el tráfico por la seguridad vial de los ciudadanos.” FUNDAMENTOS DE DERECHO C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/8 I Competencia De acuerdo con las funciones que el artículo 57.1 a), f) y h) del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) confiere a cada autoridad de control y según lo dispuesto en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Principios del tratamiento de datos En el artículo 5 del RGPD se establecen los principios relativos al tratamiento de los datos personales por el responsable y/o encargado de los mismos, y, en su apartado 1.c) se especifica que “el tratamiento de los datos personales debe ser adecuado, pertinente y limitado a lo necesario en relación con los fines para los que son tratados”, conocido como el principio de “minimización de datos”. Hay que aclarar que este artículo no limita el exceso de datos, si no la necesidad. Es decir, los datos personales serán, “adecuados, pertinentes y limitados a la necesidad”, para la que fueron recabados, de tal manera que, atendiendo a las circunstancias acaecidas en el momento, si el objetivo perseguido para la obtención de los datos personales podría haberse alcanzado por otros medios, sin realizar un tratamiento excesivo de datos, el mismo debería haberse utilizado, en todo caso. Así lo marca también en el considerando 39 del RGPD, cuando indica que: “Los datos personales solo deben tratarse si la finalidad del tratamiento no pudiera lograrse razonablemente por otros medios.” III Hechos constatados En el caso que nos ocupa, un agente del Ayuntamiento de Gandía (con ***TIP.1) fotografió con el teléfono móvil el DNI de la parte reclamante, por ambas caras, y la matrícula del vehículo que conducía, no contestando cuando el reclamante le preguntó para qué lo hacía. En el escrito de contestación que se envió a la parte reclamante se le informaba de que ante la amonestación de la parte reclamante al agente que regulaba el tráfico en un momento de colapso, el agente no podía tomar nota de sus datos y por C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/8 ello fotografió el NI y el vehículo, ante la posibilidad de comisión de una infracción administrativa; que finalmente no se impuso. Para realizar esta actuación el agente del Ayuntamiento se dieron las siguientes circunstancias: que estaba dirigiendo el tráfico en un momento de mucho colapso, que tenía que identificar a la parte reclamante de una manera muy rápida; que utilizó el móvil institucional para fotografiar el DNI y el vehículo; que se borró del dispositivo de forma inmediata y que se cancelaron los datos de los ficheros del Ayuntamiento. El hecho de que las circunstancias de los hechos aconsejaran agilizar en todo lo posible las identificaciones, utilizando un medio excepcional de identificación como es hacer fotografías con un teléfono móvil oficial perteneciente al Ayuntamiento, posibilitó que, en la labor de identificación se redujera el tiempo de los agentes. Todo ello unido a que, una vez hechas las comprobaciones necesarias en la identificación, las imágenes tomadas con el móvil fueran borradas sin que quedara rastro alguno en ningún fichero policial, según confirma el Ayuntamiento de Gandía. IV Conclusión Cabe resaltar los siguientes aspectos: - Los agentes utilizan dispositivos móviles corporativos. - Los DNI fotografiados son traspasados a los sistemas del ayuntamiento, de manera online. - Cuando la foto se toma desde la aplicación fotográfica del dispositivo móvil, la imagen queda almacenada en la memoria del teléfono y es el agente el que, una vez la imagen ya es traspasada, debe eliminar la imagen del dispositivo móvil. Se ha comprobado que el RAT del Ayuntamiento de Gandía está publicado y disponible. En el RAT se registran las actividades de tratamiento relacionadas con la Seguridad Vial y las Infracciones a la Ordenanza de Movilidad. Se ha evidenciado la existencia de una Orden general del cuerpo para la captura de imágenes, firmada con fecha 26 de abril de 2023, en la que se dicta que las imágenes que se tomen para rellenar los expedientes se realizarán directamente desde la APP, que, en el caso de que la fotografía se tome directamente desde la cámara del dispositivo, se traspasará a la app con la mayor brevedad y será eliminada en un plazo inferior a 48 horas y que se debe evitar fotografiar documentos de identificación de los ciudadanos en la medida de lo posible. Por tanto, con arreglo a lo expuesto, se considera que la utilización del teléfono móvil oficial de la unidad actuante para la toma de fotografías del DNI del reclamante, en las circunstancias tan excepcionales como las expuestas anteriormente, cumple con el principio de minimización del dato, recogido en el artículo 5.1.c) del RGPD, más aún cuando las mismas fueron eliminadas del dispositivo una vez cumplido el objetivo C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/8 para el que fueron borradas, no quedando ningún rastro de las mismas en ningún fichero del Ayuntamiento reclamado. Por lo tanto, en base a lo indicado en los párrafos anteriores, no se han encontrado evidencias que acrediten la existencia de infracción en el ámbito competencial de la Agencia Española de Protección de Datos. De conformia con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución al AYUNTAMIENTO DE GANDÍA y a la parte reclamante. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.c) de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 940-020323 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es