1/4 Expediente Nº: E/00561/2016 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES Examinado el escrito presentado por MINISTERIO DEL INTERIOR (Secretaría de Estado de Seguridad), relativo a la ejecución del requerimiento de la resolución de referencia R/00243/2016 dictada por la Directora de la Agencia Española de Protección de Datos en el procedimiento de apercibimiento AP/00055/2015, seguido en su contra, y en virtud de los siguientes ANTECEDENTES DE HECHO PRIMERO: En esta Agencia Española de Protección de Datos se tramitó el procedimiento de Declaración de infracción de las Administraciones Públicas de referencia AP/00055/2015, a instancia de la AGRUPACIÓN DE CUERPOS DE LA ADMÓN. INSTITUCIONES PENITENCIARIAS (ACAIP VALENCIA), con Resolución de la Directora de la Agencia Española de Protección de Datos por infracción del artículo 12.2 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de los Datos de Carácter Personal (en lo sucesivo LOPD). Dicho procedimiento concluyó mediante resolución R/00243/2016, de fecha 12 de febrero de 2016 por la que se resolvía “REQUERIR al MINISTERIO DEL INTERIOR (Secretaría de Estado de Seguridad), de acuerdo con lo establecido en el apartado 3 del artículo 46 de la Ley 15/1999, para que acredite en el plazo de un mes desde este acto de notificación las medidas de orden interno que impidan que en el futuro pueda producirse una nueva infracción del artículo 12 de la LOPD, en concreto, que se incluyan las estipulaciones del artículo 12 en el contrato suscrito con la entidad SEGUR IBÉRICA respecto a la seguridad en centros penitenciarios dependientes del Ministerio del Interior, para lo que se abre expediente de actuaciones previas E/00561/2016, advirtiéndole que en caso contrario se procederá a acordar la apertura de un procedimiento de Declaración de Infracción.” Con objeto de realizar el seguimiento de las medidas a adoptar la Directora de la Agencia Española de Protección de Datos instó a la Subdirección General de Inspección de Datos la apertura del expediente de actuaciones previas de referencia E/00561/
- SEGUNDO: Con motivo de lo instado en la resolución, el denunciado remitió a esta Agencia con fecha de entrada 11 de marzo de 2016, escrito en el que informaba a esta Agencia que ha adoptado las siguientes medidas de orden interno: - “Oficio de remisión emitido por el Director del Gabinete del Secretario de Estado de Seguridad, con fecha 22 de diciembre del año 2015, por el que se solicitó a la Secretaría General de Instituciones Penitenciarias, que impartiera las instrucciones oportunas a fin de evitar posibles infracciones a la Ley Orgánica 15/1999 de Protección de Datos de Carácter Personal. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/4 - Oficio de remisión emitido por el Director del Gabinete de Coordinación y Estudios, con fecha 3 de marzo de 2016, por el que se solicitó a la Dirección Adjunta Operativa del Cuerpo Nacional de Policía, que impartiera en el ámbito de su competencia, las instrucciones oportunas a los jefes policiales encargados de las seguridad en los centros penitenciarios, a fin de evitar posibles infracciones a la Ley Orgánica 15/1999 de Protección de Datos de Carácter Personal. - Oficio de remisión emitido por el Director del Gabinete de Coordinación y Estudios, con fecha 3 de marzo de 2016, por el que se solicitó a la Dirección Adjunta Operativa de la Guardia Civil, que impartiera en el ámbito de su competencia, las instrucciones oportunas a los jefes policiales encargados de las seguridad en los centros penitenciarios, a fin de evitar posibles infracciones a la Ley Orgánica 15/1999 de Protección de Datos de Carácter Personal. - Elaboración de una cláusula contractual en la cual se incluyen todas las estipulaciones previstas en el artículo 12 de la citada Ley Orgánica 15/1999, en el correspondiente contrato suscrito entre esta Secretaría de Estado y las entidades de seguridad privada adjudicatarias, que prestan servicio en los centros penitenciarios dependientes del Ministerio del Interior (entre las cuales se encuentra actualmente la entidad SEGUR IBÉRICA)”. FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.d) en relación con el artículo 36, ambos de la LOPD. II El artículo 12 de la LOPD estipula lo siguiente: “Acceso a los datos por cuenta de terceros.
- No se considerará comunicación de datos el acceso de un tercero a los datos cuando dicho acceso sea necesario para la prestación de un servicio al responsable del tratamiento.
- La realización de tratamientos por cuenta de terceros deberá estar regulada en un contrato que deberá constar por escrito o en alguna otra forma que permita acreditar su celebración y contenido, estableciéndose expresamente que el encargado del C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/4 tratamiento únicamente tratará los datos conforme a las instrucciones del responsable del tratamiento, que no los aplicará o utilizará con fin distinto al que figure en dicho contrato, ni los comunicará, ni siquiera para su conservación, a otras personas. En el contrato se estipularán, asimismo, las medidas de seguridad a que se refiere el artículo 9 de esta Ley que el encargado del tratamiento está obligado a implementar.
- Una vez cumplida la prestación contractual, los datos de carácter personal deberán ser destruidos o devueltos al responsable del tratamiento, al igual que cualquier soporte o documentos en que conste algún dato de carácter personal objeto del tratamiento.
- En el caso de que el encargado del tratamiento destine los datos a otra finalidad, los comunique o los utilice incumpliendo las estipulaciones del contrato, será considerado, también, responsable del tratamiento, respondiendo de las infracciones en que hubiera incurrido personalmente.” De la lectura del citado artículo 12 se deduce que, para que concurra la figura del “acceso a los datos por cuenta de tercero”, la relación deberá estar regulada en un contrato que deberá constar por escrito o en alguna forma que permita acreditar su celebración y contenido. El citado contrato permite que el responsable del fichero habilite el acceso material a datos de carácter personal por parte de la entidad que va a prestarle un servicio –encargado del tratamiento- sin que, por mandato expreso de la ley, pueda considerarse dicho acceso como una cesión de datos. Sin embargo, ese acceso o tratamiento por parte del que presta el servicio aparece rodeado de un abanico de garantías para los afectados que el propio artículo 12 impone. La primera de ellas estriba en que haya una constancia expresa de que el responsable del fichero ha encargado el tratamiento de los datos, para lo cual se exige que conste en un contrato. III En supuesto presente, del examen de las medidas adoptadas por el MINISTERIO DEL INTERIOR (Secretaría de Estado de Seguridad), se desprende que la relación jurídica que vincula a la Secretaría de Estado de Seguridad y a SEGUR IBÉRICA, que ampara el acceso por parte de ésta a los datos personales de quienes acceden a las instalaciones penitenciarias, o de quienes son objeto de control en el interior de dichas instalaciones, por virtud de la encomienda de gestión acordada por la misma, reuniría los requisitos anteriormente descritos. Por lo tanto, de acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA:
- PROCEDER AL ARCHIVO de las presentes actuaciones.
- NOTIFICAR la presente Resolución a MINISTERIO DEL INTERIOR, y a AGRUPACIÓN DE CUERPOS DE LA ADMÓN. INSTITUCIONES PENITENCIARIAS (ACAIP VALENCIA). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/4 De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa (en lo sucesivo LJCA), en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Sin embargo, el responsable del fichero de titularidad pública, de acuerdo con el artículo 44.1 de la citada LJCA, sólo podrá interponer directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la LJCA, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es