E-01332-2018

1/8 Expediente Nº: E/01332/2018 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante el AYUNTAMIENTO DE MADRID, SIETE ESTRELLAS EDUCACIÓN Y OCIO SL, A.A.A., B.B.B. en virtud de denuncia presentada por C.C.C. y otras 9 personas y, teniendo como base los siguientes: HECHOS PRIMERO: Con fecha 7/03/2018 tiene entrada en esta Agencia una denuncia presentada por C.C.C., y otras 9 personas, que aportan todas ellas impreso de “acreditación individual foros locales de distrito” del distrito de Chamberí, Madrid que contiene sus datos personales incluyendo dirección de correo electrónico. En el pie del formulario se indica que los datos serán tratados por la secretaria del Distrito para realizar todas las actuaciones necesarias para el correcto funcionamiento del foro local del distrito. Tras incidir en la normativa del foro sobre las funciones de la Secretaria del foro y titularidad de los datos recogidos, la acreditación de los participantes de los foros y control de los cambios de estos datos por parte de dicha Secretaria, detalla que dentro de la estructura de los foros, se podrán crear con carácter temporal o permanente todas las mesas y grupos de trabajo que considere pertinentes para diversas finalidades, que están integrados por las personas participantes del foro local que decidan incluirse en ellas (artículo 23 y 24 del Reglamento Orgánico de Funcionamiento de los Foros Locales de los Distritos de Madrid (ROFL) aprobado por el Pleno el 23/12/2016.) La normativa de los foros hace recaer la presidencia de las mesas o grupos a la persona designada por los participantes, y es esta la que convoca dichos grupos. Denuncia que se produce una cesión de datos desde el responsable de los datos a los Coordinadores de las mesas y de los grupos que son participantes en el foro, pero no forman parte de la Administración, precisando que no existe norma que ampare dicha cesión, que no existe consentimiento para ello. Además, y en segunda instancia, las convocatorias que hacen los coordinadores de las mesas desvelan las direcciones de correos electrónicos de todas los convocados al enviarse sin copia oculta. Como ejemplos que apoyan su denuncia, aportan: -mensaje enviado por correo electrónico de B.B.B. (dinamizadora) de 11/12/2017, 13:43, para EAB, con copia a distintos destinatarios entre ellos varios denunciantes, asunto “carril bici santa engracia” y en el literal manifiesta que quiere aclarar que “esta C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/8 información que os ha hecho llegar G.G.G. se la he reenviado yo como dinamizadora, porque creí que os podría resultar interesante como participantes de la mesa del deporte y también del grupo de movilidad, …indicando G.G.G. es el coordinador de la mesa -También se aporta copia del correo de G.G.G. del mismo día, a 10:51 comenzado hola a todos. Y envía “info sobre el encuentro que hubo para tratar del carril bici de santa engracia”. No se ven los destinatarios. -Se aportan otros correos electrónicos enviado por B.B.B. como ejemplo: -de 12/02/2018 trasladando información sobre presupuestos participativos dirigido cco a somosierra 10, D.D.D.. -20/02/2018 a E.E.E., asunto “listado mesa presupuestos participativos” “Hola E.E.E. te envío el listado actualizado hasta hoy. Todas las personas de la lista están acreditadas, aunque como sabes …Yo voy a estar en la reunión por lo que si viene alguna persona nueva estaré pendiente”. El correo responde a otro del día anterior de E.E.E. en el que le pregunta si la lista “que me pasaste hace dos semanas esta actualizadas con todos los miembros de la mesa que tengan derecho a voto”., acompañada de la impresión de datos de 22 personas (nombres y apellidos y direcciones de correos electrónicos). -Correos posteriores al de 11/12/2017 de la mesa de espacio urbano y medio ambiente de 26/01/2018, 12:49 enviado por la coordinadora de la mesa en el que se visualizan todos los destinatarios. Algunos coinciden con algún denunciante, pero no se aprecia que figure la dirección de la dinamizadora. En otros correos de este grupo o del grupo del deporte, se aprecia que cuando se envían correos electrónicos, son visibles las direcciones de todos ellos, y en alguno como el de 6/02/2018 que remite mesa deporte, se envía copia a B.B.B., y se aprecia que figura la misma dirección y envío en abierto de direcciones en otro de 5/02/2018, 16/01/2018 por lo que las direcciones de correos electrónicos de todos son conocidas por todos al enviarse en abierto. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información, con el siguiente resultado: 1. El AYUNTAMIENTO DE MADRID manifiesta el 5/04/2018: 1.1 El fichero que almacena los datos es el de FORO LOCALES DE DISTRITO. Los datos de ciudadanos incluidos en el mismo se facilitaron por la Secretaria del Distrito a la dinamizadora del foro local de Chamberí a fin de que a su vez los facilite a los coordinadores de las mesas del foro local, a los efectos de la realización de las convocatorias de las sesiones de estas, al amparo del artículo 12 de la LOPD” en aplicación del informe del servicio de Protección de datos de la Subdirección General de Administración electrónica de la Dirección General de Transparencia y atención a la ciudadanía del área de gobierno de participación ciudadana , transparencia y gobierno abierto del ayuntamiento de Madrid de 25/04/2017 sobre tratamiento de datos en los foros locales, que indica literalmente: “ En relación de la catalogación de la figura del coordinador de Mesa como encargado de tratamiento, de conformidad con lo que establece el artículo 12 de la LOPD, este C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/8 Servicio de Protección de Datos considera que al amparo de lo que establece el artículo 24 del Reglamento Orgánico de Foros Locales de los Distritos de Madrid, se podrán crear Mesas y grupos de trabajo mediante un acuerdo de creación y se designará de entre sus integrantes a la persona que coordine los trabajos. En la medida en que ese coordinador de trabajos de la Mesa precise conocer los datos de los integrantes de esta para poder realizar su función, se considera que no es un tercero ajeno al Foro Local, sino que forma parte de ese órgano de Participación Ciudadana, así como del Ayuntamiento, en cuanto a coordinador de Mesa. De acuerdo con lo anterior no se considera que a este respecto exista un encargo de tratamiento de datos personales por cuenta ni del Ayuntamiento, ni del Área de Gobierno de Coordinación Territorial, ni del Distrito de Villaverde.” Los datos que se comunican a los coordinadores de las mesas del foro son nombre y apellidos de integrantes que coordinan la mesa, sus teléfonos, y una dirección de correo electrónico para realizar las convocatorias de las sesiones y comunicaciones internas precisas para el desarrollo de sus tareas. 2. Con fecha 17/04/2018 se envía comunicado a la COORDINADORA DE LA MESA DE ESPACIO URBANO Y MEDIO AMBIENTE, A.A.A., para conocer el origen de los datos de los correo electrónicos, que en fecha 3/05/2018 indica que las direcciones de correo electrónico son facilitados por los interesados a la “coordinadora del foro local, y ella facilita” a los coordinadores de las distintas mesas los que corresponden únicamente a su mesa para cualquier comunicación o convocatoria que tengan que hacer sus componentes, indicando que ella no tiene relación contractual con el Ayuntamiento . Finaliza indicando que no enviar los correos con copia oculta pudo deberse a un error involuntario del que no fue consciente, y los suele enviar habitualmente así. El consentimiento de los destinatarios para el envío de los correos electrónicos se da voluntariamente por las personas que quieren formar parte de los foros locales. 3. Con fecha 17/04/2018 se solicita información a la dinamizadora, B.B.B., que el 4/05/2018 sobre el listado enviado a E.E.E. con los datos personales del listado mesa presupuestos participativos, manifiesta: 3.1 Los datos que se le enviaron a la COORDINADORA DE LA MESA DE PRESUPUESTO OS PARTICIPATIVOS del foro local del distrito de Chamberí, son facilitados por sus titulares, que a su vez son integrantes de los foros, y los facilitan con la finalidad de participar en las mesas o grupos de trabajo que se organizan. Los datos son facilitados originariamente desde la secretaria del Distrito a la dinamizadora para que esta ultima los facilite a los coordinadores de las mesas o grupos, con la finalidad de realizar las convocatorias y desarrollo de su trabajo. 3.2 Manifiesta que ella presta servicios como parte del contrato de servicios suscrito con el Ayuntamiento. 4. Con fecha 30/05/2018 se vuelve a solicitar información al AYUNTAMIENTO de Madrid, indicando este el 15/06/2018: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/8 4.1 Aporta copia de contrato de servicios para la dinamización de los foros locales de distrito, 25/01/2018 con la entidad “7 ESTRELLAS EDUCACIÓN Y OCIO” en el que se mencionan las cláusulas administrativas particulares y de prescripciones técnicas (PPT). Indican que en la cláusula octava del PPT figura la obligación del adjudicatario de guardar secreto sobre los datos que se conozcan con motivo de la ejecución del programa y que solo pueden tratar la información para cumplir los servicios objeto del pliego y no revelar datos que conozcan. La designación de los coordinadores de mesa de foro local corresponde a las mismas, estos son miembros de la comisión permanente. De la copia del PPT que se aporta, se desprende que el objeto del contrato es la dinamización de la puesta en marcha de los foros locales en los 21 distritos de Madrid entre los que figuran labores de difusión y realización de convocatorias, “elaboración y actualización de la base de datos de entidades y personas participantes en los foros locales y grupos de trabajo” bajo la denominación de “Técnicos especialistas” precisándose como funciones las de “atender las indicaciones que para una adecuada prestación del servicio les sean trasladadas por el Director Técnico de conformidad con el área de Gobierno de Coordinación Territorial y asociaciones y la Junta Municipal de distrito correspondiente”,. En el punto 2.3 se contienen partes de las funciones de este personal entre las que figuran las mencionadas labores de “difusión y realización de convocatorias” o “dinamización de las sesiones que se celebren sean plenarias, mesas o grupos de trabajo.” 4.2 En La cláusula octava titulada “protección de datos” se identifica a la adjudicataria como encargada de tratamiento y se expresa la obligación de guardar secreto sobre documentos, informaciones a que tenga acceso y referencias al uso de los datos para el fin previsto en el contrato, así como el cumplimiento de medidas de seguridad de datos. 5.Con fecha 3/07/2018 se solicita información a la entidad “7 ESTRELLAS EDUCACIÓN Y OCIO SL” que manifiesta: 5.1 Es adjudicataria del contrato de servicios para la dinamización de los foros locales en los 21 distritos de la capital. 5.2 Detalla las funciones que les corresponden a los técnicos especialistas y que se contienen en el PPT y con carácter general indica que “su función es la de dinamizar, facilitar y apoyar el trabajo que desarrollan los ciudadanos participantes de las comisiones de trabajo.” Refiere que los datos facilitados a la coordinación de las mesas son facilitados desde la secretaria del Distrito a la dinamizadora para que esta ultima los facilite a los coordinadores de las mesas o grupos con la finalidad de realizar las convocatorias a los miembros del foro inscritos en la comisión al objeto del desarrollo de su trabajo. 5.3 Aportan copia de cláusula de protección de datos personales firmada el 28/01/2017 por R.R.R. como empleada de SIETE ESTRELLAS que contiene la obligación del secreto C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/8 -Aportan copia de correo electrónico de 1/03/2018 de B.B.B. dirigido a una de las denunciantes sobre “mesa de limpieza” en el que indica que te mando el listado con los datos de las personas que componen la mesa de limpieza” con un archivo de 29 personas, y sus direcciones de correo electrónico, figurando las d ellos denunciantes. -También en el correo del coordinador de mesa deporte se remiten correos a distintos integrantes en dirección de correo visible, figurando la de la dinamizadora, el 6/02/2018 FUNDAMENTOS DE DERECHO I Es competente para resolver la directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.

1. d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13/12, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II El ROFL tiene naturaleza orgánica en cuanto, regula un órgano de participación ciudadana de los previstos en el artículo 11.1.
2. c)de la Ley 22/2006, de 4/07, de Capitalidad y de Régimen Especial de Madrid. Su naturaleza y finalidad es la de ser órgano de información y participación ciudadana, presencial y deliberativa y como medio, de participación, se fomenta el dialogo abierto entre la ciudadanía. Uno de los principios de actuación es su autonomía y capacidad para regular su funcionamiento, promoviendo el consenso mediante búsqueda de acuerdos unánimes. En la composición del foro local de distrito según su artículo 4 se integran las personas participantes. El artículo 10, en estructura del foro local, se indica que funcionará en sesión plenaria y mediante mesas y grupos de trabajo que en su caso se constituyan para su mejor implantación en el distrito, como espacio de encuentro y debate en el distrito. La vigencia del foro local será desde su convocatoria, en el segundo semestre del año en que se haya constituido la corporación, hasta el final del mandato de la corporación en curso. (art 11). Sobre las mesas y grupos de trabajo, los artículos 23 a 25 desarrollan su régimen. Las mesas de trabajo se pueden crear con ámbito generalista y voluntad de permanencia y los grupos de trabajo como espacios especializados que servirán para el desarrollo de tareas concretas del foro local pudiendo establecer un calendario de reuniones propio e independiente de los plenarios del foro local siempre y cuando no se solape con este. “Las mesas y grupos de trabajo se constituirán tras la propuesta de cualquiera de sus integrantes del foro. Para su aprobación y puesta en marcha se procederá a una votación en la que habrán de contar con la mayoría simple del foro. El artículo 24 establece que el acuerdo de creación de mesas o grupos contendrá su denominación y objetivos, así como las personas participantes que inicialmente los C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/8 integren, y que una vez constituidas las mesas o grupos se designará por votación entre sus integrantes a la persona que coordine los trabajos. Sobre la denuncia de cesión de datos de la secretaria del Distrito a la dinamizadora, que pertenece a la estructura y organización de la empresa adjudicataria, “7 ESTRELLAS EDUCACIÓN Y OCIO SL” cabe significar que en virtud del artículo 12 de la LOPD, su posición es la de encargada de tratamiento, sin que se trate pues de una cesión de datos sino de la prestación de servicios que se ampara en el contrato suscrito. El artículo 12 de la LOPD indica: “1. No se considerará comunicación de datos el acceso de un tercero a los datos cuando dicho acceso sea necesario para la prestación de un servicio al responsable del tratamiento. 2. La realización de tratamientos por cuenta de terceros deberá estar regulada en un contrato que deberá constar por escrito o en alguna otra forma que permita acreditar su celebración y contenido, estableciéndose expresamente que el encargado del tratamiento únicamente tratará los datos conforme a las instrucciones del responsable del tratamiento, que no los aplicará o utilizará con el fin distinto al que figure en dicho contrato, ni los comunicará, ni siquiera para su conservación, a otras personas. En el contrato se estipularán, asimismo, las medidas de seguridad a que se refiere el artículo 9 de esta Ley que el encargado del tratamiento está obligado a implementar. 3. Una vez cumplida la prestación contractual, los datos de carácter personal deberán ser destruidos o devueltos al responsable del tratamiento, al igual que cualquier soporte o documentos en que conste algún dato de carácter personal objeto del tratamiento. 4. En el caso de que el encargado del tratamiento destine los datos a otra finalidad, los comunique o los utilice incumpliendo las estipulaciones del contrato, será considerado también responsable del tratamiento, respondiendo de las infracciones en que hubiera incurrido personalmente.” Sobre la falta de consentimiento de los denunciantes en la citada cesión, se debe indicar que al no darse cesión sino encargo de tratamiento, los datos que maneja la dinamizadora, que actúa como adjudicataria del servicio, no son tratados por su propia cuenta y decisión, sino en función de lo que el Ayuntamiento decida, sin que se pueda considerar cesión/comunicación de datos, y por tanto no se precisa consentimiento de los afectados. En cuanto al traspaso de los datos a los coordinadores de las mesas, actuando “7 ESTRELLAS EDUCACIÓN Y OCIO SL” y su personal, en este caso la dinamizadora por cuenta de la Administración municipal, la entrega de los datos a la coordinadora es como si se efectuara por la propia administración municipal y se efectúa a dicha coordinadora, por estar previsto en el ROFL y para la finalidad prevista en los mismos. Sobre el uso de los correos electrónicos para la convocatoria de las reuniones o comunicados de la mesa o del grupo, si bien no se dice expresamente que las mismas se producirán por este medio, sí que es el más eficiente para ello, y los participantes en el foro consignan dicho dato que se ve que se utiliza en este caso para realizar C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/8 convocatorias o remisión de información. Dado el principio de autonomía en su creación, nada se opondría a que los grupos o las mesas, al constituirse establecieran lo contrario, que no se usara dicho medio de comunicación y por tanto se instaurara otro, pero en este supuesto las convocatorias se han hecho vía e mail. En cuanto al envío de los correos sin copia oculta, que suelen ser remitidos por los grupos/mesas para convocar reuniones, para mandar actas o informar, y por tanto por sus coordinadores, se debe partir de la base de que el colectivo que lo integra puede acordar si desea que se envíe o no la copia oculta, o si alguno no quiere que se envíe visible su dirección. Considerando que la persona que usa los datos lo hace para una cuestión pública, se pueden establecer criterios por el responsable del fichero sobre si se considera más adecuado que sean visibles las direcciones de correos por los miembros del mismo grupo o mesa, o si conviene que no lo sean. En todo caso, informando a cada integrante de dicho tratamiento y finalidad, teniendo en cuenta la propuesta de la mesa o del grupo. Dado que muchas veces es necesario que entre los miembros del grupo se produzcan interacciones sobre las cuestiones del grupo o mesa a que se pertenece, no parece un despropósito dicho uso, siempre que se ciña y limite a la finalidad del foro. En el presente supuesto, no se considera que por los motivos expuestos y en el contexto en que se produce el tratamiento de los datos, en el que se trata de interactuar e informar en el seno participativo del distrito, que el conocimiento de la dirección e mail por los otros miembros del grupo vaya en contra de la finalidad de los datos que se proporcionan. No obstante, puede establecerse en el grupo otro régimen distinto o el derecho de cancelación de uso de dicho medio. Por tanto, sobre el punto de la denuncia de enviar copia de los correos sin ocultar hay que tener en cuenta que la identidad de los componentes del citado grupo o mesa es conocida por todos ellos, y el e mail es instrumental para unos fines, pudiendo optar la mesa o el grupo por proponer que no sean visibles por el resto de los miembros. III El artículo 126.1, apartado segundo, del Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13/12 de protección de datos de carácter personal, aprobado por Real Decreto 1720/2007, de 21 de diciembre (RLOPD) establece: “Si de las actuaciones no se derivasen hechos susceptibles de motivar la imputación de infracción alguna, el director de la Agencia Española de Protección de Datos dictará resolución de archivo que se notificará al investigado y al denunciante, en su caso.” Por lo tanto, de acuerdo con lo señalado, por la directora de la Agencia Española de Protección de Datos, SE ACUERDA:  PROCEDER AL ARCHIVO de las presentes actuaciones.  NOTIFICAR la presente Resolución al AYUNTAMIENTO DE MADRID, JUNTA MUNICIPAL DEL DISTRITO DE CHAMBERI, y C.C.C.. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/8 De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30/12, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22/12, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21/12. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1/10, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13/07 reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Sin embargo, el responsable del fichero de titularidad pública, de acuerdo con el artículo 44.1 de la citada LJCA, sólo podrá interponer directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la LJCA, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es