1/6 Expediente Nº: E/02798/2018 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante el Ayuntamiento de Rojales, en virtud de las denuncias presentadas por las nueve personas que figuran en el Anexo I, y teniendo como base los siguientes HECHOS PRIMERO: Con fechas entre los días 23 de abril y 8 de mayo de 2018, se recibieron en esta Agencia nueve escritos remitidos por las personas relacionadas en el Anexo I, en el que indicaban lo siguiente: Con fecha 10 de abril de 2018 SUMA GESTION TRIBUTARIA, procedió al adeudo bancario en sus cuentas corrientes, de un importe en concepto de recogida de residuos sólidos, sin haber sido autorizado por ellos. Los datos bancarios, al parecer, podrían proceder de la empresa HIDRAQUA, del padrón de suministro de agua potable, con el previsible consentimiento del Ayuntamiento de Rojales, sin contar con el consentimiento de los interesados. Por estos motivos procedieron a personarse en las oficinas de la empresa con objeto de retirar la domiciliación y proceder al pago del impuesto directamente. Se anexa, entre otra, la siguiente documentación: Copia del cargo en cuenta del recibo de tasa por recogida de residuos de SUMA GESTION TRIBUTARIA (Diputación de Alicante). Copia de las cartas de pago en periodo voluntario en las propias oficinas del Suma Gestión Tributaria. Copia de la solicitud de anulación de las domiciliaciones. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: 1. Con fecha 21 de junio de 2018, se recibe en esta Agencia escrito del Ayuntamiento de Rojales, en el que se pone de manifiesto que: 1.1. La relación contractual entre el Ayuntamiento e HIDRAQUA (anteriormente AQUAGEST LEVANTE, S.A.), se inició en el año 1991, mediante contrato formalizado al efecto, en el que dicha mercantil es la concesionaria del servicio de agua y alcantarillado del municipio de Rojales, continuado actualmente en vigor. 1.2. Mediante acuerdo de pleno en sesión ordinaria, de fecha 14 de noviembre de 2003, por unanimidad de sus miembros, se aprueba que el cobro del servicio de recogida de residuos sólidos urbanos se realizase por dicha empresa, junto con el agua. Se acompaña el contrato en el que consta el acuerdo. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/6 1.3. El Ayuntamiento de Rojales, a la vista del acuerdo adoptado en dicho Pleno, comunicó a sus contribuyente que la tasa de recogida de basuras se cobraría conjuntamente, indicando que tendría prioridad la domiciliación bancaria que figurase en el Servicio Municipal de Agua potable y saneamiento. 1.4. Mediante acuerdo de pleno, de fecha 2 de noviembre de 2017, se aprueba la delegación de la gestión de la tasa de recogida de basuras de los vecinos del Ayuntamiento de Rojales a SUMA GESTION TRIBUTARIA, delegación aceptada por el Sr. Presidente de la Exma. Diputación Provincial y publicado en el Boletín Oficial de la Provincia de Alicante nº 33 de fecha 15 de febrero de 2018. Los datos comunicados a SUMA GESTION TRIBUTARIA de la Diputación de Alicante, fueron el padrón más el número de cuenta bancaria de los contribuyentes; datos única y exclusivamente necesarios para llevar a cabo la gestión del cobro de la tasa de residuos sólidos urbanos. Dichos datos se comunican desde la empresa HIDRAQUA gestión integral de aguas, con CIF A53223764, sita en la C/ Lorenzo Carbonell, 67 de Alicante, encargada del tratamiento de datos del Ayuntamiento con unas especificaciones técnicas, a SUMA GESTION TRIBUTARIA. 1.5. Los datos comunicados a SUMA GESTION TRIBUTARIA de la Diputación de Alicante, fueron los contenidos en el padrón más el número de cuenta bancaria de los contribuyentes; datos única y exclusivamente necesarios para llevar a cabo la gestión del cobro de la tasa de residuos sólidos urbanos. Dichos datos se comunican desde la empresa HIDRAQUA, encargada del tratamiento de datos del Ayuntamiento con unas especificaciones técnicas, a SUMA GESTION TRIBUTARIA. 1.6. SUMA GESTION TRIBUTARIA, con motivo de dicha delegación, realizó una campaña publicitaria en el término municipal de Rojales consistente en flyers y carteles publicitarios. También fue enviado aviso de domiciliación a los contribuyentes. Se adjuntan ejemplares de los carteles y aviso de domiciliación. FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.
- d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II Las denuncias recibidas se concretan en la cesión de los datos de los vecinos del Ayuntamiento de Rojales de Hidraqua a Suma Gestión Tributaria sin su consentimiento. El artículo 11. 1 y 2 de la LOPD, relativo a la cesión de datos, señala lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/6 “1. Los datos de carácter personal objeto del tratamiento sólo podrán ser comunicados a un tercero para el cumplimiento de fines directamente relacionados con las funciones legítimas del cedente y del cesionario con el previo consentimiento del interesado. 2. El consentimiento exigido en el apartado anterior no será preciso:
- a)Cuando la cesión está autorizada en una Ley.
- b)Cuando se trate de datos recogidos de fuentes accesibles al público.
- c)Cuando el tratamiento responda a la libre y legítima aceptación de una relación jurídica cuyo desarrollo, cumplimiento y control implique necesariamente la conexión de dicho tratamiento con ficheros de terceros. En este caso la comunicación sólo será legítima en cuanto se limite a la finalidad que la justifique.
- d)Cuando la comunicación que deba efectuarse tenga por destinatario al Defensor del Pueblo, el Ministerio Fiscal o los Jueces o Tribunales o el Tribunal de Cuentas, en el ejercicio de las funciones que tiene atribuidas. Tampoco será preciso el consentimiento cuando la comunicación tenga como destinatario a instituciones autonómicas con funciones análogas al Defensor del Pueblo o al Tribunal de Cuentas.
- e)Cuando la cesión se produzca entre Administraciones Públicas y tenga por objeto el tratamiento posterior de los datos con fines históricos, estadísticos o científicos.
- f)Cuando la cesión de datos de carácter personal relativos a la salud sea necesaria para solucionar una urgencia que requiera acceder a un fichero o para realizar los estudios epidemiológicos en los términos establecidos en la legislación sobre sanidad estatal o autonómica.” Por otra parte, el artículo 12 de la LOPD “acceso a datos por cuenta de terceros”, establece lo siguiente: “1. No se considerará comunicación de datos el acceso de un tercero a los datos cuando dicho acceso sea necesario para la prestación de un servicio al responsable del tratamiento. 2. La realización de tratamientos por cuenta de terceros deberá estar regulada en un contrato que deberá constar por escrito o en alguna otra forma que permita acreditar su celebración y contenido, estableciéndose expresamente que el encargado del tratamiento únicamente tratará los datos conforme a las instrucciones del responsable del tratamiento, que no los aplicará o utilizará con fin distinto al que figure en dicho contrato, ni los comunicará, ni siquiera para su conservación, a otras personas. En el contrato se estipularán, asimismo, las medidas de seguridad a que se refiere el artículo 9 de esta Ley que el encargado del tratamiento está obligado a implementar. 3. Una vez cumplida la prestación contractual, los datos de carácter personal deberán ser destruidos o devueltos al responsable del tratamiento, al igual que cualquier soporte o documentos en que conste algún dato de carácter personal objeto de tratamiento. 4. En el caso de que el encargado del tratamiento destine los datos a otra finalidad, los comunique o los utilice incumpliendo las estipulaciones del contrato, será C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/6 considerado, también, responsable del tratamiento, respondiendo de las infracciones en que hubiera incurrido personalmente”. El citado artículo 12.1 de la LOPD permite que el responsable del fichero habilite el acceso a datos de carácter personal por parte de la entidad que va a prestarle un servicio –encargado del tratamiento- sin que, por mandato expreso de la ley, pueda considerarse dicho acceso como una cesión de datos. En el caso presente, el Ayuntamiento de Rojales, responsable de la gestión de la tasa de recogida de residuos sólidos, realizó un contrato de prestación de servicios con la empresa Hidraqua, en el año 2003, para la gestión del cobro de dicha tasa. Posteriormente, en el año 2017, cambia la entidad con la que tiene la prestación de servicios del cobro de la mencionada tasa y se delega en Suma Gestión Tributaria. El artículo 22 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter persona, habilita esa comunicación de datos de un prestador de servicios a otro diferente. En su apartado primero indica: “1. Una vez cumplida la prestación contractual, los datos de carácter personal deberán ser destruidos o devueltos al responsable del tratamiento o al encargado que éste hubiese designado, al igual que cualquier soporte o documentos en que conste algún dato de carácter personal objeto del tratamiento. No procederá la destrucción de los datos cuando exista una previsión legal que exija su conservación, en cuyo caso deberá procederse a la devolución de los mismos garantizando el responsable del fichero dicha conservación.” En consecuencia, el Ayuntamiento de Rojales está legitimado para el cambio de encargado de tratamiento; y esa cesión de datos personales de los vecinos puede realizarse por el encargado anterior (Hidraqua) facilitándolos al nuevo encargado directamente (Suma Gestión tributaria), sin necesidad de su consentimiento. Esta última entidad realizó una campaña publicitaria en el municipio para informar a los contribuyentes del cambio realizado. III El artículo 126.1, apartado segundo, del Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal, aprobado por Real Decreto 1720/2007, de 21 de diciembre (RLOPD) establece: “Si de las actuaciones no se derivasen hechos susceptibles de motivar la imputación de infracción alguna, el Director de la Agencia Española de Protección de Datos dictará resolución de archivo que se notificará al investigado y al denunciante, en su caso.” Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/6 PROCEDER AL ARCHIVO de las presentes actuaciones. NOTIFICAR la presente Resolución al Ayuntamiento de Rojales, y a las nueve personas que figuran en el Anexo I. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Sin embargo, el responsable del fichero de titularidad pública, de acuerdo con el artículo 44.1 de la citada LJCA, sólo podrá interponer directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la LJCA, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/6 ANEXO I Denunciante 1: A.A.A. Denunciante 2: B.B.B. Denunciante 3: C.C.C. Denunciante 4: D.D.D. Denunciante 5: E.E.E. Denunciante 6: F.F.F. Denunciante 7: G.G.G. Denunciante 8: H.H.H. Denunciante 9: I.I.I. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es