E-03703-2014

1/5 Expediente Nº: E/03703/2014 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la DIRECCIÓN GENERAL DE TRÁFICO en virtud de denuncia presentada por D. B.B.B. y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 12 de mayo de 2014, tuvo entrada en esta Agencia escrito de D. B.B.B. (en lo sucesivo el denunciante) en el que denuncia a la DIRECCIÓN GENERAL DE TRÁFICO – DGT- en base a que el cobro de las tasas y sanciones que anteriormente sólo podía hacerse por los Cajeros Habilitados y ahora puede ser realizado con tarjeta de crédito o débito, circunstancia que ha modificado el justificante de tasa para el ciudadano que ahora es en formato DIN-A4 que consigna una serie de identificadores y números además de la propia tasa y, entre ellos, se encuentra un “n° de Ticket”, cuyas primeras 8 cifras son el número del Documento Nacional de Identidad del operador de Información que cobra dicha tasa según consta en el Justificante de pago de tasa, ejemplar para el interesado que adjunta y que acredita que ha sido pagada por el denunciante, el día 5 de mayo de 2014, constando como “n° de ticket” ****** de los que los siete primeros dígitos coinciden con los siete dígitos del DNI del denunciante, eliminando la primera cifra. Aduce, que puede ser necesario, conveniente y apropiado que la Administración pueda saber quién, qué y cuánto cobra pero que el DNI del funcionario no debe constar en documentos que se entregan a un colectivo indeterminado de personas como son todos aquellos ciudadanos que pagan cualquier tipo de tasa en cualquier Jefatura u Oficina Local de Tráfico Por ello, solicita se estudie si ello es compatible con la Ley de Protección de Datos. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: La Dirección General de Tráfico ha informado a la Inspección de Datos, con fecha de 12 de febrero de 2015, en relación con los hechos comunicados por el denunciante lo siguiente:  Las tasas del Organismo están reguladas por la Ley 16/1979, de 2 de octubre, sobre tasas de la Jefatura Central de Tráfico, cuya gestión directa estará a cargo del mismo según su artículo

1. Entre las formas de pago de las tasas, se encuentra la posibilidad de pago con tarjeta en las propias Jefaturas de Tráfico, de modo que se facilita al interesado el cumplimiento de sus obligaciones tributarias.  En el justificante de pago de la tasa no consta el DNI de manera “completa” del C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/5 operador que ha realizado la gestión, por lo que el ciudadano que realiza el pago con los datos que constan en el justificante no podría identificar fehacientemente a la persona que ha gestionado el pago con tarjeta de crédito/débito. Además es acompañado de una numeración adicional de control interno. Por gestión interna del Organismo es necesario conocer la identidad de la persona que gestiona el pago.  Por su parte no tienen constancia documental de que el interesado haya formulado queja o reclamación en este sentido ni se ha recibido queja o reclamación alguna por ningún otro empleado público al respecto.  El procedimiento de pago con tarjeta de crédito/débito con la información que aparece en el justificante actual se puso en marcha paulatinamente a nivel nacional del siguiente modo: • Marzo 2013: Segovia • Abril 2013: Sevilla y Asturias • Mayo 2013: Madrid • Desde octubre 2013 a enero 2015, el resto de España.  Las acciones “correctoras” tomadas al respecto, en vista de que el actual procedimiento pudiera incurrir en la incorrecta aplicación de la normativa de protección de datos de carácter personal, van a proceder a sustituir dicha numeración por otra en la que se identifica al operador que realiza el cobro por un número interno asignado por el Organismo. De manera que solamente las unidades pertinentes del propio Organismo, y a los efectos oportunos, puedan conocer la identificación del operador que realiza el cobro. FUNDAMENTOS DE DERECHO I Es competente para resolver el Director de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.d) en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II El denunciante solicita se estudie si es conforme con la normativa de protección de datos que en el justificante del pago de la tasa por sanciones de la DGT cuando el abono se realiza por tarjeta de crédito o débito en el apartado nº de ticket aparezca una relación numérica que incluye 7 de los 8 dígitos del DNI del gestor del justificante de pago. La LOPD en su artículo en su artículo 10, recoge: “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/5 En cuanto a este artículo, la Sentencia de la Audiencia Nacional de 20/11/2013, recurso 208/2011, remitiéndose a otras, como la de 18 de julio de 2007, señala que <<el Art. 10 de la LOPD regula de forma individualizada deber de secreto de quienes tratan datos personales, dentro del título dedicado principios de protección de datos, lo que refleja la gran importancia que el legislador atribuye al mismo. Este deber de secreto pretende que los datos personales no puedan conocerse por terceros, salvo de acuerdo con lo dispuesto en preceptos de la LOPD, como el Art. 11 (comunicación de datos) ó 12 (acceso datos por cuenta de terceros). Traspone el Art. 16 de la Directiva 95/46 /CE que como título «Confidencialidad del tratamiento» y dispone que «Las personal actúen bajo la autoridad del responsable o del encargado del tratamiento, incluido este último, solo podrán tratar datos personales a los que tengan acceso, cuando se lo encargue el responsable del tratamiento o salvo en virtud de un imperativo legal». El deber de secreto trata de salvaguardar o tutelar el derecho de las personas a mantener la privacidad de sus datos de carácter personal y en definitiva el pode control o disposición sobre sus datos. Este deber de secreto está lógicamente relacionado con el secreto profesional. Según el ATC de 11-12-89 «el secreto profesional se entiende como la sustracción al conocimiento ajeno, justificada por razón de una actividad, de datos o informaciones obtenidas que conciernen a la vida privada de las personas. El deber de secreto en el tratamiento de datos personales, tiene la misma fundamentación jurídica, pero se refiere al ámbito estricto del tratamiento de datos personales, para que el responsable del fichero y, cualquier persona intervenga en el tratamiento, esté obligado al mantener la confidencialidad de los datos personales". Asimismo ha destacado esta Sala la importancia de la protección del derecho al respeto al deber de secreto en la sociedad de la información actual, de fácil indagación o acceso a los datos personales de terceros. Así las Sentencias de la Sección Primera de 10 de mayo de 2013 o 15 de octubre de 2012 dicen que "este deber de sigilo resulta esencial en las sociedades actuales cada vez más complejas, en las que los avances de la técnica sitúan a la persona en zonas de riesgo para la protección de los derechos fundamentales, como la intimidad o el derecho a la protección de los datos del artículo 18.4 de la CE. Derecho fundamental este último que, a tenor de la STC 292/2000, de 30 de noviembre, persigue garantizar a la persona un poder de disposición y control sobre sus datos personales, sobre su uso y destino, e impide que se produzcan situaciones atentatorias frente a su dignidad>>. A los efectos que aquí interesan, señalar que dicha SAN de 20/11/2013 acogiendo un informe del Gabinete Jurídico de esta Agencia de 23/10/2010, estimó la pretensión de que en la tarjeta de identidad de los vigilantes jurados visibles al público no figurase el DNI del afectado sino el nº profesional asignado. III En el presente caso, se constata que el justificante de pago de la tasa gestionado C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/5 por el funcionario el apartado nº de ticket se compone de una serie de dígitos de forma que los siete primeros se corresponde con los del DNI excepto el primero del mismo del gestor, continuados por una numeración interna de la DGT hasta la suma de doce dígitos. El denunciante somete a esta Agencia si es conforme a la normativa sobre protección de datos que en el nº de ticket reproduzca los 7 dígitos del DNI del funcionario, a pesar de que no se recogen la totalidad de los dígitos del DNI al omitirse el primero de ellos. Por su parte, la DGT alega que el justificante de pago de la tasa no consta el DNI de manera “completa” del operador que ha realizado la gestión, por lo que el ciudadano que realiza el pago con los datos que constan en el justificante no podría identificar fehacientemente a la persona que ha gestionado el pago con tarjeta de crédito o débito, además de que es acompañado de una numeración adicional de control interno, que es necesaria para conocer la identidad de la persona que gestiona el pago. Sentado que no se reproducen los 8 dígitos del DNI del gestor del justificante de pago, por lo que la revelación del DNI no sería automática sino que exigiría una conducta proactiva en tal sentido para conocer dicho dato personal del afectado, como quiera que la DGT informa que van a proceder a sustituir dicha numeración coincidente de algunos dígitos con los del DNI del gestor por otra numeración en la que se identifica al operador que realiza el cobro por un “número interno” asignado por dicho Organismo, de manera que solamente las unidades pertinentes del propio Organismo y a los efectos oportunos puedan conocer la identificación del operador que realiza el cobro, procede declarar el archivo de las actuaciones. A los efectos de contrastar su efectiva implementación se requiere a la DGT para que comunique en el plazo de Dos meses las medidas adoptadas abriendo para su comprobación las actuaciones de investigación, E/02715/
2. Por lo tanto, de acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA: 1 PROCEDER AL ARCHIVO de las presentes actuaciones. 2 REQUERIR a la DGT para que comunique en el plazo de Dos meses las medidas adoptadas abriendo para su comprobación las actuaciones de investigación E/02715/
3. 3 NOTIFICAR la presente Resolución a la TRÁFICO y a D. B.B.B. . DIRECCIÓN GENERAL DE De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/5 se aprueba el Reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Sin embargo, el responsable del fichero de titularidad pública, de acuerdo con el artículo 44.1 de la citada LJCA, sólo podrá interponer directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la LJCA, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es