1/7 Expediente Nº: E/04496/2013 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante el AYUNTAMIENTO DE VALLADOLID, CASTILLPOST S.L., INTERNATIONAL COURIER SOLUTION S.L. en virtud de denuncia presentada por FACUA CASTILLA Y LEON Consumidores en Acción y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 14 de junio de 2013, tuvo entrada en esta Agencia escrito de D. Jesús Ulloa Barrocal, como Presidente y en representación de FACUA Castilla y León (en adelante el denunciante), en el que manifiesta que el Ayuntamiento de Valladolid por Decreto de la Alcaldía n° 3349 aprobó la contratación de la prestación de los servicios de distribución y entrega domiciliaria de las liquidaciones de alta derivadas del padrón de la Tasa Reguladora del Servicio de Recogida de Residuos, con arreglo a los siguientes documentos anexos: Documento 1 Cuadro de Características del Contrato; Documento 2 Pliego de cláusulas administrativas particulares; Documento 3 Anexo de Cláusulas específicas; Documento 4 Anexo II Contrato de Acceso a Datos por Cuenta de Terceros y documento 5 Pliego de Condiciones Técnicas. Que mediante Decreto de la Alcaldía n° 5506, de 8 de mayo de 2013, dictó resolución del acto licitatorio adjudicando el contrato a la empresa INTERNATIONAL COURIER SOLUTION, S.L. ( en adelante ICS) quien a su vez, presuntamente, los cede a una segunda empresa UNIPOST, S.A. y el notificador final que distribuye y entrega las notificaciones tributarias es una tercera empresa CASTILLPOST, S.L. Que la empresa final del servicio CASTILLPOST, S.L. no acredita su relación con la empresa adjudicataria ICS. En relación con la subcontratación en el Cuadro de características del contrato figura la siguiente información: Apartado M. Requisitos de solvencia económica financiera y técnica del contratista y medios de justificación: Todos los contratistas, además de disponer de la clasificación correspondiente, deberán justificar que disponen de recursos humanos y técnicos suficientes para ejecutar las prestaciones objeto del contrato, sin que esta actividad suponga la afectación de la totalidad de sus recursos. Ello sin perjuicio de la subcontratación de determinadas prestaciones con los términos legal y contractualmente previstos. Apartado P. Posibilidad de subcontratación En el Anexo II. Contrato de acceso a datos por cuenta de terceros se detallan los aspectos contemplados en el artículo 12 de la Ley Orgánica 15/
- Aportan los siguientes documentos: - Notificación liquidación tasa del servicio de recogida de residuos cuyo remitente es el Ayuntamiento de Valladolid. - Notificación alta en padrón residuos cuyo remitente es el Ayuntamiento de Valladolid, de fecha 20 de septiembre de
- C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/7 - Aviso de llegada en cuyo encabezamiento figura UNIPOST CASTILLPOST, S.L., remitente Excmo. Ayuntamiento de Valladolid, fecha 6 de junio de 2013 (manuscrita). SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos:
- La Inspección de Datos ha requerido al denunciante acreditación documental en el que consten personas físicas como destinatarias de los documentos remitidos por las empresas denunciadas. El primer requerimiento fue entregado en destino el día 14 de marzo y el segundo 24 de abril de 2014, no habiéndose recibido respuesta en esta AEPD.
- De la información y documentación remitida por la compañía ICS con fecha de 24 de marzo de 2014 y por el Ayuntamiento de Valladolid, con fecha de 28 de marzo de 2014, se desprende lo siguiente: - La formalización del contrato para la prestación del servicio de distribución y entrega domiciliaria, en el término municipal de Valladolid, de las liquidaciones de alta derivadas del padrón de la tasa reguladora del servicio de recogida de residuos, a la empresa INTERNATIONAL COURIER SOLUTION, S.L., se realiza con fecha 29 de mayo de 2013, cuya copia se adjunta y el Contrato de acceso a datos por cuenta de terceros, también suscrito por ambas entidades, en el que se detallan los aspectos contemplados en el artículo 5 de la Ley Orgánica 15/
- - Que INTERNATIONAL COURIER SOLUTION, S.L. solicitó al Ayuntamiento una autorización para la subcontratación a la empresa CASTILLPOST, S.L., que es una franquicia de UNIPOST instalada en Valladolid que opera bajo su marca, para la realización del servicio de entrega de notificaciones de la tasa de recogida de residuos. El escrito de solicitud fecha 29 de mayo de 2013, fue entregado en el Ayuntamiento el 5 de junio de 2013 y la Propuesta de Resolución de autorización se firma con fecha de 7 de junio de
- - Para ello INTERNATIONAL COURIER SOLUTION, S.L. y CASTILLPOST, S.L. suscribieron un Contrato de “prestación de servicios” , el 24 de mayo de 2013, mediante el cual, para la correcta ejecución del contrato adjudicado a la primera por el Ayuntamiento de Valladolid, se acuerda que Castillpost, S.L preste el servicio de distribución y entrega domiciliaria de las liquidaciones de alta derivadas del padrón de la tasa reguladora del servicio de recogida de residuos. Por otra parte, suscriben INTERNATIONAL COURIER SOLUTION, S.L. (prestatario) y CASTILLPOST, S.L. (encargado del tratamiento), con fecha de 24 de mayo de 2013, el contrato de “acceso a datos por cuenta de terceros” en el que se detallan los aspectos contemplados en el artículo 12 de la Ley Orgánica 15/
- Asimismo, ambas sociedades suscriben el “ Anexo Contrato de acceso a datos por cuenta de terceros” en el que se detallan las actividades a realizar por la compañía Castillpost, S.L., dando traslado como subencargado del tratamiento, de las instrucciones del Ayuntamiento a International Courier Solution, S.L. en relación con el tratamiento de datos de carácter personal. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/7 - Con objeto de la prestación del servicio el Ayuntamiento de Valladolid facilitó, mediante una única entrega de un dispositivo electrónico, a INTERNATIONAL COURIER SOLUTION, una base de datos con los sujetos pasivos de la tasa (154.275), con el fin de hacer entrega de las liquidaciones de la tasa de recogida de residuos. En dicha base de datos aparecían los campos: sujeto pasivo de la tasa y dirección postal. INTERNATIONAL COURIER SOLUTION, S.L. creó una herramienta web, donde únicamente con una pistola se iban escaneando las notificaciones, sin que la persona encargada tuviera un acceso directo a la base de datos facilitada por el Ayuntamiento de Valladolid. El responsable de la empresa adjudicataria retiraba las notificaciones de la imprenta y eran repartidas al personal destinado para el servicio, a última hora de la tarde se escaneaban todas las notificaciones entregadas, se embalaban y precintaban en cajas las notificaciones clasificadas en entregadas y rehusadas, y semanalmente dicho responsable entregaba al Ayuntamiento de Valladolid las cajas precintadas.
- Todas las liquidaciones tributarias fueron elaboradas por el Ayuntamiento, de conformidad con el modelo que se adjunta consistente en un documento plegado, que es el que se entregó a la empresa INTERNATIONAL COURIER SOLUTION, S.L., configurándose físicamente como documentos auto-ensobrados con plegado mecánico, de tal forma que la información tributaria que contienen sólo es accesible para el interesado al que se notifica la liquidación. FUNDAMENTOS DE DERECHO I Es competente para resolver el Director de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.d) en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II FACUA denuncia que en la adjudicación por el Ayuntamiento de Valladolid del contrato para distribución y entrega domiciliaria de las liquidaciones de alta derivadas del padrón de la Tasa Reguladora del Servicio de Recogida de Residuos a la empresa adjudicataria ICS, ésta, a su vez y presuntamente, cedió los datos personales de los sujetos tributarios a una segunda empresa UNIPOST, S.A. y el notificador final que distribuye y entrega las notificaciones tributarias es una tercera empresa CASTILLPOST, S.L y ésta no acredita su relación con la empresa adjudicataria, ICS. La LOPD en su artículo 40 reconoce a la AEPD la “ potestad inspectora” y en su apartado 1, recoge: “ Las autoridades de control podrán inspeccionar...” El Reglamento 1720/2007 de 21/12, por el que se aprueba el Reglamento de desarrollo de la LOPD en su artículo 122 prevé: “ 1…., se podrán realizar actuaciones previas con objeto de determinar si concurren circunstancias que justifiquen tal iniciación...” y el R. D. 1398/1993, de 4/08, del Reglamento del Procedimiento para el ejercicio de la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/7 Potestad Sancionadora en su artículo 12 dispone lo siguiente: “ Con anterioridad a la iniciación del procedimiento, se podrán realizar actuaciones previas de investigación..” De acuerdo con la normativa citada corresponde al Director de la Agencia Española de Protección de Datos -AEPD- determinar si, a la vista de la denuncia formulada y de los elementos aportados en justificación de la misma, concurre causa justificativa que lleve a la realización de actuaciones previas de inspección, de suerte que en el presente caso, se realizaron dichas actuaciones previas con el resultado que consta en el Hecho segundo del presente escrito. III De la información obtenida en la inspección por la compañía ICS y del Ayuntamiento de Valladolid, la comunicación de datos de la tasa se configuró como sigue: - La formalización del contrato, entre el Ayuntamiento de Valladolid, para la prestación del servicio de distribución y entrega domiciliaria de las liquidaciones de alta derivadas del padrón de la tasa reguladora del servicio de recogida de residuos, y la empresa ICS se realizó con fecha 29 de mayo de 2013 e incluía un contrato de “ acceso a los datos por cuenta de terceros” también suscrito por ambas entidades, en el que se detallan los aspectos contemplados en el artículo 5 de la Ley Orgánica 15/
- C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/7 - ICS solicitó al Ayuntamiento, mediante un escrito de 29 de mayo de 2013, una autorización para la subcontratación con la empresa CASTILLPOST, S.L., que es una franquicia de UNIPOST instalada en Valladolid que opera bajo su marca, para la realización del servicio de entrega de notificaciones de la tasa de recogida de residuos, que fue entregado en el Ayuntamiento el 5 de junio de 2013 y la Propuesta de Resolución de autorización se firma con fecha de 7 de junio de
- - A tal fin la entidad ICS y CASTILLPOST S.L. suscribieron un Contrato de “prestación de servicios”, el 24 de mayo de 2013, mediante el cual, para la correcta ejecución del contrato adjudicado a la primera por el Ayuntamiento de Valladolid, se acuerda que aquélla preste el servicio de distribución y entrega domiciliaria de las liquidaciones de alta derivadas del padrón de la tasa reguladora del servicio de recogida de residuos. Por otra parte, entre ICS (como prestador) y CASTILLPOST, S.L. (encargado del tratamiento), con fecha de 24 de mayo de 2013, suscribieron un contrato de “acceso a datos por cuenta de terceros” en el que se detallan los aspectos contemplados en el artículo 12 de la Ley Orgánica 15/
- Y un anexo “Contrato de acceso a datos por cuenta de terceros” en el que se detallan las actividades a realizar por la compañía CASTILLPOST S.L. Por la compañía ICS fue dada cuenta al Ayuntamiento de Valladolid de la subcontratación con CASTILLPOST S.L, y a ésta le comunicaron las instrucciones del Ayuntamiento, en relación con el tratamiento de datos de carácter personal. - Como final de la operación, el Ayuntamiento de Valladolid facilita, mediante una única entrega de un dispositivo electrónico, a ICS una base de datos con los sujetos pasivos de la tasa (154.275), en el que aparecían los campos: “sujeto pasivo de la tasa y dirección postal” y dicha mercantil escaneaba las notificaciones sin que el personal de ICS tuviera acceso directo a la base de datos facilitada por el Ayuntamiento de Valladolid, siendo remitidos a éste para su constancia con el resultado de la entrega. - También, el Ayuntamiento de Valladolid elaboró un documento plegado que puso a disposición de ICS, configurándose físicamente como documentos auto-ensobrados con plegado mecánico, de tal forma que la información tributaria que contienen sólo es accesible para el interesado al que se notifica la liquidación. La LOPD en su artículo 12, recoge: “
- No se considerará comunicación de datos el acceso de un tercero a los datos cuando dicho acceso sea necesario para la prestación de un servicio al responsable del tratamiento.
- La realización de tratamientos por cuenta de terceros deberá estar regulada en un contrato que deberá constar por escrito o en alguna otra forma que permita acreditar su celebración y contenido, estableciéndose expresamente que el encargado del tratamiento únicamente tratará los datos conforme a las instrucciones del responsable del tratamiento, que no los aplicará o utilizará con fin distinto al que figure en dicho contrato, ni los comunicará, ni siquiera para su conservación, a otras personas. En el contrato se estipularán, asimismo, las medidas de seguridad a que se refiere el artículo 9 de esta Ley que el encargado del tratamiento está obligado a implementar.
- Una vez cumplida la prestación contractual, los datos de carácter personal deberán ser destruidos o devueltos al responsable del tratamiento, al igual que cualquier soporte o documentos en que conste algún dato de carácter personal objeto del C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/7 tratamiento..” En el presente caso, concurre un contrato entre el Ayuntamiento de Valladolid y la mercantil ICS del articulo 12 de la LOPD que permite a ICS tratar los datos facilitados para la distribución y entrega de la tasa de residuos en el ámbito de Valladolid. Por otra parte, se encuentra documentada la subcontratación por ICS de la entidad CASTILLPOST S.L. ( franquicia para el término de Valladolid de UNIPOST S.A.) que fue previamente comunicada al Ayuntamiento de Valladolid y conocedora de las instrucciones de éste a ICS, por lo que no concurre en el caso analizado una cesión de datos inconsentida, sino exceptuada del consentimiento por la LOPD. Por lo tanto, de acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA: - PROCEDER AL ARCHIVO de las presentes actuaciones. - NOTIFICAR la presente Resolución al AYUNTAMIENTO DE VALLADOLID, a CASTILLPOST, S.L., a INTERNATIONAL COURIER SOLUTION, S.L. y a FACUA CASTILLA Y LEON CONSUMIDORES EN ACCION. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/7 Sin embargo, el responsable del fichero de titularidad pública, de acuerdo con el artículo 44.1 de la citada LJCA, sólo podrá interponer directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la LJCA, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es