1/7 Expediente Nº: E/05069/2016 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante el AYUNTAMIENTO DE ATARFE, en virtud de denuncia presentada por Don A.A.A., y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 6 de julio de 2016, tuvo entrada en esta Agencia un escrito remitido por Don A.A.A. en el que expone lo siguiente: Que el día 18 de marzo de 2016, presentó denuncia ante la Agencia Española de Protección de Datos (AEPD) manifestando la colocación de un GPS (dispositivo de posicionamiento global) en el vehículo policial, en el que presta servicios el denunciante, sin que se le informara al respecto, pero que retiraron el dispositivo. Sin embargo, posteriormente ha comprobado que, con fecha de se ha vuelto a instalar un nuevo geolocalizador sin que se le haya informado de dicha circunstancia. Por lo que, el Ayuntamiento de Atarfe no ha hecho caso de las advertencias que la AEPD proporcionó sobre el protocolo para la instalación de un dispositivo GPS volviéndose a vulnerar la Ley Orgánica 15/1999. Que según el denunciante los hechos tuvieron lugar a partir del 29 de junio de 2016. Se adjunta con el escrito de denuncia reportaje fotográfico, nueve fotografías, en las que se observan componentes electrónicos y cableados, con textos manuscritos en cada una de ellas especificando “GPS antiguo instalado en vehículo oficial sin señal” y “Nuevo GPS instalado en vehículo policial con señal”. El denunciante aportó con otro escrito de denuncia la respuesta dada por la Corporación Local, el día 10 de febrero de 2016, en la que le informan de lo siguiente: “Que desconocía que los miembros de la Policía Local no hubiesen sido informados de la instalación del dispositivo GPS. Que se va a proceder a corregir los defectos observados en la colocación del dispositivo GPS en el vehículo de la Policía Local, tramitándose el procedimiento previsto en la Ley Orgánica 15/1999 (…). Que el contrato de abono al servicio moviloc fue suscrito por el Ayuntamiento de Atarfe, en fecha 29 de noviembre de 2013 (…).” SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: El Ayuntamiento de Atarfe ha informado a la Inspección de Datos, con fecha de 4 C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/7 de mayo de 2017, en relación con la colocación de un geolocalizador en el vehículo de la Policía Local lo siguiente: El Ayuntamiento suscribió Contrato de abonado al servicio Moviloc, el día 29 de noviembre de 2013, con la empresa Grupo de Mecánica del Vuelo Sistemas, S.A.U. (en adelante GMV Sistemas) mediante el que se presta el servicio Moviloc, conjunto de servicios de acceso a información basada en la localización y de comunicaciones que operan sobre equipos móviles del cliente. En la cláusula 19. Protección de datos se detalla lo siguiente: “A los efectos de lo dispuesto en la Ley Orgánica de Protección de Datos de Carácter Personal GMV Sistemas comunica al cliente la existencia de un fichero automatizado dado de alta en la AEPD con código ***CODIGO.1, y al que se aplican las medidas de seguridad establecidas en el Real Decreto 1720/2007, cuya finalidad es la gestión de la relación derivada de este Contrato (…). GMV Sistemas se obliga a borrar todos los registros que consten al proceder a la cancelación del Servicio Moviloc (…). Se adjunta copia del citado Contrato Que los responsables de la actual Corporación Local desconocían que los miembros de la policía local no hubiesen sido informados de la instalación del dispositivo GPS en el vehículo policial en el año 2013, y que dicho dispositivo sigue instalado en la actualidad. Tal y como se le informó al denunciante en el escrito, de fecha 10 de febrero de 2016, en respuesta a su reclamación. Que en el mes de abril de 2016 entregaron a los miembros de la policía local el documento “Información sobre el tratamiento de datos a través de los dispositivos de geolocalización del vehículo policial”, pero el denunciante se negó a firmar el recibo de la entrega del documento, aunque por parte del Subinspector Jefe se le entregó una copia, el día 4 de abril de 2016, según consta en el documento aportado, en el mismo se informa de lo siguiente: “A los efectos de lo que dispone el artículo 5 de la Ley Orgánica 15/1999, le informamos que los datos personales, vinculados con el dispositivo de geolocalización que se ha instalado en el vehículo policial propiedad de este Ayuntamiento, serán incluidos en el fichero Recursos Humanos creado bajo la responsabilidad del Ayuntamiento de Atarfe. Estos datos personales tienen como única finalidad la vinculación de los mismos con el dispositivo para un mejor y más efectivo desarrollo de nuestros servicios así como para garantizar la seguridad de los medios y de las personas y llevar a cabo un efectivo control laboral. En virtud de lo dispuesto en el artículo 15 y siguientes de la LOPD en cualquier momento usted podrá ejercitar sus derechos (…). En cuanto a los datos personales relativos a otras personas físicas que con motivo de la puesta en marcha de este dispositivo pudiese conocer o tratar, se obliga al secreto profesional (…). Enterado y conforme, por la presente, usted consiente expresamente y autoriza al Ayuntamiento de Atarfe, para que trate sus datos personales generados por este sistema, de conformidad con las finalidades expuestas en este documento y para poder cederlas a las administraciones públicas y entidades privadas necesarias para el desarrollo de la relación laboral y/o prestación del servicio”. Añaden, que la información recabada por el Servicio Moviloc está alojada en las C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/7 instalaciones de la compañía GMV Sistemas, en una sala con acceso restringido. El Ayuntamiento tiene una credencial de usuario para el acceso a la plataforma, por parte del Subinspector jefe de la policía local. Que la información tratada por el Ayuntamiento se incluye en el fichero denominado “Recursos humanos”, inscrito en el Registro General de Protección de Datos, con el código ***CODIGO.2, y cuya finalidad es “gestión laboral, prevención de riesgos laborales y vigilancia de la salud”. Dichas circunstancias constan en la Diligencia de fecha 30 de mayo de 2017. FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.
- d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). El artículo 126.1, apartado segundo, del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal establece: Si de las actuaciones no se derivasen hechos susceptibles de motivar la imputación de infracción alguna, el Director de la Agencia Española de Protección de Datos dictará resolución de archivo que se notificará al investigado y al denunciante, en su caso. II Dispone el artículo 1 de la LOPD lo siguiente: “La presente Ley Orgánica tiene por objeto garantizar y proteger, en lo que concierne al tratamiento de los datos personales, las libertades públicas y los derechos fundamentales de las personas físicas, y especialmente de su honor e intimidad personal y familiar”. Con carácter general, debe indicarse que los artículos 1 y 2 de LOPD, extienden su protección a los derechos de los ciudadanos en lo que se refiere al tratamiento automatizado de sus datos de carácter personal, siendo definidos éstos en el artículo 3.
- a)de la citada Ley como “cualquier información concerniente a personas físicas identificadas o identificables“. El artículo 2 de la Directiva 2002/58/CE relativa al tratamiento de los datos personales y a la protección de la intimidad en el sector de las comunicaciones electrónicas define los datos de localización como "cualquier dato tratado en una red de comunicaciones electrónicas que indique la posición geográfica del equipo terminal de un usuario de un servicio de comunicaciones electrónicas disponible para el público". C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/7 El artículo 64
- b)del Reglamento sobre las condiciones para la prestación de servicios de comunicaciones electrónicas, el servicio universal y la protección de los usuarios, aprobado por Real Decreto 424/2005, de 15/04 recoge esta misma definición de datos de localización. Por consiguiente, habida cuenta de que los datos de localización se refieren siempre a una persona física identificada o identificable, constituyen datos personales, por lo que su tratamiento está sujeto a las disposiciones contenidas en la LOPD y su normativa de desarrollo. El artículo 6 de la LOPD en su apartado primero establece: “El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la ley disponga otra cosa”. Para señalar a continuación en su apartado segundo: “No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado”. En el presente caso, está probado la relación laboral existente entre el Sr. A.A.A. y el Ayuntamiento de Atarfe (siendo éste policía local de dicha localidad), por lo tanto, y de acuerdo al precitado artículo 6.2 de la LOPD, no necesitaría el consentimiento del denunciante para la instalación del referido dispositivo y para la posterior recogida de datos; si bien, sí que se debe adecuar a los principios básicos de la LOPD: proporcionalidad, calidad de datos y que se contenga una adecuada información sobre dicha recogida de datos, pues la no necesidad de obtención del consentimiento no supone que no sea necesaria la información sobre el mecanismo de información y uso de los datos recogidos a través del mismo. Esta información se constituye en garantía de la autodeterminación informativa o la “libertad informática”, reconocido expresamente por la jurisprudencia de nuestro Tribunal Constitucional, a partir de su Sentencia 254/1993, de 20/07 que constituyen parte del derecho fundamental a la protección de datos que se concreta jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el Estado o un particular. En este mismo sentido, la Ley del Estatuto de los Trabajadores, aprobada por Real Decreto Legislativo 2/2015, de 23 de octubre, establece en su artículo 20.3: “El empresario podrá adoptar las medidas que estime más oportunas de vigilancia y control para verificar el cumplimiento por el trabajador de sus obligaciones y deberes laborales, guardando en su adopción y aplicación la consideración debida a su C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/7 dignidad y teniendo en cuenta, en su caso, la capacidad real de los trabajadores con discapacidad”. El citado artículo, habilita a la entidad denunciada a establecer los procedimientos que estime más adecuados para garantizar el cumplimiento horario. No obstante, el articulo 20.3 no legitima por si solo el tratamiento de los datos denunciados, si bien este será posible, aún sin contar con el consentimiento del afectado en caso de que el trabajador haya sido informado debidamente. Así establece el el artículo 5 de la LOPD, relativo al derecho a información en la recogida de datos: “1. Los interesados a los que se soliciten datos personales deberán ser previamente informados de modo expreso, preciso e inequívoco:
- a)De la existencia de un fichero o tratamiento de datos de carácter personal, de la finalidad de la recogida de éstos y de los destinatarios de la información.
- b)Del carácter obligatorio o facultativo de su respuesta a las preguntas que les sean planteadas
- c)De las consecuencias de la obtención de los datos o de la negativa a suministrarlos.
- d)De la posibilidad de ejercitar los derechos de acceso, rectificación, cancelación y oposición.
- e)De la identidad y dirección del responsable del tratamiento o, en su caso, de su representante. Cuando el responsable del tratamiento no esté establecido en el territorio de la Unión Europea y utilice en el tratamiento de datos medios situados en territorio español, deberá designar, salvo que tales medios se utilicen con fines de trámite, un representante en España, sin perjuicio de las acciones que pudieran emprenderse contra el propio responsable del tratamiento. 2. Cuando se utilicen cuestionarios u otros impresos para la recogida, figurarán en los mismos, en forma claramente legible, las advertencias a que se refiere el apartado anterior. 3. No será necesaria la información a que se refieren las letras b, c y d del apartado 1 si el contenido de ella se deduce claramente de la naturaleza de los datos personales que se solicitan o de las circunstancias en que se recaban.” De tal manera, que para la instalación de un dispositivo de GPS, en el vehículo de la Policía Local, no sería necesario el consentimiento de los trabajadores, pero sí la información en los términos señalados; siendo que la conculcación del precitado artículo 5, constituiría una infracción de las recogidas en el artículo 44.2 de la LOPD, que dispone: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/7 “Son infracciones leves:
- c)El incumplimiento del deber de información al afectado acerca del tratamiento de sus datos de carácter personal cuando los datos sean recabados del propio interesado”. Ante la posibilidad de que la Corporación Municipal responsable de la implantación del GPS en el vehículo policial del Ayuntamiento, el día 4 de abril de 2016, el Subinspector Jefe entregó una copia de la cláusula informativa al denunciante; quien se negó a firmar el recibo de la entrega del documento. En consecuencia, en el momento en que el denunciante presentó la denuncia en esta Agencia, el Ayuntamiento de Atarfe ya había facilitado la cláusula informativa por escrito sobre el tratamiento de datos a través de los dispositivos de geolocalización del vehículo policial. Por lo tanto, de acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PROCEDER AL ARCHIVO de las presentes actuaciones. NOTIFICAR la presente Resolución al AYUNTAMIENTO DE ATARFE, y a Don A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Sin embargo, el responsable del fichero de titularidad pública, de acuerdo con el artículo 44.1 de la citada LJCA, sólo podrá interponer directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la LJCA, en el plazo de dos meses a contar desde el día siguiente a la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/7 notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es