1/7 Expediente Nº: E/05764/2013 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante el AYUNTAMIENTO DE GUADALARAJA y TAREA TRIBUTARIA S.L. en virtud de denuncia presentada por D. A.A.A. y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 2 de agosto de 2013, tuvo entrada en esta Agencia escrito de D.. A.A.A. en el que denuncia que el Ayuntamiento de Guadalajara ha adjudicado a la empresa TAREA TRIBUTARIA SL la prestación del “servicio de colaboración en la inspección tributaria del municipio de Guadalajara”, publicado en la Boletín Oficial de Guadalajara en fecha 25 de marzo de 2013, cediendo datos tributarios de los ciudadanos a dicha empresa sin haber tenido en cuenta lo estipulado en el artículo 12 de la LOPD. Añade que por estos hechos se ha abierto Diligencia en el Juzgado de lo Contencioso Administrativo en relación con el Procedimientos sobre Derechos Fundamentales nº 2/2013, SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados y como consta en la documentación remida por el Ayuntamiento de Guadalajara, con fecha de registro de entrada 5 de diciembre de 2013, y de la documentación remitida por la entidad TAREA TRIBUTARIA SL con fecha de registro de entrada 27 de noviembre de 2013,se tienen conocimiento de los siguientes hechos:
- Respecto del Pliego. El “Pliego de cláusulas administrativas particulares que han de regir el procedimiento abierto para la adjudicación de la prestación del servicio de colaboración en la inspección tributaria del municipio de Guadalajara, mediante tramitación ordinaria y múltiples criterios de selección” publicado por el Ayuntamiento de Guadalajara, tiene por objeto la contratación de la prestación del servicio de colaboración en la inspección tributaria del municipio de Guadalajara conforme a las características que figuran en el Pliego de Prescripciones Técnicas y se conceptúa como contrato de servicios comprendido en la categoría 9 del Anexo II del Real Decreto Legislativo 3/2011, de 14 de noviembre, por el que se aprueba el Texto Refundido de la Ley de Contratos del Sector Público. En el “Pliego de Condiciones técnicas que ha de regir el concurso para la contratación de los servicios de inspección tributaria del municipio de Guadalajara” consta, en su apartado 7, una clausula relativa a Protección de Datos, en la cual se indica: “El adjudicatario, en la realización de los trabajos contratados, adecuará sus actuaciones a la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (B.O.E. núm. 298, de 14 de diciembre) y demás normas de aplicación. El adjudicatario, sea persona física o jurídica, y el personal a su servicio que C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/7 tenga acceso o realice cualquier tratamiento con los datos catastrales de carácter personal, tendrá la consideración de “encargado del tratamiento” y el acceso a la información de carácter personal necesario para la realización de los trabajos no supondrá “comunicación de datos”, a efectos de lo dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal. El adjudicatario encargado del tratamiento estará sometido a las siguientes obligaciones con respecto de los datos de carácter personal: • Actuará conforme a las instrucciones marcadas por el Ayuntamiento de Guadalajara. • Adoptará todas aquellas medidas de índole técnica y organizativa que resulten necesarias para garantizar la seguridad de los datos de carácter personal, así como para evitar su alteración, pérdida, tratamiento o acceso no autorizados. • No aplicará ni utilizará los datos con fines distintos a los de realización de los trabajos objeto del contrato, ni los comunicará, ni siquiera para su conservación, a otras personas. • Estará obligado a guardar el secreto profesional respecto de los mismos, aun después de finalizar sus relaciones contractuales. • Una vez finalizados los trabajos objeto del contrato, el adjudicatario deberá devolver al Ayuntamiento de Guadalajara todos los documentos o soportes informáticos en que pudiera constar algún dato de carácter personal. En el caso de que el adjudicatario destine los datos a otra finalidad, los comunique o los utilice incumpliendo las estipulaciones establecidas en el contrato, será considerado responsable del tratamiento, respondiendo de las infracciones en que hubiera incurrido personalmente, previstas en la Ley Orgánica 15/1999, 13 de diciembre, de Protección de Datos de Carácter Personal”.
- Respecto del contrato: Con fecha 7 de marzo de 2013, el Ayuntamiento de Guadalajara formalizó el “Contrato administrativo para la prestación del Servicio de Colaboración en la Inspección Tributaria del Municipio de Guadalajara” con la empresa TAREA TRIBUTARIA SL, adjudicataria del Concurso y en dicho contrato consta, en su cláusula séptima: “El contratista presta su conformidad a los pliegos de condiciones técnicas y cláusulas administrativas particulares que rigen para este contrato firmando un ejemplar de los mismos que se unen como anexo a este documento…”.
- Respecto del acceso a los datos por parte de la empresa TAREA TRIBUTARIA SL El acceso a los datos de los contribuyentes del Ayuntamiento por parte de TAREA TRIBUTARIA SL comenzó el 3 de junio de
- TAREA TRIBUTARIA SL, accede como encargada del tratamiento a la información de: Copia en papel de los expedientes tributarios de licencias de obras. Acceso al fichero “gestión económica y tributaria”. El Ayuntamiento manifiesta que habilitó un despacho dentro del Ayuntamiento, junto al Departamento de Gestión Tributaria, para la realización de la prestación de servicio realizada por TAREA TRIBUTARIA SL. En este despacho es donde se encuentra la documentación relativa a los expedientes abiertos de inspección y, una vez finalizados, serán enviados al Archivo Municipal, como ocurre con el resto C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/7 de expedientes municipales. En relación a la custodia de esta documentación, este despacho queda cerrado todos los días y tienen la obligación de cerrarlo los empleados de la empresa e igualmente cuando se realiza diariamente la limpieza del Ayuntamiento, el personal de la misma lo deja cerrado. Aparte de lo establecido en el pliego de condiciones técnicas, la Jefa de Inspección dio las siguientes instrucciones al personal de la empresa. • En ningún momento el personal de la empresa puede sacar ninguna documentación fuera de las dependencias municipales. • Una vez finalizado el contrato se entregará al Ayuntamiento una copia de la base de datos empleada por la empresa para su trabajo, destruyendo la empresa toda la documentación e información relativa al trabajo desempeñado en el Ayuntamiento.
- El Ayuntamiento manifiesta que con el fin de proteger los datos de carácter personal que eventualmente puedan tratarse y asegurar la confidencialidad profesional del prestador de los servicios y su personal, se ha aprobado el documento “Contrato de acceso y tratamiento de datos personales anexo al contrato de prestación de servicios de colaboración en la Inspección Tributaria” suscrito entre ambas entidades, donde el Ayuntamiento como responsable de los ficheros con datos personales estipula las condiciones que deben de regir la prestación de servicios respecto a la confidencialidad, el acceso a datos de carácter personal y medidas de seguridad.
- El Ayuntamiento de Guadalajara manifiesta que fue objeto de un recurso contencioso administrativo contra el acuerdo de la Junta de Gobierno Local de 28 de diciembre del 2012 de adjudicación del contrato para la prestación del servicio de colaboración en la Inspección Tributaria a TAREA TRIBUTARIA S.L. por vulneración del derecho fundamental a la protección de datos del que resultó una sentencia desestimatoria. TERCERO: Con fecha 22 de mayo de 2014, el Director de la AEPD dictó resolución en el procedimiento de Declaración de Infracción a las Administraciones Publicas, AP 00052/2013, seguido a instancia del actual denunciante contra el Ayuntamiento de Azuqueca de Henares en base a motivos idénticos a los actuales, esto es cesión de datos de ciudadanos a una empresa privada con fines de gestión recaudatoria sin cumplir con los requisitos del artículo 12 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, declarando el Archivo de las Actuaciones FUNDAMENTOS DE DERECHO I Es competente para resolver el Director de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.d) en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II En cuanto al artículo 12 de la LOPD, cuya infracción se denuncia en el presente C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/7 procedimiento, estipula: “
- No se considerará comunicación de datos el acceso de un tercero a los datos cuando dicho acceso sea necesario para la prestación de un servicio al responsable del tratamiento.
- La realización de tratamientos por cuenta de terceros deberá estar regulada en un contrato que deberá constar por escrito o en alguna otra forma que permita acreditar su celebración y contenido, estableciéndose expresamente que el encargado del tratamiento únicamente tratará los datos conforme a las instrucciones del responsable del tratamiento, que no los aplicará o utilizará con fin distinto al que figure en dicho contrato, ni los comunicará, ni siquiera para su conservación, a otras personas. En el contrato se estipularán, asimismo, las medidas de seguridad a que se refiere el artículo 9 de esta Ley que el encargado del tratamiento está obligado a implementar.
- Una vez cumplida la prestación contractual, los datos de carácter personal deberán ser destruidos o devueltos al responsable del tratamiento, al igual que cualquier soporte o documentos en que conste algún dato de carácter personal objeto del tratamiento.
- En el caso de que el encargado del tratamiento destine los datos a otra finalidad, los comunique o los utilice incumpliendo las estipulaciones del contrato, será considerado, también, responsable del tratamiento, respondiendo de las infracciones en que hubiera incurrido personalmente.” La resolución de la Agencia de fecha 22 de mayo de 2014 recogía, entre otros extremos que aquí no interesan, lo siguiente: << La prestación objeto del contrato que el Ayuntamiento de Azuqueca de Henares suscribió con la entidad Coordinadora de Gestión de Ingresos, S.A. se encuadraría en la situación prevista en el referido artículo 12 de la LOPD siempre y cuando dicho contrato cumpliese con todos los requisitos previstos en el citado precepto. De la lectura del citado artículo 12 se deduce que, para que concurra la figura de “el acceso a los datos por cuenta de tercero”, la relación deberá estar regulada en un contrato que deberá constar por escrito o en alguna forma que permita acreditar su celebración y contenido. El citado permite que el responsable del fichero habilite el acceso material a datos de carácter personal por parte de la entidad que va a prestarle un servicio –encargado del tratamiento- sin que, por mandato expreso de la ley, pueda considerarse dicho acceso como una cesión de datos. Sin embargo, ese acceso o tratamiento por parte del que presta el servicio aparece rodeado de un abanico de garantías para los afectados que el propio art. 12 impone. La primera de ellas estriba en que haya una constancia expresa de que el responsable del fichero ha encargado el tratamiento de los datos para lo cual se exige que conste en un contrato. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/7 A este respecto, el art. 12 impone un requisito formal por cuanto que el contrato o bien debe constar escrito o, en todo caso, acreditarse formalmente su celebración. Es decir, la norma impone que siempre exista una relación jurídica de naturaleza contractual entre el responsable y el tercero al que encarga el tratamiento y, además, exige una constancia formal de dicha relación. Esta exigencia es congruente con el sistema de protección de la LOPD ya que,sin consentimiento ni conocimiento de los afectados se está permitiendo un tratamiento de sus datos personales por parte de un tercero. Por ello, es preciso que conste quién es el responsable de dicho tratamiento y que éste se encuentre vinculado jurídicamente con el tercero para poder exigirle, en virtud de dicha relación jurídica, el cumplimiento de las garantías previstas en la citada ley. En segundo lugar, el art. 12 de la LOPD garantiza un correcto tratamiento de los datos personales respecto del contenido de ese contrato exigiendo que figuren explícitamente las instrucciones del responsable del fichero al tercero, de forma que este último sólo estará habilitado para tratar los datos conforme a aquéllas, no pudiendo aplicarlos ni utilizarlos para fines distintos de los que expresamente han de figurar en el contrato. En tercer lugar se impone como garantía para los afectados que no puedan producirse tratamientos ulteriores de dichos datos al establecer rotundamente el mismo artículo que el encargado del tratamiento no podrá comunicarlos ni siquiera para su conservación a otras personas>>. III En el presente caso, figuran las garantías exigidas legalmente en el contrato suscrito entre el Ayuntamiento de Guadalajara y la entidad TAREA TRIBUTARIA S.L, según consta en el Hecho Segundo, por lo que puede considerarse dentro del marco del artículo 12 de la LOPD, por lo que procede proponer por el motivo denunciado el Archivo del presente procedimiento. Es más, en el presente caso, las cláusulas del artículo 12 se encuentran recogidas con mayor nitidez en el Pliego de Cláusulas Administrativas Particulares y Pliego de Condiciones Técnicas que rige en el contrato entre el Ayuntamiento de Guadalajara y la entidad TAREA TRIBUTARIA S.L. que en el precedente citado referente al Ayuntamiento de Azuqueca de Henares y, por otro, el Juzgado Contencioso Administrativo de Guadalajara desestimó la pretensión del denunciante de nulidad del contrato por falta de las prescripciones del articulo 12 validando el mismo. La Sentencia del Tribunal Supremo de 22 de junio de 2010, recurso de casación 880/2007, que confirmaba la Sentencia de la Audiencia Nacional de 14 de diciembre de 2006, rec. 567/04, que señala: “El motivo no puede prosperar por las siguientes razones: en primer lugar, la Sala de instancia, en contra de lo que se sostiene por la recurrente, no rechaza sus pretensiones en relación con la infracción muy grave por cesión de datos sin C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/7 consentimiento de su titular, por no haber suscrito por escrito el contrato a que se refiere el art. 12 de la LOPD sino por no haber existido el mismo, a cuyo efecto y tras reproducir el contenido de dicho precepto, señala que " por la propia naturaleza del contrato de prestación de servicios y por la importancia y relevancia de los intereses y derechos en juego, el citado artículo 12 exige que en el contrato se especifique con el detalle necesario la finalidad y el objeto concreto del encargo y servicio contratado, de tal forma que el encargado del tratamiento debe cumplir, por cuenta de quien lo contrata, el específico encargo recibido siempre dentro de los límites de las instrucciones recibidas. Si el encargado del tratamiento se excede de los límites del encargo, separándose de las instrucciones recibidas, la Ley prevé -siguiendo las reglas del mandato- que los actos y el tratamiento así realizados sean imputables al citado encargado, a quién se califica de responsable del tratamiento ejecutado, puesto que se trataría de un acto que se realiza no por encargo, sino por su exclusiva voluntad y como tal de su exclusiva responsabilidad, por lo que en este caso respondería personalmente de las infracciones que pudiera haber cometido. Precisamente por ello, para que puedan conocerse los límites del encargo y en beneficio de los afectados -titulares de los datos personales cedidos y tratadoses necesario que queden perfectamente definidos todos los servicios que habrán de realizarse por el encargado. En el caso de autos no consta la existencia de contrato escrito entre Corporación M2 y Bat Media. Tampoco hay constancia del contenido concreto del encargo encomendado por la actora a Bat Media, en relación con la campaña promocional… a la presidencia del CF Valencia, ni de la existencia de medidas de seguridad a adoptar etc. No se ha constatado en modo alguno que el encargo realizado por la actora a Bat Media para la realización de la citada campaña de marketing directo, se formalizara en un contrato con los requisitos y garantías exigidas por el artículo 12 LOPD, por lo que dicho precepto no puede amparar la comunicación de datos realizados a Bat Media. Se justifica con ello el alcance que debe tener el contrato en cuestión, la necesidad de constatación del mismo por escrito o cualquier otra forma que permita acreditar su celebración y contenido y la responsabilidad por la cesión en cuanto no esté amparada en un contrato de tales características, para terminar concluyendo en la falta de acreditación un contrato de tal naturaleza, ni por escrito ni en cualquier otra forma, que ampare la cesión de datos producida en este caso por la entidad sancionada”. En conclusión, en el presente caso, figuran las garantías exigidas legalmente en el contrato suscrito entre el Ayuntamiento de Guadalajara y la entidad TAREA TRIBUTARIA S.L. por lo que puede considerarse dentro del marco del artículo 12 de la LOPD y procede el Archivo de las presentes actuaciones. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/7 Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos, RESUELVE: PRIMERO: DECLARAR el ARCHIVO del presente procedimiento. NOTIFICAR la presente Resolución al AYUNTAMIENTO DE GUADALARAJA, TAREA TRIBUTARIA S.L. y a D. A.A.A. . De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Sin embargo, el responsable del fichero de titularidad pública, de acuerdo con el artículo 44.1 de la citada LJCA, sólo podrá interponer directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la LJCA, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es