E-06098-2019

1/9 Procedimiento Nº: E/06098/2019 940-0419 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: La reclamación interpuesta por Don A.A.A. (en adelante, el reclamante) tiene entrada con fecha 15 de febrero de 2019 en la Agencia Española de Protección de Datos. La reclamación se dirige contra el AYUNTAMIENTO DE TEULADA, con NIF P0312800F (en adelante, el reclamado). Los motivos en que basa la reclamación son que en el Ayuntamiento de Teulada suceden errores a la hora de proceder con las notificaciones, haciendo llegar datos estrictamente personales a terceros y enviando escritos a domicilios donde ya no reside. Y, entre otra, anexa la siguiente documentación:  Reclamación ante el Ayuntamiento de Teulada, con fecha de registro 10 de febrero de 2019 y un documento adjunto fechado el mismo día, y firmado por el denunciante, el cual contiene, entre otras, las siguientes manifestaciones: o Que el día 7 de febrero de 2019, a las 8:34 horas, recibió un correo electrónico de acuse de recibo de la presentación por registro de una instancia del denunciante. Que al parecer el mismo aviso lo recibieron varios agentes de la policía desconociendo si más personal del ayuntamiento también lo recibió. Aporta copia del correo electrónico recibido. El correo electrónico contiene, entre otros, datos del nombre y apellidos del denunciante, así como su número de DNI. o Del mismo modo aparecía en la página inicial de la plataforma “Moderniza”, desconociendo porque personas ajenas al registro han sido informados sobre su instancia. Aporta captura de pantalla de su registro conteniendo los datos de número de registro, fecha de presentación y nombre y apellidos del denunciante. C/ Jorge Juan, 6 28001 – Madrid o Que no entiende cómo un procedimiento de ámbito privado llegue a tantas personas, así como la divulgación de un dato sensible como es el Documento Nacional de Identidad. o Que el 8 de febrero de 2019 recibió un correo electrónico de asunto “Notificación enviada”. Que al inicio del correo electrónico se incluyen los datos siguientes: www.aepd.es sedeagpd.gob.es 2/9 A.A.A. ***DIRECCION.1 Que los datos reseñados por quien envía la notificación son incorrectos ya que él ya no tiene ese domicilio a efectos de notificación como manifestó mediante inserción en la plataforma “Portal del Empleado”, el pasado 4 de septiembre de

1. Que el 6 de febrero de 2019, recibe una correo electrónico de recursos humanos de la dirección ***EMAIL.1 que procedía de una tal “B.B.B.” con el contenido “Si te puedes pasar, aprovechas y recoges la notificación que no pudiste recoger electrónicamente, eso fue un error mío, te la envié por correo certificado y también por sede electrónica pero no cambié de “papel” a “electrónica” y por eso lo la pudiste recoger. Esta notificación que dices me vino devuelta, porque se caducó el aviso de recogida en correos” Que si hubo un envío de documentación a dirección errónea tiene derecho a saber dónde fue enviada y el motivo de su caducidad en Correos. Con fecha 2 de mayo de 2019, el reclamante presenta nuevo escrito en el que indica que se había trasladado su reclamación al Ayuntamiento de Teulada para que procediera a su análisis y a darle respuesta en el plazo de un mes; dicho plazo ha finalizado sin haber recibido comunicación por parte del citado Ayuntamiento. Con fecha 19 de mayo de 2019, presenta otro escrito manifestando que el decreto del Alcalde - Presidente número 983/2019 de fecha 3 de mayo de 2019 se encuentra fuera del plazo otorgado por la Agencia Española de Protección de Datos SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), con número de referencia E/03485/2019, se dio traslado de dicha reclamación al reclamado, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. TERCERO: Con fecha 8 de mayo de 2019, el AYUNTAMIENTO DE TEULADA remite a esta Agencia la siguiente información con, entre otras, las siguientes manifestaciones:
2. Que la decisión adoptada es que se aplique de nuevo el derecho de rectificación del domicilio a efectos de notificación al denunciante de los siguientes datos: Dato incorrecto/incompleto: ***DIRECCION.1 Dato corregido/completo: ***DIRECCION.2
3. Comunicar la rectificación de los datos personales a los destinatarios a los que se han comunicado estos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/9
4. Notificar al interesado la Resolución sobre el derecho de rectificación de datos con indicación de los recursos pertinentes. Aporta copia de decreto del Alcalde - Presidente número 983/2019 de fecha 3 de mayo de 2019 notificada al denunciante. Aporta acuse de recibo por parte del denunciante en fecha 3 de mayo de
6. Que el 5 de septiembre de 2018, a través del Portal del Empleado, el denunciante manifestó un cambio de domicilio a efectos de notificación.
7. Que el 21 de noviembre de 2018, se realiza una notificación del Ayuntamiento con número 2018-S-RC-
8. Ésta se realiza en papel y al domicilio “***DIRECCION.1”. Este domicilio es el último domicilio efectivo que tenía antes del cambio del 5 de septiembre y es devuelta la notificación desde Correos en fecha 23 de noviembre de 2018 por el motivo “no se hace cargo”. No obstante, y de acuerdo al art. 42.1 se pone a disposición del interesado en la sede electrónica y en el punto de acceso general para que se pueda acceder al contenido de forma voluntaria. En fecha 16 de febrero de 2019, se recibe el justificante de haber sido recibida por comparecencia electrónica en la sede.
9. Que, al parecer a raíz del intercambio de varios correos, en fecha 6 de febrero, desde las cuentas ***EMAIL.2 y ***EMAIL.1 e identificándose como A.A.A. y B.B.B., se envía nueva (notificación) electrónica con registro de anotación 2019-S-RE-515, el 8 de febrero recibiéndose justificante de recepción en sede electrónica el 16/02/
11. Que el denunciante, en fecha 06/02/2019, con número de registro 2019-E-RE472 crea una anotación. Cuando se crea una anotación desde la sede, el interesado recibe de forma automática un correo electrónico con el recibo adjunto de la anotación a la cuenta de correo del solicitante. Que, en lugar de continuar con las comunicaciones efectuadas, la nueva efectuada por el denunciante fue el modelo de “Instancia General”. Este tipo de procedimiento, una vez recibido en el Ayuntamiento, requiere de un envío (asignación) desde el registro de entradas al departamento correspondiente, con la posibilidad, si así se ve conveniente, de enviarle nuevamente un correo electrónico al interesado con el recibo de la anotación. Esta asignación se realizó el jueves día 7 a las 8h33’46” al grupo POLICIA LOCAL-AGENTES POLICIA. Advertida la disfunción, hubo una reacción inmediata desasignando la anotación al citado grupo el mismo día a las 8h33’49”. Cuando se asigna a un grupo se envía una anotación a cada miembro del mismo en la página inicial de la plataforma de gestión con un mensaje de las siguientes características: “Registro de Entrada 2019-E-RE-1442 (Instancia General) recibido de NOMBRE del TERCERO”. Si lo tienen configurado a nivel de cada empleado público, se recibe un mensaje por email del correo noresponder@teuladamoraira.org con indicación de, entre otra, la información del nombre del tercero y su número de DNI.
12. Que a pesar del error inicial, el caso que nos ocupa, únicamente estuvo expuesto tres segundos y que de acuerdo a la auditoría realizada no hubo ningún acceso no autorizado del personal del grupo POLICIA LOCALAGENTES POLICIA a la anotación, pero sí, como cualquier instancia general, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/9 al nombre del denunciante a su DNI. Todo ello de acuerdo con la operativa de gestión de expedientes municipal.
13. Que a las 8:33:56 del día 07/02/2019 se asignó la anotación registral al grupo correspondiente, es decir, POLICIA LOCAL-JEFATURA.
14. Que confirma que en la anotación del registro de entrada 2019-E-RE-472, una vez auditadas las personas que recibieron aviso de la entrada de un registro, únicamente consultaron la anotación las personas autorizadas (POLICIA LOCAL-JEFATURA). El resto de agentes, pese a realizar algunos intentos de acceder a la anotación 2019-E-RE-472, no accedieron aunque sí llegaron a visualizar por correo electrónico el nombre del tercero y su DNI.
15. Que en la asignación del registro de entrada al grupo correspondiente para su tramitación podría haber existido un error humano que hizo que se asignara al grupo equivocado. Que incluso en ese caso, 3 segundos después, al percatarse de la equivocación, se corrigió la asignación.
16. Que posteriormente, se consultó a través de los datos de auditoría si alguno de los usuarios del grupo asignado por error accedió al registro de entrada para su consulta. La auditoría confirmó que no fue así y, por tanto, se puede demostrar que ningún usuario del grupo erróneo ha tenido acceso a la solicitud del ciudadano.
17. Adoptar medidas para evitar que se produzcan incidencias similares de acuerdo con el informe adjunto. Aporta documento con las medidas adoptadas con, entre otras, las siguientes manifestaciones: a. Que se propone se adopten las siguientes medidas antes de transcurrir dos meses y que se realicen los controles necesarios para comprobar su eficacia:  Que se informe a todos los empleados del AYUNTAMIENTO DE TEULADA sobre la determinación reglamentaria de la notificación y comunicación de los trámites que realicen por razón de su condición de empleado público de esta administración.  Dado que el AYUNTAMIENTO DE TEULADA tiene un Plan de Mejora Continua (PMC) de la plataforma de administración electrónica, se de formación sobre las notificaciones/comunicaciones de acuerdo con la determinación reglamentaria del punto anterior. El indicador de control es si en el PMC se da formación en este sentido.  Que cuando se reciba una solicitud por sede electrónica con tipo trámite “Instancia general”, desde la oficina de registro no se remita ningún correo electrónico al asignarle el traslado al departamento correspondiente, ya que el solicitante recibe automáticamente desde la plataforma un recibo de la anotación. El indicador de control es que el solicitante únicamente reciba un correo. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/9  Que se comunique a ESPUBLICO S.L.U. para que estudien la viabilidad de modificación en su aplicativo GESTIONA el envío por email del aviso de coreo en cuanto el NIF de forma que se pongan asteriscos delante de los tres últimos caracteres. P.ej.: C.C.C. con NIF ******66N. El indicador de control es si se comunica la posibilidad de modificación del aplicativo. CUARTO: Con fecha 20 de mayo de 2019, la Directora de la Agencia Española de Protección de Datos acordó admitir a trámite la reclamación presentada por el reclamante. QUINTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos objeto de la reclamación, dirigiéndose nuevamente al reclamado y teniendo conocimiento de los siguientes extremos:
18. Que el denunciante ocupa el puesto de policía local y sus funciones son la supervisión operativa y material de la ejecución de los servicios policiales a nivel grupal e individual a llevar a cabo por los correspondientes de la escala básica.
19. Que la referida plataforma de gestión y la plataforma MODERNIZA (GESTIONA) son la misma plataforma.
20. Que la finalidad del servicio GESTIONA es la gestión por medios electrónicos de los procesos administrativos y la adaptación de las entidades a la normativa sobre Administración Electrónica. La plataforma se compone de un conjunto de módulos integrados entre sí: a. Módulo de gestión administrativa: Este módulo facilita la organización, control y gestión de expedientes, permitiendo a la ENTIDAD CONTRATANTE disponer de los elementos tecnológicos necesarios para evolucionar desde el expediente en papel al expediente electrónico, a través de la incorporación de medios de identificación y autenticación, como el sello o la firma electrónica, en toda la organización y para la digitalización de procesos. Las principales aplicaciones, programas, funcionalidades o herramientas tecnológicas de este módulo de "Gestión Administrativa" son entre otros el Registro administrativo y la gestión de expedientes. b. Módulo de Sede Electrónica: Permite al Ayuntamiento de Teulada ofrecer al ciudadano la posibilidad de realizar los trámites más habituales a través de Internet, facilitándole el ejercicio de los derechos recogidos en la legislación administrativa.
21. Aporta captura de pantalla de los tipos de datos personales que almacena la plataforma. En dicha captura de pantalla aparecen datos de nombre y apellidos, dirección email, número de móvil, puesto de trabajo y dirección postal.
22. Que a la plataforma se accede a través de cualquier ordenador conectado a internet a través de la url https://www.modernizaalicante.es/login C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/9
23. Que la forma de autenticación para acceder a la plataforma es con usuario y contraseña o bien certificado.
24. Que el registro electrónico está configurado de tal manera que los interesados pueden presentar un trámite específico y definido en el catálogo de trámites o si no tienen claro el procedimiento pueden optar por el procedimiento de INSTANCIA GENERAL. En el primer caso los trámites están catalogados por materia y los procedimientos están definidos siendo automático el envío de los registros presentados por esta vía al departamento gestor correspondiente. En el segundo caso (INSTANCIA GENERAL) los destinatarios no están definidos ya que los procedimientos a seguir son múltiples y pueden estar dirigidos a cualquier área del Ayuntamiento por lo que deben ser filtrados por los funcionarios que gestionan el Registro General.
25. Que desde la implantación de la sede electrónica todas las INSTANCIAS GENERALES que se presentan por sede electrónica pasan automáticamente al SIT, área que tiene encomendada la gestión del Registro General. Los funcionarios del SIT estudian el escrito y lo trasladan al área responsable del mismo.
26. Que el denunciante optó por presentar una INSTANCIA GENERAL, bien porque desconocía el trámite o porque no se adaptaba ninguno a los intereses pretendidos. La sede electrónica registró la instancia con número 2019-E-RE472 y automáticamente pasó al SIT, en fecha 7 de febrero de 2019, el funcionario del SIT recepcionó el registro, leyó el contenido y lo pasó a las 8:33:46 al grupo POLICIA LOCAL-AGENTES POLICIA porque en el escrito el denunciante especificaba que había intentado ponerse en contacto con RETÉN POLICÍA para trasladar su incidencia pero dada cuenta la trayectoria profesional y la experiencia en el traslado de registros, el funcionario optó por cambiarlo y desasignó el registro a las 8:33:49 y lo pasó directamente al grupo POLICIA LOCAL-JEFATURA, siendo las 8:33:56 para que fuera el responsable de la policía quien dirimiera el trasladarlo o no al resto de agentes.
27. Que la dirección postal a efectos de notificaciones que el denunciante manifestó el día 4 de septiembre de 2018 a través del Portal del Empleado fue: ***DIRECCION.2 Que el sistema de actualización documental departamental es responsabilidad de cada una de las diversas unidades en las que está estructurado el Ayuntamiento teniendo cada uno establecido un procedimiento propio e independiente, no solo de los cambios sino de ratificación de los mismos. Que el denunciante utilizó la plataforma de solicitud de permisos de los empleados públicos siendo modificada para esta plataforma, en fecha 5 de septiembre de 2018, y quedando pendiente de actualizar dicha información en el tratamiento de gestiones procedimentales que lleva incluida las gestiones de notificaciones. El plazo legal para resolver estas solicitudes, cuando no viene establecido en una norma específica, de conformidad con lo establecido en el artículo 21.3 de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, es el siguiente: '"Cuando las normas reguladoras de los procedimientos no fijen el plazo máximo, éste será de tres meses.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/9 Habida cuenta que la solicitud de cambio de domicilio se realizó por el interesado en fecha 4 de septiembre de 2018 y que la fecha del documento que se notifica es del 21 de noviembre del 2018, no había transcurrido el plazo legalmente establecido para resolver dicha solicitud.
28. Que la notificación del 8 de febrero se envía por decisión de recursos humanos, advertida la no recepción de la notificación y la falta de comparecencia una vez puesto en conocimiento de ello al denunciante y todo ello a raíz del intercambio de correos entre las cuentas ***EMAIL.2 y ***EMAIL.1 el 6 de febrero. En esta nueva notificación se notifica otra vez el documento de fecha 21/11/
30. Aporta copia de la auditoría referida en la información remitida a esta Agencia en fecha 8 de mayo de
32. Que las medidas adoptadas para evitar incidencias similares son: a. En fechas 15/05/2019 y 16/05/2019 se ha realizado formación en:  Uso de “tareas” para comunicaciones internas.  Uso de la sede electrónica: portal del empleado.  Se insiste en la formación a todos los usuarios que participen en operaciones de tratamiento de datos. b. Se ha realizado formación de refuerzo del régimen de notificaciones de la Ley 39/
33. En las formaciones se recomienda que no figure en el texto la dirección postal al que se le remite el escrito cuando la notificación sea electrónica. c. En estudio la viabilidad de modificación del aplicativo GESTIONA para que el NIF aparezca con asteriscos delante de los tres últimos caracteres en el envío de alertas por email. FUNDAMENTOS DE DERECHO I De acuerdo con los poderes de investigación y correctivos que el artículo 58 del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) otorga a cada autoridad de control, y según lo dispuesto en el artículo 47 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. II El reclamante señala en su escrito de reclamación que el Ayuntamiento de Teulada ha cometido errores a la hora de proceder con las notificaciones, haciendo llegar datos estrictamente personales a terceros y enviando escritos a domicilios donde ya no reside. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/9 El artículo 5 del RGPD recoge los principios del tratamiento de los datos, determinando: “
34. Los datos personales serán: a) tratados de manera lícita, leal y transparente en relación con el interesado («licitud, lealtad y transparencia»); b) recogidos con fines determinados, explícitos y legítimos, y no serán tratados ulteriormente de manera incompatible con dichos fines; de acuerdo con el artículo 89, apartado 1, el tratamiento ulterior de los datos personales con fines de archivo en interés público, fines de investigación científica e histórica o fines estadísticos no se considerará incompatible con los fines iniciales («limitación de la finalidad»); c) adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados («minimización de datos»); d) exactos y, si fuera necesario, actualizados; se adoptarán todas las medidas razonables para que se supriman o rectifiquen sin dilación los datos personales que sean inexactos con respecto a los fines para los que se tratan («exactitud»); e) mantenidos de forma que se permita la identificación de los interesados durante no más tiempo del necesario para los fines del tratamiento de los datos personales; los datos personales podrán conservarse durante períodos más largos siempre que se traten exclusivamente con fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos, de conformidad con el artículo 89, apartado 1, sin perjuicio de la aplicación de las medidas técnicas y organizativas apropiadas que impone el presente Reglamento a fin de proteger los derechos y libertades del interesado («limitación del plazo de conservación»); f) tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»).” En el supuesto denunciado, el Ayuntamiento de Teulada no actualizó de forma inmediata el dato del domicilio del reclamante, dando lugar a que se devolviese la notificación remitida al domicilio no actualizado. Asimismo, reenvió un correo de acuse de recibo a terceros de una instancia presentada por el reclamante; a pesar del error inicial, únicamente estuvo expuesto tres segundos y, de acuerdo a la auditoría realizada, no hubo ningún acceso no autorizado del personal del grupo POLICIA LOCAL-AGENTES POLICIA a la anotación, pero sí, como cualquier instancia general, al nombre del denunciante a su DNI. Todo ello de acuerdo con la operativa de gestión de expedientes municipal. Por tanto, se incumplieron los principios de exactitud de los datos y de confidencialidad de los mismos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/9 Considerando que la reclamada ha adoptado las medidas para que la infracción no se repita y ha reforzado la formación en los campos en que se produjeron los errores; corrección que es el objetivo final de los apercibimientos previstos como sanción en el nuevo RGPD y en la LOPDGG para cuando los responsables de los tratamientos sean las Administraciones Públicas, y que la implementación de los elementos para tener en cuenta en el diseño del tratamiento ha variado con el nuevo RGPD, creando también la figura del Delegado de Protección de Datos con competencias en esta materia. Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución al reclamante y reclamado. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.c) de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es