← España

E-06726-2014

1/14 Expediente Nº: E/06726/2014 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante el AYUNTAMIENTO de MADRID, la PLATAFORMA INTEGRAL MOVILIDAD, A.I.E., y la UNIÓN TEMPORAL DE EMPRESAS DEVAS –UTE- compuesta por las mercantiles: Dornier, S.A., API Movilidad, S.A., Vinci Park Servicios Aparcamientos, S.A., Electronic Trafic, S.A. y Setex Aparki, S.A. en virtud de denuncia presentada por Dª D.D.D. y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 30 de junio de 2014, tuvo entrada en esta Agencia escrito de Dª D.D.D. ( en lo sucesivo la denunciante) en el que denuncia que el AYUNTAMIENTO DE MADRID ha impuesto a los ciudadanos unas máquinas para abonar la tasa del Servicio de Estacionamiento Regulado (SER), en las que se exige para pagar la tasa por utilización del dominio público, facilitar el nº de matrícula del vehículo, por lo que considera que permite conocer en cada momento dónde se encuentra, a dónde vas, cuántas veces frecuentas una zona, en definitiva entiende que se trata de una intromisión injustificada en su derecho a la libre circulación, a la intimidad, que es un derecho fundamental. También, se trata de una medida de control que carece de legitimidad y que además conculca derechos fundamentales, cualquier regulación sobre el derecho a la intimidad debería hacerse, en todo caso, a través de una Ley Orgánica. Añade que desconoce: quién recaba esos datos: el Ayuntamiento o una empresa privada; dónde se encuentran almacenados; para qué los van a utilizar; si pueden ser cedidos a otras entidades; donde pueden ejercer los derechos sobre tales datos; cuánto tiempo se almacenan; cuándo se destruyen; y si el Ayuntamiento de Madrid está legitimado para recabar tal información. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: De las actuaciones realizadas por la Inspección de Datos en las instalaciones del Ayuntamiento de Madrid ( en adelante el Ayuntamiento), en la Unión Temporal de Empresas -UTE-, integrada por las compañías: Dornier, S.A., Api Movilidad, S.A., Vinci Park Servicios Aparcamientos S.A., Electronic Trafic, S.A. y Setex Aparki, S.A. (DEVAS1) y en la Plataforma Integral Movilidad Madrid, A.I.E., en relación con el SER, se desprende lo siguiente: 1. Con respecto a la normativa: El SER tiene por objeto la gestión, regulación y control del estacionamiento de vehículos en determinadas zonas en la ciudad de Madrid según establece la Ordenanza de Movilidad para la Ciudad de Madrid, de fecha 26 de septiembre de 2005, que fue modificada por acuerdo del Pleno del Ayuntamiento de fecha 28 de mayo de 2014, con objeto de proporcionar la cobertura jurídica a la puesta en marcha del nuevo sistema C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/14 SER inteligente. Por otra parte, el Pleno del Ayuntamiento, de fecha 25 de junio de 2014, modifica la Ordenanza Fiscal Reguladora de la Tasa por Estacionamiento de Vehículos en determinadas zonas de la Capital, estableciendo la tasa según la tecnología del vehículo en cinco categorías (A – E). Por lo que los usuarios del SER, deben facilitar la matrícula de su vehículo al sistema como elemento esencial para determinar la tarifa dinámica aplicable según el nivel de emisiones. Las tarifas a abonar por estacionamiento de vehículos tienen la naturaleza jurídica de “tasa”, ya que, son sujetos pasivos quienes disfruten, utilicen o aprovechen el dominio público local en beneficio particular. 2. Con respecto al concurso público: El Ayuntamiento de Madrid convocó el concurso público Contrato integral de movilidad de la ciudad de Madrid, con objeto de adjudicar por procedimiento abierto la gestión de servicios públicos bajo la modalidad de concesión y, entre otras prestaciones, comprende servicios relacionados con la movilidad de vehículos: la gestión, el control y el mantenimiento del SER. La adjudicación del contrato se formalizó el día 31 de octubre de 2013 por una duración de doce años a las siguientes UTE´s:  DEVAS 1 integrada por las compañías: Dornier, S.A., Api Movilidad, S.A., Vinci Park Servicios Aparcamientos, S.A., Electronic Trafic, S.A. y Setex Aparki, S.A.  DEVAS 2 integrada por las compañías: Dornier, S.A., Api Movilidad, S.A., Vinci Park Servicios Aparcamientos, S.A., Electronic Trafic, S.A. y Setex Aparki, S.A.  MSM3 integrada por las compañías: Estacionamientos y Servicios S.A.U., Valoriza Servicios Medioambientales, S.A., Tevaseñal, S.A. y Montajes y Obras, S.A.  MSM4 integrada por las compañías: Estacionamientos y Servicios S.A.U., Valoriza Servicios Medioambientales, S.A., Tevaseñal, S.A. y Montajes y Obras, S.A. En el Pliego de prescripciones técnicas se especificaba que los concursantes debían proponer la arquitectura del sistema y los aplicativos informáticos, Sistemas de Información, para cada servicio integrándose en una plataforma única, denominada Plataforma Integral de Movilidad, que será utilizada por todas las entidades adjudicatarias del concurso. El Ayuntamiento seleccionó la propuesta técnica presentada por la UTE DEVAS 1. Para ello, las UTE´s contratan la “prestación de servicios” con las empresas Everis Spain S.L.U. y Parkare Servicios S.A. para el desarrollo y mantenimiento de los aplicativos, la integración con los Sistemas de Información del Ayuntamiento y la interacción con las aplicaciones de pago por móvil. También, suscriben contrato con la compañía Telefónica Soluciones de Informática y Comunicaciones de España, S.A.U. (TELEFONICA) la cual aporta la infraestructura necesaria para alojar las aplicaciones informáticas y las bases de datos que configuran el Sistema de Información de la Plataforma Integral y el Centro de Respaldo. En relación con la subcontratación en la cláusula 14, del Pliego de cláusulas administrativas particulares se indica que “los subcontratistas no tendrán en ningún caso acción directa frente a la Administración contratante por las obligaciones contraídas con ellos por el contratista como consecuencia de la ejecución del contrato principal y de los C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/14 subcontratos” y las prestaciones accesorias del contrato que se podrán concertar con terceros se detallan en la cláusula 21 del anexo I del citado Pliego como “la recaudación de fondos, suministro energético de equipamientos, campañas informativas, o desarrollo y mantenimiento de sistemas de información y comunicaciones”. 3. Con respecto a la Plataforma Integral: La Plataforma Integral proporciona la infraestructura necesaria de proceso de datos y de comunicaciones que permiten alojar la información y los aplicativos para dar soporte a todas entidades adjudicatarias del concurso público. El Centro de Proceso de Datos está ubicado en instalaciones de la compañía TELEFONICA y se compone de infraestructura y equipamiento físico: servidores web, de aplicaciones, de bases de datos, líneas de comunicaciones y otros elementos de conectividad que dan soporte a los servicios del contrato y el centro de respaldo. Todo el equipamiento informático deberá ser de uso exclusivo del Ayuntamiento. Asimismo, redes de comunicaciones privadas conectan la Plataforma Integral con los Sistemas de Información de las empresas adjudicatarias, los parquímetros y las estaciones fijas y móviles, para el intercambio de información, también conectan con el Ayuntamiento, a través de su Organismo Autónomo de Informática –IAM-. Entre las estaciones móviles se encuentran los dispositivos denominados PDA´s (ayudante personal digital) utilizadas por el personal controlador. La información asociada al vehículo que consta en la Plataforma Integral es la siguiente:  Matrícula.  Fecha primera matriculación (año), masa máxima autorizada, combustible tecnología (gasolina/diésel) y tipo de vehículo (autobús, transporte de mercancías, etc.). Dicha información es necesaria para establecer las tarifas dinámicas según el nivel de emisiones de cada vehículo: clasificación A – E.  Por cada estacionamiento (tique): fecha y hora inicio y final, zona de estacionamiento, medio de pago utilizado (efectivo, tarjeta prepago, tarjeta bancaria, etc.), si ha recibido aviso de denuncia y si éste ha sido anulado. Dicha información se registra en el fichero automatizado denominado “ZONAS ESTACIONAMIENTO REGULADO”, cuyo responsable es la Dirección General de Sostenibilidad y Planificación de la Movilidad del Ayuntamiento, inscrito en el Registro General de Protección de Datos y el nivel de seguridad a implementar es el básico. En la zona SER de Madrid se encuentran instalados unos 4.000 parquímetros, se realizan unos 5.000.000 de tiques al mes y desde la implantación del sistema, el día 1 de julio de 2014 hasta el 15 de junio de 2015, se han emitido 49.400.000 tiques y han estacionado 4.500.000 vehículos. También, en la Plataforma Integral se registran las denominadas autorizaciones del SER, que corresponden a vehículos de residentes que han sido autorizados a estacionar en la zona, así como comerciantes, talleres y otros. El desarrollo e implantación de este aplicativo se encuentra incluido en el objeto del contrato, pero exclusivamente es utilizado por personal del Ayuntamiento. 4. Con respecto al procedimiento para la gestión del estacionamiento de vehículos: Los usuarios que no sean residentes autorizados deberán introducir el nº de la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/14 matrícula de su vehículo en el parquímetro que se encuentra conectado a la Plataforma Integral. La Plataforma Integral accede de forma automática al Registro de Vehículos de la Dirección General de Tráfico, con objeto de conocer la tecnología del vehículo y la fecha de matriculación a los efectos de repercusión en la tasa. Dichas consultas se amparan en la Ley General Tributaria que establece la colaboración entre las Administraciones Públicas a efectos tributarios. Una vez clasificado el vehículo, para evitar consultas reiteradas sobre la misma matrícula, se registra la información en la Plataforma Integral para aplicar la tarifa de la tasa en los sucesivos estacionamientos. Si en el periodo de cinco años el vehículo no realiza estacionamientos en la zona SER se cancela la información asociada a la matrícula. Por medio de una aplicación informática implementada en la PDA, el controlador, comprueba si la matrícula tiene autorización de estacionamiento, en caso de que se encuentre en situación irregular se procede a emitir un boletín de denuncia, el cual una vez validado se remite al Ayuntamiento para su tramitación. También, las empresas adjudicatarias disponen de vehículos, coches y motos, que circulan por las zonas del SER captando exclusivamente la matrícula, ubicada en la parte trasera de los vehículos estacionados, para comprobar sí el vehículo tiene autorización para el estacionamiento y, en caso contrario, remite la matrícula a la PDA del controlador de la zona para su revisión. 5. Derecho de información en la recogida de datos: artículo 5 de la Ley Orgánica: En el parquímetro no constan aspectos relacionados con el derecho de información en la recogida de datos ya que el Ayuntamiento considera que este sistema no trata datos personales. En el tique de estacionamiento figura la siguiente información: matrícula, fecha y hora de inicio y de fin del estacionamiento, importe, tipo tarifa, tipo vehículo y código del tique. También, consta el anagrama del Ayuntamiento y el texto “SERVICIO ESTACIONAMIENTO REGULADO”. En el reverso se indica la denominación o marca comercial de la UTE, adjudicataria de la zona SER en el concurso público, e instrucciones para su colocación en el interior del vehículo. Si bien, no es necesario la obtención del tique, como es el caso del pago de la tasa por medio de aplicación de terminal móvil, ni su colocación en el vehículo. Cuando el vehículo estacionado en la zona SER no está autorizado se procede a emitir por el controlador el boletín de denuncia en el que consta: fecha y hora, lugar de la infracción, vehículo y matrícula, descripción del hecho denunciado, precepto infringido, importe y código de controlador. También, en la parte superior figura el anagrama del Ayuntamiento y el texto “SERVICIO ESTACIONAMIENTO REGULADO”. En el reverso del Boletín de Denuncia se detalla “aviso de denuncia por la infracción de la ordenanza de circulación”. “el presente aviso tienen exclusivamente carácter informativo, por lo que deberá esperar a su notificación (…) junto con otros aspectos de la Ordenanza de Movilidad. Si bien, no es obligatorio la generación del Boletín de denuncia por parte del controlador. 6. Derechos de acceso, rectificación, cancelación y oposición: la tramitación de los citados derechos se encuentra centralizado en el Servicio de Protección de Datos de la Dirección General de Calidad y Atención al C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/14 Ciudadano del Ayuntamiento. El protocolo para la solicitud, tramitación y resolución de dichos derechos se encuentra publicado y puede ser consultado en la página web de la Corporación Local <www.madrid.es>, protección de datos, detallándose: requisitos, cómo realizar el trámite y documentación, así como los formularios correspondientes. 7. Protección de Datos y Documento de Seguridad: En el Pliego de cláusulas administrativas, capítulo III, Derechos y obligaciones del contratista. Sección cuarta. De la confidencialidad y de la protección de datos se establecen aspectos de la Ley Orgánica 15/1999 y de su normativa de desarrollo que deberán ser respetados. Entre las obligaciones comunes a todos los servicios incluidos en el contrato, se encuentran las descritas en la cláusula 3.3.11.- Confidencialidad, protección de datos personales y seguridad de la información, del Pliego de prescripciones técnicas, en la que se indica lo siguiente: “todos los datos manejados por la empresa contratista a causa de la prestación de los trabajos serán propiedad del Ayuntamiento de Madrid, sin que la empresa contratista pueda utilizarlos con un fin distinto al que figura en el contrato. La empresa contratista quedará obligada al cumplimiento de lo dispuesto en la Ley Orgánica 15/1999, en especial a sus artículos 10 y 12”, y expresamente se desarrollan estos aspectos. También, en la cláusula 3.3.1.- Sistemas de Información y comunicaciones: se detallan aspectos relativos a la confidencialidad, protección de datos y seguridad de la información en la prestación de servicios asociados a la Plataforma Integral. En la cláusula 3.3.11.- Confidencialidad, protección de datos personales y seguridad de la información, del Pliego de prescripciones técnicas, se especifica, entre otros, que entre las obligaciones de los adjudicatarios se encuentran la de incluir en los contratos laborales que suscriban con los trabajadores una cláusula de confidencialidad y deber de secreto. Con objeto de cumplir con este apartado, en el momento en que se hace entrega a cada empleado de sus claves de acceso a los Sistemas de Información, es necesario firmar un compromiso de confidencialidad. Las compañías que realizan los servicios de desarrollo y mantenimiento de los aplicativos, Everis y Parkare, han suscrito sendos documentos Tratamiento de datos personales contenidos en ficheros como encargado de tratamiento y Acuerdo de acceso a datos por cuenta de terceros y confidencialidad en los que se recogen los aspectos contemplados en el artículo 12 de la Ley Orgánica 15/1999 y en el Real Decreto Real Decreto 1720/2007. Por otra parte, en la oferta presentada por la compañía TELEFONICA constan las medidas de seguridad implementadas en el Centro de Proceso de Datos y en el centro de respaldo así como Declaración de confidencialidad y protección de datos, en la que se informa: en caso de que como consecuencia de la provisión del servicio se accediera a datos de carácter personal, cumplirá con las obligaciones que establece la vigente Ley de Protección de Datos de Carácter Personal (…)”. El Ayuntamiento ha elaborado el Documento de Seguridad del Sistema de Información del SER, en cumplimiento de lo dispuesto en el Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999. 8. Procedimiento de identificación y autenticación: Los mecanismos para la identificación de forma inequívoca y personalizada de los usuarios que acceden a la Plataforma Integral de Movilidad, que forman una red C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/14 privada, son los siguientes:  Parquímetros: módulo de identificación del terminal, código del parquímetro y contraseña.  Controladores: código de la PDA, código de la usuario y contraseña.  Empresas: código de usuario y contraseña. Todos los accesos a la Plataforma SER se guardan durante quince días en Sistema de Información “logs”, si bien, a partir de las copias de respaldo se podrían recuperar información de fechas anteriores. 9. La Inspección de Datos ha verificado que en el Sistema de Información de autorizaciones del SER, al que solamente tienen acceso empleados del Ayuntamiento, figura un vehículo cuyo titular es la denunciante. También, se ha verificado que asociado a la citada matrícula constan una relación de tiques, en el periodo comprendido entre el día 1 de enero y el 24 de abril de 2015, con la siguiente información: fecha, hora, código de tique o empresa de móvil, código y denominación del barrio, tarifa: verde o azul, tiempo máximo autorizado, identificativo de la autorización, fecha hora inicio y fin, tiempo pagado, medio pago: “metálico” y “abono-efectivo” (efectivo y prepago), importe pagado, saldo, categoría vehículo y categoría ocupación. Por lo que para la gestión del SER la información que se utiliza y que tratan las empresas es la matrícula y los datos asociados al estacionamiento y que constan en el tique. 10. Por otra parte, proveedores externos, de las empresas concesionarias del SER, han desarrollado aplicativos para el pago de la tasa del SER por medio de aplicativos implementados en terminales móviles. Estas aplicaciones permiten realizar el pago, recibir una alarma cuando se vaya a finalizar el tiempo contratado, extender el tiempo de estacionamiento, recibir una alama si se ha denunciado la matrícula y realizar la anulación de la denuncia. Es decir el terminal móvil funciona como un parquímetro virtual y para ello deberá ponerse en contacto con la Plataforma Integral para conocer la tecnología del vehículo y datos del estacionamiento para calcular la tasa. La información que suministran a la Plataforma Integral es únicamente la denominación de la empresa y el importe junto con los datos del tique, no facilitando información de la tarjeta bancaria ni del titular de la misma. FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.

  1. d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II La LOPD en su artículo 40 reconoce a la AEPD la “ potestad inspectora” y en su apartado 1, recoge: “ Las autoridades de control podrán inspeccionar...” El Reglamento 1720/2007 de 21/12, por el que se aprueba el Reglamento de desarrollo de la LOPD en su artículo 122 prevé:“ 1…., se podrán realizar actuaciones previas con C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/14 objeto de determinar si concurren circunstancias que justifiquen tal iniciación...” y el R. D. 1398/1993, de 4/08, del Reglamento del Procedimiento para el ejercicio de la Potestad Sancionadora en su artículo 12 dispone lo siguiente: “ Con anterioridad a la iniciación del procedimiento, se podrán realizar actuaciones previas de investigación..” De acuerdo con la normativa citada se realizaron las actuaciones previas con el resultado expuesto en el Hecho Segundo, llevándose a cabo inspecciones “presenciales” en las entidades siguientes: - El Ayuntamiento de Madrid; - La UTE DEVAS 1, una de las cuatro adjudicatarias del contrato, integrada por las compañías: Dornier, S.A., Api Movilidad, S.A., Vinci Park Servicios Aparcamientos, S.A., Electronic Trafic, S.A. y Setex Aparki, S.A. - y la PLATAFORMA INTEGRAL MOVILIDAD Madrid, Asociación de Interés Económico -A.I.EIII En primer lugar, señalar que cuestión coincidente a la ahora planteada ya fue analizada por esta Agencia en el procedimiento, E/7336/2014, que dio lugar a la Resolución de 24/09/2015, seguido a APARCAMIENTOS URBANOS, SERVICIOS Y SISTEMA, S.A. –AUSSA- concesionaria del servicio de estacionamiento y al AYUNTAMIENTO DE SEVILLA al denunciar el tratamiento de la matrícula del vehículo sin su consentimiento al obligarle a teclearla en el parquímetro para la obtención del ticket de aparcamiento, operación que, a su juicio, infringe el principio de calidad de datos al ser un tratamiento excesivo y constituir una cesión de sus datos entre AUSSA y el Ayuntamiento de Sevilla. La presente denuncia lleva a deslindar tres cuestiones distintas: - la primera, analizar la cobertura legal de las relaciones jurídicas entre las entidades adjudicatarias e intervinientes en la gestión y funcionamiento del SER y el Ayuntamiento de Madrid; - la segunda, el encaje del “tratamiento” del dato del nº de matrícula del vehículo al teclearse en el parquímetro y; - la tercera, la información del artículo 5 “derecho de Información” de la LOPD previa al tratamiento de los datos y - cuestiones sobre los derechos ARCO, cláusulas de Protección de datos y el documento de seguridad. La LOPD en su art 6, recoge: “2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento.” El tratamiento de datos sin consentimiento de los afectados constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/14 Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre (F. J. 7 primer párrafo) “consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...).” Son pues elementos característicos del derecho fundamental a la protección de datos personales, los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. III Respecto a las “relaciones jurídicas” entre las entidades adjudicatarias y resto de intervinientes en la gestión y funcionamiento del SER, al Ayuntamiento de Madrid le corresponde su gestión, regulación y control en determinadas zonas de la ciudad de Madrid según establece la Ordenanza de Movilidad para la Ciudad de Madrid, de fecha 26/09/2005, modificada por acuerdo del Pleno del Ayuntamiento de fecha 28/052014, para la puesta en marcha del nuevo sistema SER inteligente. Por otra parte, el Pleno del Ayuntamiento, de fecha 25/06/2014, modificó la Ordenanza Fiscal Reguladora de la Tasa por Estacionamiento de Vehículos en determinadas zonas de la Capital, estableciendo la “tasa”, según la tecnología del vehículo, en cinco categorías, A – E y los usuarios, deben facilitar el nº de matrícula de su vehículo, siendo dicho parámetro el elemento esencial para determinar la tarifa dinámica aplicable según el nivel de emisiones. A tal fin el Ayuntamiento convocó un concurso público denominado Contrato integral de movilidad de la ciudad de Madrid, con objeto de adjudicar por procedimiento abierto la gestión de servicios públicos bajo la modalidad de concesión y, entre otras prestaciones, comprendía la gestión, el control y el mantenimiento del SER, siendo adjudicado el 31/10/2013 a cuatro UTEs, según zonas de Madrid, siguientes:  DEVAS 1  DEVAS 2  MSM3  MSM4; (integradas cada una de ellas por las empresas que se relacionan en el apartado 2, del Hecho segundo). Y junto a las UTEs, como quiera que los concursantes debían proponer la arquitectura del sistema, los aplicativos informáticos y los sistemas de Información para cada servicio, se constituyó la Plataforma Integral de Movilidad, bajo la fórmula de Asociación de Interés Económico -A.I.E-. Por otra parte las UTEs, para el desarrollo y mantenimiento de los C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/14 aplicativos y la integración con los sistemas del Ayuntamiento así como la interacción con las aplicaciones del pago por móvil con la Plataforma Integral de Movilidad, subcontrataron la “prestación de servicios” con las empresas EVERIS SPAIN S.L.U. Y PARKARE SERVICIOS S.A. y, asimismo, suscribieron un contrato con la compañía TELEFÓNICA la cual aporta la infraestructura necesaria para alojar las aplicaciones informáticas y las bases de datos que configuran el Sistema de Información de la Plataforma Integral y el Centro de Respaldo. En relación con la subcontratación se encontraba prevista en la cláusula 14, del Pliego de Cláusulas Administrativas Particulares al indicar que “los subcontratistas no tendrán en ningún caso acción directa frente a la Administración contratante por las obligaciones contraídas con ellos por el contratista como consecuencia de la ejecución del contrato principal y de los subcontratos” y las prestaciones accesorias del contrato que se podrían concertar con terceros se detallan en la cláusula 21 del anexo I del citado Pliego como “la recaudación de fondos, suministro energético de equipamientos, campañas informativas, o desarrollo y mantenimiento de sistemas de información y comunicaciones”. Asimismo, la Plataforma Integral proporciona la infraestructura del Centro del Proceso de Datos que se encuentra alojado en la compañía TELEFONICA y es de uso exclusivo del Ayuntamiento, pudiendo la Plataforma también comunicar con el Ayuntamiento a través de su Organismo Autónomo de Informática. La información que consta asociada al vehículo en la Plataforma Integral es la siguiente:  Matrícula.  Fecha primera matriculación (año), masa máxima autorizada, combustible tecnología (gasolina/diésel) y tipo de vehículo (autobús, transporte de mercancías, etc.). Dicha información es necesaria para establecer las tarifas dinámicas según el nivel de emisiones de cada vehículo: clasificación A – E.  Por cada estacionamiento (tique): fecha y hora inicio y final, zona de estacionamiento, medio de pago utilizado (efectivo, tarjeta prepago, tarjeta bancaria, etc.), si ha recibido aviso de denuncia y si éste ha sido anulado. Dicha información se registra en el fichero automatizado denominado “ZONAS ESTACIONAMIENTO REGULADO”, cuyo responsable es la Dirección General de Sostenibilidad y Planificación de la Movilidad del Ayuntamiento, inscrito en el Registro General de Protección de Datos y el nivel de seguridad a implementar es el básico. Finalmente en la Plataforma Integral se registran las denominadas autorizaciones del SER, que corresponden a vehículos de residentes que han sido autorizados a estacionar en la zona, así como comerciantes, talleres y otros. IV Respecto al acceso y tratamiento de los datos de los afectados por entidades ajenas al Ayuntamiento de Madrid responsable de los mismos, la LOPD en su artículo 12 “Acceso a los datos por cuenta de terceros”, recoge: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/14 1. No se considerará comunicación de datos el acceso de un tercero a los datos cuando dicho acceso sea necesario para la prestación de un servicio al responsable del tratamiento. 2. La realización de tratamientos por cuenta de terceros deberá estar regulada en un contrato que deberá constar por escrito o en alguna otra forma que permita acreditar su celebración y contenido, estableciéndose expresamente que el encargado del tratamiento únicamente tratará los datos conforme a las instrucciones del responsable del tratamiento, que no los aplicará o utilizará con fin distinto al que figure en dicho contrato, ni los comunicará, ni siquiera para su conservación, a otras personas. En el contrato se estipularán, asimismo, las medidas de seguridad a que se refiere el artículo 9 de esta Ley que el encargado del tratamiento está obligado a implementar. 3. Una vez cumplida la prestación contractual, los datos de carácter personal deberán ser destruidos o devueltos al responsable del tratamiento, al igual que cualquier soporte o documentos en que conste algún dato de carácter personal objeto del tratamiento.” Pliego de cláusulas administrativas regulador del contrato de adjudicación del servicio en el capítulo III, Derechos y obligaciones del contratista. Sección cuarta. De la confidencialidad y de la protección de datos se establecen aspectos de la LOPD y de su normativa de desarrollo que deberán ser respetados. Entre las obligaciones comunes a todos los servicios incluidos en el contrato, se encuentran las descritas en la cláusula 3.3.11.- Confidencialidad, protección de datos personales y seguridad de la información, del Pliego de prescripciones técnicas, en la que se indica lo siguiente: “todos los datos manejados por la empresa contratista a causa de la prestación de los trabajos serán propiedad del Ayuntamiento de Madrid, sin que la empresa contratista pueda utilizarlos con un fin distinto al que figura en el contrato. La empresa contratista quedará obligada al cumplimiento de lo dispuesto en la Ley Orgánica 15/1999, en especial a sus artículos 10 y 12”, y expresamente se desarrollan estos aspectos. También, en la cláusula 3.3.1.- Sistemas de Información y comunicaciones: se detallan aspectos relativos a la confidencialidad, protección de datos y seguridad de la información en la prestación de servicios asociados a la Plataforma Integral. Y en la cláusula 3.3.11.- Confidencialidad, protección de datos personales y seguridad de la información, del Pliego de prescripciones técnicas, se especifica, entre otros, que entre las obligaciones de los adjudicatarios se encuentran la de incluir en los contratos laborales que suscriban con los trabajadores una cláusula de confidencialidad y deber de secreto. Con objeto de cumplir con este apartado, en el momento en que se hace entrega a cada empleado de sus claves de acceso a los Sistemas de Información, es necesario firmar un compromiso de confidencialidad. Sobre las compañías que realizan los servicios de desarrollo y mantenimiento de los aplicativos, EVERIS y PARKARE, han suscrito sendos documentos Tratamiento de datos personales contenidos en ficheros como encargado de tratamiento y Acuerdo de acceso a datos por cuenta de terceros y confidencialidad en los que se recogen los aspectos contemplados en el artículo 12 de la Ley Orgánica 15/1999 y en el Real Decreto Real Decreto 1720/2007. Por otra parte, en la oferta presentada por la compañía TELEFONICA constan las medidas de seguridad implementadas en el Centro de Proceso de Datos y en el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/14 centro de respaldo así como Declaración de confidencialidad y protección de datos, en la que se informa: en caso de que como consecuencia de la provisión del servicio se accediera a datos de carácter personal, cumplirá con las obligaciones que establece la vigente Ley de Protección de Datos de Carácter Personal (…)”. Finalmente, el Ayuntamiento ha aportado el “Documento de Seguridad” del Sistema de Información del SER, en cumplimiento de lo dispuesto en el Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999. V Con respecto al procedimiento para la gestión del SER, los usuarios que no sean residentes autorizados deberán introducir el nº de la matrícula de su vehículo en el parquímetro que se encuentra conectado a la Plataforma Integral, que accede de forma automática al Registro de Vehículos de la DGT con objeto de conocer la tecnología del vehículo y la fecha de matriculación a los efectos de repercusión en la tasa. Clasificado el vehículo, se registra la información en la Plataforma Integral para aplicar la tarifa de la tasa en los sucesivos estacionamientos y si en el periodo de cinco años el vehículo no realiza estacionamientos en la zona SER se cancela la información asociada a la matrícula. El controlador, en disposición de la aplicación informática implementada en la PDA, comprueba si la matrícula tiene autorización de estacionamiento, en caso de que se encuentre en situación irregular se procede a emitir un boletín de denuncia, el cual una vez validado se remite al Ayuntamiento para su tramitación. También, las empresas adjudicatarias disponen de vehículos, coches y motos, que circulan por las zonas del SER captando exclusivamente la matrícula, ubicada en la parte trasera de los vehículos estacionados, para comprobar sí el vehículo tiene autorización para el estacionamiento y, en caso contrario, remite la matrícula a la PDA del controlador de la zona para su revisión. En lo concerniente al encaje jurídico del “tratamiento” del nº de la matrícula del vehículo al ser tecleado en el parquímetro, el artículo 3 de la LOPD, define: “A los efectos de la presente Ley Orgánica se entenderá por
  2. a)Datos de carácter personal: Cualquier información concerniente a personas físicas identificadas o identificables”.
  3. c)Tratamiento de datos: Operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias. Delimitada la cuestión al “tratamiento” de la matrícula del vehículo para la gestión del estacionamiento de vehículos y expedición del ticket por el parquímetro lleva a analizar desde el punto de vista legal si la matrícula del vehículo tiene la consideración C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/14 de dato de carácter personal sin asociarlo a otro dato que identifique al titular del vehículo de acuerdo a la doctrina de la Audiencia Nacional, ya que el hecho cierto es que es el único dato que figura en el ticket. La Sentencia de la Audiencia Nacional de 26/12/2013, recurso 00089/2012, en su Fundamento de derecho cuarto es del tenor siguiente: “ de un lado ha de ponerse de manifiesto que si bien esta Sala …de conformidad con los artículos 3.a de la LOPD y 5.1.
  4. f)del Real decreto 1720/2007 , y también que tales imágenes constituyen, en si mismas consideradas, un tratamiento de datos con sometimiento, por ende, a las previsiones de la LOPD, ello ha de entenderse referido siempre a imágenes de personas y no imágenes de placas o números de matrícula cuya caracterización como dato de carácter personal, a pesar de lo argumentado en el resolución , no se comparte por esta Sala, pues en definitiva un número de placa de matrícula, si bien identifica un vehículo en ningún caso identifica a una persona, ya que el conductor del vehículo ni siquiera tiene porqué ser titular del mismo, es decir, aquél a cuyo nombre figura dicho vehículo en el DGT” . Es decir, las empresas adjudicatarias del SER gestionan la información que le facilita el usuario del parquímetro de acuerdo a las indicaciones del Ayuntamiento sin que pueda considerarse un “tratamiento” de datos de carácter personal al no gozar la matrícula de dicho carácter. Tampoco como se invoca, puede considerarse una obligación excesiva, dado que la comunicación de la matrícula prevista legalmente es necesaria para determinar el importe de la tarificación y sin que esté previsto ni se pruebe su utilización como procedimiento de localización. V El Artículo 5 de la LOPD, establece: “1. Los interesados a los que se soliciten datos personales deberán ser previamente informados de modo expreso, preciso e inequívoco:
  5. a)De la existencia de un fichero o tratamiento de datos de carácter personal, de la finalidad de la recogida de éstos y de los destinatarios de la información.
  6. b)Del carácter obligatorio o facultativo de su respuesta a las preguntas que les sean planteadas.
  7. c)De las consecuencias de la obtención de los datos o de la negativa a suministrarlos.
  8. d)De la posibilidad de ejercitar los derechos de acceso, rectificación, cancelación y oposición.
  9. e)De la identidad y dirección del responsable del tratamiento o, en su caso, de su representante… 4. Cuando los datos de carácter personal no hayan sido recabados del interesado, éste deberá ser informado de forma expresa, precisa e inequívoca, por el responsable del fichero o su representante, dentro de los tres meses siguientes al momento del registro de los datos, salvo que ya hubiera sido informado con anterioridad, del contenido del tratamiento, de la procedencia de los datos, así como de lo previsto en las letras a),
  10. d)y
  11. e)del apartado 1 del presente artículo. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/14 Respecto a la necesidad de la información del trascrito artículo 5 consecuentemente con lo expuesto no es preceptiva en el ticket expendido por el parquímetro y tampoco en el boletín de denuncia en el que consta: fecha y hora, lugar de la infracción, vehículo y matrícula, descripción del hecho denunciado, precepto infringido, importe y código de controlador, si bien, no es obligatorio la generación del boletín por parte del controlador. No obstante, en el supuesto de infracción y que el Ayuntamiento acuerde el Inicio de Procedimiento Sancionador con la propuesta de multa, el Acuerdo cumple con las prescripciones comprendidas en el trascrito artículo 5 ylo previsto en el apartado 4 de dicho precepto. Respecto a la tramitación de los derechos ARCO se encuentra centralizada en el Servicio de Protección de Datos de la Dirección General de Calidad y Atención al Ciudadano del Ayuntamiento y la solicitud, tramitación y resolución de dichos derechos se encuentra publicado y puede ser consultado en la página web de la Corporación Local <www.madrid.es>, protección de datos, detallándose: requisitos, cómo realizar el trámite y documentación, así como los formularios correspondientes. VI El Ayuntamiento dispone de mecanismos para la identificación de forma inequívoca y personalizada de los usuarios que acceden a la Plataforma Integral de Movilidad que forman una red privada, siguientes:  Parquímetros: módulo de identificación del terminal, código del parquímetro y contraseña.  Controladores: código de la PDA, código de la usuario y contraseña.  Empresas: código de usuario y contraseña. Todos los accesos a la Plataforma SER se guardan durante quince días en Sistema de Información “logs”, si bien, a partir de las copias de respaldo se podrían recuperar información de fechas anteriores. En lo concerniente a los datos de la denunciante, la Inspección de Datos verificó que en el sistema de Información de autorizaciones del SER, al que solamente tienen acceso empleados del Ayuntamiento, figura un vehículo cuyo titular es la denunciante. También, asociado a su matrícula figura información de diversos tipos emitida por el parquímetro en zonas SER, por lo que para su gestión la información que se utiliza y que tratan las empresas es la matrícula y los datos asociados al estacionamiento que constan en el tique. Finalmente, se constató en la inspección que para el pago de la tasa del SER por medio de aplicativos implementados en terminales móviles, éstas aplicaciones permiten realizar el pago, recibir una alarma cuando se vaya a finalizar el tiempo contratado, extender el tiempo de estacionamiento, recibir una alama si se ha denunciado la matrícula y realizar la anulación de la denuncia, es decir el terminal móvil funciona como un parquímetro virtual y para ello deberá ponerse en contacto con la Plataforma Integral para conocer la tecnología del vehículo y datos del estacionamiento para calcular la tasa. La información que suministran a la Plataforma Integral es C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/14 únicamente la denominación de la empresa y el importe junto con los datos del tique, no facilitando información de la tarjeta bancaria ni del titular de la misma. Por lo tanto, de acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA:  PROCEDER AL ARCHIVO de las presentes actuaciones.  NOTIFICAR la presente Resolución al A.A.A.. y a Dª., D.D.D. . De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Sin embargo, el responsable del fichero de titularidad pública, de acuerdo con el artículo 44.1 de la citada LJCA, sólo podrá interponer directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la LJCA, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.