E-06899-2013

1/4 Expediente Nº: E/06899/2013 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES Examinado el escrito presentado por el AYUNTAMIENTO DE HUELVA relativo a la ejecución del requerimiento de la resolución de referencia R/02653/2013 dictada por el Director de la Agencia Española de Protección de Datos en el procedimiento de apercibimiento AP/00027/2013, seguido en su contra, y en virtud de los siguientes ANTECEDENTES DE HECHO PRIMERO: En esta Agencia Española de Protección de Datos se tramitó el procedimiento de apercibimiento de referencia AP/00027/2013, a instancia de Doña A.A.A., con Resolución del Director de la Agencia Española de Protección de Datos por infracción del artículo 4.3 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de los Datos de Carácter Personal (en lo sucesivo LOPD). Dicho procedimiento concluyó mediante resolución R/02653/2013, de fecha 14 de noviembre de 2013 por la que se resolvía “REQUERIR a AYUNTAMIENTO DE HUELVA para que, de acuerdo con lo establecido en el apartado 6 del artículo 45 de la LOPD, acredite en el plazo de un mes desde este acto de notificación, las medidas de orden interno que impidan que en el futuro pueda producirse una , debiéndolo acreditarlo ante esta Agencia en el plazo de UN MES, para lo que se abre expediente de actuaciones previas E/06899/2013, advirtiéndole que en caso contrario se procederá a acordar la apertura de un procedimiento sancionador.” Con objeto de realizar el seguimiento de las medidas a adoptar el Director de la Agencia Española de Protección de Datos insto a la Subdirección General de Inspección de Datos la apertura del expediente de actuaciones previas de referencia E/06899/

1. SEGUNDO: Con motivo de lo instado en la resolución, el denunciado remitió a esta Agencia con fecha de entrada 30 de enero de 2014, escrito en el que informaba a esta Agencia en los siguientes términos: “Que desde el Área de Nuevas tecnologías, se está concluyendo en la actualidad la depuración de los datos del Censo de Contribuyentes o Base de Territorio. En tal sentido, por dicho departamento, se han adoptado las siguientes medidas:
2. Toma de control técnico de la recaudación por parte del Ayuntamiento, tanto en los datos y aplicaciones como en los usuarios que los manejan (progresivo desde marzo 2012, total desde julio). Con anterioridad el servicio de recaudación se prestaba con la colaboración de empresas externas sin que el apoyo del propio Ayuntamiento tuviese el control de calidad de los datos.
3. La sucesión de empresas colaboradoras y de distintas aplicaciones informáticas dio lugar en su momento a que se necesitasen migraciones masivas, que siempre son fuente de muchos problemas. Para evitarlo se a estabilizado el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/4 servicio de recaudación desempeñándose las funciones con personal propio del Ayuntamiento y con una aplicación informática integrada para la gestión y recaudación de los ingresos.
4. Se ha llevado a cabo el Proceso de depuración de la base de datos de terceros, incluyendo: a. Detección y corrección de NIF erróneos. b. Detección y corrección de NIF repetidos. c. Detección y corrección de NIF ficticios. d. Cruce de datos con el censo de contribuyentes de la AEAT.
5. Se ha solicitado a la empresa informática Sage una mejora del control del NIF que la aplicación realiza en el alta de contribuyentes.
6. Que por parte del personal del Área de ingresos se están realizando tareas de depuración en horario extraordinario habiéndose procedido a la regularización masiva de registros”. FUNDAMENTOS DE DERECHO I Es competente para resolver el Director de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.d) en relación con el artículo 36, ambos de la LOPD. II El artículo el artículo 6.1 de la LOPD dispone que “El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa”. El apartado 2 del mencionado artículo contiene una serie de excepciones a la regla general contenida en el 6.1 estableciendo que: “No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias.” El tratamiento de datos sin consentimiento de los afectados constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre (F. J. 7 primer párrafo) “consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...).” Son pues elementos característicos del derecho fundamental a la protección de datos personales, los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. III C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/4 La LOPD además de sentar el anterior principio de consentimiento, regula en su artículo 4 el principio de calidad de datos. Los apartados 2, 3 y 4 del citado artículo 4, dispone:
7. “Los datos de carácter personal objeto de tratamiento no podrán usarse para finalidades incompatibles con aquellas para las que los datos hubieran sido recogidos. No se considerará incompatible el tratamiento posterior de éstos con fines históricos, estadísticos o científicos.
8. Los datos de carácter personal serán exactos y puestos al día de forma que respondan con veracidad a la situación actual del afectado
9. Si los datos de carácter personal registrados resultaran ser inexactos, en todo o en parte, o incompletos, serán cancelados y sustituidos de oficio por los correspondientes datos rectificados o completados, sin perjuicio de las facultades que a los afectados reconoce el artículo 16”.”. Las “finalidades” a las que alude este apartado 2 han de ligarse o conectarse siempre con el principio de pertinencia o limitación en la recogida de datos regulado en el artículo 4.1 de la misma Ley. Conforme a dicho precepto los datos sólo podrán tratarse cuando “sean adecuados, pertinentes y no excesivos en relación con el ámbito y las finalidades determinadas, explícitas y legítimas para las que se hayan obtenido.” En consecuencia, si el tratamiento del dato ha de ser “pertinente” al fin perseguido y la finalidad ha de estar “determinada”, difícilmente se puede encontrar un uso del dato para una finalidad “distinta” sin incurrir en la prohibición del artículo 4.2 aunque emplee el término “incompatible”. De lo expuesto cabe concluir que la vigente LOPD ha acentuado las garantías precisas para el tratamiento de los datos personales en lo relativo a los requisitos del consentimiento, de la información previa a éste y de las finalidades para las que los datos pueden ser recabados y tratados. En definitiva, los datos no pueden ser tratados para fines distintos a los que motivaron su recogida, pues esto supondría un nuevo uso que requiere el consentimiento del interesado, ni pueden tratarse datos personales que no cumplan el principio de exactitud, actualización y veracidad, también recogido en el artículo 4 de la LOPD. IV En supuesto presente, del examen de las medidas adoptadas por el AYUNTAMIENTO DE HUELVA, se constata que las medidas adoptadas por la Tesorería del citado ayuntamiento y por el Área de Nuevas Tecnologías del mismo reúnen los requisitos anteriormente descritos. Por lo tanto, de acuerdo con lo señalado, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/4 Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA:
10. PROCEDER AL ARCHIVO de las presentes actuaciones.
11. NOTIFICAR la presente Resolución al AYUNTAMIENTO DE HUELVA, y a Doña A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa (en lo sucesivo LJCA), en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Sin embargo, el responsable del fichero de titularidad pública, de acuerdo con el artículo 44.1 de la citada LJCA, sólo podrá interponer directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la LJCA, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es