1/5 Expediente Nº: E/07264/2013 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante el AYUNTAMIENTO DE MADRID en virtud de denuncia presentada por A.A.A. y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 18 de septiembre de 2013, tuvo entrada en esta Agencia escrito de Dª. . A.A.A. (en lo sucesivo la denunciante) en el que expone que con fecha 17 de septiembre de 2013, su madre recibe carta del Ayuntamiento de Madrid, en la que le comunican que debe cofinanciar la grúa para su movilidad que le fue facilitada en sus días. En dicha carta manifiestan que se ha de autorizar a la UTE concesionaria del servicio para que consulte sus datos tributarios, para el cálculo de su aportación, así como el código de cuenta bancaria. Asimismo, manifiestan no haber sido informada de la cesión de los datos recogidos para la concesión de la grúa, a la UTE. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: 1. Con fecha 13 de julio de 2014, se recibe en esta Agencia escrito del Ayuntamiento de Madrid, con el que adjunta copia del contrato existente entre el Ayuntamiento de Madrid y la UTE Fundosa Accesibilidad y Gestión Integral de la Dependencia, así como copia del Pliego de Condiciones, en los que consta, entre otros, lo siguiente: 1.1. Los pliegos de cláusulas administrativas particulares y de prescripciones técnicas de este contrato administrativo especial titulado” Gestión integral y productos de apoyo para las personas mayores” fueron aprobados por Real Decreto de la Delegada del Área de Gobierno de Familia y Servicios Sociales de fecha 24 de abril de 2013, para su adjudicación por procedimiento abierto y tramitación urgente. 1.2. La adjudicación del contrato se acordó mediante Decreto de la Delegada del Área de Gobierno de Familia, Servicios Sociales y Participación Ciudadana de fecha 6 de agosto de 2013. 1.3 Según consta en el Pliego de Condiciones, el objeto del contrato es la gestión integral de los siguientes productos de apoyo propiedad del Ayuntamiento de Madrid: 1.1.1.173 camas articuladas 1.1.2.121 grúas En dicha gestión se encuentran incluidas: custodia, instalación, retirada, traslado, mantenimiento limpieza, reparación y sustitución. 1,4 Asimismo, en la Sección Cuarta de dicho Pliego: De la Confidencialidad y protección de datos de carácter personal figura: 1.4.1 Cláusula 33 Deber de Confidencialidad El Contratista deberá respetar el carácter confidencial de aquella información a la que tenga acceso con ocasión de la ejecución del contrato….o de la que por su propia naturaleza deba ser tratada como tal. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/5 1.4.2. Cláusula 34 Protección de Datos de carácter personal La empresa adjudicataria y su personal están obligados a guardar secreto profesional respecto de los datos de carácter personal a los que haya podido tener conocimiento por razón de la prestación del contrato. ..Si el contrato adjudicado implica tratamiento de datos de carácter personal se deberá respetar en su integridad la Ley Orgánica 15/111, de 13 de diciembre, de Protección de Datos de Carácter Personal y su normativa de desarrollo. 1.5. Asimismo, en el Pliego de Condiciones Técnicas, en su apartado 2.1.2 Valoración e Idoneidad del Servicio, consta, entre otros: 1.5.1 Tras la valoración realizada por el Ayuntamiento de Madrid, éste remitirá a la entidad adjudicataria la información necesaria para que pueda contactar con la persona que solicita el servicio y acordar visita al domicilio. 1.5.2 …La entidad propondrá en su proyecto los informes los informes y documentos de valoración del usuario y su entorno. En todo caso, el Ayuntamiento decidirá finalmente el contenido de los mismos. 1.6 El citado Pliego en su apartado 2.5. Confidencialidad, Protección de Datos personales y seguridad de la información, dice, entre otros: 1.6.1….La empresa adjudicataria se obliga a los siguiente: Deberá guardar la debida confidencialidad y secreto sobre los hechos, informaciones, conocimientos, documentos y otros elementos a los que tenga acceso con motivo de la prestación del servicio, sin que pueda conservar copia o utilizarlos para cualquier finalidad distinta de las expresamente recogidas en el presente pliego….Igualmente deberá informar a sus empleados de que sólo pueden tratar información del Ayuntamiento para cumplir los servicios objeto de este Pliego….. Asimismo, deberá incluir una cláusula de confidencialidad y secreto en los contratos laborales que suscriba con los trabajadores…… 2. En el apartado 4º del Pliego de Condiciones técnicas, consta que: 2.1 Únicamente tratara los datos personales a los que tenga acceso para la prestación del contrato conforme al contenido del pliego y a las instrucciones que el Órgano de contratación le pueda especificar en concreto y que se incluirían en una Adenda al presente contrato. No obstante no consta ninguna Adenda con especificaciones. FUNDAMENTOS DE DERECHO I Es competente para resolver el Director de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.
- d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/5 II En el presente caso, se denuncia la cesión de los datos al haber recibido la una carta del Ayuntamiento de Madrid en la que se comunica a la madre de la denunciante que para determinar el importe la cofinanciación de una grúa de movilidad facilitada se tiene que autorizar a la UTE concesionaria del servicio a que consulte sus datos tributarios para el cálculo de la aportación y el nº de c/c bancaria. La LOPD en su artículo 6, recoge: “2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento;..” El Ayuntamiento de Madrid ejerce una función propia al serle solicitada para la madre de la denunciante una grúa de movilidad y, por otra parte la solicitud de la prestación comporta el establecimiento entre las partes de una relación contractual que, en principio, exime al Ayuntamiento del consentimiento para el tratamiento de sus datos tributarios y financieros. El artículo 11 de la LOPD, dispone: “ 2. El consentimiento exigido en el apartado anterior no será preciso:
- a)Cuando la cesión está autorizada en una Ley.
- c)Cuando el tratamiento responda a la libre y legítima aceptación de una relación jurídica cuyo desarrollo, cumplimiento y control implique necesariamente la conexión de dicho tratamiento con ficheros de terceros. En este caso la comunicación sólo será legítima en cuanto se limite a la finalidad que la justifique. Y el artículo 12, regula el “acceso a los datos por cuenta” de un tercero al establecer: “1. No se considerará comunicación de datos el acceso de un tercero a los datos cuando dicho acceso sea necesario para la prestación de un servicio al responsable del tratamiento. 2. La realización de tratamientos por cuenta de terceros deberá estar regulada en un contrato que deberá constar por escrito o en alguna otra forma que permita acreditar su celebración y contenido, estableciéndose expresamente que el encargado del tratamiento únicamente tratará los datos conforme a las instrucciones del responsable del tratamiento, que no los aplicará o utilizará con fin distinto al que figure en dicho contrato, ni los comunicará, ni siquiera para su conservación, a otras personas. En el contrato se estipularán, asimismo, las medidas de seguridad a que se refiere el artículo 9 de esta Ley que el encargado del tratamiento está obligado a implementar. 3. Una vez cumplida la prestación contractual, los datos de carácter personal deberán ser destruidos o devueltos al responsable del tratamiento, al igual que cualquier C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/5 soporte o documentos en que conste algún dato de carácter personal objeto del tratamiento”. En la inspección documental realizada al Ayuntamiento de Madrid, la Dirección General de Mayores y Atención Social ha acreditado la suscripción de un contrato de prestación de servicios entre el Ayuntamiento y la UTE “Fundosa Accesibilidad y Gestión Integral de la Dependencia” de fecha 24 de abril de 2014, en el que el Pliego de Condiciones, sección cuarta, consta:
- a)Clausula 33 de “Confidencialidad”; y Cláusula 34 “Protección de Datos de Carácter”. Por su parte, el Pliego de Condiciones Técnicas consta que “Tras la valoración realizada por el Ayuntamiento de Madrid, éste remitirá a la entidad adjudicataria la información necesaria para que pueda contactar con la persona que solicita el servicio y acordar visita al domicilio” y en su apartado 2.5. Confidencialidad, Protección de Datos personales y seguridad de la información, dice: “La empresa adjudicataria se obliga a los siguiente: - Deberá guardar la debida confidencialidad y secreto sobre los hechos, informaciones, conocimientos, documentos y otros elementos a los que tenga acceso con motivo de la prestación del servicio, sin que pueda conservar copia o utilizarlos para cualquier finalidad distinta de las expresamente recogidas en el presente pliego….Igualmente deberá informar a sus empleados de que sólo pueden tratar información del Ayuntamiento para cumplir los servicios objeto de este Pliego….. Asimismo, deberá incluir una cláusula de confidencialidad y secreto en los contratos laborales que suscriba con los trabajadores…” Asimismo prevé que “ Únicamente tratara los datos personales a los que tenga acceso para la prestación del contrato conforme al contenido del pliego y a las instrucciones que el Órgano de contratación le pueda especificar en concreto …”, sin que conste se haya producido irregularidad derivada de dicha omisión. Por lo tanto, de acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA: PROCEDER AL ARCHIVO de las presentes actuaciones. NOTIFICAR la presente Resolución al AYUNTAMIENTO DE MADRID y a A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/5 potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Sin embargo, el responsable del fichero de titularidad pública, de acuerdo con el artículo 44.1 de la citada LJCA, sólo podrá interponer directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la LJCA, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es