E-07614-2013

1/7 Expediente Nº: E/07614/2013 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante el AYUNTAMIENTO DE CALATAYUD en virtud de denuncia presentada por D. A.A.A. y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 31 de octubre de 2013, tuvo entrada en esta Agencia escrito de D. A.A.A. (en lo sucesivo el denunciante) en el que se pone denuncia que, con fecha 2 de mayo de 2013, el denunciante ha detectado que el AYUNTAMIENTO DE CALATAYUD ha instalado en el ordenador de trabajo, utilizado colectivamente en el ámbito de la policía local y los sindicatos, algún programa que copiaba automáticamente la información contenida en los pendrives que se introducían en el puerto USB del ordenador, ya que cada usuario, Policía, suele utilizar un pendrive al ser un ordenador colectivo, estando conectado en red a un servidor controlado por el departamento de Informática, quedando la copia registrada en la carpeta: ***CARPETA.1. Por este motivo interpuso una denuncia ante la Policía Nacional y la Unidad de Delitos Informáticos de Zaragoza, que incautó el disco duro del ordenador. En relación con estas manifestaciones no se ha aportado ningún documento acreditativo ya que el denunciante manifiesta que tiene constancia que la carpeta mencionada ha sido borrada Por otra parte manifiesta que en el sótano al que puede acceder cualquier persona, existe un archivador abierto con documentos que contienen datos personales y aporta fotografías de la ubicación del archivador y de su contenido. Asimismo manifiesta, y aporta fotografía al respecto, que en el lugar donde se encuentra la fotocopiadora general existe una cámara de videovigilancia. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: 1. Con fecha 10 de enero de 2014 se solicita información al denunciante respecto de la investigación realizada por la Unidad de Delitos Informáticos sobre el disco duro incautado por la Policía. En su escrito de contestación, de fecha de registro de entrada 23 de enero de 2014 consta: El denunciante manifiesta que con motivo de la presentación a un juicio contra el Ayuntamiento de Calatayud se menciona que en el pendrive copiado constaban los correos electrónicos intercambiados con el abogado del Sindicato Policial Independiente CSL-CIPOL con representación en el Ayuntamiento del cual es representante sindical y copia del parte médico de baja laboral. Asimismo manifiesta que en el libro de actas de Servicio de la Policía Local, en fecha 7 de mayo de 2013, en horario de mañana se certifica que la Policía Judicial ha incautado el disco duro del ordenador, no obstante, no tiene conocimiento de las actuaciones C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/7 realizadas por la Policía Judicial. Por otra parte desde que se realizó la denuncia hasta el momento en que la Policía Judicial incautó el disco duro del ordenador pasaron unos días durante los cuales el personal informático del Ayuntamiento intervino en el ordenador 2. El Ayuntamiento de Calatayud dispone de una red local conectada a un servidor y entre los ordenadores conectados, uno de ellos se encuentra ubicado en el Centro de Control de la Policía Local ubicado en el propio Ayuntamiento. El Centro de Control tiene asignado un Policía Local en cada turno de trabajo que es la persona que utiliza el ordenador instalado, no obstante, en algunas ocasiones cualquier Policía Local puede utilizarlo. Con fecha 28 de junio de 2013, el Ayuntamiento procedió a cambiar el servidor y aportan copia de la factura de adquisición del nuevo servidor. 3. Respecto de las copias de seguridad, el Ayuntamiento manifiesta que se realiza una copia y una réplica diariamente. Las copias se realizan de las carpetas del disco duro en la que se almacena la información relativa al Ayuntamiento en carpetas generales del Departamento. Si los empleados lo han solicitado, y sólo en ese caso, también se realiza copia de las carpetas personales. La copia de las carpetas seleccionadas se queda almacenada en el Servidor y la réplica en otro servidor ubicado en un local diferente de la sede del Ayuntamiento. La réplica se mantiene tres días y la copia un mes. Asimismo, se realiza una copia del contenido del servidor que se mantiene tres meses. 4. Respecto de la denuncia interpuesta por el denunciante en la que pone de manifiesto la existencia de un programa que, al introducir un pendrive, inmediatamente realiza una copia de seguridad en la carpeta ***CARPETA.1, los representantes del Ayuntamiento manifiestan que:  El denunciado era oficial de la Policía Local del Ayuntamiento y no ha puesto en conocimiento de este Consistorio los hechos denunciados, no obstante, tuvieron conocimiento de los mismos a través de la Prensa que se hizo eco de una denuncia interpuesta por el denunciado ante el Cuerpo Nacional de Policía.  Con fecha 7 de mayo de 2013, la Unidad de Delitos Informáticos de la Policía Nacional procedió a la retirada del disco duro del ordenador ubicado en el Centro de Control por la denuncia citada. Desde esta fecha no han tenido conocimiento de las actuaciones realizadas por la Policía Nacional y tampoco se les ha solicitado ninguna información al respecto.  No tienen conocimiento de que en ningún momento se haya instalado en el ordenador del Centro de Control, o de cualquier otro, un programa informático que realice una copia de todos los contenidos del disco duro o de un pendrive. 5. A este respecto se ha verificado la existencia de un ordenador conectado en red a un servidor ubicado en el Centro de Control de la Policía Local.  No se ha obtenido constancia de la existencia de la carpeta ***CARPETA.1 en el servidor.  No se ha obtenido constancia de la existencia de la carpeta ***CARPETA.1 C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/7 en el disco duro del ordenador.  Asimismo se comprueba la existencia de una carpeta denominada VCP con información policial exclusivamente.  No hay constancia de que al introducir un pendrive con documentos en el puerto USB del ordenador se realice una copia en el disco duro de forma automática. 6. Respecto de los procedimientos judiciales en los que el denunciado haya formado parte y en los que se hace alusión a información contenida en un pendrive del denunciante en relación con correos electrónicos intercambiados con el Sindicato y donde se aporta parte médico de baja laboral, el Ayuntamiento manifiesta que desconocen dicha circunstancia, no obstante, se procede a realizar una búsqueda de los justificantes a nombre del denunciante con posterioridad al 1 de mayo de 2013, encontrando una única Certificación de Asistencia, que aportan, en la cual el denunciante ha comparecido ante el juzgado de Primera Instancia e Instrucción número 2 de Calatayud en fecha 4 de junio de 2013. A este respecto, hay constancia de una Cédula de Citación a dicho Juzgado en el que se adjunta la copia de las declaraciones realizadas en el Atestado 1249/13 por parte del denunciante y otro Policía Local correspondientes a una denuncia presentada por ellos mismos relacionada con un incidente en el cual participaron en su calidad de Policía Local. Asimismo, se aporta un Informe del Servicio Nacional de Urgencia a nombre del denunciante sobre las lesiones provocadas en dicho incidente. 7. Respecto de la cámara ubicada en el lugar donde se encuentra la fotocopiadora general, se ha verificado que se trata de una cámara fija que enfoca al pasillo que da acceso al archivo y a los calabozos, no obstante, no hay ninguna fotocopiadora. A este respecto el Ayuntamiento manifiesta que la cámara tiene la finalidad de controlar el acceso a los calabozos y que únicamente personal del Ayuntamiento accede a dicho pasillo. Además, manifiesta que la fotocopiadora allí ubicada ha sido desechada y la nueva fotocopiadora se ha instalado en otras dependencias del Ayuntamiento, aportando copia de la factura de adquisición de la nueva fotocopiadora realizada en abril de 2014. Se ha verificado que para para visualizar las imágenes recogidas por la citada cámara es necesario autenticarse y se ha comprobado que la distancia visual no permitiría identificar un documento, ya que ésta no cuenta con zoom. El Ayuntamiento manifiesta que al monitor donde se muestran dichas imágenes sólo tiene acceso el Jefe de la Policía Local. 8. Respecto del archivador ubicado en el sótano del edifico del Ayuntamiento, al lado de un baño, al que tiene acceso todo tipo de personal del Ayuntamiento se verifica que en dicho sótano se están realizando obras ya que acoge, entre otras dependencias, el archivo del Ayuntamiento y el baño al que se refiere en la denuncia ya no existe. Se verifica que el archivador se encuentra en el pasillo cerca de los calabozos hasta la finalización de la obra y su ubicación definitiva dentro del archivo. Se comprueba que en el archivador figuran diferentes fichas, las cuales, según manifiesta el Ayuntamiento corresponden con fichas padronales antiguas y se verifica que el acceso al Archivo es restringido al personal que trabaja en el Ayuntamiento y existen cámaras de seguridad en la zona de acceso al mismo. 9. Se ha verificado que en el Libro de Actas de la Policía Local consta registrada una C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/7 anotación en fecha 7 de mayo de 2013 en relación con la recogida del disco duro por parte de la Unidad de Delitos Tecnológicos de la Policía Judicial de Calatayud. FUNDAMENTOS DE DERECHO I Es competente para resolver el Director de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.

1. d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II En el presente caso, se realizaron diligencias previas consistente, en primer lugar requerir información del denunciante sobre los hechos denunciados y, en segundo lugar llevar a cabo una inspección “in situ” en el Ayuntamiento de Calatayud a fin de comprobar la exactitud de los hechos denunciados por el denunciante. La LOPD en su artículo 40 reconoce a la AEPD la “ potestad inspectora” y en su apartado 1, recoge: “ Las autoridades de control podrán inspeccionar...” El Reglamento 1720/2007 de 21/12, por el que se aprueba el Reglamento de desarrollo de la LOPD en su artículo 122 prevé:“ 1…., se podrán realizar actuaciones previas con objeto de determinar si concurren circunstancias que justifiquen tal iniciación...” y el R. D. 1398/1993, de 4/08, del Reglamento del Procedimiento para el ejercicio de la Potestad Sancionadora en su artículo 12 dispone lo siguiente: “ Con anterioridad a la iniciación del procedimiento, se podrán realizar actuaciones previas de investigación..” La normativa citada atribuye al Director de la Agencia Española de Protección de Datos -AEPD- determinar si, a la vista de la denuncia formulada y de los elementos aportados en justificación de la misma, concurre causa justificativa que lleve a la realización de actuaciones previas de inspección, de suerte que en el presente caso, se realizaron dichas actuaciones previas con el resultado expuesto en el Hecho Segundo. III La LOPD en su Artículo 9, dispone: “1. El responsable del fichero, y, en su caso, el encargado del tratamiento, deberán adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten su alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural. 2. No se registrarán datos de carácter personal en ficheros que no reúnan las condiciones que se determinen por vía reglamentaria con respecto a su integridad y seguridad y a las de los centros de tratamiento, locales, equipos, sistemas y programas. 3. Reglamentariamente se establecerán los requisitos y condiciones que deban reunir los ficheros y las personas que intervengan en el tratamiento de los datos a que se refiere el artículo 7 de esta Ley”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/7 Pues bien, tras las alegaciones formuladas por el denunciante en su escrito de 24 de enero de 3014 reiterando los hechos denunciados sin constatación, la inspección “in situ” se centró en la comprobación de si el ordenador ubicado en el Centro de Control tenía instalado un programa autocopiativo del contenido de los pendrives que se introducían circunstancia que el denunciante comprobó al acceso al procedimiento judicial en el que figuraban, correos intercambiados por él en calidad de representante sindical con representantes del Ayuntamiento y una copia de un parte médico de baja laboral, sobre la incautación por la Policía Nacional del disco duro del ordenador, como también del sistema informático de la Corporación, con el siguiente resultado:
2. a)Respecto a la afirmación de la instalación de un programa que al introducir un pendrive realiza una copia de seguridad, el Ayuntamiento aclara que el denunciado, Oficial de la Policía Local, nunca informó de ello y que la Policía Nacional que se incautó del disco duro del ordenador no ha informado de las actuaciones realizadas y tampoco ha solicitado ninguna información. El representante del Ayuntamiento declaró que no tienen conocimiento de que en ningún momento se haya instalado un programa informático que realice una copia de los contenidos del disco duro o de un pendrive. En la inspección se verificó la existencia de un ordenador conectado en red a un servidor ubicado en el Centro de Control de la Policía Local y no se obtuvo indicio de la existencia de la carpeta ***CARPETA.1 en el servidor ni en el actual disco duro y solo la existencia de una carpeta denominada VCP con información policial exclusivamente. En cualquiera de los casos, no es posible la comprobación de la información existente en el disco duro ya que fue retirado por la Policía Nacional, haciéndose constar dicha incidencia en el Libro de Actas de la Policía Local en fecha 7 de mayo de 2013.
3. b)En lo relativo a la aseveración de que los pendrives se autocopiaban en el ordenados dado que en el procedimiento judicial se encontraban incorporados los correos electrónicos intercambiados por el denunciante como representante sindical con cargos del Ayuntamiento y un parte médico de baja laboral, el Ayuntamiento manifiesta que desconocen dicha circunstancia, no obstante verifican la existencia de una única certificación de Asistencia (que aportan) en la cual el denunciante comparece ante el Juzgado de Primera Instancia e Instrucción número 2 de Calatayud en fecha 4 de junio de 2013 y hay constancia a una Cédula de Citación a dicho Juzgado en la que se adjunta la copia de las declaraciones realizadas en el Atestado 1249/13 por parte del denunciante y otro Policía Local correspondientes a una denuncia presentada por ellos mismos relacionada con un incidente en el cual participaron en su calidad de Policía Local. Asimismo, se aporta un Informe del Servicio Nacional de Urgencia a nombre del denunciante sobre las lesiones provocadas en dicho incidente
4. c)En lo concerniente al hecho denunciado de la existencia de una cámara de grabación ubicada en el lugar donde se encuentra la fotocopiadora general, se verificó que se trata de una cámara fija que enfoca al pasillo que da acceso al archivo y a los calabozos, no obstante, no hay ninguna fotocopiadora y la cámara tiene la finalidad de controlar el acceso a los calabozos y que únicamente personal del Ayuntamiento accede a dicho pasillo. En la actualidad se ha instalado la nueva fotocopiadora se ha instalado en otras dependencias del Ayuntamiento y para visualizar las imágenes recogidas por la citada cámara es necesario autenticarse comprobándose que la distancia visual no permitiría identificar un documento, ya que ésta no cuenta con zoom y a las imágenes C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/7 sólo tiene acceso el Jefe de la Policía Local.
5. d)Respecto del archivador ubicado en el sótano del edifico del Ayuntamiento, al lado de un baño, al que tiene acceso todo tipo de personal del Ayuntamiento, también se comprueba que en dicho sótano se están realizando obras ya que acoge, entre otras dependencias, el archivo del Ayuntamiento y el baño al que se refiere en la denuncia ya no existe. Se verifica que el archivador se encuentra en el pasillo cerca de los calabozos hasta la finalización de la obra y su ubicación definitiva dentro del archivo. Se comprueba que el archivo figuran diferentes fichas, las cuales, según manifiesta el Ayuntamiento corresponden con fichas padronales y que el acceso es restringido al personal que trabaja en el Ayuntamiento y existen cámaras de seguridad en la zona de acceso al mismo. A este respecto, hemos de tener en cuenta que al derecho administrativo sancionador le son de aplicación, dada su especialidad y las consecuencias gravosas que en su desarrollo se pueden derivar para los administrados, los principios del derecho penal y, entre ellos el principio de presunción de inocencia, que determina que, no se podrá imputar una actividad ilegítima a alguien, en tanto en cuanto no existan elementos probatorios con suficiente entidad que lo permitan, como así nos dicen sentencias, como aquella del Tribunal Constitucional de 20 de febrero de 1989 que indica que: “Nuestra doctrina y jurisprudencia penal han venido sosteniendo que, aunque ambos puedan considerarse como manifestaciones de un genérico favor rei, existe una diferencia sustancial entre el derecho a la presunción de inocencia, que desenvuelve su eficacia cuando existe una falta absoluta de pruebas o cuando las practicadas no reúnen las garantías procesales y el principio jurisprudencial in dubio pro reo que pertenece al momento de la valoración o apreciación probatoria, y que ha de juzgar cuando, concurre aquella actividad probatoria indispensable, exista una duda racional sobre la real concurrencia de los elementos objetivos y subjetivos que integran el tipo penal de que se trate.” También se ha manifestado la Sala de lo Contencioso Administrativo de la Audiencia Nacional en sentencia de 10 de mayo de 2006, en términos parecidos, ante la falta de pruebas de la apropiación de ficheros, ante contactos empresariales con clientes comunes: “….No puede obviarse, un dato de gran trascendencia y es que en la diligencia de inspección practicada en la sede de la demandada, en los ficheros de datos personales no aparecen otros nombres que los correspondientes a los clientes a los que se ha emitido alguna factura, no figurando en el citado fichero datos relativos a ninguna de las personas que figuran en la relación facilitada en su día por la denunciante. Por todo lo cual, no cabe sino colegir la falta de acreditación de la utilización por parte de la sociedad denunciada, de datos personales obtenidos de los ficheros de Talleres Argimiro Pardo S.L. no habiéndose constatado tampoco en consecuencia la vulneración del deber de secreto imputado, estimándose por ello inobjetable la resolución impugnada respecto los hechos denunciados” Habiéndose comprobado la inexistencia de una infracción a la normativa sobre C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/7 protección de datos procede el archivo de las actuaciones Por lo tanto, de acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA: 1. PROCEDER AL ARCHIVO de las presentes actuaciones. 2. NOTIFICAR la presente Resolución al AYUNTAMIENTO DE CALATAYUD y a D. A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Sin embargo, el responsable del fichero de titularidad pública, de acuerdo con el artículo 44.1 de la citada LJCA, sólo podrá interponer directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la LJCA, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es