← España

E-08211-2021

1/8  Expediente Nº: E/08211/2021 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: A.A.A. (en adelante, la parte reclamante) con fecha 27 de abril de 2021 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra AYUNTAMIENTO DE ***LOCALIDAD.1 con CIF P3605700H (en adelante, la parte reclamada). Los motivos en que basa la reclamación son los siguientes: Un policía local y Secretario de la Comisión de Policía reclama contra el Ayuntamiento de ***LOCALIDAD.1 por diversos incumplimientos de la normativa de protección de datos en el uso de la aplicación ***APLICACIÓN.1. En particular: 1. Con fecha 26/03/21 el reclamante solicitó acceso a sus datos personales obrantes en la aplicación ***APLICACIÓN.1 de la Policía Local de ***LOCALIDAD.1. No ha recibido respuesta. 2. Registro de la jornada laboral diaria a través de dicha aplicación, incumpliendo los principios de idoneidad, necesidad y proporcionalidad que le debería ser exigibles, existiendo una duplicidad con el sistema de hojas de firmas que sigue implantado. 3. No se ha cumplido con el deber de informar a los trabajadores que establece el art. 13 y 14 del RGPD. 4. Cualquier usuario de la aplicación puede acceder, a través de un desplegable, a los datos personales (nombre, apellidos) de los trabajadores, tanto de servicio como fuera de él, incluso de los jubilados. 5. Instalación de una pantalla en un lugar de paso, pasillo de entrada a las instalaciones, por el que transcurren ciudadanos y demás personal del referido Ayuntamiento, en el que se pueden observar las hojas de servicio que contienen datos personales de los agentes, información sobre penados, comunicaciones judiciales (órdenes de alejamiento), donde se pueden ver los nombres y apellidos de la víctima y el penado... 6. Los carteles de aviso de zona videovigilada no cumplen con lo establecido en la normativa vigente. Además siguen haciendo alusión a la derogada Ley 15/1999. 7. No se cumple con el art. 88 de la LOPDGDD, relativo al derecho a la desconexión digital en el ámbito laboral debido a la transformación digital que ha sufrido la policía local del Ayuntamiento de ***LOCALIDAD.1 y el uso de aplicaciones como ***APLICACIÓN.1, ***APLICACIÓN.2 y el uso de aplicaciones de mensajería como Whatsapp. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/8 Junto a la notificación se aporta: Aporta captura de pantalla de la aplicación ***APLICACIÓN.1 donde consta un desplegable con los nombres y apellidos de los trabajadores. Aporta fotografía de dos carteles informativos de zona videovigilada de donde consta que se hace referencia a la Ley15/1999 y consta asimismo exclusivamente la forma de ejercitar los derechos los cuales se podrán ejercitar ante el “Superintendente Jefe de la Policía Local de ***LOCALIDAD.1”. Aporta fotografía de un monitor ubicado en pasillo donde consta información sobre una orden de alejamiento y el nombre y apellidos del condenado. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 21 de mayo de 2021 como consta en el acuse de recibo que obra en el expediente. Con fecha 7 de septiembre de 2021 se recibe en esta Agencia escrito de respuesta, que por revelar detalles de organización de la policía se anonimizan, indicando lo siguiente: 1. (…). 2. (…). 3. (…). 4. (…). 5. (…). 6. (…). 7. (…). 8. (…). 9. (…). 10. (…). 11. (…). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/8 12. (…). TERCERO: Con fecha 22 de julio de 2021, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de los poderes de investigación otorgados a las autoridades de control en el artículo 57.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: Con fecha 13 de diciembre de 2021 se envía requerimiento de información al denunciado solicitando evidencias de la información sobre protección de datos facilitada al reclamante y al resto de policías en relación con la aplicación ***APLICACIÓN.1 así como la información sobre la funcionalidad de geolocalización. La notificación consta entregada con fecha 13 de diciembre de 2021, pero no se ha recibido contestación. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con las funciones que el artículo 57.1 a),

  1. f)y
  2. h)del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) confiere a cada autoridad de control y según lo dispuesto en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos.” II Información que deberá facilitarse cuando los datos personales se obtengan del interesado El artículo 13 del RGPD establece la información que deberá facilitarse cuando los datos personales se obtengan del interesado, en virtud del cual: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/8 "1. Cuando se obtengan de un interesado datos personales relativos a él, el responsable del tratamiento, en el momento en que estos se obtengan, le facilitará toda la información indicada a continuación:
  3. a)la identidad y los datos de contacto del responsable y, en su caso, de su representante;
  4. b)los datos de contacto del delegado de protección de datos, en su caso;
  5. c)los fines del tratamiento a que se destinan los datos personales y la base jurídica del tratamiento;
  6. d)cuando el tratamiento se base en el artículo 6, apartado 1, letra f), los intereses legítimos del responsable o de un tercero;
  7. e)los destinatarios o las categorías de destinatarios de los datos personales, en su caso;
  8. f)en su caso, la intención del responsable de transferir datos personales a un tercer país u organización internacional y la existencia o ausencia de una decisión de adecuación de la Comisión, o, en el caso de las transferencias indicadas en los artículos 46 o 47 o el artículo 49, apartado 1, párrafo segundo, referencia a las garantías adecuadas o apropiadas y a los medios para obtener una copia de estas o al lugar en que se hayan puesto a disposición. 2. Además de la información mencionada en el apartado 1, el responsable del tratamiento facilitará al interesado, en el momento en que se obtengan los datos personales, la siguiente información necesaria para garantizar un tratamiento de datos leal y transparente:
  9. a)el plazo durante el cual se conservarán los datos personales o, cuando no sea posible, los criterios utilizados para determinar este plazo;
  10. b)la existencia del derecho a solicitar al responsable del tratamiento el acceso a los datos personales relativos al interesado, y su rectificación o supresión, o la limitación de su tratamiento, o a oponerse al tratamiento, así como el derecho a la portabilidad de los datos;
  11. c)cuando el tratamiento esté basado en el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), la existencia del derecho a retirar el consentimiento en cualquier momento, sin que ello afecte a la licitud del tratamiento basado en el consentimiento previo a su retirada;
  12. d)el derecho a presentar una reclamación ante una autoridad de control;
  13. e)si la comunicación de datos personales es un requisito legal o contractual, o un requisito necesario para suscribir un contrato, y si el interesado está obligado a facilitar los datos personales y está informado de las posibles consecuencias de no facilitar tales datos;
  14. f)la existencia de decisiones automatizadas, incluida la elaboración de perfiles, a que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado. 3. Cuando el responsable del tratamiento proyecte el tratamiento ulterior de datos personales para un fin que no sea aquel para el que se recogieron, proporcionará al interesado, con anterioridad a dicho tratamiento ulterior, información sobre ese otro fin y cualquier información adicional pertinente a tenor del apartado 2. Las disposiciones de los apartados 1, 2 y 3 no serán aplicables cuando y en la medida en que el interesado ya disponga de la información." C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/8 III Derecho de acceso del interesado El artículo 15 del RGPD, que regula el derecho de acceso del interesado, establece lo siguiente: "1. El interesado tendrá derecho a obtener del responsable del tratamiento confirmación de si se están tratando o no datos personales que le conciernen y, en tal caso, derecho de acceso a los datos personales y a la siguiente información:
  15. a)los fines del tratamiento;
  16. b)las categorías de datos personales de que se trate;
  17. c)los destinatarios o las categorías de destinatarios a los que se comunicaron o serán comunicados los datos personales, en particular destinatarios en terceros países u organizaciones internacionales;
  18. d)de ser posible, el plazo previsto de conservación de los datos personales o, de no ser posible, los criterios utilizados para determinar este plazo;
  19. e)la existencia del derecho a solicitar del responsable la rectificación o supresión de datos personales o la limitación del tratamiento de datos personales relativos al interesado, o a oponerse a dicho tratamiento;
  20. f)el derecho a presentar una reclamación ante una autoridad de control;
  21. g)cuando los datos personales no se hayan obtenido del interesado, cualquier información disponible sobre su origen;
  22. h)la existencia de decisiones automatizadas, incluida la elaboración de perfiles, a que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado. 2. Cuando se transfieran datos personales a un tercer país o a una organización internacional, el interesado tendrá derecho a ser informado de las garantías adecuadas en virtud del artículo 46 relativas a la transferencia. 3. El responsable del tratamiento facilitará una copia de los datos personales objeto de tratamiento. El responsable podrá percibir por cualquier otra copia solicitada por el interesado un canon razonable basado en los costes administrativos. Cuando el interesado presente la solicitud por medios electrónicos, y a menos que este solicite que se facilite de otro modo, la información se facilitará en un formato electrónico de uso común. 4. El derecho a obtener copia mencionado en el apartado 3 no afectará negativamente a los derechos y libertades de otros." IV Seguridad del tratamiento El artículo 32 del RGPD estipula lo siguiente: "1. Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/8 físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, que en su caso incluya, entre otros:
  23. a)la seudonimización y el cifrado de datos personales;
  24. b)la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento;
  25. c)la capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente físico o técnico;
  26. d)un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento. 2. Al evaluar la adecuación del nivel de seguridad se tendrán particularmente en cuenta los riesgos que presente el tratamiento de datos, en particular como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos. 3. La adhesión a un código de conducta aprobado a tenor del artículo 40 o a un mecanismo de certificación aprobado a tenor del artículo 42 podrá servir de elemento para demostrar el cumplimiento de los requisitos establecidos en el apartado 1 del presente artículo. 4. El responsable y el encargado del tratamiento tomarán medidas para garantizar que cualquier persona que actúe bajo la autoridad del responsable o del encargado y tenga acceso a datos personales solo pueda tratar dichos datos siguiendo instrucciones del responsable, salvo que esté obligada a ello en virtud del Derecho de la Unión o de los Estados miembros." V Principios relativos al tratamiento La letra
  27. f)del artículo 5.1 del RGPD propugna: "1. Los datos personales serán: (…)
  28. f)tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»)." VI Conclusión En el presente caso se denuncia no haberse satisfecho el derecho de acceso ejercido por el reclamante, de conformidad con lo establecido en el artículo 15 del RGPD, indicado en el fundamento de derecho III. Sin embargo, se ha constado que, aunque tardíamente se ha procedido a dar respuesta al reclamante. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/8 Se denuncia además por el reclamante la vulneración del artículo 13 del RGPD, por falta de información en el uso de datos de geolocalización por parte del responsable del tratamiento. En este sentido, se ha acreditado por la parte reclamada que se ha procedido a ampliar la información que se había facilitado. Además, insiste en la pertinencia de su uso por razón del servicio. Finalmente, en relación con los datos tratados por la aplicación objeto de denuncia, se ha denunciado la vulneración del artículo 5.1
  29. f)y 32 del RGPD, indicados en el fundamento de derecho V y IV respectivamente, como consecuencia del uso de cámaras en los pasillos y el uso de datos personales. En este sentido, hay que señalar que las cámaras se encuentran ubicadas en un lugar de acceso exclusivo para el personal de policía y fue sólo por un periodo limitado de tiempo a modo de prueba. Respecto del cartel informativo de las cámaras de videovigilancia, se ha corregido la deficiencia relativa a su referencia legal. Respecto de los datos personales tratados, señalar que sólo son tratados nombre y apellidos, el resto de los datos son vinculados al cargo que ocupan como policías. Por lo tanto, en base a lo indicado en los párrafos anteriores, no se han encontrado evidencias que acrediten la existencia de infracción en el ámbito competencial de la Agencia Española de Protección de Datos. Así pues, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a A.A.A. y AYUNTAMIENTO DE ***LOCALIDAD.1. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
  30. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/8 adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.