1/8 Expediente Nº: E/08355/2019 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la DIRECCIÓN GENERAL DE LA POLICÍA en virtud de denuncia presentada por A.A.A. y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 9 de abril de 2019, tuvo entrada en esta Agencia escrito de A.A.A. (en lo sucesivo el reclamante) contra la DIRECCIÓN GENERAL DE LA POLICÍA (en lo sucesivo el reclamado) en el que manifiesta que es funcionario del Cuerpo Nacional de Policía destinado en ***DESTINO.1, y que ha sido expedientado por no haberse incorporado a su puesto de trabajo por la Jefatura Superior de Policía de Cataluña (Barcelona), la cual ha tenido conocimiento de que ese día tomó un vuelo a Palma de Mallorca a partir de los datos que les ha facilitado la compañía aérea VUELING AIRLINES S.L. El reclamante declara que es práctica habitual en los últimos meses que funcionarios de ***DESTINO.1 soliciten sin autorización judicial información de vuelos a AENA y a las compañías aéreas que operan en él, y cedan la información obtenida a la U.C.O.T. de la Jefatura Superior de Policía de Cataluña (Barcelona), que es quien pide en primer lugar esta información privada de sus trabajadores con el propósito de iniciar expedientes disciplinarios y prevenir el absentismo. En el escrito se denuncia también la utilización de las imágenes grabadas con las videocámaras del aeropuerto situadas en las puertas de embarque para confirmar que los funcionarios del Cuerpo Nacional de Policía han tomado realmente el vuelo. Junto a la reclamación se aporta: el escrito de reclamación íntegro, una copia del oficio y comunicado del ***DESTINO.1 aportando a la U.C.O.T. de la Jefatura Superior de Policía de Cataluña (Barcelona) la información obtenida de VUELING AIRLINES S.L. en relación con un vuelo reservado por el reclamante, una copia de la información de la reserva aportada por VUELING a nombre del reclamante, y un correo electrónico del Grupo de Apoyo de la UCOT confirmando los datos proporcionados mediante la aportación de documentos adicionales de VUELING. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/8 El 21 de mayo de 2019 se notifica al reclamado la presente reclamación concediéndole el plazo de un mes para remitir a esta Agencia información referente a las causas que han motivado la presente reclamación, el ejercicio en su caso, de los derechos regulados en los artículos 15 a 22 del RGPD, y las medidas adoptadas para evitar que se produzcan incidencias similares, fechas de implantación y controles efectuados para comprobar su eficacia. No se ha obtenido respuesta a dicho requerimiento por parte de la compañía aérea. FUNDAMENTOS DE DERECHO I De acuerdo con los poderes de investigación y correctivos que el artículo 58 del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) otorga a cada autoridad de control, y según lo dispuesto en el artículo 47 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. II De conformidad con lo establecido en el artículo 55 del RGPD, la Agencia Española de Protección de Datos es competente para desempeñar las funciones que se le asignan en su artículo 57, entre ellas, la de hacer aplicar el Reglamento y promover la sensibilización de los responsables y los encargados del tratamiento acerca de las obligaciones que les incumben, así como tratar las reclamaciones presentadas por un interesado e investigar el motivo de estas. Corresponde, asimismo, a la Agencia Española de Protección de Datos ejercer los poderes de investigación regulados en el artículo 58.1 del RGPD, entre los que figura la facultad de ordenar al responsable y al encargado del tratamiento que faciliten cualquier información que requiera para el desempeño de sus funciones. Correlativamente, el artículo 31 del RGPD establece la obligación de los responsables y encargados del tratamiento de cooperar con la autoridad de control que lo solicite en el desempeño de sus funciones. Para el caso de que éstos hayan designado un delegado de protección de datos, el artículo 39 del RGPD atribuye a éste la función de cooperar con dicha autoridad. Del mismo modo, el ordenamiento jurídico interno también prevé la posibilidad de abrir un período de información o actuaciones previas. En este sentido, el artículo 55 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, otorga esta facultad al órgano competente con el fin de conocer las circunstancias del caso concreto y la conveniencia o no de iniciar el procedimiento. III En el presente caso, se ha recibido en esta Agencia la reclamación contra las reclamadas, por una presunta vulneración de los artículos 5 y 6 del RGPD en relación con los principios relativos al tratamiento de los datos personales del interesado y la licitud de su tratamiento, señalándose en el artículo 5 del RGPD que “los datos personales serán: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/8
- a)tratados de manera lícita, leal y transparente en relación con el interesado («licitud, lealtad y transparencia»);
- b)recogidos con fines determinados, explícitos y legítimos, y no serán tratados ulteriormente de manera incompatible con dichos fines; de acuerdo con el artículo 89, apartado 1, el tratamiento ulterior de los datos personales con fines de archivo en interés público, fines de investigación científica e histórica o fines estadísticos no se considerará incompatible con los fines iniciales («limitación de la finalidad»);
- c)adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados («minimización de datos»);
- d)exactos y, si fuera necesario, actualizados; se adoptarán todas las medidas razonables para que se supriman o rectifiquen sin dilación los datos personales que sean inexactos con respecto a los fines para los que se tratan («exactitud»);
- e)mantenidos de forma que se permita la identificación de los interesados durante no más tiempo del necesario para los fines del tratamiento de los datos personales; los datos personales podrán conservarse durante períodos más largos siempre que se traten exclusivamente con fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos, de conformidad con el artículo 89, apartado 1, sin perjuicio de la aplicación de las medidas técnicas y organizativas apropiadas que impone el presente Reglamento a fin de proteger los derechos y libertades del interesado («limitación del plazo de conservación»);
- f)tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»). 2. El responsable del tratamiento será responsable del cumplimiento de lo dispuesto en el apartado 1 y capaz de demostrarlo («responsabilidad proactiva»).” Por su parte el artículo 6 del RGPD, en relación a la licitud del tratamiento de los datos personales, señala que: “1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
- a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
- b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
- c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
- d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/8
- e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
- f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
- f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones. 2. Los Estados miembros podrán mantener o introducir disposiciones más específicas a fin de adaptar la aplicación de las normas del presente Reglamento con respecto al tratamiento en cumplimiento del apartado 1, letras
- c)y e), fijando de manera más precisa requisitos específicos de tratamiento y otras medidas que garanticen un tratamiento lícito y equitativo, con inclusión de otras situaciones específicas de tratamiento a tenor del capítulo IX. 3. La base del tratamiento indicado en el apartado 1, letras
- c)y e), deberá ser establecida por:
- a)el Derecho de la Unión, o
- b)el Derecho de los Estados miembros que se aplique al responsable del tratamiento. La finalidad del tratamiento deberá quedar determinada en dicha base jurídica o, en lo relativo al tratamiento a que se refiere el apartado 1, letra e), será necesaria para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento. Dicha base jurídica podrá contener disposiciones específicas para adaptar la aplicación de normas del presente Reglamento, entre otras: las condiciones generales que rigen la licitud del tratamiento por parte del responsable; los tipos de datos objeto de tratamiento; los interesados afectados; las entidades a las que se pueden comunicar datos personales y los fines de tal comunicación; la limitación de la finalidad; los plazos de conservación de los datos, así como las operaciones y los procedimientos del tratamiento, incluidas las medidas para garantizar un tratamiento lícito y equitativo, como las relativas a otras situaciones específicas de tratamiento a tenor del capítulo IX. El Derecho de la Unión o de los Estados miembros cumplirá un objetivo de interés público y será proporcional al fin legítimo perseguido. 4. Cuando el tratamiento para otro fin distinto de aquel para el que se recogieron los datos personales no esté basado en el consentimiento del interesado o en el Derecho de la Unión o de los Estados miembros que constituya una medida necesaria y proporcional en una sociedad democrática para salvaguardar los objetivos indicados en el artículo 23, apartado 1, el responsable del tratamiento, con objeto de determinar si el tratamiento con otro fin es compatible con el fin para el cual se recogieron inicialmente los datos personales, tendrá en cuenta, entre otras cosas:
- a)cualquier relación entre los fines para los cuales se hayan recogido los datos personales y los fines del tratamiento ulterior previsto;
- b)el contexto en que se hayan recogido los datos personales, en particular por lo que respecta a la relación entre los interesados y el responsable del tratamiento; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/8
- c)la naturaleza de los datos personales, en concreto cuando se traten categorías especiales de datos personales, de conformidad con el artículo 9, o datos personales relativos a condenas e infracciones penales, de conformidad con el artículo 10;
- d)las posibles consecuencias para los interesados del tratamiento ulterior previsto;
- e)la existencia de garantías adecuadas, que podrán incluir el cifrado o la seudonimización.” IV En el presente caso se denuncia la cesión de los datos personales del reclamante por la compañía aérea reclamada a la Dirección General de Policía, para su uso en un procedimiento disciplinario de conformidad con la Ley Orgánica 4/2010, de 20 de mayo, del Régimen disciplinario del Cuerpo Nacional de Policía. Debe tenerse en cuenta la siguiente normativa, en primer lugar la Ley Orgánica 2/1986, de 13 de marzo, de Fuerzas y Cuerpos de Seguridad, que en su artículo 27.5 establece que “Incurrirán en la misma responsabilidad que los autores de una falta los que induzcan a su comisión y los Jefes que la toleren. Asimismo, incurrirán en falta de inferior grado los que encubrieran la comisión de una falta.” Asimismo, el artículo 28.3 de dicho texto legal establece que “Los funcionarios del Cuerpo Nacional de Policía tendrán obligación de comunicar por escrito al superior jerárquico competente los hechos que consideren constitutivos de faltas graves y muy graves de los que tengan conocimiento.”, y en el apartado 5 continúa señala lo siguiente: “Para la imposición de la sanción de separación del servicio será competente el Ministro del Interior. Para la imposición de sanciones por faltas muy graves y graves, además del Ministro del Interior, será competente el Director de la Seguridad del Estado. Para la imposición de las sanciones por faltas graves también será competente el Director general de la Policía. Además de los órganos anteriores, los Gobernadores civiles y los Jefes de las dependencias, centrales o periféricas, en que presten servicio los infractores, serán competentes para la imposición de las sanciones por faltas leves. En segundo lugar, la Ley Orgánica 4/2010, de 20 de mayo, del Régimen disciplinario del Cuerpo Nacional de Policía, en su artículo 4 regula la comunicación de infracciones, señalando que: “Los miembros del Cuerpo Nacional de Policía tendrán la obligación de comunicar por escrito a su superior jerárquico los hechos de los que tengan conocimiento que consideren constitutivos de faltas graves y muy graves, salvo cuando dicho superior sea el presunto infractor; en tal caso, la comunicación se efectuará al superior inmediato de este último.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/8 Por su parte el artículo 5 que regula la extensión de la responsabilidad, manifiesta que: “Incurrirán en la misma responsabilidad que los autores de una falta los que induzcan a su comisión. Asimismo, incurrirán en falta de inferior grado los que encubrieran la comisión de una falta muy grave o grave, y los superiores que la toleren. Se entenderá por encubrimiento no dar cuenta al superior jerárquico competente, de forma inmediata, de los hechos constitutivos de falta muy grave o grave de los que se tenga conocimiento.” Además, el artículo 13 de dicho texto legal regula la competencia sancionadora indicando que: “Son órganos competentes para imponer sanciones disciplinarias a los funcionarios del Cuerpo Nacional de Policía:
- a)Para la imposición de la sanción de separación del servicio por faltas muy graves, el Ministro del Interior.
- b)Para la imposición de las sanciones de suspensión de funciones de tres años y un día a seis años y de traslado forzoso por faltas muy graves, el Secretario de Estado de Seguridad.
- c)Para la imposición de la sanción de suspensión de funciones hasta tres años por faltas muy graves, así como para la imposición de sanciones por faltas graves, el Director General de la Policía y de la Guardia Civil.
- d)Para la imposición de sanciones por faltas leves, los Delegados del Gobierno en las Comunidades Autónomas, respecto de las cometidas por funcionarios que presten servicio en el territorio de su respectiva Comunidad Autónoma; asimismo, los jefes de órganos centrales hasta el nivel de subdirector general, o asimilados; y los jefes superiores de policía, los jefes de las comisarías provinciales y locales y los jefes de las unidades del Cuerpo Nacional de Policía adscritas a las Comunidades Autónomas, respecto de las cometidas por funcionarios de ellos dependientes.
- e)Los órganos competentes para imponer sanciones de una determinada naturaleza, lo son también para imponer sanciones de naturaleza inferior.” Concluir señalando que Ley 39/2015 del régimen jurídico del procedimiento administrativo común de las administraciones públicas, en su artículo 18 regula la colaboración de las personas, estableciendo que: “1. Las personas colaborarán con la Administración en los términos previstos en la Ley que en cada caso resulte aplicable, y a falta de previsión expresa, facilitarán a la Administración los informes, inspecciones y otros actos de investigación que requieran para el ejercicio de sus competencias, salvo que la revelación de la información solicitada por la Administración atentara contra el honor, la intimidad personal o familiar o supusieran la comunicación de datos confidenciales de terceros de los que tengan conocimiento por la prestación de servicios profesionales de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/8 diagnóstico, asesoramiento o defensa, sin perjuicio de lo dispuesto en la legislación en materia de blanqueo de capitales y financiación de actividades terroristas.” Por su parte el artículo 61.1 que regula el inicio del procedimiento por petición razonada de otros órganos establece que: “Se entiende por petición razonada, la propuesta de iniciación del procedimiento formulada por cualquier órgano administrativo que no tiene competencia para iniciar el mismo y que ha tenido conocimiento de las circunstancias, conductas o hechos objeto del procedimiento, bien ocasionalmente o bien por tener atribuidas funciones de inspección, averiguación o investigación.” V Así las cosas, teniendo en cuenta los argumentos jurídicos del fundamento IV, la AEPD considera que no se han vulnerado los principios de integridad y confidencialidad regulados en el artículo 5.1
- f)del RGPD que exige que los datos personales sean “tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas”. Asimismo, aunque en el artículo 6.1
- f)del RGPD se establece que para el tratamiento lícito de los datos personales han de prevalecer los derechos y libertades fundamentales del interesado sobre los intereses legítimos del responsable del tratamiento, en el inciso final de dicho precepto, se contempla la salvedad en la aplicación de este artículo a las autoridades públicas en el ejercicio de sus funciones. Por lo tanto, en lo que respecta a la parte reclamada, señalar que se encuentra legitimada para pedir los datos objeto de la presente reclamación, ya que lo hacen en el ejercicio de su potestad pública. Además la normativa señalada en el Fundamento de Derecho IV, le da legitimidad para llevar a cabo procedimientos disciplinarios, y la información requerida en este caso, se solicita en ese marco. Por otro lado, la compañía aérea, actuó diligentemente cediendo los datos personales del reclamante a la Dirección General de Policía, cumpliendo con los artículos 18 y 61 de la LRJPAC, que establecen la obligación de facilitar a la Administración los informes, inspecciones y otros actos de investigación que requieran para el ejercicio de sus competencias, al considerar que el reclamado tiene atribuidas funciones de inspección, averiguación e investigación, en concreto para su uso en un procedimiento disciplinario de conformidad con la Ley Orgánica 4/2010, de 20 de mayo, del Régimen disciplinario del Cuerpo Nacional de Policía, según los preceptos indicados en el Fundamento de Derecho IV. Por lo tanto, de acuerdo con lo señalado, tras considerar que no se ha infringido la normativa de protección de datos personales, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/8 1. PROCEDER AL ARCHIVO de las presentes actuaciones. 2. NOTIFICAR la presente resolución al reclamante e INFORMAR de ella al responsable del tratamiento. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
- c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es