1/11 Procedimiento Nº: E/09080/2018 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante el AYUNTAMIENTO DE ALMERIA (en lo sucesivo el reclamado), en virtud de reclamación presentada ante la misma por reclamante 1 y reclamante 2, en base a los siguientes HECHOS PRIMERO: La reclamación interpuesta por los reclamantes tienen entrada el 22/06/2018 y el 12/09/2018 en la Agencia Española de Protección de Datos. Las reclamaciones dirigidas contra el reclamado se basan en los siguientes motivos: El reclamado ha puesto en marcha una APP móvil denominada “Almería participa”, a través de la cual se ha realizado, entre otras cuestiones, un sondeo para la elección del nombre de la nueva biblioteca municipal. Aportan un informe elaborado por un ingeniero técnico en informática, en relación con la APP mencionada, en el que se pone de manifiesto que:
- Al instalar la aplicación solicita permisos para: consultar identidad y estado del teléfono, Grabar sonido, Registro de la ubicación, Consultar, modificar o eliminar el contenido de la tarjeta de memoria, Buscar cuentas en el dispositivo y Acceso completo a la red.
- Al registrar una cuenta no facilita ninguna información sobre el tratamiento de los datos que se recaban por parte del Ayuntamiento, (dirección de correo electrónico y nombre y apellidos).
- Se recibe un correo de verificación del registro desde la dirección info@humantide.es, este dominio no pertenece al reclamado. Al acceder al link que ofrece el correo se dirige a una web de la empresa HUMANTIDE.
- Tras la validación en la citada web, se accede a la APP y se informa de que es responsabilidad del reclamado y que HUMANTIDE es la empresa encargada del desarrollo de la aplicación, en su condición de encargado de tratamiento y hay que confirmar que se es mayor de 14 años.
- Al revisar el “Aviso Legal” que ofrece la aplicación, se indica que se van a remitir comunicaciones comerciales y se ofrece una dirección de correo electrónico para contactar al DPD, si se quiere solicitar el ejercicio de los derechos de protección de datos.
- Se puede acceder a otro enlace sobre “Política de Privacidad completa” que dirige a la página web de HUMANTIDE, donde consta el “aviso legal” de la web y no de la aplicación. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/11
- Desde la aplicación se pueden modificar los datos del usuario (nombre y apellidos). Por otra parte, ninguna de las páginas web del reclamado cumple con la normativa de protección de datos, no facilitando ninguna información sobre “Política de Privacidad” y en la mayoría no hay “Aviso Legal”. Según se indica en el citado informe técnico:
- En el portal web del reclamado en la dirección http://www3.aytoalmeria.es no consta información sobre “Política de Privacidad” ni hay “Aviso Legal” y tampoco se facilita información sobre el uso de Cookies.
- En la página web de la Concejalía de Hacienda: http://www.almeriahacienda.es hay un link a “Info legal” pero tampoco contiene información sobre tratamiento de datos, ni sobre el uso de cookies. Tampoco se facilita información en la página web www.almeriaurbanismo.com ni en las páginas: www.almeriacultura.com, www.pmdalmeria.com, www.mujeralmeria.com, www.almeriaeuropa.net. SEGUNDO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos objeto de la reclamación, teniendo conocimiento de los siguientes extremos: Con fecha 22/06/2018, se recibe la denuncia del primer denunciante sobre la información que se facilita en la aplicación APP “Almería Facilita”. Con fecha 03/08/2018, se da traslado de la denuncia al reclamado en las actuaciones con referencia E/4624/
- Con fecha 06/09/2018, el DPD del reclamado da contestación al traslado de la denuncia aportando la siguiente información:
- El Ayuntamiento es el responsable del tratamiento de los datos de carácter personal de la APP “Almería participa” y de las páginas web a las que se hace referencia en la denuncia.
- El encargado de tratamiento de la APP es la empresa HUMANTIDE S.L. con la que el Ayuntamiento ha suscrito el correspondiente contrato de prestación de servicios.
- Los datos personales del reclamante no constan en el sistema de información, por lo que manifiestan que no se ha registrado en la aplicación y tampoco ha formulado ninguna reclamación ante el Ayuntamiento.
- La APP “Almería Participa” no solicita a ningún usuario que se inscriba en la misma, es el propio usuario el que decide descargarla en su dispositivo y participar de forma voluntaria. Así mismo, al usuario se le ofrece siempre la posibilidad de cancelar la instalación y conocer a la información que va a acceder la APP en el caso de descarga.
- Las finalidades de tratamiento de los datos que se facilitan al registrarse, se encuentran explicados en la Política de Privacidad de 2º capa, donde se informa de lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/11 a. Datos identificativos del responsable. b. Datos solicitados y su carácter obligatorio o voluntario y consecuencias de la no obtención. c. Usos y finalidades de tratamiento de los datos, plazos de conservación y base de legitimación del tratamiento. d. Información sobre cesiones a terceros y los fines. e. Procedimiento de revocación del consentimiento y ejercicio de los derechos de protección de datos.
- El reclamado solicitó al desarrollador (HUMANTIDE) un análisis de riesgos de la Aplicación y de la página web asociada, y también la realización del registro de tratamiento.
- La Aplicación sólo requiere lo datos de: dirección de correo electrónico, nombre de usuario (username), nombre y apellidos y contraseña. En el registro se comprueba que la dirección de correo no exista ya para que no el usuario sea único.
- Una vez registrado, el usuario puede realizar, entre otras, las siguientes acciones, todas ellas con carácter optativo: a. Realizar propuestas ciudadanas. b. Votar en diferentes encuestas que publique el Ayuntamiento. c. Compartir a través de redes sociales cualquier propuesta ciudadana. d. Bloquear propuestas que el usuario no desea que le aparezcan. e. Puede seleccionar una foto de sus archivos para establecer su “avatar”. f. Puede deshabilitar su posición (ubicación) o actualizarla.
- Para poder realizar las acciones que permite la aplicación, es necesario otorgar los permisos necesarios para las funcionalidades: acceso a la cámara, galería, localización y notificaciones, que son las que aparecen en la captura de pantalla aportada por el denunciante. La aplicación nunca hace uso de los permisos otorgados para cualquier otro fin.
- No obstante y adicionalmente, como en el resto de APP´s, el usuario puede, a través de ajustes, restringir los permisos de herramientas como por ejemplo: el micrófono.
- Aportan copia del escrito remitido al denunciante, con fecha 05/09/2018, en relación con su reclamación, en el que le informan sobre el funcionamiento de la misma, en los mismos términos que en la información remitida a la Agencia. Con fecha 12/09/2018, se recibe la segunda denuncia sobre el funcionamiento de la aplicación “Almería Participa”. Con fecha 15/10/2018, se da traslado de la segunda denuncia al reclamado en las actuaciones con referencia E/ 7462/
- Con fecha 14/11/2018, el DPD del reclamado ha remitido a la Agencia en relación con la segunda reclamación, información sobre el funcionamiento de la misma que coincide casi en su totalidad con la remitida en contestación a la primera denuncia añadiendo que: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/11
- Han modificado la aplicación, y desde septiembre de 2018, al registrarse, solo solicita permisos de “Ubicación” y “Fotos/multimedia/archivos”. Aportan captura de pantalla de los permisos que solicita.
- Se mantuvo una reunión con el reclamante, en la que se aportaron las respuestas y aclaraciones que se solicitaron, en ese momento, las preguntas se centraron en la necesidad de aclarar si existía una cesión de datos a la empresa encargada de tratamiento “HUMANTIDE”.
- Respecto a la información que se facilita en las diferentes webs del reclamado (portal de transparencia y portal del reclamado) implantados el 15/09/2018 y el 25/10/2018, respectivamente, se cumple con los requisitos establecidos en la normativa vigente en materia de protección de datos (política de privacidad, aviso legal y política de cookies). Con fecha 19/11/2018, se inician las presentes actuaciones acumulando las dos actuaciones señaladas anteriormente y con objeto de completar la información remitida por el reclamado en relación con los hechos denunciados: Con fecha 18/03/2019, el reclamado ha aportado la siguiente información adicional:
- Respecto a la información sobre los tratamientos que se realizan con los datos registrados en la aplicación: según manifiestan, se incluyen en la Política de Privacidad 1ª capa sobre los usos, tratamientos y finalidades específicas de la APP con el siguiente texto: "Los datos que se solicitan para gestionar su alta en la aplicación, son los estrictamente necesarios (Principio licitud). Conforme al RGPD 679/2016, se informa al Usuario de la Aplicación Almería Participa que el Responsable del tratamiento es el "Ayuntamiento de Almería", provisto de NIF: P0401300I, Plaza de la Constitución, s/n, 04003 Almería, página web: www.aytoalmeria.es. Teléfono: 950 21 00
- La Finalidad del tratamiento: Gestión y mantenimiento de la aplicación Almería Participa, mantenimiento de la relación con los usuarios, alta y baja de Usuarios, gestión de contenidos, moderador, creación de encuestas mensajería interna, envío de comunicaciones comerciales que hayan sido expresamente autorizadas por los Usuarios sobre contenidos de la aplicación, comunicaciones sobre la gestión de cuenta o resultados. Base de Legitimación del tratamiento: El tratamiento es necesario para el uso de la aplicación Almería Participa, y para ello se solicita el consentimiento expreso de los usuarios, mediante la aceptación expresa de las "Condiciones de Uso de la APP". Comunicaciones de datos: Ninguna prevista, salvo las estrictamente necesarias para la prestación de los servicios de la APP, terceros que prestan servicios para el mantenimiento/desarrollo de la aplicación, y que han sido previamente evaluados conforme a RGPD, y se encuentran dentro del territorio de la UE, o están acogidos al Acuerdo “Privacy Shield”; también podrán darse comunicaciones de datos por requerimiento judicial o imperativo legal. Plazos de Conservación de Datos: determinado por la relación que mantiene con nosotros y los plazos establecidos legalmente en función de la tipología del tratamiento, en el caso de envío de comunicaciones comerciales electrónicas, desde el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/11 momento en que las autorice el usuario, hasta que revoque su consentimiento. Ejercicio de Derechos RGPD: acceso, rectificación, cancelación/supresión, oposición, limitación o portabilidad, dirija comunicación por escrito a: Plaza de la Constitución, s/n, 04003 Almería, acompañando fotocopia de NIF o documento equivalente, o por email a: dpd@aytoalmeria.es. En caso de considerar vulnerado su derecho a la protección de datos personales, podrá interponer reclamación ante la Agencia Española de Protección de Datos (www.agpd.es). Información adicional (2ª capa) sobre el tratamiento de datos disponible en nuestra web oficial del Ayuntamiento: https://www.almeriaciudad.es/privacidad/". El acceso a la información de privacidad de “segunda capa” se encuentra en la misma aplicación, a través de un enlace a la página web www.almeriaciudad.es/privacidad/.
- Respecto al encargado de tratamiento: Aportan copia del contrato de prestación de servicios suscrito con la empresa HUMANTIDE S.L., con fecha 22/06/2018, que tiene por objeto la prestación por parte de la empresa del servicio de tratamiento de datos de carácter personal por cuenta del Ayuntamiento, como prestación accesoria a la principal que es la prestación de servicios de gestión y programación de la APP “Almería Participa”, gestión de altas y bajas y control del funcionamiento y uso de la aplicación.
- En el contrato se especifican, entre otras, las siguientes obligaciones del encargado de tratamiento: a. Usar los datos a los que tenga acceso, sólo para la finalidad objeto del encargo. b. Tratar los datos de acuerdo con las instrucciones del responsable (Ayuntamiento). c. No comunicar los datos a terceros, salvo con autorización expresa del responsable, en los supuestos legalmente admisibles. d. Mantener el deber de secreto respecto de los datos de carácter personal a los que puede tener acceso en virtud del encargo. e. Garantizar la formación necesaria, en materia de protección de datos, de las personas autorizadas al tratamiento de los datos. f. Implantar las medidas de seguridad necesarias (se detallan en el contrato). g. No conservar los datos de carácter personal salvo que sea necesario para la prestación del servicio y solo durante el tiempo que dure la prestación. h. Informar al responsable en el caso de que considere que alguna de las instrucciones podría infringir la normativa de protección de datos. FUNDAMENTOS DE DERECHO I De acuerdo con los poderes de investigación y correctivos que el artículo 58 del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) otorga a cada autoridad de control, y según lo dispuesto en el artículo 47 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/11 garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. II En el marco de las competencias atribuidas a la Agencia Española de Protección de Datos en el artículo 57 del citado Reglamento y en relación con la reclamación presentada se desprende ausencia del elemento subjetivo de culpabilidad necesario en la actuación del reclamado para ejercer la potestad sancionadora. En primer lugar, habría que señalar que una aplicación apps sería un tipo de programa informático diseñado a fin de permitir a los usuarios realizar diversos tipos de trabajos; una aplicación web seria la que los usuarios pueden utilizar a través de Internet o una intranet. El artículo 13 del RGPD se establece la información que debe facilitarse a los interesados en el momento de la recogida de sus datos, estableciendo lo siguiente: “Información que deberá facilitarse cuando los datos personales se obtengan del interesado. 1.Cuando se obtengan de un interesado datos personales relativos a él, el responsable del tratamiento, en el momento en que estos se obtengan, le facilitará toda la información indicada a continuación: a) la identidad y los datos de contacto del responsable y, en su caso, de su representante; b) los datos de contacto del delegado de protección de datos, en su caso; c) los fines del tratamiento a que se destinan los datos personales y la base jurídica del tratamiento; 4.5.2016 L 119/40 Diario Oficial de la Unión Europea ES d) cuando el tratamiento se base en el artículo 6, apartado 1, letra f), los intereses legítimos del responsable o de un tercero; e) los destinatarios o las categorías de destinatarios de los datos personales, en su caso; f) en su caso, la intención del responsable de transferir datos personales a un tercer país u organización internacional y la existencia o ausencia de una decisión de adecuación de la Comisión, o, en el caso de las transferencias indicadas en los artículos 46 o 47 o el artículo 49, apartado 1, párrafo segundo, referencia a las garantías adecuadas o apropiadas y a los medios para obtener una copia de estas o al hecho de que se hayan prestado. 2.Además de la información mencionada en el apartado 1, el responsable del tratamiento facilitará al interesado, en el momento en que se obtengan los datos personales, la siguiente información necesaria para garantizar un tratamiento de datos leal y transparente: a) el plazo durante el cual se conservarán los datos personales o, cuando no sea posible, los criterios utilizados para determinar este plazo; b) la existencia del derecho a solicitar al responsable del tratamiento el acceso a los datos personales relativos al interesado, y su rectificación o supresión, o C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/11 la limitación de su tratamiento, o a oponerse al tratamiento, así como el derecho a la portabilidad de los datos; c) cuando el tratamiento esté basado en el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), la existencia del derecho a retirar el consentimiento en cualquier momento, sin que ello afecte a la licitud del tratamiento basado en el consentimiento previo a su retirada; d) el derecho a presentar una reclamación ante una autoridad de control; e) si la comunicación de datos personales es un requisito legal o contractual, o un requisito necesario para suscribir un contrato, y si el interesado está obligado a facilitar los datos personales y está informado de las posibles consecuencias de que no facilitar tales datos; f) la existencia de decisiones automatizas, incluida la elaboración de perfiles, a que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado.
- Cuando el responsable del tratamiento proyecte el tratamiento ulterior de datos personales para un fin que no sea aquel para el que se recogieron, proporcionará al interesado, con anterioridad a dicho tratamiento ulterior, información sobre ese otro fin y cualquier información adicional pertinente a tenor del apartado
- Las disposiciones de los apartados 1, 2 y 3 no serán aplicables cuando y en la medida en que el interesado ya disponga de la información”. Los hechos reclamados se concretan en que la aplicación puesta en funcionamiento por el reclamado, del que aportan informe elaborado por ingeniero técnico, no se encuentra adaptada a los requisitos establecidos en la nueva normativa sobre protección de datos. Sin embargo, el reclamado ha acreditado que la información facilitada cumple con los requisitos contenidos en el artículo 13 del RGPD. Además, hay que indicar que ha informado sobre actuaciones adicionales relacionadas con los hechos: se ha modificado la aplicación; en relación con la información que facilitan las webs titularidad del reclamado están cumplen los requisitos establecidos en la actual normativa, así como la adaptación y nueva configuración de la política de privacidad, aviso legal, política de cookies, etc. Posteriormente, en nuevo escrito ampliaron la información remitida a este organismo en relación a la aplicación denunciada en consonancia con lo señalado en el RGPD. También remitieron escrito al reclamante 1 informándole sobre el funcionamiento de la aplicación y en cuanto al reclamante 2, además de informarle mantuvieron con el mismo una reunión facilitándole respuestas y aclaraciones oportunas a las dudas y problemas planteados, lo que denota el cumplimiento de una diligencia razonable por parte del reclamado. Tampoco procedería instar la adopción de medidas adicionales, al haber quedado acreditado que el reclamado tiene adoptadas las medidas oportunas de conformidad con lo señalado en la nueva normativa. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/11 III Por lo tanto, se ha acreditado que la actuación del reclamado como entidad responsable del tratamiento ha sido acorde con la normativa sobre protección de datos personales analizada en los párrafos anteriores. Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA:
- PROCEDER AL ARCHIVO de las presentes actuaciones.
- NOTIFICAR la presente resolución al AYUNTAMIENTO DE ALMERIA con NIF P0401300I junto con el ANEXO 1 y a cada uno de los reclamantes con el ANEXO que le corresponda en el que se incluye su identificación. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.c) de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/11 ANEXO 1 Reclamante 1: D. A.A.A. Reclamante 2: Dña. B.B.B., en representación del GRUPO MUNICIPAL SOCIALISTA DEL AYUNTAMIENTO DE ALMERIA C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/11 ANEXO II Reclamante 1: D. A.A.A. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/11 ANEXO III Reclamante 2: Dña. B.B.B., en representación del GRUPO MUNICIPAL SOCIALISTA DEL AYUNTAMIENTO DE ALMERIA C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es