1/6 Procedimiento Nº: E/10193/2018 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante el AYUNTAMIENTO DE NIGRÁN, en virtud de reclamación presentada por Don A.A.A. y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 1 de agosto de 2018, tuvo entrada en esta Agencia un escrito remitido por Don A.A.A., (en lo sucesivo el reclamante), en el que, en síntesis, expone que el AYUNTAMIENTO DE NIGRÁN, (en lo sucesivo, el reclamado), depositó, con fecha 21 de julio de 2018, el boletín de denuncia nº ***BOLETIN.1 con todos sus datos personales en el exterior del parabrisas delantero de su vehículo matrícula ***MATRICULA.1, de tal modo que la información de carácter personal incluida en el citado boletín de denuncia por infracción de tráfico estaba a la vista y resultaba accesible para cualquier viandante que transitase por las inmediaciones del lugar en el que estaba estacionado dicho vehículo. El reclamante adjunta copia del mencionado Boletín de denuncia, en el que junto con los datos del vehículo denunciado aparecen el nombre, apellidos, DNI código y dirección postal del reclamante en los datos del conductor denunciado. Dicho documento está firmado por dos agentes de Policía Local del reseñado Ayuntamiento, si bien no figura la firma del denunciado, en este caso, el reclamante, ya que según éste aduce no se encontraba en el lugar de la infracción. SEGUNDO: Tras la recepción de la reclamación, la Subdirección General de Inspección de Datos procedió a solicitar información acerca de lo siguiente: Con fecha 2 de octubre fue trasladada al AYUNTAMIENTO DE NIGRÁN la reclamación presentada para su análisis y comunicación al reclamante de la decisión adoptada al respecto. Igualmente, se le requería para que en el plazo de un mes remitiera a la Agencia determinada información: - Copia de las comunicaciones, de la decisión adoptada que haya remitido al reclamante a propósito del traslado de esta reclamación, y acreditación de que el reclamante ha recibido la comunicación de esa decisión. - Informe sobre las causas que han motivado la incidencia que ha originado la reclamación. - Informe sobre las medidas adoptadas para evitar que se produzcan incidencias similares. - Cualquier otra que considere relevante. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/6 En la misma fecha se le comunicaba al reclamante la recepción de la reclamación y su traslado al citado Ayuntamiento. TERCERO: Con fecha 2 de noviembre de 2018, de conformidad con el artículo 9 del Real Decreto-ley 5/2018 de 27 de julio y a los efectos previstos en su artículo 11, la Directora de la Agencia Española de Protección de Datos acordó admitir a trámite la reclamación presentada por el reclamante contra dicho Ayuntamiento. CUARTO: Con fecha 7 de noviembre de 2018 se registra de entrada en esta Agencia escrito del AYUNTAMIENTO DE NIGRÁN adjuntando, entre otra, la siguiente documentación que obra en el expediente: actuaciones practicadas ante la empresa RECYGES, S.L., responsable de la aplicación informática y dispositivos utilizados por el citado Ayuntamiento para la tramitación de las denuncias por infracción de tráfico, contestación efectuada por dicha empresa, informe sobre las posibles causas que motivaron que se incorporasen al boletín de denuncia por infracción de tráfico los datos del titular del vehículo y otro informe referido a las medidas de seguridad implementadas para evitar que se repita esta situación o otra similar. FUNDAMENTOS DE DERECHO I De acuerdo con los poderes de investigación y correctivos que el artículo 58 del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) otorga a cada autoridad de control, y según lo dispuesto en el artículo 47 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. II De conformidad con lo establecido en el artículo 55 del RGPD, la Agencia Española de Protección de Datos es competente para desempeñar las funciones que se le asignan en su artículo 57, entre ellas, la de hacer aplicar el Reglamento y promover la sensibilización de los responsables y los encargados del tratamiento acerca de las obligaciones que les incumben, así como tratar las reclamaciones presentadas por un interesado e investigar el motivo de las mismas. El artículo 55.2 del RGPD dispone que: “2. Cuando el tratamiento sea efectuado por autoridades públicas o por organismos privados que actúen con arreglo al artículo 6, apartado 1, letras
- c)o e), será competente la autoridad de control del Estado miembro de que se trate. No será aplicable en tales casos el artículo 56.” Corresponde, asimismo, a la Agencia Española de Protección de Datos ejercer los poderes de investigación regulados en el artículo 58.1 del mismo texto legal, entre los que figura la facultad de ordenar al responsable y al encargado del tratamiento que faciliten cualquier información que requiera para el desempeño de sus funciones. Correlativamente, el artículo 31 del RGPD establece la obligación de los responsables y encargados del tratamiento de cooperar con la autoridad de control C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/6 que lo solicite en el desempeño de sus funciones. Para el caso de que éstos hayan designado un delegado de protección de datos, el artículo 39 del RGPD atribuye a éste la función de cooperar con dicha autoridad. Asimismo, el artículo 9.3 del Real Decreto-ley 5/2018, de 27 de julio, de medidas urgentes para la adaptación del Derecho español a la normativa de la Unión Europea en materia de protección de datos, establece que “3. Igualmente, la Agencia Española de Protección de Datos podrá inadmitir la reclamación cuando el responsable o encargado del tratamiento, previa advertencia formulada por la Agencia hubiera adoptado las medidas correctivas encaminadas a poner fin al posible incumplimiento de la legislación de protección de datos y concurra alguna de las siguientes circunstancias:
- a)Que no se haya causado perjuicio al afectado.
- b)Que el derecho del afectado quede plenamente garantizado mediante la aplicación de las medidas.” III En el presente caso, la reclamación formulada por el reclamante contra el AYUNTAMIENTO DE NIGRÁN por una presunta vulneración del principio de confidencialidad recogido en el artículo 5.1.
- f)del RGPD en su relación con lo previsto en el artículo 32.1.
- b)del mismo Reglamento respecto de la seguridad del tratamiento de los datos personales. El artículo 5.1.
- f)entre los principios relativos al tratamiento dispone que: “1. Los datos personales serán:
- f)tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»).” Por su parte, el artículo 32.1.
- b)en cuanto a la “Seguridad del tratamiento” dispone que: “1. Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, que en su caso incluya, entre otros: (…)
- b)la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento;” De conformidad con la normativa expuesta, con carácter previo a la admisión a trámite de esta reclamación, se dio traslado de la misma, al mencionado Ayuntamiento C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/6 para que procediese a su análisis y diera respuesta al reclamante y a esta Agencia en el plazo de un mes. Asimismo, se solicitó al reseñado Ayuntamiento copia de la comunicación remitida por el mismo al reclamante a propósito de la reclamación, informe sobre las causas que motivaron la incidencia producida y detalle de las medidas adoptadas para evitar situaciones similares. Por otro lado, se acusó recibo de la reclamación presentada por la reclamante, informándole además de su traslado al reclamado y del requerimiento hecho a éste para que en el plazo de un mes informase a esta Agencia de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. Según el reseñado Ayuntamiento para que los datos personales del titular del vehículo aparezcan impresos en el boletín de denuncia hay que introducir previamente en el dispositivo móvil los datos de la matrícula y solicitar los del titular, y una vez mostrada esta información en pantalla, aceptar su impresión en el ticket de entrega. Para los casos en los que, como en el supuesto estudiado, el conductor no está presente en el momento de la denuncia la aplicación obliga a marcar el campo de “ausente” para evitar que desde la aplicación se descarguen los datos del titular en el boletín de denuncia, amén de que la circunstancia de la ausencia ha de indicarse para justificar la falta de notificación en el acto. Conocida la incidencia descrita, se manifiesta que desde la Policía Local del Ayuntamiento de Nigrán se efectuaron distintas comprobaciones en la aplicación utilizada marcando en diferentes tipos de denuncias la casilla de ausente, sin que en ningún caso aparecieran volcados los datos del titular del vehículo. A la vista de las medidas técnicas y de seguridad existentes, se señala que los hechos objeto de la reclamación pudieron traer causa en un error humano del agente de la Policía Local originado en la carga de trabajo que se produjo en el día y lugar en que se efectuó la denuncia en cuestión, a lo que se suma el hecho de que los campos correspondientes a los datos personales del titular presentan el mismo formato que el resto de campos del boletín de denuncia, dificultando con ello observar la irregularidad denunciada estando ausente el conductor del vehículo. Asimismo, señalan que han requerido a la empresa RECYGES,S.L. la implementación de una medida de seguridad adicional para impedir que los datos del titular del vehículo consten en la impresión del boletín en papel cuando el conductor está ausente y la denuncia no se notifica en el acto, consistente en un aviso, previo a la impresión, en caso de no haber indicado que el conductor está ausente, advirtiendo de la impresión de datos personales y solicitando confirmación por el usuario de la orden de impresión del boletín. Por su parte, la empresa RECYGES,S.L. ha indicado al mencionado Ayuntamiento, según figura en la contestación aportada por éste, que ha comprobado el correcto funcionamiento del soporte informático y verificado que excepto en caso de error material en el uso del dispositivo, los datos del titular del vehículo, si el conductor está ausente en el momento de la denuncia, no se incorporan al boletín y no constan en la impresión en papel C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/6 En el presente caso, una vez analizadas las manifestaciones efectuadas por el AYUNTAMIENTO DE NIGRÁN y la documentación aportada por el mismo, que obra en el expediente, y habiendo informado al reclamante de las causas de la incidencia, se considera procedente acordar el archivo de las presentes actuaciones. Para ello, se tiene en cuenta que el tratamiento estudiado deriva de un error puntual, habida cuenta que el Ayuntamiento reclamado ya contaba con medidas de seguridad tendentes a proteger la confidencialidad de los datos personales tratados en los boletines de denuncia cuando el conductor del vehículo se encuentra ausente, a lo que se suma las medidas de refuerzo de las alertas previas a la orden de impresión del boletín que dicho Ayuntamiento ha ordenado reforzar en este tipo de supuestos a raíz de la reclamación, y cuya implementación ha reconocido la empresa REYGES, S.L. Todo ello sin perjuicio de las posibles actuaciones que esta Agencia pudiera llevar a cabo ante el responsable del tratamiento en caso de que se produzca una reiteración en la conducta puesta de manifiesto en la presente reclamación o no se apliquen de manera efectiva medidas técnicas y organizativas apropiadas para garantizar un nivel adecuado de seguridad que no comprometa la confidencialidad integridad y disponibilidad de los datos de carácter personal. Si así ocurriera, esta Agencia acordará la realización de la oportuna investigación sobre los tratamientos de datos personales y los procesos de gestión que el responsable del tratamiento aplica en materia de protección de datos de carácter personal, así como las posibles actuaciones correctivas que procedieran. Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA 1. PROCEDER AL ARCHIVO de las presentes actuaciones. 2. NOTIFICAR la presente resolución a Don A.A.A. y al AYUNTAMIENTO DE NIGRÁN. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
- c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/6 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es