1/6 Procedimiento Nº: E/12072/2019 940-0419 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: La reclamación interpuesta por Don A.A.A. tiene entrada, con fecha 7 de septiembre de 2018, en la Agencia Española de Protección de Datos. La reclamación se dirige contra AYUNTAMIENTO DE TOTANA, con NIF P3003900B (en adelante, el reclamado). Los motivos en que basa la reclamación son los siguientes: <<El Jueves 6 de septiembre de 2018, un policía local notificador del Ayuntamiento de Totana, le hace entrega en su domicilio la notificación nº 10991 que reza en mayúsculas: NOTIFICACIÓN EMBARGO DE CREDITOS O DERECHOS. Se le entrega la notificación al descubierto y redactada en un folio a doble cara, siendo visible desde el exterior a terceros datos personales sensibles como datos del deudor, detalle y desglose de los débitos, descripción de los derechos embargados y que se trata de un embargo. Esta forma de notificar sin sobre, a través de un notificador, donde se puede leer su contenido íntegro, al no ir incluida en ningún tipo de sobre que impida el acceso al texto de las mismas por terceros ni con dispositivo alguno que impida leer su contenido, supone el acceso a la información contenida en el acto de notificación por terceros ajenos al destinatario de la misma. Esta forma de notificar vulnera el deber de secreto recogido en el art 10 LOPD, y, además, este ayuntamiento que tiene subcontratado el servicio de recaudación municipal con la empresa Asirec S.L. al utilizar documentos donde queda constancia que contienen diligencias de embargo al destinatario también se vulnera el principio de seguridad de los datos, establecido en el artículo 9 LOPD. Añade el reclamante, que, a su criterio, estaríamos ante una vulneración de derechos en materia de protección de datos, ya que el acto de notificación se realiza sin sobre y al descubierto, permitiendo tener acceso al notificador a todo el texto íntegro de la notificación nº 10991, notificación tributaria que en su parte posterior reza: recibe el interesado la presente notificación en fecha........o por no encontrase el interesado en su domicilio, recibe la notificación D./Doña:.......quedando advertido de la obligación de entregarla al interesado. Esto prueba que se hace la entrega de dicha notificación al descubierto sin ir incluida en ningún tipo de sobre, llevándose el notificador el original firmado como acuse de recibo o justificante de entrega, produciéndose por tanto un acceso por un tercero a mis datos personales. Solicita a la Agencia Española de Protección de Datos que inicie actuaciones inspectoras eficazmente a la mayor brevedad posible y solicite copia del original firmado por mí y respaldado por el notificador que da fe de su entrega, a fin de identificar al policía municipal notificador que me hizo entrega de la notificación nº C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/6 10991 a efectos de recabar testifical sobre el proceso de entrega del acto de notificación. Junto a la reclamación aporta copia de su notificación de embargo.>> En fecha 1 de diciembre de 2018, el reclamante presenta nuevo escrito señalando que en las notificaciones de embargo y demás notificaciones de resoluciones de alcaldía que viene recibiendo por el Ayuntamiento de Totana y cuyas copias adjunto a este escrito, no figura información alguna a la normativa de Protección de Datos de Carácter Personal, y no consta en ellas, ni en su anverso ni en su reverso, información alguna sobre el tratamiento de los datos de carácter personal. No aparece en dichas notificaciones emitidas por el Consistorio la información necesaria acerca de la normativa de protección de datos. Por tanto, el Ayuntamiento incumple la LOPD, infringiendo el art 5 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de datos de Carácter Personal (LOPD). SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), con número de referencia E/07380/2018, se dio traslado de dicha reclamación al reclamado, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. TERCERO: Con fecha 28 de noviembre de 2018, el Ayuntamiento de Totana contestó al reclamante indicándole lo siguiente: Que las notificaciones se practican de conformidad con lo establecido en la LPACAP, Ley General Tributaria y Reglamento de Recaudación. Consideran que la notificación practicada por un Policía Local del propio Ayuntamiento no vulnera la normativa vigente, ya que el notificador no puede considerarse un tercero, al formar parte del personal del Ayuntamiento. Un supuesto similar fue resuelto por la Audiencia Nacional en sentencia de 10 de julio de 2014, que consideró que se tenía que acreditar ese acceso por terceros, y que no era una buena medida de seguridad que practicase la notificación sin sobre cerrado Correos. Las Administraciones comenzaron a notificar a través de sus propios trabajadores, legitimados para acceder a la documentación, con obligación de confidencialidad, y que ofrecieran las mejores medidas de seguridad. Con fecha 22 de marzo de 2019, la Directora de la Agencia Española de Protección de Datos acordó admitir a trámite la reclamación presentada por el reclamante. FUNDAMENTOS DE DERECHO I De acuerdo con los poderes de investigación y correctivos que el artículo 58 del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) otorga a cada autoridad de control, y según lo dispuesto en el artículo 47 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/6 resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. II En el presente caso, se ha recibido en esta Agencia la reclamación presentada por el reclamante contra el reclamado, por una presunta vulneración de la normativa de protección de datos en lo referente a la seguridad de los mismos y la confidencialidad. El artículo 5.1.
- f)del RGPD, que se refiere a la confidencialidad, estable: “los datos personales serán: tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas (<<integridad y confidencialidad>)”. Por otro lado, el artículo 5 de la LOPDGG concreta el deber de confidencialidad en el sentido siguiente: “1. Los responsables y encargados del tratamiento de datos así como todas las personas que intervengan en cualquier fase de este estarán sujetas al deber de confidencialidad al que se refiere el artículo 5.1.
- f)del Reglamento (UE) 2016/679. 2. La obligación general señalada en el apartado anterior será complementaria de los deberes de secreto profesional de conformidad con su normativa aplicable. 3. Las obligaciones establecidas en los apartados anteriores se mantendrán aun cuando hubiese finalizado la relación del obligado con el responsable o encargado del tratamiento.” En cuanto a las medidas de seguridad, el artículo 32 del RGPD dispone lo siguiente: “1. Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, que en su caso incluya, entre otros:
- a)la seudonimización y el cifrado de datos personales;
- b)la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento;
- c)la capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente físico o técnico; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/6
- d)un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento. 2. Al evaluar la adecuación del nivel de seguridad se tendrán particularmente en cuenta los riesgos que presente el tratamiento de datos, en particular como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos. 3. La adhesión a un código de conducta aprobado a tenor del artículo 40 o a un mecanismo de certificación aprobado a tenor del artículo 42 podrá servir de elemento para demostrar el cumplimiento de los requisitos establecidos en el apartado 1 del presente artículo. 4. El responsable y el encargado del tratamiento tomarán medidas para garantizar que cualquier persona que actúe bajo la autoridad del responsable o del encargado y tenga acceso a datos personales solo pueda tratar dichos datos siguiendo instrucciones del responsable, salvo que esté obligada a ello en virtud del Derecho de la Unión o de los Estados miembros.” III El primer hecho denunciado se concreta en la entrega de una notificación de embargo del Ayuntamiento de Totana, en su domicilio, por parte de un Policía Local perteneciente a la plantilla de ese consistorio al descubierto y redactada en un folio a doble cara, siendo visible desde el exterior a terceros datos personales sensibles como datos del deudor, detalle y desglose de los débitos, descripción de los derechos embargados y que se trata de un embargo. Esta forma de notificar sin sobre entiende el reclamante que incumple la normativa de protección de datos. En fecha 21 de noviembre de 2018, el Ayuntamiento contestó al reclamante indicándole que no se habían vulnerado las medidas de seguridad y el deber de secreto, ya que la entrega de la notificación no la realiza un tercero, sino un trabajador del Ayuntamiento que tiene obligación de secreto y acceso autorizado a los datos, y que puede dar presunción de veracidad de los datos de recepción de las notificaciones, como es un Policía Local. Aún siendo cierto lo indicado por el Ayuntamiento, ya que la vulneración del deber de guardar secreto es una infracción de resultado y un Policía local del Ayuntamiento no puede considerarse un tercero ajeno; sería recomendable que se reforzasen las medidas de seguridad en la entrega de estas notificaciones, y se entregasen en sobre cerrado. El Policía Local podría señalar todo lo referido a la recepción de la notificación y tendría la misma presunción de veracidad. IV En segundo lugar, el reclamante señala que en las notificaciones de embargo y demás notificaciones de resoluciones de alcaldía que viene recibiendo por el Ayuntamiento de Totana no figura información alguna a la normativa de Protección de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/6 Datos de Carácter Personal, y no consta en ellas, ni en su anverso ni en su reverso, información alguna sobre el tratamiento de los datos de carácter personal. El artículo 13 del RGPD referido a la información que debe facilitarse a los interesados, establece lo siguiente: “1. Cuando se obtengan de un interesado datos personales relativos a él, el responsable del tratamiento, en el momento en que estos se obtengan, le facilitará toda la información indicada a continuación:
- a)la identidad y los datos de contacto del responsable y, en su caso, de su representante;
- b)los datos de contacto del delegado de protección de datos, en su caso;
- c)los fines del tratamiento a que se destinan los datos personales y la base jurídica del tratamiento;
- d)cuando el tratamiento se base en el artículo 6, apartado 1, letra f), los intereses legítimos del responsable o de un tercero;
- e)los destinatarios o las categorías de destinatarios de los datos personales, en su caso;
- f)en su caso, la intención del responsable de transferir datos personales a un tercer país u organización internacional y la existencia o ausencia de una decisión de adecuación de la Comisión, o, en el caso de las transferencias indicadas en los artículos 46 o 47 o el artículo 49, apartado 1, párrafo segundo, referencia a las garantías adecuadas o apropiadas y a los medios para obtener una copia de estas o al hecho de que se hayan prestado. 2. Además de la información mencionada en el apartado 1, el responsable del tratamiento facilitará al interesado, en el momento en que se obtengan los datos personales, la siguiente información necesaria para garantizar un tratamiento de datos leal y transparente:
- a)el plazo durante el cual se conservarán los datos personales o, cuando no sea posible, los criterios utilizados para determinar este plazo;
- b)la existencia del derecho a solicitar al responsable del tratamiento el acceso a los datos personales relativos al interesado, y su rectificación o supresión, o la limitación de su tratamiento, o a oponerse al tratamiento, así como el derecho a la portabilidad de los datos;
- c)cuando el tratamiento esté basado en el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), la existencia del derecho a retirar el consentimiento en cualquier momento, sin que ello afecte a la licitud del tratamiento basado en el consentimiento previo a su retirada;
- d)el derecho a presentar una reclamación ante una autoridad de control;
- e)si la comunicación de datos personales es un requisito legal o contractual, o un requisito necesario para suscribir un contrato, y si el interesado está obligado a facilitar los datos personales y está informado de las posibles consecuencias de que no facilitar tales datos;
- f)la existencia de decisiones automatizas, incluida la elaboración de perfiles, a que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/6 3. Cuando el responsable del tratamiento proyecte el tratamiento ulterior de datos personales para un fin que no sea aquel para el que se recogieron, proporcionará al interesado, con anterioridad a dicho tratamiento ulterior, información sobre ese otro fin y cualquier información adicional pertinente a tenor del apartado 2. 4. Las disposiciones de los apartados 1, 2 y 3 no serán aplicables cuando y en la medida en que el interesado ya disponga de la información.” Cualquier entidad, pública o privada, que trate datos personales debe facilitar la información indicada con carácter previo a la recogida de los datos, pero no tiene que informarle en cada tratamiento que realice si ya se le informó. El Ayuntamiento cuando recaba datos de los vecinos ha de facilitarles la información a la que tienen derecho acerca del tratamiento de sus datos, pero no es necesario reiterarlo cuando ya se ha informado. Por lo tanto, se ha acreditado que la actuación del reclamado como entidad responsable del tratamiento ha sido acorde con la normativa sobre protección de datos personales analizada en los párrafos anteriores. Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución al reclamante y reclamado. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
- c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es