1/9 Expediente N.º: EXP202409952 RESOLUCIÓN DE PROCEDIMIENTO DE DERECHOS Vista la reclamación registrada en fecha 10 de junio de 2024 ante esta Agencia y realizadas las actuaciones procedimentales previstas en el Título VIII de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo, LOPDGDD), se han constatado los siguientes HECHOS PRIMERO: Con fecha 10 de junio de 2024 tuvo entrada en esta Agencia reclamación presentada por A.A.A. (en adelante, la parte reclamante) contra DIRECCIÓN GENERAL DE LA POLICÍA (en adelante, la parte reclamada) por no haber sido debidamente atendido su derecho de acceso. La parte reclamante manifiesta que, el día 15 de abril de 2024, solicitó a la parte reclamada, parte reclamada, acceso a sus antecedentes policiales, aportando copia del justificante de presentación en el registro, sin recibir ninguna respuesta. SEGUNDO: De conformidad con el artículo 65.4 de la LOPDGDD se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. Con fecha 11 de julio de 2024 la parte reclamada puso de manifiesto en la respuesta a ese trámite de traslado, en síntesis, que: “Por parte de esta Oficina Central Nacional se dio traslado de las circunstancias indicadas en su notificación a la División de Documentación, como responsable del Registro de Tratamiento PERPOL, en conformidad con el Registro de Actividades de Tratamiento del Ministerio del Interior, instando a que se remitiese informe sobre la contestación efectuada a la parte reclamante, a fin de proceder a dar contestación a esa AEPD. El día 11 de julio de 2024 la citada División remitió escrito (adjunto al presente) a esta Oficina Central Nacional comunicando las actuaciones efectuadas. Por lo expuesto, a juicio de este DPD se considera que la Dirección General de la Policía ha actuado en conformidad con lo solicitado y ha realizado las correspondientes actuaciones de comunicación e información al reclamante en aras a garantizar el ejercicio de su derecho de acceso en materia de protección de datos. La Dirección General de la Policía. Subdirección General de Logística e Innovación. División de Documentación. Area de Tratamiento, señala que: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/9 “El día 17 de mayo de 2024, se remitió la notificación a través de la Dirección Electrónica Habilitada Única (DEHU), expirando el plazo por caducidad, al superarse el plazo establecido para la comparecencia a fecha de 11 de junio de
- Se adjunta notificación y certificado de rechazo por caducidad del servicio de la DEHU.” En el certificado de DEHú Notificaciones consta lo siguiente: “Rechazo de notificación por caducidad La siguiente notificación: Titular A.A.A. con NIF ***NIF.1 Identificador ***REFERENCIA.1 Concepto Acceso a los antecedentes policiales Remitida por División de Documentacion el día 17/05/24 10:32 ha sido expirada por caducidad, al superarse el plazo establecido para la comparecencia, a fecha de 11/06/24 00:00.” Por lo expuesto, esta Agencia, en su resolución de fecha 27 de septiembre de 2024, consideró que “(…) una vez analizadas las razones expuestas por la parte reclamada, que obran en el expediente, a la vista de las actuaciones realizadas, se considera que la solicitud de la parte reclamante ha sido atendida de conformidad con la normativa de protección de datos personales, sin que sea necesario instar la adopción de medidas adicionales al haber quedado atendido el derecho solicitado, por lo que procede el archivo de la reclamación formulada.” TERCERO: Disconforme con la resolución, la parte reclamante interpuso recurso de reposición argumentando que, a pesar de lo manifestado por la parte reclamada, "todavía no se ha recibido respuesta a la petición de acceso realizada en fecha 15 de abril de 2024". Instruido el procedimiento de Recurso de Reposición correspondiente, en el que se dio audiencia a la parte reclamada, con fecha 23 de enero de 2025, por parte de esta Agencia se estimó el mismo porque “Una vez informada la parte reclamada en el trámite de audiencia de que la parte recurrente no había recibido la respuesta al derecho solicitado, ésta ha insistido en que se dio respuesta electrónica, la cual resultó expirada. Cabe señalar que la parte recurrente ha presentado la solicitud, formulado la reclamación e interpuesto el recurso de reposición en su propio nombre, sin representante y como persona física que no está obligada a relacionarse por medios electrónicos con las Administraciones Públicas, como regula el artículo 14 de la LPACAP. La parte reclamada no ha acreditado que la parte recurrente eligiera ser notificada por medios electrónicos, motivo por el que no ha quedado constatada la prueba del cumplimiento del deber de responder a la solicitud de ejercicio de conformidad con lo señalado por el artículo 12.4 de la LOPDGDD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/9 Por tanto, en el presente caso, existen indicios de incumplimiento de la normativa de protección de datos que deben ser analizados por la Subdirección General de Inspección de Datos, y procede la estimación del recurso interpuesto.” CUARTO: Como consecuencia de la estimación del citado Recurso de Reposición, se inició el presente Procedimiento de Derechos, dando traslado de la documentación a la parte reclamada, para que en el plazo de diez días hábiles presentase las alegaciones que estimara convenientes. La parte reclamada señaló en su escrito de 5 de febrero de 2025 que, una vez recibida la documentación remitida por esta Agencia con fecha 31 de enero de 2025, “(…) Ese mismo día, por parte de esta Oficina Central Nacional, se dio traslado de las circunstancias indicadas en su notificación a la División de Documentación, como responsable del tratamiento PERPOL, en conformidad con el Inventario de Actividades de Tratamiento del Ministerio del Interior, instando a que se remitiese informe sobre la contestación efectuada a la parte reclamante, a fin de proceder a dar contestación a esa AEPD. El día 4 de febrero de 2025 la citada División remitió informe (adjunto al presente y con N/REF: ***REFERENCIA.2 Sección de Tratamiento de Antecedentes Policiales) a los efectos de alegaciones y adjuntando notificación al interesado y rechazo por caducidad del servicio de la DEHU. A continuación, se reproducen de forma literal las alegaciones: “Como ya se informó a esa Oficina mediante oficio con registro de salida ***REFERENCIA.3 de fecha 11/07/2024, tras ser solicitado por el interesado el día 15 de abril de 2024 a través de la sede electrónica de la Dirección General de la Policía, el acceso a los antecedentes policiales, el día 17 de mayo de 2024 le fue remitido el correspondiente informe de antecedentes policiales, notificado mediante comparecencia electrónica como solicitaba el mismo, expirando el plazo establecido para la comparecencia por caducidad, a fecha de 11/06/
- Se adjunta notificación y certificado de rechazo por caducidad del servicio de la DEHU. así como solicitud a través de la sede electrónica”. Lo que se comunica a efectos de dar contestación al requerimiento de esa AEPD quedando a disposición para cualquier actuación adicional o complementaria al respecto. Se significa que entre la documentación del expediente consta que el interesado solicitó expresamente la comunicación por medios electrónicos. A continuación se detalla la petición expresa del interesado: “Hechos Primero-Que en 15 de abril de 2024 se presentó (sic) de acceso a los antecedentes policiales contenidos en el fichero PERPOL ante la Dirección General de la Policía del Ministerio del Interior, aportando mi documento de identidad con (sic) y con la petición expresa de que la notificación sea por C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/9 medios electrónicos, haciendo uso de “DEHÚ” (Dirección Electrónica Habilitada Única). Se aporta resguardo justificativo de la solicitud como documento número 1” En este punto y sin que SIRVA DE ALEGACIONES este DPD considera relevante traer a colación el artículo 43 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas que dispone: Artículo
- Práctica de las notificaciones a través de medios electrónicos.
- Las notificaciones por medios electrónicos se practicarán mediante comparecencia en la sede electrónica de la Administración u Organismo actuante, a través de la dirección electrónica habilitada única o mediante ambos sistemas, según disponga cada Administración u Organismo. A los efectos previstos en este artículo, se entiende por comparecencia en la sede electrónica, el acceso por el interesado o su representante debidamente identificado al contenido de la notificación.
- Las notificaciones por medios electrónicos se entenderán practicadas en el momento en que se produzca el acceso a su contenido. Cuando la notificación por medios electrónicos sea de carácter obligatorio, o haya sido expresamente elegida por el interesado, se entenderá rechazada cuando hayan transcurrido diez días naturales desde la puesta a disposición de la notificación sin que se acceda a su contenido.
- Se entenderá cumplida la obligación a la que se refiere el artículo 40.4 con la puesta a disposición de la notificación en la sede electrónica de la Administración u Organismo actuante o en la dirección electrónica habilitada única.
- Los interesados podrán acceder a las notificaciones desde el Punto de Acceso General electrónico de la Administración, que funcionará como un portal de acceso.” QUINTO: Examinado el escrito presentado por la parte reclamada, se trasladó a la parte reclamante, para que, en el plazo de diez días hábiles formulase las alegaciones que considerase oportunas. La parte reclamante, con fecha 16 de febrero de 2025, contestó a esta Agencia, en síntesis, que “Que si bien es cierto que se solicitó, tanto en la solicitud de acceso a los datos personales del fichero “PERPOL”, dirigida a la Dirección General de la Policía, como en el Recurso de Reposición contra Resolución de Archivo de la AEPD, la notificación electrónica, la práctica de la misma no se efectuó, a pesar de alegarlo documentalmente la DGP. Este hecho se puede demostrar mediante, por un lado, de la inexistencia de aviso de disposición de notificación en “DEHÚ”, y por otro, que la “supuesta” disposición de notificación de acceso a los datos personales se depositó en fecha 17/05/2024, a las 10:32h, extemporánea, al haberse realizado la solicitud de acceso, en fecha 15/04/2025.” (SIC) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/9 SEXTO: Otorgada audiencia a la parte reclamada, ésta señala en su escrito de 20 de febrero de 2025, en síntesis, que “(…) Referente a la inexistencia de aviso de disposición de notificación en la Dirección Electrónica Habilitada Única (DEHú), según establece la Ley 39/2015, de 1 de octubre, del procedimiento Administrativo Común de las Administraciones Públicas, en su artículo 41, apartado 6, “La falta de practica de este aviso no impedirá que la notificación sea considerada plenamente válida”. Por otra parte, si la notificación se efectuó el 17/05/2024, es evidente que la solicitud de acceso no se pudo realizar el 15/05/2025, como figura en las alegaciones presentadas ante la Agencia Española de Protección de Datos.” FUNDAMENTOS DE DERECHO I Competencia De acuerdo con las funciones que el artículo 49 de la Ley Orgánica 7/2021, de 26 de mayo, de protección de datos personales tratados para fines de prevención, detección, investigación y enjuiciamiento de infracciones penales y de ejecución de sanciones penales (en lo sucesivo, LO 7/2021), atribuye a las autoridades de protección de datos, conforme a lo establecido en el artículo 48 de la citada LO 7/2021 y según lo establecido en los artículos 47, 48.1 y 64.1 de la LOPDGDD, es competente para resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." Por último, el artículo 52 "Régimen aplicable a los procedimientos tramitados ante las autoridades de protección de datos" de la LO 7/2021 establece que: "
- En el caso de que los interesados aprecien que el tratamiento de los datos personales haya infringido las disposiciones de esta Ley Orgánica o no haya sido atendida su solicitud de ejercicio de los derechos reconocidos en los artículos 21, 22 y 23 tendrán derecho a presentar una reclamación ante la autoridad de protección de datos.
- Dichas reclamaciones serán tramitadas por la autoridad de protección de datos competente con sujeción al procedimiento establecido en el título VIII de la Ley Orgánica 3/2018, de 5 de diciembre, y, en su caso, a la legislación de las Comunidades Autónomas que resulte de aplicación. Tendrán carácter subsidiario las normas generales sobre los procedimientos administrativos y el régimen jurídico del sector público." C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/9 II Régimen jurídico aplicable El Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento General de Protección de Datos) al determinar su ámbito de aplicación material, establece en su artículo 2 una serie de tratamientos de datos personales en los que el mismo no resulta aplicable. Entre dichos tratamientos se encuentra en el apartado d) el tratamiento de datos personales “por parte de las autoridades competentes con fines de prevención, investigación, detección o enjuiciamiento de infracciones penales, o de ejecución de sanciones penales, incluida la de protección frente a amenazas a la seguridad pública y su prevención” Para tratamientos de dicha naturaleza, resulta de aplicación la vigente Ley Orgánica 7/2021, de 26 de mayo, a través de la cual se transpone a nuestro ordenamiento jurídico la Directiva (UE) 2016/680 del Parlamento Europeo y del Consejo de 27 de abril de 2016, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales por parte de las autoridades competentes para fines de prevención, investigación, detección o enjuiciamiento de infracciones penales o de ejecución de sanciones penales, y a la libre circulación de dichos datos. En este sentido, dicha ley orgánica tiene como objeto, según su artículo primero, “establecer las normas relativas a la protección de las personas físicas en lo que respecta al tratamiento de los datos de carácter personal por parte de las autoridades competentes, con fines de prevención, detección, investigación y enjuiciamiento de infracciones penales o de ejecución de sanciones penales, incluidas la protección y prevención frente a las amenazas contra la seguridad pública.” Asimismo, el artículo segundo, al delimitar su ámbito de aplicación establece que dicha norma será de aplicación “al tratamiento total o parcialmente automatizado de datos personales, así como al tratamiento no automatizado de datos personales contenidos o destinados a ser incluidos en un fichero, realizado por las autoridades competentes, con fines de prevención, detección, investigación y enjuiciamiento de infracciones penales y de ejecución de sanciones penales, incluidas la protección y prevención frente a las amenazas contra la seguridad pública.” III Sobre las disposiciones de la LO 7/2021 La citada Ley Orgánica 7/2021 establece: “Artículo
- Condiciones generales de ejercicio de los derechos de los interesados. “
- El responsable del tratamiento deberá facilitar al interesado, de forma concisa, inteligible, de fácil acceso y con lenguaje claro y sencillo para todas las personas, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/9 incluidas aquellas con discapacidad, toda la información contemplada en el artículo 21, así como la derivada de los artículos 14, 22 a 26 y
- Además, el responsable del tratamiento deberá adoptar las medidas necesarias para garantizar al interesado el ejercicio de sus derechos a los que se refieren los artículos 14 y 22 a
- (…).” Artículo
- Información que debe ponerse a disposición del interesado. “
- El responsable del tratamiento de los datos pondrá a disposición del interesado, al menos, la siguiente información: a) La identificación del responsable del tratamiento y sus datos de contacto. b) Los datos de contacto del delegado de protección de datos, en su caso. c) Los fines del tratamiento a los que se destinen los datos personales. d) El derecho a presentar una reclamación ante la autoridad de protección de datos competente y los datos de contacto de la misma. e) El derecho a solicitar del responsable del tratamiento el acceso a los datos personales relativos al interesado y su rectificación, supresión o la limitación de su tratamiento.
- Además de la información a la que se refiere el apartado 1, atendiendo a las circunstancias del caso concreto, el responsable del tratamiento proporcionará al interesado la siguiente información adicional para permitir el ejercicio de sus derechos: a) La base jurídica del tratamiento. b) El plazo durante el cual se conservarán los datos personales o, cuando esto no sea posible, los criterios utilizados para determinar ese plazo. c) Las categorías de destinatarios de los datos personales, cuando corresponda, en particular, los establecidos en Estados que no sean miembros de la Unión Europea u organizaciones internacionales. d) Cualquier otra información necesaria, en especial, cuando los datos personales se hayan recogido sin conocimiento del interesado.” Artículo
- Derecho de acceso del interesado a sus datos personales. “
- El interesado tendrá derecho a obtener del responsable del tratamiento confirmación de si se están tratando o no datos personales que le conciernen. En caso de que se confirme el tratamiento, el interesado tendrá derecho a acceder a dichos datos personales, así como a la siguiente información: a) Los fines y la base jurídica del tratamiento. b) Las categorías de datos personales de que se trate. c) Los destinatarios o las categorías de destinatarios a quienes hayan sido comunicados los datos personales, en particular, los destinatarios establecidos en Estados que no sean miembros de la Unión Europea u organizaciones internacionales. d) El plazo de conservación de los datos personales, cuando sea posible, o, en caso contrario, los criterios utilizados para determinar dicho plazo. e) La existencia del derecho a solicitar del responsable del tratamiento la rectificación o supresión de los datos personales relativos al interesado o la limitación de su tratamiento. f) El derecho a presentar una reclamación ante la autoridad de protección de datos competente y los datos de contacto de la misma. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/9 g) La comunicación de los datos personales objeto de tratamiento, así como cualquier información disponible sobre su origen, sin revelar la identidad de ninguna persona física, en especial en el caso de fuentes confidenciales.
- (…)
- Se entenderá concedido el derecho de acceso si el responsable del tratamiento facilita al interesado un sistema remoto, directo y seguro que garantice, de modo permanente, el acceso a la totalidad de sus datos personales. La notificación informando al interesado del procedimiento puesto en marcha a través de este sistema, permitirá denegar su solicitud de acceso efectuada por otras vías. Si el acceso remoto no facilita la totalidad de la información contenida en el apartado 1, el interesado tendrá derecho a solicitarla.
- (…)” IV Conclusión En el presente caso, del examen de la documentación aportada por las partes durante la instrucción de este expediente, ha quedado acreditado que la parte reclamante solicitó acceso a sus datos personales ante la parte reclamada, y que ésta le envió la información solicitada mediante notificación electrónica a través del servicio DEHú, medio elegido expresamente por la parte reclamante. Sin embargo, la parte reclamante no accedió a dicha notificación en el plazo establecido por dicho sistema, resultado Expirada la misma. En consecuencia, procede desestimar la reclamación interpuesta. Vistos los preceptos citados y demás de general aplicación, la Presidencia de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR la reclamación formulada por A.A.A. contra DIRECCIÓN GENERAL DE LA POLICÍA. SEGUNDO: NOTIFICAR la presente resolución a A.A.A. y a DIRECCIÓN GENERAL DE LA POLICÍA. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/9 Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 1381-100425 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es