1/8 Expediente N.º: EXP202406485 RESOLUCIÓN DE PROCEDIMIENTO DE DERECHOS Vista la reclamación registrada en fecha 19 de marzo de 2024 A.A.A. (en adelante, la parte reclamante) ante esta Agencia contra la D.G. DE LA POLICÍA (en adelante, la parte reclamada) por no haber sido debidamente atendida su solicitud de ejercicio de los derechos establecidos en la Ley Orgánica 7/2021, de 26 de mayo, de protección de datos personales tratados para fines de prevención, detección, investigación y enjuiciamiento de infracciones penales y de ejecución de sanciones penales (en lo sucesivo, LO 7/2021). Realizadas las actuaciones procedimentales previstas en el Título VIII de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), aplicables a la tramitación de la presente reclamación, de acuerdo con el artículo 52.2 de la LO 7/2021, se han constatado los siguientes HECHOS PRIMERO: La parte reclamante ejerció los derechos de acceso y supresión sin que su solicitud haya recibido la contestación legalmente establecida. La parte reclamante manifiesta que, el 29/01/24, ejercitó los derechos de acceso y supresión de sus datos personales del fichero SIDENPOL ante la DIRECCIÓN GENERAL DE LA POLICÍA. El 08/02/24, la parte reclamada contesta dando acceso a los atestados que obran en su base de datos, y le indica que procede a la supresión de determinados atestados, señalando que no se puede atender la solicitud en su totalidad al apreciarse defectos formales. La parte reclamada indica que deberá acompañar las certificaciones judiciales que acrediten la firmeza de las resoluciones y finalización de los procedimientos respecto al resto de los atestados que se desean suprimir. El 19/02/24, la parte reclamante presentó un escrito de alegaciones contra la mencionada resolución solicitando que se indique de forma individualizada respecto de cada atestado: la infracción cometida y Autoridad Judicial a la que ha sido remitida, fundamentando sus alegaciones en la Sentencia de la Audiencia Nacional de 28/03/11 (REC.21/2010). El 29/02/24, la parte reclamada desestima las alegaciones formuladas, indicando lo siguiente: «En respuesta a la petición relativa a que sea la parte reclamada la que recabe por vía electrónica al órgano competente la resolución recaída en los distintos procedimientos judiciales, se le informa de que en ausencia de las redes corporativas o plataformas de intermediación de datos, u otros sistemas electrónicos habilitados al / Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/8 efecto para solicitar la documentación pertinente, y dado que la remisión por vías ordinarias produciría una dilatación excesiva del procedimiento (...), deviene necesario que sea el propio interesado quien aporte copia de la resolución recaída en los citados expedientes. (...)»" El 03/03/24 ejercitó el derecho de acceso a los atestados de manera individualizada. La parte reclamante concluye que la parte reclamada ha vulnerado los derechos de acceso y supresión resolviendo sus solicitudes de manera arbitraria y en contra de los criterios establecidos en la Sentencia de la Audiencia Nacional de 28/03/11. SEGUNDO: Con fecha 23 de mayo de 2024, esta Agencia resuelve respecto a la reclamación presentada por el reclamante y su solicitud de acceso y supresión no atendida. Y, concluye inadmitiendo a trámite la reclamación de la siguiente manera: “Una vez analizadas las razones expuestas por la parte reclamada, que obran en el expediente, esta Agencia considera que la denegación de la solicitud formulada por la parte reclamante es ajustada a la normativa de protección de datos personales.” TERCERO: La parte reclamante en total desacuerdo con la resolución, presenta recurso de reposición que es resuelto con fecha 23 de mayo de 2024, de forma estimatoria, y que da lugar al actual procedimiento de derechos. Donde solicita la supresión de los datos a nombre de A.A.A. de los atestados de SIDENPOL que presenta en el recurso de reposición y que, en caso de ser desestimada la supresión de estos datos, se le conceda el acceso de informa individualizada de cada uno de los atestados en los que se le desestima la supresión. CUARTO: A la vista de lo acontecido con fecha 19 de agosto de 2024, se da traslado a la parte reclamada de la reclamación original, de nuevo, del recurso de reposición presentado por la parte reclamante y de la resolución de dicho recurso para que en el plazo de quince días hábiles presentase las alegaciones que estimara convenientes. La parte reclamada presenta las siguientes alegaciones: “A este respecto se hace necesario remitido por esta Unidad en fecha 15 de julio de 2.024, sobre el desconocimiento que esta Unidad tiene acerca de los respectivos juzgados que han conocido de las diferentes causas, y que resultan competentes para emitir certificado relativo a la firmeza de la resolución y finalización de los distintos procedimientos, los cuales son asignados en función del reparto que se realiza en sede judicial de los mismos, en la medida en que los atestados son remitidos siguiendo los dictados de los artículos 284 y siguientes de la Ley de Enjuiciamiento Criminal, al Juzgado competente en funciones de guardia de la demarcación judicial correspondiente a la plantilla policial que lo tramita, sin que se obtenga de manera sistemática notificación alguna relativa al reparto posterior del asunto, de acuerdo con las normas de reparto que cada Decanato establezca, dándose además la circunstancia de que el Sr. A.A.A., siendo parte de dichos procedimientos, ha debido tener acceso a los expedientes judiciales, o al menos a la notificación de las resoluciones que en su caso hayan recaído, disponiendo por tanto de información más detallada a este respecto. / Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/8 No obstante, lo anterior, se remite la información relativa a los juzgados a los que fueron remitidos cada uno de los atestados, por encontrarse en funciones de guardia en el momento de la remisión, a fin de facilitar al interesado la solicitud de las preceptivas certificaciones judiciales.” QUINTO: Examinado el escrito presentado por la parte reclamada, se traslada a la parte reclamante, para que, en el plazo de quince días hábiles formule las alegaciones que considere oportunas, formulando, en síntesis, las siguientes alegaciones: “Que, tras la resolución del oportuno expediente, la AEPD inste a la DGP a la SUPRESIÓN de los datos personales del interesado que figuran en los atestados del fichero SIDENPOL que constan en la reclamación de este procedimiento”. FUNDAMENTOS DE DERECHO I Competencia Es competente para resolver la Presidencia de la AEPD, conforme a lo establecido en el artículo 48 de la citada LO 7/2021, y según lo dispuesto en el artículo 47 de la LOPDGDD. De conformidad con lo establecido en el artículo 65.4 de la LOPDGDD, que ha previsto un mecanismo previo a la admisión a trámite de las reclamaciones que se formulen ante la Agencia Española de Protección de Datos, que consiste en dar traslado de las mismas a los delegados de protección de datos designados por los responsables o encargados del tratamiento, a los efectos previstos en el artículo 37 de la citada norma, o a éstos cuando no los hubieren designado, para que procedan al análisis de dichas reclamaciones y a darles respuesta en el plazo de un mes, con carácter previo a la admisión a trámite de la reclamación que da lugar al presente procedimiento, se dio traslado de la misma a la entidad responsable para que procediese a su análisis, diera respuesta a esta Agencia en el plazo de un mes y acreditara haber facilitado al reclamante la respuesta debida, en el supuesto de ejercicio de los derechos regulados en los artículos 21, 22 y 23 de la LO 7/2021. Con fecha 19 de agosto de 2024, a los efectos previstos en su artículo 64.2 de la LOPDGDD, se admitió a trámite la reclamación presentada. Dicho acuerdo de admisión a trámite determina la apertura del presente procedimiento de falta de atención de una solicitud de ejercicio del derecho establecido en el artículo 22 y de la LO 7/2021, regulado en el artículo 64.1 de la LOPDGDD, según el cual: “1. Cuando el procedimiento se refiera exclusivamente a la falta de atención de una solicitud de ejercicio de los derechos establecidos en los artículos 15 a 22 del Reglamento (UE) 2016/679, se iniciará por acuerdo de admisión a trámite, que se adoptará conforme a lo establecido en el artículo siguiente. En este caso el plazo para resolver el procedimiento será de seis meses a contar desde la fecha en que hubiera / Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/8 sido notificado al reclamante el acuerdo de admisión a trámite. Transcurrido ese plazo, el interesado podrá considerar estimada su reclamación”. II Derechos de las personas en materia de protección de datos personales Los derechos de las personas en materia de protección de datos personales, cuando el tratamiento de los datos tiene por objeto los fines señalados en el artículo 1 de la LO 7/2021, están regulados en los artículos 21, 22 y 23 de dicha norma. En estos artículos se establece la información que debe ponerse a disposición del interesado y se reconocen los derechos de acceso, rectificación, supresión y limitación del tratamiento. Los aspectos formales relativos al ejercicio de esos derechos se establecen en el artículo 20 de la LO 7/2021. La comunicación que se dirija al interesado con ocasión de su solicitud deberá expresarse en forma concisa, inteligible, de fácil acceso y con un lenguaje claro y sencillo para todas las personas, incluidas aquellas con discapacidad. III Derecho de acceso Conforme a lo establecido en el artículo 22 de la LO 7/2021, "1. El interesado tendrá derecho a obtener del responsable del tratamiento confirmación de si se están tratando o no datos personales que le conciernen. En caso de que se confirme el tratamiento, el interesado tendrá derecho a acceder a dichos datos personales, así como a la siguiente información:
- a)Los fines y la base jurídica del tratamiento.
- b)Las categorías de datos personales de que se trate.
- c)Los destinatarios o las categorías de destinatarios a quienes hayan sido comunicados los datos personales, en particular, los destinatarios establecidos en Estados que no sean miembros de la Unión Europea u organizaciones internacionales.
- d)El plazo de conservación de los datos personales, cuando sea posible, o, en caso contrario, los criterios utilizados para determinar dicho plazo.
- e)La existencia del derecho a solicitar del responsable del tratamiento la rectificación o supresión de los datos personales relativos al interesado o la limitación de su tratamiento.
- f)El derecho a presentar una reclamación ante la autoridad de protección de datos competente y los datos de contacto de la misma.
- g)La comunicación de los datos personales objeto de tratamiento, así como cualquier información disponible sobre su origen, sin revelar la identidad de ninguna persona física, en especial en el caso de fuentes confidenciales. 2. Cuando el responsable trate una gran cantidad de información relativa al interesado y éste ejercite su derecho de acceso sin especificar si se refiere a todos o a una parte / Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/8 de los datos, el responsable podrá requerir al interesado que concrete la solicitud en el plazo de diez días. 3. Se entenderá concedido el derecho de acceso si el responsable del tratamiento facilita al interesado un sistema remoto, directo y seguro que garantice, de modo permanente, acceso a la totalidad de sus datos personales. La notificación informando al interesado del procedimiento puesto en marcha a través de este sistema, permitirá denegar su solicitud de acceso efectuada por otras vías. Si el acceso remoto no facilita la totalidad de la información contenida en el apartado 1, el interesado tendrá derecho a solicitarla. 4. Cuando el interesado elija un medio distinto al que se le ofrece que suponga un coste desproporcionado, la solicitud será considerada excesiva, por lo que dicho interesado asumirá el exceso de coste que su elección comporte. En este caso, sólo será exigible al responsable del tratamiento que la satisfacción del derecho de acceso a través del medio propuesto se produzca sin dilaciones indebidas. Si el interesado no asumiera el exceso de coste, se le facilitará el acceso por el medio inicialmente propuesto por el responsable del tratamiento.". Por su parte, el artículo 20.6 de la LO 7/2021 establece: “Cuando el responsable del tratamiento tenga dudas razonables acerca de la identidad de la persona física que formula la solicitud a la que se refieren los artículos 22 y 23, le requerirá para que facilite la información complementaria que resulte necesaria para confirmar su identidad en el plazo de diez días. Transcurrido dicho plazo sin que se aporte la información, se le tendrá por desistido de su petición mediante resolución motivada. El plazo al que se refiere el apartado 4 comenzará a computarse desde la fecha en la que se facilite dicha información complementaria.” IV Derecho de supresión Conforme a lo establecido en el artículo 23 de la LO 7/20212, “2. El responsable del tratamiento, a iniciativa propia o como consecuencia del ejercicio del derecho de supresión del interesado, suprimirá los datos personales sin dilación indebida y, en todo caso, en el plazo máximo de un mes a contar desde que tenga conocimiento, cuando el tratamiento infrinja los artículos 6, 11 o 13, o cuando los datos personales deban ser suprimidos en virtud de una obligación legal a la que esté sujeto. 3. En lugar de proceder a la supresión, el responsable del tratamiento limitará el tratamiento de los datos personales cuando se dé alguna de las siguientes circunstancias:
- a)El interesado ponga en duda la exactitud de los datos personales y no pueda determinarse su exactitud o inexactitud.
- b)Los datos personales hayan de conservarse a efectos probatorios. Cuando el tratamiento esté limitado en virtud de la letra a), el responsable del tratamiento informará al interesado antes de levantar la limitación del tratamiento. / Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/8 (…) 5. Cuando los datos personales hayan sido rectificados o suprimidos o el tratamiento haya sido limitado, el responsable del tratamiento lo notificará a los destinatarios, que deberán rectificar o suprimir los datos personales que estén bajo su responsabilidad o limitar su tratamiento.” Asimismo, el artículo 24 de la LO 7/2021, establece una serie de supuestos en los que podrá restringirse el ejercicio de los derechos de información, acceso, rectificación, supresión de datos personales y a la limitación de su tratamiento. En este sentido, el mencionado artículo determina lo siguiente: “1. El responsable del tratamiento podrá aplazar, limitar u omitir la información a la que se refiere el artículo 21.2, así como denegar, total o parcialmente, las solicitudes de ejercicio de los derechos contemplados en los artículos 22 y 23, siempre que, teniendo en cuenta los derechos fundamentales y los intereses legítimos de la persona afectada, resulte necesario y proporcional para la consecución de los siguientes fines:
- a)Impedir que se obstaculicen indagaciones, investigaciones o procedimientos judiciales.
- b)Evitar que se cause perjuicio a la prevención, detección, investigación y enjuiciamiento de infracciones penales o a la ejecución de sanciones penales.
- c)Proteger la seguridad pública.
- d)Proteger la Seguridad Nacional.
- e)Proteger los derechos y libertades de otras personas. 2. En caso de restricción de los derechos contemplados en los artículos 22 y 23, el responsable del tratamiento informará por escrito al interesado sin dilación indebida, y en todo caso, en el plazo de un mes a contar desde que tenga conocimiento, de dicha restricción, de las razones de la misma, así como de las posibilidades de presentar una reclamación ante la autoridad de protección de datos, sin perjuicio de las restantes acciones judiciales que pueda ejercer en virtud de lo dispuesto en esta Ley Orgánica. Las razones de la restricción podrán ser omitidas o ser sustituidas por una redacción neutra cuando la revelación de los motivos de la restricción pueda poner en riesgo los fines a los que se refiere el apartado anterior. 3. El responsable del tratamiento documentará los fundamentos de hecho o de derecho en los que se sustente la decisión denegatoria del ejercicio del derecho de acceso. Dicha información estará a disposición de las autoridades de protección de datos.” / Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/8 V Conclusión Comenzaremos diciendo que esta reclamación solo tendrá en cuenta si los derechos solicitados, derecho de acceso y supresión, han sido atendidos o no. Sobre la cuestión solicitada por el reclamante de “Que, tras la resolución del oportuno expediente, la AEPD inste a la DGP a la SUPRESIÓN de los datos personales del interesado que figuran en los atestados del fichero SIDENPOL que constan en la reclamación de este procedimiento”. Hay que decir que el derecho de supresión es un derecho personalísimo y debe ejercerlo la persona interesada o un tercero por representación, ante el responsable del tratamiento. Por lo que el reclamante será el que deberá solicitar la supresión de los datos ante el responsable del tratamiento. Durante la tramitación del presente procedimiento, la entidad reclamada ha contestado a esta Agencia, pero no acredita haber atendido lo solicitado por la parte reclamante, remitiéndole la preceptiva respuesta a su solicitud. Tal y como se recoge en la resolución del recurso de reposición del que trae causa el presente procedimiento, el derecho de acceso solicitado fue atendido de modo incompleto puesto que, aun cuando se ha informado de forma individualizada de cada atestado, no ha comunicado la Autoridad Judicial a la que había sido remitido. A lo anterior, es necesario añadir que, en todo caso, no cabe aceptar que la respuesta que corresponda dar pueda manifestarse con ocasión de un mero trámite administrativo, como es la formulación de alegaciones con motivo del presente procedimiento, iniciado precisamente por no atender debidamente la solicitud en cuestión. Las normas antes citadas no permiten que pueda obviarse la solicitud como si no se hubiera planteado, dejándola sin la respuesta que obligatoriamente deberán emitir los responsables, aún en el supuesto de que no existan datos en los ficheros o incluso en aquellos supuestos en los que no reuniera los requisitos previstos, en cuyo caso el destinatario de dicha solicitud viene igualmente obligado a requerir la subsanación de las deficiencias observadas o, en su caso, denegar la solicitud motivadamente indicando las causas por las que no procede considerar el derecho de que se trate. Por tanto, la solicitud que se formule obliga al responsable a dar respuesta expresa en todo caso, empleando para ello cualquier medio que justifique la recepción de la contestación. Dado que no se acompaña copia de la necesaria comunicación que debe dirigir a la parte reclamante informándole sobre la decisión que haya adoptado a propósito de la solicitud de ejercicio de derechos, procede estimar la reclamación que originó el presente procedimiento. / Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/8 Vistos los preceptos citados y demás de general aplicación, la Presidencia de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: ESTIMAR la reclamación formulada por A.A.A. al considerar que se ha infringido lo dispuesto en los artículos 15 y 22 de la LO 7/2021, e instar a DIRECCIÓN GENERAL DE LA POLICÍA con NIF S2816015H, para que, en el plazo de los diez días hábiles siguientes a la notificación de la presente resolución, remita a la parte reclamante certificación en la que se atiendan los derechos solicitados o se deniegue motivadamente indicando las causas por las que no procede atender la petición, de conformidad con lo establecido en el cuerpo de la presente resolución. Las actuaciones realizadas como consecuencia de la presente Resolución deberán ser comunicadas a esta Agencia en idéntico plazo. El incumplimiento de esta resolución podría comportar la comisión de la infracción considerada en el artículo 58.
- m)de la LO 7/2021, que se sancionará, de acuerdo con el artículo 77 de la LOPDGDD. SEGUNDO: NOTIFICAR la presente resolución a A.A.A. y a DIRECCIÓN GENERAL DE LA POLICÍA. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 1381-090823 Olga Pérez Sanjuán La Subdirectora General de Inspección de Datos, de conformidad con el art. 48.2 LOPDGDD, por vacancia del cargo de Presidencia y Adjuntía / Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es