← España

PS-00175-2022

1/8  Expediente N.º: EXP202200924 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: D. A.A.A. (en adelante, la parte reclamante) con fecha 02/12/2021 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra AYUNTAMIENTO DE COMILLAS con NIF P3902400E (en adelante, la parte reclamada). Los motivos en que basa la reclamación son los siguientes: el reclamante manifiesta que ante una denuncia por supuesta infracción en un semáforo, el 18/10/21 presentó un escrito ante el reclamado solicitando la resolución donde se ordenara la instalación y uso de dispositivo fijo de captación destinado al control de tráfico sobre el semáforo ubicado en el Paseo de Gaudí, copia o enlace al documento de registro de actividad de tratamiento sobre dicho sistema, si el sistema capta y procesa imágenes fuera de la fase roja del semáforo y si se realiza cesión de datos a terceros. Según afirma, la entidad reclamada ofrece las imágenes asociadas al expediente sancionador tanto en el boletín de denuncia como en su sede y en la web https://www.mimulta.es/Comillas. La citada petición no ha sido contestada, impidiendo al reclamante verificar si el sistema implantado cumple con los criterios establecidos en el informe efectuado por el Gabinete jurídico de la AEPD acerca de la instalación de cámaras de control de tráfico (https://www.aepd.es/sites/default/files/2019-09/informejuridico-rgpd-trafico-semaforos.pdf), y si la cesión de los datos de las infracciones a la empresa que gestiona las multas respeta la legalidad vigente. Junto a la reclamación aporta la solicitud presentada ante la entidad reclamada, la fotografía captada para imputar una infracción al reclamante captura de pantalla del expediente sancionador incoado al reclamante, boletín de denuncia notificado y fotografías en las que constan que la entidad reclamada informa de la instalación de cámaras de videovigilancia y de control de semáforo en rojo. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), el 04/02/2022 se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El 18/02/2022 el reclamado manifestaba que previo informe del Delegado de Protección de Datos, se da traslado al interesado de la Resolución de Alcaldía con la información solicitada; que previo informe del Delegado de Protección de Datos, da traslado al interesado de la Resolución de Alcaldía con la aprobación de las medidas de seguridad para la instalación de video cámara para control de infracciones en semáforo; que se da traslado a la AEPD de los documentos enviados al interesado, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/8 así como de la acreditación del envío de los mismos; que las causas que han dado lugar a la incidencia que ha originado la reclamación ante la AEPD son el retraso en la respuesta por parte del reclamado a la información solicitada por el interesado, retraso ocasionado por la acumulación de tareas y la falta de personal, que coyunturalmente sufre la oficina de registro de la entidad. En el escrito trasladado al reclamado el 04/02/2022 se le señalaba que el reclamante no había podido acceder al registro de actividades del tratamiento de la entidad reclamada pese a que lo había solicitado y se informaba al reclamado que tenía que publicar dicho registro de conformidad a lo establecido en el artículo 77 de la LOPDGDD. TERCERO: Con fecha 02/03/2022, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: Con fecha 30/06/2022, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador al reclamado, por la presunta infracción del artículo 30 del RGPD, tipificada en los artículos 83.3.

  1. a)del RGPD, conforme a lo dispuesto en el artículo 77 de la LOPDGDD. QUINTO: Notificado el acuerdo de inicio, el reclamado en fecha 18/07/2022 presento escrito de alegaciones manifestando lo siguiente: su rechazo a que se haya cometido la infracción imputada, habiéndose cumplido todas las obligaciones legales en materia de protección de datos; que mediante notificación al interesado se le dio traslado de la resolución de la alcaldía de 16/02/2022 y en la misma se aportaba un enlace al portal de transparencia, indicando que en el apartado “normativa” de dicho portal, podía acceder al registro de actividades de tratamiento publicadas con anterioridad. SEXTO: Con fecha 23/11/2022 se inició un período de práctica de pruebas, acordándose las siguientes Dar por reproducidos a efectos probatorios la reclamación interpuesta por el reclamante y su documentación, los documentos obtenidos y generados durante la fase de admisión a trámite de la reclamación, que forman parte del procedimiento AT/00388/2022. Dar por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio del procedimiento sancionador referenciado, presentadas por el reclamado y la documentación que a ellas acompaña. Solicitar al reclamado el camino a seguir para acceder al enlace que conduce al Registro de Actividades del Tratamiento publicado en la sede electrónica del Ayuntamiento, puesto que no se ha podido constatar que figure en la web del Ayuntamiento. En fecha 02/12/2022 el reclamado dio respuesta a la prueba solicitada cuyo contenido obra en el expediente. SEPTIMO: En fecha 20/01/2023, fue emitida Propuesta de Resolución en el sentido de que por la Directora de la Agencia Española de Protección de Datos se archivara al C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/8 reclamado por infracción del artículo del 30 del RGPD, tipificada en el artículo 83.5 del citado Reglamento. Se acompañaba Anexo con los documentos integrantes del expediente administrativo. Transcurrido el plazo señalado el reclamado no presento escrito de alegación alguna. OCTAVO: De las actuaciones practicadas en el presente procedimiento, han quedado acreditados los siguientes, HECHOS PROBADOS PRIMERO. El 02/12/2021 tiene entrada en la AEPD escrito de afectado reclamando contra el reclamado ante una denuncia por una supuesta infracción en un semáforo ante la que presento escrito solicitando copia o enlace a la resolución donde se ordena la instalación y uso del dispositivo fijo de captación y tratamiento; copia o enlace al documento de registro de actividad de tratamiento sobre dicho sistema; si el sistema capta y procesa imágenes también fuera de la fase roja del semáforo; si se realiza cesión de datos a terceros. La citada petición no fue contestada. SEGUNDO. Consta aportado por el reclamante escrito-solicitud presentada ante el reclamado; la fotografía captada para imputar la infracción al reclamante; captura de pantalla del expediente sancionador incoado al reclamante, boletín de denuncia notificado y fotografías en las que constan que la entidad reclamada informa de la instalación de cámaras de videovigilancia y de control de semáforo. TERCERO. Consta aportada por el reclamado Resolución de la Alcaldía acerca de la AUTORIZACION PARA INSTALACION DE VIDEO CAMARAS PARA CONTROL INFRACCION EN SEMAFORO de 01/07/2021 y la Resolución de la Alcaldía por la que se procede a la APROBACIÓN DE LAS MEDIDAS DE SEGURIDAD AUTORIZACIÓN PARA INSTALACIÓN DE VIDEO CÁMARA PARA CONTROL DE INFRACCIONES EN SEMÁFORO de 22/10/2021. CUARTO. Consta aportada por el reclamado con fecha 17/02/2022 el traslado de la resolución de la alcaldía de fecha 16/02/2022, en la que figura: «Primero. Trasladar al interesado la Resolución de Alcaldía con la autorización para instalación de video cámara para control de infracciones en semáforo… Segundo. Trasladar al interesado la Resolución de Alcaldía con la aprobación de las medidas de seguridad autorización para instalación de video cámara para control de infracciones en semáforo, … Tercero. Trasladar al interesado el enlace al Registro de Actividades del Tratamiento del Ayuntamiento de Comillas, publicado en la sede electrónica, https://comillas.sedelectronica.es, portal de transparencia, normativa: https://comillas.sedelectronica.es/? x=RgdT6y6nwa3fGnk3YRmSTNP*PG*suJtCfXCpuKmqZJzekjn2XapamyG*0a4rh*R4vnLngaLDcp49y1VULcSRSbIiZ-4Gt0L*R*g7pJ4WTEznzMhiCmP4g4. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/8 QUINTO. Consta aportado por el reclamado Informe del DPD de fecha 18/02/2022 en el que se recoge: “PRIMERO. El reclamado (…), da traslado al interesado de la Resolución de Alcaldía con la información solicitada. SEGUNDO. El reclamado (…), da traslado al interesado de la Resolución de Alcaldía con la aprobación de las medidas de seguridad para la instalación de video cámara para control de infracciones en semáforo. TERCERO. Se da traslado a la Agencia Española de Protección de Datos de los documentos enviados al interesado, así como de la acreditación del envío de los mismos, … CUARTO. Las causas que han motivado la incidencia que ha originado la reclamación ante la AEPD son el retraso en la respuesta por parte del Ayuntamiento de Comillas a la información solicitada por el interesado, retraso ocasionado por la acumulación de tareas y la falta de personal, que coyunturalmente sufre la oficina de registro de la entidad. QUINTO. Se ha acordado con la Secretaría municipal la adopción de controles para que la respuesta a las solicitudes de información se resuelva en plazo. SEXTO. En periodo probatorio, el 02/12/2022, el reclamado ha aportado el enlace correcto que conduce al RAT publicado en su sede electrónica e informe del DPD: https://comillas.sedelectronica.es/transparency/f6241be5-1b5b-45aa-9605e525feedf24f, FUNDAMENTOS DE DERECHO I De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II El artículo 30 del RGPD, Registro de las actividades de tratamiento, establece que: “1. Cada responsable y, en su caso, su representante llevará un registro de las actividades de tratamiento efectuadas bajo su responsabilidad. Dicho registro deberá contener toda la información indicada a continuación: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/8
  2. a)el nombre y los datos de contacto del responsable y, en su caso, del corresponsable, del representante del responsable, y del delegado de protección de datos;
  3. b)los fines del tratamiento;
  4. c)una descripción de las categorías de interesados y de las categorías de datos personales;
  5. d)las categorías de destinatarios a quienes se comunicaron o comunicarán los datos personales, incluidos los destinatarios en terceros países u organizaciones internacionales;
  6. e)en su caso, las transferencias de datos personales a un tercer país o una organización internacional, incluida la identificación de dicho tercer país u organización internacional y, en el caso de las transferencias indicadas en el artículo 49, apartado 1, párrafo segundo, la documentación de garantías adecuadas;
  7. f)cuando sea posible, los plazos previstos para la supresión de las diferentes categorías de datos;
  8. g)cuando sea posible, una descripción general de las medidas técnicas y organizativas de seguridad a que se refiere el artículo 32, apartado 1. 2. Cada encargado y, en su caso, el representante del encargado llevará un registro de todas las categorías de actividades de tratamiento efectuadas por cuenta de un responsable que contenga:
  9. a)el nombre y los datos de contacto del encargado o encargados y de cada responsable por cuenta del cual actúe el encargado, y, en su caso, del representante del responsable o del encargado, y del delegado de protección de datos;
  10. b)las categorías de tratamientos efectuados por cuenta de cada responsable;
  11. c)en su caso, las transferencias de datos personales a un tercer país u organización internacional, incluida la identificación de dicho tercer país u organización internacional y, en el caso de las transferencias indicadas en el artículo 49, apartado 1, párrafo segundo, la documentación de garantías adecuadas;
  12. d)cuando sea posible, una descripción general de las medidas técnicas y organizativas de seguridad a que se refiere el artículo 30, apartado 1. 3. Los registros a que se refieren los apartados 1 y 2 constarán por escrito, inclusive en formato electrónico. 4. El responsable o el encargado del tratamiento y, en su caso, el representante del responsable o del encargado pondrán el registro a disposición de la autoridad de control que lo solicite. 5. Las obligaciones indicadas en los apartados 1 y 2 no se aplicarán a ninguna empresa ni organización que emplee a menos de 250 personas, a menos que el tratamiento que realice pueda entrañar un riesgo para los derechos y libertades de los interesados, no sea ocasional, o incluya categorías especiales de datos personales indicadas en el artículo 9, apartado 1, o datos personales relativos a condenas e infracciones penales a que se refiere el artículo 10”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/8 También el artículo 31 de la LOPDGDD, Registro de las actividades de tratamiento, señala que: “1. Los responsables y encargados del tratamiento o, en su caso, sus representantes deberán mantener el registro de actividades de tratamiento al que se refiere el artículo 30 del Reglamento (UE) 2016/679, salvo que sea de aplicación la excepción prevista en su apartado 5. El registro, que podrá organizarse en torno a conjuntos estructurados de datos, deberá especificar, según sus finalidades, las actividades de tratamiento llevadas a cabo y las demás circunstancias establecidas en el citado reglamento. Cuando el responsable o el encargado del tratamiento hubieran designado un delegado de protección de datos deberán comunicarle cualquier adición, modificación o exclusión en el contenido del registro. 2. Los sujetos enumerados en el artículo 77.1 de esta ley orgánica harán público un inventario de sus actividades de tratamiento accesible por medios electrónicos en el que constará la información establecida en el artículo 30 del Reglamento (UE) 2016/679 y su base legal”. III Con la anterior normativa sobre protección de datos personales se exigía a las administraciones públicas y entidades privadas notificar a la AEPD la creación de un fichero datos de carácter personal, que se inscribía en el Registro General de Protección de Datos. Con la entrada en vigor del RGPD, esta obligación desapareció siendo sustituida por el Registro de las Actividades de Tratamiento. Los responsables y encargados del tratamiento de datos personales deberán mantener un registro de las actividades de tratamiento efectuadas bajo su responsabilidad. Este registro deberá contener la información que recoge al respecto el artículo 30 del RGPD, aunque no todas las entidades u organizaciones tienen obligación de hacerlo; así, estarían exentas de configurar este registro las organizaciones que empleen a menos de 250 trabajadores, a menos que el tratamiento que realicen pueda entrañar un riesgo para los derechos y libertades de los interesados, no sea ocasional o incluya categorías especiales de datos o datos relativos a condenas e infracciones penales. No obstante, hay que indicar que estas excepciones se aplican en casos muy limitados, puesto que en la práctica todos los tratamientos pueden suponer un riesgo para los derechos y libertades de los interesados, aunque sea ocasional, lo que viene a implicar que, en la práctica, que la mayoría de los responsables o encargados del tratamiento que empleen a menos de 250 trabajadoras estarán obligadas a llevar un registro de actividades de tratamiento. Por tanto, su establecimiento obliga a las administraciones públicas y entidades privadas a documentar los flujos de datos personales que circulan dentro de ellas, siendo el primer paso para cumplir con la normativa vigente en materia de privacidad y protección de datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/8 De acuerdo con el RGPD el registro de actividades de tratamiento debe estar a disposición de la autoridad de control que lo solicite, por lo que es importante mantenerlo actualizado. En el presente caso, ya el reclamante en su escrito dirigido a este centro directivo señalaba que había solicitado copia o enlace al registro de actividad de tratamiento y que no había obtenido respuesta. En sus alegaciones al acuerdo de inicio, manifestaba su rechazo a la infracción imputada y señalaba que se había trasladado al interesado el enlace al RAT, publicado en la sede electrónica. No obstante, el reclamado fue requerido en el periodo probatorio para que señalara el camino para acceder a dicho Registro ante la imposibilidad de lograrlo con la información facilitada y, tal como consta en los hechos probados, el 02/12/2022 fue aportado el enlace correcto, verificándose que el RAT ha sido elaborado por el Ayuntamiento. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: ARCHIVAR al AYUNTAMIENTO DE COMILLAS, con NIF P3902400E, por una infracción del artículo 30 del RGPD, tipificada en el artículo 83.5 del RGPD. SEGUNDO: NOTIFICAR la presente resolución a AYUNTAMIENTO DE COMILLAS. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
  13. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contenciosoadministrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/8 deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.