1/67 Expediente N.º: EXP202310999 ANTECEDENTES.......................................................................................................... 2 PRIMERO: Reclamación............................................................................................ 2 SEGUNDO: Traslado................................................................................................. 3 TERCERO: Admisión a trámite................................................................................... 6 CUARTO: Actuaciones previas de investigación........................................................ 6 QUINTO: Acuerdo de inicio...................................................................................... 13 SEXTO: Alegaciones frente al acuerdo de inicio...................................................... 13 SÉPTIMO: Propuesta de resolución......................................................................... 18 OCTAVO: Alegaciones frente a la propuesta de resolución...................................... 19 HECHOS PROBADOS................................................................................................ 22 PRIMERO:............................................................................................................... 22 SEGUNDO:.............................................................................................................. 22 TERCERO:............................................................................................................... 23 CUARTO:................................................................................................................. 23 QUINTO:.................................................................................................................. 23 SEXTO:.................................................................................................................... 24 SÉPTIMO:................................................................................................................ 25 OCTAVO:.................................................................................................................. 25 FUNDAMENTOS DE DERECHO................................................................................. 25 I Competencia.......................................................................................................... 25 II Cuestiones previas................................................................................................ 26 III Alegaciones al acuerdo de Inicio.......................................................................... 28 IV Alegaciones a la Propuesta de Resolución.......................................................... 37 V Obligación incumplida. Artículo 6 del RGPD. Licitud del tratamiento..................... 47 VI Obligación incumplida. Artículos 13 y 14 del RGPD. Falta de transparencia de la información............................................................................................................... 50 VII Obligación incumplida. Artículo 30 del RGPD. Registro de las actividades del tratamiento............................................................................................................... 53 VIII Obligación incumplida. Artículo 35 del RGPD. Evaluación de impacto de datos personales................................................................................................................ 56 IX Obligación incumplida. Artículo 5.1
(39)Todo tratamiento de datos personales debe ser lícito y leal. Para las personas físicas debe quedar totalmente claro que se están recogiendo, utilizando, consultando o tratando de otra manera datos personales que les conciernen, así como la medida en que dichos datos son o serán tratados. El principio de transparencia exige que toda información y comunicación relativa al tratamiento de dichos datos sea fácilmente accesible y fácil de entender, y que se utilice un lenguaje sencillo y claro. Dicho principio se refiere en particular a la información de los interesados sobre la identidad del responsable del tratamiento y los fines del mismo y a la información añadida para garantizar un tratamiento leal y transparente con respecto a las personas físicas afectadas y a su derecho a obtener confirmación y comunicación de los datos personales que les conciernan que sean objeto de tratamiento. Las personas físicas deben tener conocimiento de los riesgos, las normas, las salvaguardias y los derechos relativos al tratamiento de datos personales, así como del modo de hacer valer sus derechos en relación con el tratamiento. En particular, los fines específicos del tratamiento de los datos personales deben ser explícitos y legítimos, y deben determinarse en el momento de su recogida. Los datos personales deben ser adecuados, pertinentes y limitados a lo necesario para los fines para los que sean tratados. Ello requiere, en particular, garantizar que se limite a un mínimo estricto su plazo de conservación. Los datos personales solo deben tratarse si la finalidad del tratamiento no pudiera lograrse razonablemente por otros medios. Para garantizar que los datos personales no se conservan más tiempo del necesario, el responsable del tratamiento ha de establecer plazos para su supresión o revisión periódica. Deben tomarse todas las medidas razonables para garantizar que se C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 35/67 rectifiquen o supriman los datos personales que sean inexactos. Los datos personales deben tratarse de un modo que garantice una seguridad y confidencialidad adecuadas de los datos personales, inclusive para impedir el acceso o uso no autorizados de dichos datos y del equipo utilizado en el tratamiento”. Además de lo establecido en el considerando 60, que determina: 60) “(…) Los principios de tratamiento leal y transparente exigen que se informe al interesado de la existencia de la operación de tratamiento y sus fines. El responsable del tratamiento debe facilitar al interesado cuanta información complementaria sea necesaria para garantizar un tratamiento leal y transparente, habida cuenta de las circunstancias y del contexto específicos en que se traten los datos personales (…)”. En definitiva, al interesado debe quedarle claro en el momento de solicitud de sus datos, en el caso en que se obtengan de este, o en un plazo razonable, quién, cómo, para qué y durante cuánto tiempo se tratarán sus datos personales. Por tanto, la mera remisión a políticas de privacidad establecidas en páginas web, no puede considerarse suficiente a efectos de entender cumplida esta obligación. Sin que pueda obviarse, por otra parte, que en los enlaces facilitados por el Ayuntamiento no consta, tal y como se recoge en el fundamento de derecho correspondiente todos los elementos que deben proporcionarse.
- En cuanto a la presunta infracción del art. 30.1 del RGPD. Alega que el AYUNTAMIENTO DE PALMA tiene publicada en el web municipal el REGISTRO DE ACTIVIDADES DE TRATAMIENTO de las áreas municipales, de los Organismos autónomos y de las empresas municipales, en el siguiente enlace: Registro Actividades de Tratamiento - Ayuntamiento de Palma - Palma.cat El RAT de la TARJETA CIUDADANA, recoge toda la información requerida en el art. 30.1, y se puede consultar en el apartado PROTECCIÓN DE DATOS, REGISTRO DE ACTIVIDADES DE TRATAMIENTO, RAT AREAS MUNICIPALES,
- CONCEJALÍA DE HACIENDA, FUNCIÓN PUBLICA Y GOBIERNO INTERIOR, en Calidad y Atención a la Ciudadanía (https://palma.es/- /protecci%C3%B3n-de-datos-1). No obstante, analizado el documento en cuestión, este continúa sin hacer referencia alguna a una finalidad del tratamiento consistente en la recogida de residuos.
- En cuanto a la presunta infracción del art. 35 del RGPD: Indica que, al requerirse información, la tarjeta ciudadana lleva muchos años en funcionamiento y cuando se puso en marcha el Ayuntamiento no disponía de Delegado de Protección de Datos. Tampoco estaba nombrado en el año 2018 cuando se puso en marcha la prueba piloto relativa a los contenedores de residuos orgánicos. Alega que tampoco se consideró necesaria realizar dicha evaluación de impacto a posteriori, como se expuso en el escrito de 23 de diciembre de 2023, al considerarse C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 36/67 que no estaba especificada de forma clara su carácter preceptivo en los supuestos de la lista orientativa de tipos de tratamientos que requieren EIPD, puesto que no se realiza ninguna elaboración de perfiles que produzcan efectos jurídicos en los usuarios. A este respecto procede reseñar que a través de la tarjeta ciudadana se pueden conocer comportamientos de los usuarios, así como sus movimientos, toda vez que el sistema de apertura de los contenedores permite recoger el dato de qué contenedor, así como el momento exacto en el que se ha abierto, tal y como se indica en el fundamento jurídico correspondiente. A través del uso de las tarjetas para la apertura de los contenedores existe la posibilidad de observar, supervisar y controlar cuántas veces, cuándo y dónde se abren los diferentes contenedores por los usuarios del servicio. Aun cuando la temática fuera otra, la lógica es similar a otros supuestos que ya han sido analizados por el Tribunal Supremo en su sentencia 1062/2019, de 12 de julio (rec. 4980/2018), la cual señala que “Los datos de consumo de energía eléctrica individualizados y con desglose horario, permiten a quien tenga acceso a esa información y la vincule con la identidad del titular del contrato de suministro, conocer los hábitos de conducta privados de dicho consumidor, tales como las horas ordinarias de entrada y salida del domicilio, la hora en la que se va a dormir, las zonas horarias en la que hay más actividad en la vivienda o en local de negocio, el nivel de electrificación, la utilización de aparatos de refrigeración o calefacción, incluso si vive sola o no, entre otros. En definitiva, proporciona una información objetiva que afecta a la esfera privada de cada consumidor y que puede proporcionar unas pautas de comportamiento diario de una persona” (el subrayado es nuestro). Concluyendo la citada sentencia que “Por ello, estimamos que las mediciones referidas al consumo individual de energía eléctrica asociadas a cada punto de suministro y su código, que las empresas distribuidoras están obligadas a remitir al operador del sistema, en cuanto contienen una información concerniente a los hábitos de conducta de una persona física identificable, son datos personales” (el subrayado es nuestro). Además, se encuentran presentes otra serie de circunstancias que permitirían identificar el mencionado tratamiento con alguno de los supuestos previstos en la lista publicada por la AEPD en cumplimiento del artículo 35.4 del RGPD. Además, se ha de señalar que, si bien es posible que una actividad se haya iniciado antes de la entrada en vigor del RGPD, pero los tratamientos de datos personales derivados de la misma que se realicen con posterioridad están plenamente sujetos a las disposiciones del reglamento. En este sentido, el considerando 171 del RGPD establece: “(…) todo tratamiento ya iniciado en la fecha de aplicación del presente Reglamento debe ajustarse al presente Reglamento en el plazo de dos años a partir de la fecha de su entrada en vigor (…)”. Así, llegados a este punto, conviene realizar algunas precisiones sobre la entrada en vigor y la aplicabilidad del RGPD: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 37/67 El RGPD fue plenamente aplicable desde el 25 de mayo de 2018, si bien su entrada en vigor se produjo casi dos años antes de esa fecha, en mayo de
- Además, a diferencia de la anterior Directiva, no necesitaba su transposición al ordenamiento jurídico español, siendo directamente aplicable en la medida en que se trata de un reglamento. En este sentido se recoge en el artículo 99 del RGPD. De esta manera, el legislador europeo, siendo consciente de que el RGPD suponía en muchos aspectos un cambio radical de modelo basado en un enfoque de riesgos y de responsabilidad proactiva (accountability), previó un lapso particular de vacatio legis, de nada menos que 2 años, para que los responsables y encargados del tratamiento adecuaran los tratamientos de datos personales que realizaban a lo previsto en el RGPD cuya aplicación comenzaría, sin atisbo de dudas, el 25 de mayo de
- Dicho lo cual, correspondía (y sigue correspondiendo) a los responsables del tratamiento adoptar todas las medidas y cautelas para adaptar sus tratamientos al nuevo marco regulador, incluyendo la elaboración de una EIPD en aquellos casos en los que resulte necesario. Conviene, por otra parte, realizar una precisión acerca del papel del DPD en el seno de una organización, cuya fecha de nombramiento es utilizada como excusa para la inexistencia de EIPD por parte del Ayuntamiento. El DPD no es el responsable del tratamiento, ni responde por los incumplimientos que se producen por parte del responsable. En este sentido se pronuncian las Directrices sobre los delegados de protección de datos (DPD) del CEPD: “(…) Los DPD no son personalmente responsables en caso de incumplimiento del RGPD. El RGPD deja claro que es el responsable o el encargado del tratamiento quien está obligado a garantizar y ser capaz de demostrar que el tratamiento se realiza de conformidad con sus disposiciones (artículo 24, apartado 1). El cumplimiento de las normas sobre protección de datos es responsabilidad del responsable o del encargado del tratamiento (…)” Por último, conviene hacer referencia a que el sistema de apertura de contenedores implantado por la parte reclamada podría ser considerado un proyecto de una “Smart City” o ciudad inteligente. Esto es, un proyecto tecnológico orientado a optimizar la gestión de recursos en una entidad local mediante el uso de la tecnología. Que se concreta, en el presente caso, en el uso de la tecnología para gestionar de una manera más eficiente la gestión de los residuos. Estos proyectos se caracterizan, como el que es objeto del presente expediente, en que la recogida de datos se realiza de forma automatizada mediante sensores, datos que, a continuación, son analizados automatizadamente, para, finalmente, elaborar una serie de conclusiones. La guía “Protección de datos y Administración Local” de la AEPD destaca la necesidad de que, antes del despliegue de un proyecto “Smart City”, cuando este vaya a tratar datos personales, se realice: - Un análisis previo del proyecto sobre el volumen de la información que se pretende procesar, el número y tipo de fuentes desde las que se pretende obtener C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 38/67 dicha información, la frecuencia de recogida de datos y el tiempo durante el que se pretende conservar esta información. - Una evaluación de impacto en los términos establecidos en el artículo 35 del RGPD, valorando incluso la necesidad, según las características del proyecto, de elevar una consulta previa a la Autoridad de Protección de Datos. Y es que, tal y como señala la guía “Tecnologías y protección de datos en las Administraciones Públicas” de la AEPD “Incluso cuando, en el proyecto Smart City, se recogen datos inicialmente anonimizados, la extensión, frecuencia, combinación y enriquecimiento de datos pueden resultar en una reidentificación de las personas. Todos tenemos unos hábitos de comportamiento que son únicos y revelan nuestro trabajo, con quién vivimos, nuestra salud o incluso nuestras convicciones políticas y religiosas. El riesgo de reidentificación se ha de evaluar y tomar medidas para mitigarlo”. En consecuencia, las alegaciones deben ser desestimadas, significándose que las argumentaciones presentadas no desvirtúan el contenido esencial de las infracciones que se declaran cometidas ni suponen causa de justificación o exculpación suficiente. IV Alegaciones a la Propuesta de Resolución En relación con las alegaciones aducidas a la Propuesta de Resolución, se subraya que estas suponen, en esencia, una reiteración de las alegaciones realizadas al acuerdo de inicio, por lo que, procede, con carácter general remitirse a las contestaciones ya efectuadas contenidas en el epígrafe anterior. Sin perjuicio de lo anterior, siguiendo el orden previsto en los antecedentes de hecho, se procede a su contestación. 1 y
- En relación con la primera y segunda alegación efectuadas, relativas a la inexistencia de un tratamiento de datos personales, así como una separación entre las bases de datos de EMAYA y el Ayuntamiento: Conviene tratar de manera conjunta la primera y la segunda alegación efectuadas, en la medida en que ambas forman parte del mismo razonamiento realizado por el Ayuntamiento. Este razonamiento puede resumirse, fundamentalmente, en lo siguiente: no existe tratamiento de datos porque ni el Ayuntamiento ni EMAYA pueden acceder o bien a los datos personales vinculados a la tarjeta ciudadana de un titular, o bien al número de tarjeta ciudadana en cuestión que ha hecho uso de un contenedor. Todo ello porque, en definitiva, ambas entidades cuentan con bases de datos separadas, lo que impediría que cualquiera de las dos entidades “pudiera identificar” al titular de la tarjeta ciudadana que ha hecho uso de la misma en un contenedor. Además, a lo anterior habría que añadir que, de acuerdo con la parte reclamada, la AEPD habría vulnerado el principio de presunción de inocencia porque no ha acreditado que el Ayuntamiento pueda acceder a los datos tratados por EMAYA. Ahora bien, el razonamiento anterior no puede sostenerse, entre otros aspectos, en la medida en que ignora la relación existente entre el AYUNTAMIENTO y EMAYA. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 39/67 Lo anterior es relevante en la medida en que, en todo tratamiento de datos personales, especialmente cuando existen varios partícipes en la cadena de tratamiento, como es el presente caso, es importante la correcta identificación de los diferentes intervinientes, como responsables y encargados para así, para asegurar, así, la adecuada protección de los derechos a la protección de datos de los interesados. En este sentido se pronuncia el Comité Europeo de Protección de Datos (en adelante, CEPD) en sus Directrices 07/2020 sobre los conceptos de «responsable del tratamiento» y «encargado del tratamiento» en el RGPD, (en adelante, Directrices 07/2020). Sin perjuicio de que los conceptos de responsable y encargado se traten de conceptos funcionales tal y como desarrolla el CEPD en las mencionadas Directrices 07/2020, no puede olvidarse que, en el ámbito de las administraciones públicas, estas se rigen por el principio de atribución de competencias y, en consecuencia, no podrán llevar a cabo tratamientos de datos que se encuentren fuera de su esfera de atribuciones. Así, en relación con las Administraciones Públicas, el responsable del tratamiento es aquel órgano administrativo que tenga atribuidas competencias por una norma jurídica, para cuyo ejercicio sea preciso realizar tratamientos de datos de carácter personal. Si no se ostenta la competencia para realizar una determinada actividad, tampoco se tiene para llevar a cabo los tratamientos que de la misma se derivarían. La competencia determinará, por tanto, la legitimación para realizar el tratamiento. Y todo ello, partiendo de la premisa de que, frente a lo que sucede en el ámbito privado, en el que se puede hacer todo lo que no está prohibido, las Administraciones Públicas solo pueden acometer lo que el ordenamiento jurídico les permite, con sometimiento pleno a la Ley y al Derecho (artículos 9.1 y 103.1 de la Constitución española). Tal y como se ha recogido a lo largo de todo este procedimiento sancionador, el AYUNTAMIENTO tiene la condición de responsable del tratamiento de datos, en la medida en que, como se explica en las cuestiones previas de este documento y se contenía ya tanto en el acuerdo de inicio como en la propuesta, el AYUNTAMIENTO tiene la condición de responsable del tratamiento puesto que la normativa le atribuye la competencia en materia de gestión de residuos. Cuestión distinta es si, atendiendo al razonamiento expresado en los párrafos anteriores y tal y como se sostiene en el procedimiento sancionador el AYUNTAMIENTO carece (o no ha acreditado) la existencia de una base de legitimación, precisamente porque la normativa que le atribuye la gestión en materia de residuos no prevé ningún tratamiento de datos personales. Todo ello se argu