1/11 Procedimiento Nº: PS/00406/2018 938-051119 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: A.A.A. (en adelante, el reclamante) funcionario del CNP prestando sus servicios en la Comisaria de ***LOCALIDAD.1, interpuso con fecha 22/08/2018 reclamación ante la Agencia Española de Protección de Datos dirigida contra la DIRECCIÓN GENERAL DE LA POLICÍA en adelante DGP, por haber efectuado el 12/07/2017 el intento de notificar una citación para un reconocimiento médico dejando la hoja de citación con sus datos en el rellano de su vivienda, poniendo al descubierto y al alcance de cualquier persona sus datos. El hecho de hallar la citación en el rellano de su domicilio el 12/07/2017 al volver a su domicilio a las 23 horas fue denunciado ante la Comisaria de Policía y se han instruido diligencias penales. Aporta el reclamante un recurso de apelación de 31/07/2018 contra auto de 24/07/2018 (copia parcial de este, faltan folios) que acordaba el sobreseimiento provisional y archivo por delito de revelación de secreto, desconociéndose si existe fallo sobre el mismo. Previamente hubo otros recursos por el mismo asunto al ser archivado provisionalmente. En estos antecedentes de los escritos del asunto, se puede extraer por ser de interés:
- a)El reclamante indica que la citación se podría haber realizado por efectivos de su centro de trabajo procedente del servicio médico.
- b)El reclamante se hallaba de baja médica por accidente de circulación sufrido en el servicio.
- c)Menciona el reclamante que el mismo día 12 a las dos de la tarde recibió la llamada en su móvil “desde la Unidad sanitaria de San Sebastián” servicio sanitario “por la que quedó fehacientemente notificado de la citación”
- d)Oficio del Comisario Jefe de la Comisaria del CNP de ***LOCALIDAD.1 de 10/04/2018 en el que manifiesta al Juzgado que recibieron el 12/07/2017 procedente del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/11 Servicio Sanitario de la Comisaría Provincial de San Sebastián a través de correo electrónico citación para el reclamado, y se comisionó a dos policías adscritos a su Comisaria para acudir a su domicilio en ***LOCALIDAD.1 para entregarle la citación. Ello se llevó a cabo tras no haber contestado a las llamadas telefónicas efectuadas a lo largo de toda la mañana a su móvil, tanto por parte de la secretaria de la Comisaria como del servicio sanitario citado. Añade que “por la urgencia del asunto, que era para el día siguiente, se intentó en otras dos ocasiones en el mismo día, a 14,15 y a 16,30” siendo infructuosos. Identifica a un Inspector Jefe de su Comisaria, que a última hora consiguió acceder, y al no figurar en buzones datos identificativos, subió a la vivienda, y llamando sin conseguir respuesta, “depositó la citación en la puerta”. SEGUNDO: A la vista de los hechos y de los documentos aportados por el reclamante la Subdirección General de Inspección de Datos procedió dando traslado el 15/10/2018 de la reclamación para que el reclamado la analizara comunicara al reclamante la decisión que adopte al respecto. Asimismo, se solicitaba que en el plazo de un mes desde la recepción de este escrito, remitiera a la Agencia: 1. Copia de las comunicaciones, de la decisión adoptada que haya remitido al reclamante a propósito del traslado de esta reclamación, y acreditación de que el reclamante ha recibido la comunicación de esa decisión. 2. Informe sobre las causas que han motivado la incidencia que ha originado la reclamación. 3. Informe sobre las medidas adoptadas para evitar que se produzcan incidencias similares.” Con fecha 3/12/2018, se recibe respuesta del Secretario General de la División de Personal de la Dirección General de la Policía que señala que del Gabinete Técnico de la Policía Nacional recibieron el escrito de la AEPD para que ellos dieran respuesta. Manifiesta: 1) Si bien el delegado de protección de datos se halla adscrito orgánica y funcionalmente al citado Gabinete, “la reclamación tiene su origen en el traslado de la citación efectuada por el servicio sanitario”, por lo que el Gabinete Técnico considera que el procedimiento está ligado con el fichero SIGESPOL del que es responsable la División de Personal. Añade que el área sanitaria se encuadra en la División de Personal, de quien depende funcionalmente los servicios sanitarios de las diferentes regiones Policíales. 2) Indican que “recabado informe del Área Sanitaria de la División de personal”, por la dependencia funcional, que no orgánica que tiene todas las unidades regionales sanitarias respecto de esta, significa en primer lugar que los profesionales sanitarios adscritos a las distintas estructuras sanitarias territoriales realizan labores de Inspección Médica correspondientes a su plantilla, siendo de aplicación la resolución de 23/07 de la DGP que establece normas de seguimiento y evaluación del absentismo laboral de causa médica y tramitación de propuestas de incapacidad en el ámbito de la DGP. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/11 Añade que cuando es preceptivo, proceden a la citación de los funcionarios y reconocimiento o entrega de documentos, informes médicos o exploraciones, que obren en poder de los mismos, al amparo del artículo 91 del real decreto 375/2003 de 28/03 por el que se aprueba el Reglamento general del mutualismo administrativo. “En este proceso de citación, la Unidad regional decide la citación, confecciona las citaciones que procedan, y las trasladan al órgano de personal competente para su ejecución, si es posible”, “órganos totalmente ajenos a la estructura de los servicios sanitarios, y de esta División de personal, a fin de que este las ponga en conocimiento del funcionario, vía telefónica o escrita”. “El órgano de personal competente en el que se halla encuadrado el funcionario cuyo seguimiento se esté realizando por los servicios sanitarios es el responsable de ejecutar la citación, en el modo y en la forma que determine oportuno, sin que desde los servicios médicos se dé instrucciones sobre la misma o exista un protocolo especifico estipulado.” Desde el servicio sanitario de San Sebastián se envió a la Comisaría Provincial de San Sebastián la hoja de citación cuya copia aportan. En el modelo que aportan en el logo, se aprecia que figura Servicio sanitario, Comisaria provincial de San Sebastián, Ministerio de Interior. En el literal figura: “Citación reconocimiento médico” con un recuadro para hacer constar el nombre y apellidos, sigue “comisaría provincial de san Sebastián” y se le cita en los locales del servicio sanitario de la comisaria, la hora y el día. El pie del escrito lleva una nota de aviso de confidencialidad. No se desprende del modelo que se contenga dato sensible sobre salud de la persona citada. Continúa indicando que no conoce los detalles de lo sucedido en la materialización de la citación por parte de funcionarios ajenos a la estructura sanitaria y del titular del fichero SIGESPOL. Considera que la Secretaria General de la División de personal no tiene facultades para supervisar o auditar el cumplimiento de la normativa vigente de protección de datos de los funcionarios ajenos a la plantilla de la División o a la autoridad titular del fichero y sin facultad para evaluar el cumplimiento de la normativa vigente de protección de datos. Añade que de esta respuesta se ha dado copia al Gabinete Técnico del CNP. TERCERO: Con fecha 7/05/2019, la directora de la Agencia Española de Protección de Datos acordó: “INICIAR PROCEDIMIENTO SANCIONADOR a la DIRECCIÓN GENERAL DE LA POLICÍA, (MINISTERIO DE INTERIOR), por la presunta infracción del artículo 5 1.
- f)del RGPD, tipificada en el artículo 83.5 del mismo.” CUARTO: Con fecha 12/06/2019, a instancias del instructor del procedimiento, el reclamante manifiesta que ya no existe ninguna reclamación judicial vigente. QUINTO: El Fichero SIGESPOL regido por la Orden INT/1202/2011, de 4/05, por la que se regulan los ficheros de datos de carácter personal del Ministerio del Interior, señala: 33. FICHERO: SIGESPOL.
- a)Identificación del fichero o tratamiento, indicando su denominación, así como la descripción de su finalidad y usos previstos: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/11 a.1) Identificación del fichero: SIGESPOL. a.2) Finalidad: Gestión de asuntos relativos a los recursos humanos de la Dirección General de la Policía y de la Guardia Civil, ámbito del Cuerpo Nacional de Policía, incluidos los relacionados con planes de pensiones, y a las condecoraciones Policíales. Gestión de indemnizaciones por razón de servicio; trayectoria académica y docente de alumnos y profesores del Centro de Promoción; gestión de suscripciones, colaboraciones, envíos y cobros de las revistas Policíales; y gestión de las prendas de uniformidad del personal. a.3) Usos previstos: Administrativos.
- b)Origen de los datos, indicando el colectivo de personas sobre los que se pretende obtener datos de carácter personal o que resulten obligados a suministrarlos, el procedimiento de recogida de los datos y su procedencia: b.1) Colectivo: Totalidad de recursos humanos afectos a la Dirección General de la Policía y de la Guardia Civil, ámbito del Cuerpo Nacional de Policía, personas ajenas a las que se les concede el ingreso en la Orden al Mérito Policíal y beneficiarios de éstos. b.2) Procedencia y procedimiento de recogida: Aportación voluntaria y obtención de oficio de otros organismos y unidades de otras Administraciones públicas, cuya cesión deba realizarse de acuerdo con la Ley.
- c)Estructura básica del fichero mediante la descripción detallada de los datos identificativos, y en su caso, de los datos especialmente protegidos, así como de las restantes categorías de datos de carácter personal incluidas en el mismo y el sistema de tratamiento utilizado en su organización: c.1) Descripción de los datos: Datos personales: nombre y apellidos, documento nacional de identidad, lugar y fecha de nacimiento, sexo, estado civil, domicilio, número de registro personal, número de afiliación a la Seguridad Social y mutualidades, imagen (foto), certificados electrónicos y cuenta corriente. Datos profesionales: Remuneraciones económicas, plantillas, destinos, categorías, felicitaciones y recompensas, puestos de trabajo, categoría, trienios, cursos, titulaciones y diplomas, sanciones disciplinarias y penales, armas que posean y licencias, distintivos, ayudas, carné de conducir, historial académico, suscripciones y colaboraciones a revistas Policíales y talla antropométrica para uniformes. Datos especialmente protegidos: Afiliación sindical, sanitarios, absentismo laboral. c.2) Sistema de tratamiento: Automatizado.
- d)Comunicaciones de datos previstas, indicando en su caso, los destinatarios o categorías de destinatarios: Al Registro Central de Personal en cumplimiento de lo establecido en el artículo 13 de la Ley 30/1984, de 2 de agosto, de Medidas para la Reforma de la Función Pública. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/11 A la Agencia Estatal de la Administración Tributaria, en virtud de la Ley 40/1998, de 9 de diciembre. A la Tesorería General de la Seguridad Social, en virtud del Real Decreto Legislativo 1/1994, de 20 de junio. A la Mutualidad General de los Funcionarios Civiles del Estado, en virtud de la Ley 29/1975, de 27/07. A la Dirección General de Costes de Personal y Pensiones Públicas, en virtud del Real Decreto Legislativo 670/1987, de 30/04, y previa petición de los funcionarios a entidades financieras para el abono de haberes, sindicatos, mutualidades, colegios de huérfanos y otras entidades para el abono de las cuotas. A las entidades gestora y depositaria y a la Comisión de Control del Plan de Pensiones de la Administración General del Estado, de conformidad con el artículo 19 de la Ley 61/2003, de 30 de diciembre, de Presupuestos Generales del Estado para el año 2004, y el texto refundido de la Ley de Regulación de los Planes y Fondos de Pensiones, aprobado por el Real Decreto Legislativo 1/2002, de 29/11. A la Intervención General de la Administración del Estado, al Tribunal de Cuentas y a las entidades financieras en que se realice el pago de haberes.
- a)Transferencias internacionales de datos previstas a terceros países, con indicación, en su caso, de los países de destino de los datos: No se tiene previsto efectuar transferencias internacionales de datos.
- b)Órgano responsable del fichero: División de Personal, Avenida Pío XII, 50, Madrid.
- g)Servicio o Unidad ante el que pudiesen ejercitarse los derechos de acceso, rectificación, cancelación y oposición: Secretaría General de la División de Personal, Avenida Pío XII, 50, Madrid.
- h)Nivel básico, medio o alto de seguridad que resulte exigible: Alto. SEXTO: Con fecha 25/11/2019, se emite propuesta de resolución, del literal: “-Que por la Directora de la Agencia Española de Protección de Datos se sancione con APERCIBIMIENTO a la DIRECCIÓN GENERAL DE LA POLICÍA, con NIF S2816015H, por una infracción del Artículo 5.1.
- f)del RGPD, en relación con el artículo 5 de la LOPDGDD, de conformidad con el Artículo 83.5 y 58.2.
- b)del RGPD. -Dictamine las medidas que va a implementar para que no se reiteren hechos como los objeto de reclamación. -Determine las medidas adoptadas en cuanto a personal y protocolos adoptados. Frente a la propuesta, se reciben alegaciones el 17/12/2019, que indican C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/11 En relación al procedimiento, por haber dejado la hoja de citación en el rellano de la vivienda del reclamante: 1º. El asunto ha sido objeto de un pronunciamiento judicial (Auto nº XX/XXXX de la Audiencia Provincial de Guipúzcoa de 29 de ***MES de 2019) en el que el órgano judicial afirmó: “…la citación que se dejó en la puerta de la vivienda del Sr. A.A.A. no contenía ningún dato que pudiéramos calificar como de secreto por afectar directamente a su intimidad, dado que si examinamos la misma (folio 16 del atestado) en la misma tan solo consta <citación reconocimiento médico>, el nombre del recurrente, el lugar donde debe presentarse, el órgano del que emana la citación, lugar y hora y facultativo médico que lo acuerda, es decir, no se aporta ningún dato referente a la persona del Sr. A.A.A. al margen de su nombre ni ningún dato de carácter médico que no deba ser conocido por terceros, y aún cuando se indica que el lugar donde se debe efectuar el reconocimiento médico es la comisaría provincial de San Sebastián, tampoco se aporta ningún dato o elemento adicional del cual inferir la profesión del destinatario.” 2º. El Delegado de Protección de Datos de la Policía Nacional ya ha trasladado al responsable del tratamiento SIGESPOL para que se elabore una instrucción clara que recoja un procedimiento para las notificaciones derivadas del mencionado tratamiento, detallando en ese protocolo cuantos elementos se consideren oportuno incluir para configurar un sistema seguro de notificaciones. HECHOS PROBADOS 1) El reclamante, Policía Nacional de baja médica, reclama contra la reclamada por haberle dejado un documento de citación médica en la puerta de su domicilio, a la vista de cualquier persona. Manifiesta que cuando volvió a su domicilio, en el quinto piso de su vivienda, a las 23 horas encontró el documento en la puerta, de forma visible para cualquiera. Consiste en una hoja de citación cumplimentada y preparada por el Servicio Sanitario de la Comisaría provincial de San Sebastián, que llega a la Comisaría provincial de ***LOCALIDAD.1, destino del reclamante. 2) El documento, objeto de la reclamación, según la información que proporciona la División de Personal, aportando un modelo de citación, contiene y revela: el nombre y apellidos del reclamante, que tiene una citación para reconocimiento médico con la dirección expresa, la dirección laboral o centro de destino del paciente, y en su parte inferior se indica que el documento es confidencial. 3) El Comisario Jefe de la Comisaria del CNP de ***LOCALIDAD.1, en escrito de 10/04/2018 en el que manifiesta al Juzgado que recibieron el 12/07/2017 procedente del Servicio Sanitario de la Comisaría Provincial de San Sebastián a través de correo electrónico citación para el reclamado, y se comisionó a dos policías adscritos a su Comisaria para acudir a su domicilio en ***LOCALIDAD.1 para entregarle la citación. Ello se llevó a cabo, tras no haber contestado a las llamadas telefónicas efectuadas a lo largo de toda la mañana a su móvil, tanto por parte de la secretaria de la Comisaria como del servicio sanitario citado. Añade que “por la urgencia del asunto, que era para el día siguiente, se intentó en otras dos ocasiones en el mismo día, a 14,15 y a 16,30” siendo infructuosos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/11 Identifica a un Inspector Jefe de su Comisaria, que a última hora consiguió acceder al domicilio , y al no figurar en buzones datos identificativos, subió a la vivienda, y llamando sin conseguir respuesta, “depositó la citación en la puerta”. El Juzgado, finalmente archivó las diligencias, de acuerdo con lo manifestado por el reclamante. 4) Las citaciones para el control de bajas laborales se llevan a cabo por la Unidad regional de sanidad, que funcionalmente se adscribe a nivel de todas las unidades regionales sanitarias a la DIVISION DE PERSONAL de la DIRECCIÓN GENERAL DE LA POLICÍA. En el presente caso, la Unidad Sanitaria de la Comisaría Provincial de San Sebastián, en funciones de inspección médica decidió citar el 13/07/2018 al reclamante. La Unidad de Sanidad que decide la citación, confecciona la misma, pero su entrega no la efectúan ellos, sino órganos ajenos, pero también pertenecientes a la Policía. En este caso, la Comisaria de ***LOCALIDAD.1 donde prestaba servicios el reclamante fue la encargada de la notificación. 5) No existe protocolo ni orden que regule este procedimiento, tiempos mínimos para la citación, o articulación legal para llevar a cabo la misma. Se suele intentar y es usual que en primer lugar se intente el contacto telefónico con el funcionario con dicho fin. No se conoce que conste información sobre que el uso de dicho número de teléfono que se pueda recoger pueda ser utilizado como dato personal para las citaciones medicas o cualquier otra forma de contacto. El Servicio Médico carece de protocolo que señale los tramites referentes a la subsiguiente entrega de la citación a reconocimiento médico que en este caso se llevó a cabo por componentes de la Comisaria de ***LOCALIDAD.1 en la que el reclamante prestaba servicios. 6) La Unidad de la Comisaria de ***LOCALIDAD.1 que intentó la entrega de la citación en el domicilio del reclamante, en ***LOCALIDAD.1, dejó en la puerta el documento de citación. 7) El reclamante manifiesta que el mismo día 12 a las dos de la tarde recibió la llamada en su móvil “desde la Unidad sanitaria de San Sebastián” servicio sanitario “por la que quedó fehacientemente notificado de la citación”, si bien se deduce de lo manifestado por la DIVISION DEPERSONAL, que el servicio sanitario no “ejecuta las citaciones” y en todo caso parece que pudiera no haber coordinación con la citación. FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de control, y según lo establecido en los artículos 47 y 48 de la Ley Orgánica 3/2018, de 5/12, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/11 LOPDGDD), la directora de la Agencia Española de Protección de Datos es competente para iniciar y para resolver este procedimiento. II La LOPGDD en su artículo 5.1 indica:” Deber de confidencialidad”: “Los responsables y encargados del tratamiento de datos así como todas las personas que intervengan en cualquier fase de este estarán sujetas al deber de confidencialidad al que se refiere el artículo 5.1.
- f)del Reglamento (UE) 2016/679.” En la misma Ley, el artículo 72.1.
- a)la considera: “Infracciones consideradas muy graves “1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
- a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679”. El artículo 83.5
- a)del RGPD, considera que la infracción de “los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9” es sancionable, de acuerdo con el apartado 5 del mencionado artículo 83 del citado Reglamento, con multas administrativas de 20.000.000 € como máximo o, tratándose de una empresa, de una cuantía equivalente al 4% como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía. El artículo 83.7 del RGPD indica: “Sin perjuicio de los poderes correctivos de las autoridades de control en virtud del artículo 58, apartado 2, cada Estado miembro podrá establecer normas sobre si se puede, y en qué medida, imponer multas administrativas a autoridades y organismos públicos establecidos en dicho Estado miembro” El artículo 58.2 del RGPD indica: ”Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación:
- b)sancionar a todo responsable o encargado del tratamiento con apercibimiento cuando las operaciones de tratamiento hayan infringido lo dispuesto en el presente Reglamento;
- d)ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/11 En tal sentido, el artículo 77.1
- c)y 2, 4 y 5 de la LOPGDD, indica: 1. El régimen establecido en este artículo será de aplicación a los tratamientos de los que sean responsables o encargados:
- c)La Administración General del Estado, las Administraciones de las Comunidades autónomas y las entidades que integran la Administración Local. 2 “Cuando los responsables o encargados enumerados en el apartado 1 cometiesen alguna de las infracciones a las que se refieren los artículos 72 a 74 de esta ley orgánica, la autoridad de protección de datos que resulte competente dictará resolución sancionando a las mismas con apercibimiento. La resolución establecerá asimismo las medidas que proceda adoptar para que cese la conducta o se corrijan los efectos de la infracción que se hubiese cometido. La resolución se notificará al responsable o encargado del tratamiento, al órgano del que dependa jerárquicamente, en su caso, y a los afectados que tuvieran la condición de interesado, en su caso.” 4.Se deberán comunicar a la autoridad de protección de datos las resoluciones que recaigan en relación con las medidas y actuaciones a que se refieren los apartados anteriores. 5.Se comunicarán al Defensor del Pueblo o, en su caso, a las instituciones análogas de las comunidades autónomas las actuaciones realizadas y las resoluciones dictadas al amparo de este artículo.” Se imputa a la DIRECCIÓN GENERAL DE LA POLICÍA, la comisión de una infracción del artículo 5.1.
- f)del RGPD “1. Los datos personales serán:
- f)“tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»).” Para el ajuste de la gestión de las citaciones médicas, convendría conocer si existe y como se articula, el tipo de protocolo de actuación para la citación médica entregada por los propios miembros de la Comisaria a los funcionarios que prestan servicios en ella, si es necesario que este personal lo lleve a efecto y norma o instrucción que atribuya su posibilidad, modalidades, normativa, como se lleva a efecto, y la coordinación y reglas que el servicio sanitario ha de impartir sobre los propios datos de citación de los que es responsable de su buen uso y cumplimiento de la finalidad a los que se destinan. Asimismo si la propia unidad sanitaria de citación realiza telefónicamente también las citas como manifiesta el reclamante, debe haber una coordinación para que no se produzca la citación por la comisaria si la primera se lleva a efecto, y naturalmente no tener un plazo para la citación tan corto como de 24 horas que se aprecia en este caso. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/11 Sobre la alegación de que el Juzgado ya ha valorado que no se vulnera secreto alguno ni afecta a la intimidad, se debe señalar que ello se produjo aplicando las normas penales del procedimiento, sin la valoración de la normativa administrativa de protección de datos que se trata aquí. Además, la manifestación de que el Juzgado indicase en su caso que no afecta a la intimidad, en nada menoscaba la apreciación de vulneración de sus datos personales, pues han estado a la vista en un documento de citación médica oficial, que por el modo y forma de llevarse a cabo su entrega, pone de manifiesto que pudieron ser visibles, y que indudablemente puede afectar en mayor o menor medida a la intimidad del reclamante al verse sus datos por terceros, sin motivo alguno. Los datos de nombre y apellidos y que se ha de presentar a un reconocimiento médico en instalaciones de la Policía, son datos básicos, que para el ciudadano medio ni siquiera permiten asociar que el titular de los datos haya de ser Agente del CNP, pudiendo ser habitual que los vecinos conozcan o no que dicha persona pertenece a dicho Cuerpo, pero esos datos son custodiados por la DGP y no efectúa correctamente la citación, dejándolos fuera del sistema ordinario de gestión de los mismos, estableciendo en este caso la posibilidad de que puedan ser accesibles para terceros. En el presente supuesto, no es lógico que al ir a efectuar una citación, se deje el documento con los datos en la puerta, dada la ineficacia de la acción. En alegaciones a propuesta se indicó que se ha redactado un protocolo para las citaciones, por lo no se imponen a la reclamada actuaciones concretas a tomar, debiéndose aquellas incluirse como medidas técnicas y organizativas a la hora de llevar a cabo tratamientos de datos, consignadas en los artículos del RGDP (considerando 78 , artículos 24.1 , 25.2, 32.1.). Por lo tanto, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la DIRECCIÓN GENERAL DE LA POLICÍA, con NIF S2816015H, por una infracción del artículo 5.1.
- f)del RGPD en relación con el artículo 5 de la LOPDGDD. una sanción de APERCIBIMIENTO, conforme determinan los artículos 83.5.
- a)y 58.2.
- b)del citado RGPD, y 77. 2 de la LOPGDD. SEGUNDO: NOTIFICAR la presente resolución a la DIRECCIÓN GENERAL DE LA POLICÍA. TERCERO: COMUNICAR la presente resolución al Defensor del Pueblo, de conformidad con lo establecido en el artículo 77.5 de la LOPDGDD. CUARTO: De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/11 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
- a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es