1/19 Expediente N.º: EXP202206021 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y con base en los siguientes ANTECEDENTES PRIMERO: A.A.A., Delegado de Personal del AYUNTAMIENTO DE SAN CRISTOBAL DE LA LAGUNA y miembro de la “Asociación Sindical Independiente de Policías Locales de las Administraciones Públicas Canarias ASIPAL-CSLA” (en adelante, la parte reclamante), en fecha 22/05/2022 interpone reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra el AYUNTAMIENTO DE SAN CRISTÓBAL DE LA LAGUNA, con NIF P3802300H (en adelante, la parte reclamada o el AYUNTAMIENTO). La reclamación se basa en que, en el curso de una actuación de la Policía Local en la que se recuperó un fardo de hachís, un inspector en prácticas tomó fotografías con su móvil particular en las que captó la imagen de dos agentes que intervinieron en la operación y posteriormente las compartió con la Subcomisaria-jefa quien, a su vez, las proporcionó a los medios de comunicación sin pixelar. La parte reclamante expone a ese respecto: El 30/04/2022, “durante una actuación de los miembros de la Policía Local donde encontraron un fardo de hachís en la costa de ***COSTA.1, […], el Inspector en prácticas Don [***B.B.B. procedió a grabar con su móvil particular la actuación policial de D. [***C.C.C.], agente de la Policía Local del Ayuntamiento, NIP […].” El Inspector en prácticas “envió las fotografías y grabación de la actuación a la Subcomisaria-Jefa de la Policía Local” “quien distribuyó, posteriormente, en los medios de comunicación dichas imágenes realizadas sin tapar o pixelar la cara de los agentes de la Policía que hallaron el fardo de hachís.” “Lo que se quiere precisar es que los hechos objeto de denuncia son unas grabaciones que se realizaron durante la incautación de un fardo de hachís […], y se han divulgado imágenes del Policía Local Don [C.C.C.], que se encontraba desarrollando sus competencias profesionales.” Aporta estos documentos: - Las fotografías que se publicaron en el periódico digital “El Día” en fecha 30/04/2022. Ilustran una noticia con este titular: “Policías locales de La Laguna hallan 40 kilos de hachís en la costa”. Una de las fotografías muestra la imagen completa de dos policías locales -un hombre y una mujer- situados sobre las rocas de un acantilado junto al fardo de droga. La segunda fotografía muestra únicamente el fardo de droga. -Un certificado emitido por el presidente autonómico de la “Asociación Sindical Independiente de Policías Locales de las Administraciones Públicas Canarias ASIPALC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/19 CSLA” en el que consta que la parte reclamante, en representación de ese Sindicato, es Delegado de Personal en el AYUNTAMIENTO. - Un certificado emitido por el presidente autonómico de ASIPAL-CSLA en el que consta que Don C.C.C., con DNI nº […], es afiliado a ese Sindicato. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación al AYUNTAMIENTO para que procediese a su análisis e informase a esta Agencia, en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado se practicó en fecha 01/06/2022 electrónicamente, de acuerdo con lo establecido en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP). La notificación fue aceptada en la misma fecha según consta en el acuse de recibo que obra en el expediente. En fecha 20/06/2022 se recibe la respuesta del AYUNTAMIENTO. Un Oficio firmado electrónicamente por la Teniente de Alcalde y por otras dos personas más designadas instructor y secretario en el expediente que el AYUNTAMIENTO ha abierto a raíz de los hechos sobre los que versa la reclamación, que dice lo siguiente: <<Recibida en este Ayuntamiento de San Cristóbal de La Laguna, notificación electrónica, de 01 de junio de 2022, y oficio de fecha 15 de junio de 2022, recordatorio del anterior, de la Agencia Española de Protección de Datos, Por medio del presente escrito, se informa que se ha abierto expediente nº 2022- 033314, en el que constan Diligencias de inicio de actuaciones, Diligencia del Teniente de Alcalde, Concejal de Hacienda y Seguridad Ciudadana y Diligencia de la Concejalía de Concejala de Planificación, Innovación, Playas, Piscinas y Cementerios, en la que entre otros extremos, se ha ordenado la apertura de expediente, con nombramiento de Instructor y Secretario al efecto, dada la naturaleza y posibles consecuencias de diversa índole. Además consta, que por parte de la Policía se están haciendo los informes correspondientes. En cuanto lleguen se procederá en consecuencia, pudiendo acordar más Diligencias.>> (El subrayado es nuestro) TERCERO: Admisión a trámite de la reclamación En fecha 05/08/2022, de conformidad con el artículo 65 de la LOPDGDD, se admite a trámite la reclamación presentada, lo que se notifica a la parte reclamada el mismo día por medios electrónicos. CUARTO: Acuerdo de apertura del procedimiento En fecha 27/06/2023 la Directora de la Agencia Española de Protección de Datos acuerda iniciar procedimiento sancionador a la parte reclamada, con arreglo a lo dispuesto en los artículos 63 y 64 de la LPACAP, por la presunta infracción de los C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/19 artículos 5.1.
- f)y 32 del RGPD, tipificadas, respectivamente, en los artículos 83.5.
- a)y 83.4.a), ambos del RGPD. QUINTO: Alegaciones al acuerdo de inicio El acuerdo de apertura se notifica electrónicamente a la parte reclamada que accede a la notificación en fecha 29/06/2023, como lo acredita la documentación que obra en el expediente. La parte reclamada no formula alegaciones al acuerdo de apertura. SEXTO: Fase de prueba. Pruebas practicadas En fecha 26/04/2024, con arreglo a lo dispuesto en el artículo 77 de la LPACAP, el órgano instructor acuerda abrir una fase de prueba y practicar las siguientes diligencias probatorias: 1.- Dar por reproducida a efectos probatorios la reclamación interpuesta por la parte reclamante y su documentación anexa, así como los documentos obtenidos y generados por la Subdirección General de Inspección durante la fase de admisión a trámite de la reclamación. 2.- Solicitar al AYUNTAMIENTO que en un plazo de diez días hábiles remita a la Agencia la información y documentación que se detalla: 2.1. El AYUNTAMIENTO, en su respuesta al traslado de la reclamación efectuada por la Subdirección General de Inspección, dirigió a esta Agencia un Oficio firmado electrónicamente el 20/06/2022 en el que informaba que se había “abierto expediente nº ***EXPEDIENTE.1, en el que constan Diligencias de inicio de actuaciones, Diligencia del Teniente de Alcalde, Concejal de Hacienda y Seguridad Ciudadana y Diligencia de la Concejalía de Concejala de Planificación, Innovación, Playas, Piscinas y Cementerios, […], con nombramiento de Instructor y Secretario al efecto, dada la naturaleza y posibles consecuencias de diversa índole.” Asimismo, indicaba en el Oficio remitido que “por parte de la Policía se están haciendo los informes correspondientes”. Se le requiere para que aporte: 2.1.1. La copia completa de los documentos que integran el expediente con referencia nº 2022- 033314 al que alude en su Oficio de fecha 20/06/2022. 2.1.2. El informe o informes que la Policía Local de San Cristóbal de La Laguna hubiera emitido en relación con los hechos sobre los que versa la reclamación formulada contra esa entidad local, así como una copia de todos aquellos documentos que obren en su poder en los cuales el/los informe/s policial/es apoye/n sus conclusiones. 2.2. Cualquier otro documento distinto de los indicados en los apartados 2.1.1. y 2.1.2. que guarde relación con los hechos descritos en la reclamación y obre en poder del AYUNTAMIENTO. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/19 2.3. Copia del Registro de Actividades de Tratamiento (RAT) del AYUNTAMIENTO que estuviera vigente en la fecha de los hechos, el 30/042022, con indicación de si figuraba o no publicado en esa fecha en su página web. 2.4. Descripción de las medidas que el AYUNTAMIENTO tenía implantadas en la fecha de los hechos con el fin de garantizar la seguridad de los tratamientos de datos que llevara a cabo la Policía Local. 2.5. Que informe si en la fecha de los hechos, el 30/04/2022, se habían dado las oportunas instrucciones a los miembros de la Policía Local acerca de las medidas que debían observar para cumplir los principios de protección de datos, entre ellas las necesarias para garantizar la seguridad de los datos, y, en particular, si existían instrucciones expresas para no utilizar los dispositivos móviles particulares para el tratamiento de datos personales a los que hubieran tenido acceso en el marco de sus actividades profesionales. Si la respuesta es afirmativa, deberá aportar la documentación que lo acredite. 2.6. Copia del informe de auditoría de sus sistemas de información anterior a la fecha de los hechos cuyo objeto es verificar el cumplimiento de los requerimientos del Esquema Nacional de Seguridad de acuerdo con lo dispuesto en el artículo 34 del R.D. 3/2010. 2.7. Copia del último informe de auditoría de sus sistemas de información, cuyo objeto es verificar el cumplimiento de los requerimientos establecidos por el Esquema Nacional de Seguridad en cumplimiento de la previsión del artículo 31 del R.D. 311/2022, SÉPTIMO: Fase de prueba. Respuesta a las pruebas practicadas El escrito que acuerda abrir una fase de prueba y las pruebas que se practican se notifica a la parte reclamada electrónicamente: Se pone a disposición el 26/04/2024 y el 06/05/2024 el AYUNTAMIENTO acepta la notificación. Así lo acredita la documentación que obra en el expediente. El plazo para evacuar el trámite de prueba finaliza el 22/05/2024. El 27/05/2024 no consta en la Agencia que la parte reclamada haya respondido a las pruebas solicitadas. OCTAVO: Propuesta de resolución La propuesta de resolución, firmada por el órgano instructor el 30/05/2024, se pronuncia en los siguientes términos: <<PRIMERO: Que por la Directora de la Agencia Española de Protección de Datos se ACUERDE el ARCHIVO del procedimiento sancionador abierto al AYUNTAMIENTO DE SAN CRISTÓBAL DE LA LAGUNA, con NIF P3802300H, por las presuntas infracciones de los artículos 5.1.
- f)y 32 del RGPD, tipificadas, respectivamente, en los artículos 83.5 y 83.4 del RGPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/19 La PROPUESTA de ARCHIVO se funda en la ausencia de una prueba de cargo de la vulneración de las disposiciones del RGPD mencionadas que enerven el derecho a la presunción de inocencia garantizado en el artículo 24.2 de la Constitución Española.>> NOVENO: No se formulan alegaciones a la propuesta de resolución La propuesta de resolución se notificó electrónicamente a la parte reclamada, de acuerdo con lo dispuesto en la LPACAP, siendo la fecha de puesta a disposición el 30/05/2024 y la fecha de aceptación el 03/06/2024. Transcurrido el plazo de diez días hábiles otorgado a la reclamada para formular alegaciones a la propuesta de resolución, no consta en esta Agencia su presentación. De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes HECHOS PROBADOS PRIMERO: La parte reclamante ha manifestado que el día 30/04/2022 “durante una actuación de los miembros de la Policía Local donde encontraron un fardo de hachís en la costa de ***COSTA.1, en las proximidades del Club Náutico” el Inspector en prácticas Don B.B.B., con NIP XXXXX, “procedió a grabar con su móvil particular la actuación policial de Don [nombre del agente de la Policía Local]”, “envió las fotografías y grabación de la actuación a la Subcomisaria-Jefa de la Policía Local Doña D.D.D.”, con NIP XXXXX, “quien distribuyó posteriormente a los medios de comunicación dichas imágenes realizadas sin tapar o pixelar la cara de los agentes de policía que hallaron el fardo de hachís.” SEGUNDO: La parte reclamante es Delegado de Personal en el Ayuntamiento de San Cristóbal de la Laguna en representación del sindicato “Asociación Sindical Independiente de Policías Locales de las Administraciones Públicas Canarias ASIPALCSLA”. Obra en el expediente un certificado emitido por el presidente autonómico de ese sindicato que lo acredita. Además, el agente de la Policía Local -D. B.B.B.- cuya imagen se ha difundido a través de las fotografías publicadas en el medio de comunicación digital es afiliado al mencionado sindicato. Obra en el expediente un certificado emitido por el presidente autonómico de ASIPAL-CSLA que lo acredita. TERCERO: Obran en el expediente, aportadas por la parte reclamante, varias capturas de pantalla del periódico digital “El Día” de fecha 30 de abril, a las 12:26, con la noticia “Policías Locales de La Laguna hallan 40 kilos de hachís en la costa”. La noticia se ilustra con dos fotografías. Una de las fotografías muestra la imagen completa de dos policías locales -un hombre y una mujer- situados sobre las rocas de un acantilado junto al fardo de droga. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/19 El rostro es perfectamente visible CUARTO: El AYUNTAMIENTO, en su respuesta al traslado de la Subdirección General de Inspección, no negó la realidad de los hechos expuestos en la reclamación -de la que se le remitió copia acompañada de la documentación anexa- ni objetó nada frente al relato de hechos que en ella se hacía. En su respuesta informó de que -en relación con los hechos objeto de la reclamación- había procedido a abrir un expediente “dada la naturaleza y posibles consecuencias de diversa índole.” (El subrayado es nuestro) El escrito de respuesta dice así: <<Recibida en este Ayuntamiento de San Cristóbal de La Laguna, notificación electrónica, de 01 de junio de 2022, y oficio de fecha 15 de junio de 2022, recordatorio del anterior, de la Agencia Española de Protección de Datos, Por medio del presente escrito, se informa que se ha abierto expediente nº 2022033314, en el que constan Diligencias de inicio de actuaciones, Diligencia del Teniente de Alcalde, Concejal de Hacienda y Seguridad Ciudadana y Diligencia de la Concejalía de Concejala de Planificación, Innovación, Playas, Piscinas y Cementerios, en la que entre otros extremos, se ha ordenado la apertura de expediente, con nombramiento de Instructor y Secretario al efecto, dada la naturaleza y posibles consecuencias de diversa índole. Además consta, que por parte de la Policía se están haciendo los informes correspondientes. En cuanto lleguen se procederá en consecuencia, pudiendo acordar más Diligencias.>> (El subrayado es nuestro) QUINTO: El AYUNTAMIENTO no formula alegaciones al acuerdo de inicio. SEXTO: El AYUNTAMIENTO no responde a la pruebas solicitadas en la fase de prueba. En el periodo de prueba se le requirió para que aportara: -Copia completa de los documentos que integren el expediente con referencia nº ***REFERENCIA.1 al que alude en su Oficio de fecha 20/06/2022. - El informe o informes que la Policía Local de San Cristóbal de La Laguna hubiera emitido en relación con los hechos sobre los que versa la reclamación presentada contra esa entidad local, así como una copia de todos aquellos documentos que obren en su poder en los cuales el/los informe/s policial/es apoye/n sus conclusiones. -Cualquier otro documento distinto de los anteriores que guarde relación con los hechos descritos en la reclamación y que obre en su poder. -Copia del Registro de Actividades de Tratamiento (RAT) que estuviera vigente en la fecha de los hechos, el 30/042022, con indicación de si figuraba o no publicado en su página web. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/19 -Descripción de las medidas que tenía implantadas en la fecha de los hechos con el fin de garantizar la seguridad de los tratamientos de datos que lleva a cabo la Policía Local. -Información de si en la fecha de los hechos, el 30/04/2022, se habían dado las oportunas instrucciones a los miembros de la Policía Local acerca de las medidas que debían observar para cumplir los principios de protección de datos, entre ellas las necesarias para garantizar la seguridad de los datos, y, en particular, si existían instrucciones expresas para no utilizar los dispositivos móviles particulares para el tratamiento de datos personales a los que hubieran tenido acceso en el marco de sus actividades profesionales. Si la respuesta es afirmativa, deberá aportar la documentación que lo acredite. -El informe de auditoría de sus sistemas de información anterior a la fecha de los hechos cuyo objeto es verificar el cumplimiento de los requerimientos del Esquema Nacional de Seguridad de acuerdo con lo dispuesto en el artículo 34 del R.D. 3/2010. -El último informe de auditoría de sus sistemas de información, cuyo objeto es verificar el cumplimiento de los requerimientos establecidos por el Esquema Nacional de Seguridad en cumplimiento de la previsión del artículo 31 del R.D. 311/2022, FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la LOPDGDD, es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Consideraciones previas 1. A tenor del artículo 4.1 del RGPD, que define el dato personal como “toda información sobre una persona física identificada o identificable («el interesado») […]”, la imagen de una persona física es un dato de carácter personal. Su tratamiento, por tanto, está sometido a la normativa de protección de datos. La Audiencia Nacional, Sala de lo Contencioso Administrativo, en su reciente SAN de 21/03/2023, Rec. 330/2021, recuerda que ha “[…] declarado en múltiples ocasiones (SSAN de 19/12/2018, Rec. 286/2017 y de 27/12/2019, Rec.786/2018) que la imagen C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/19 de una persona constituye un dato personal en el sentido del […] actual artículo 4.1 del Reglamento General de Protección de Datos (RGPD) en la medida en que permite identificar a la persona afectada, como señala la sentencia del Tribunal de Justicia de la Unión Europea de 11 de diciembre de 2014 (asunto C-212/13)”. El artículo 4.2 del RGPD define el “tratamiento” como “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción”. Los hechos expuestos en la reclamación versan sobre el tratamiento de la imagen de dos policías locales -dos agentes de la autoridad a tenor del artículo 7.1 de la Ley Orgánica 2/1986, de Fuerzas y Cuerpos de Seguridad (LOFCS)- que, supuestamente, fue captada mediante fotografía o video con un terminal móvil particular por otros miembros del Cuerpo de Seguridad, cuando se encontraban de servicio en una operación de recogida de un alijo de droga, y fue cedida posteriormente a un periódico digital sin adoptar previamente ninguna medida que ocultara su rostro. El acuerdo de inicio del procedimiento subrayó que el tratamiento de datos personales descrito en la reclamación no habría consistido únicamente en captar la imagen de los dos agentes utilizando un terminal móvil particular. Habría consistido también en el almacenamiento en el terminal particular de los datos así recogidos; en su comunicación desde ese terminal al de otro mando policial -la Subcomisaria-Jefa de la Policía Local- y en la difusión pública de la imagen, puesto que la fotografía con la imagen de los agentes se facilitó a un periódico local sin que previamente se hubiera pixelado u ocultado el rostro. Sobre el origen del dato y su posterior comunicación al diario digital de la localidad, que publicó la fotografía de los agentes el 30/04/2022, la parte reclamante manifestó que la obtuvo con su móvil privado un “Inspector en prácticas” de la Policía Local -a quien identificó por su nombre, dos apellidos y N.I.P.-; que posteriormente la remitió a la “Subcomisaria-Jefa” -identificada también por su nombre, dos apellidos y el N.I.P.quien la comunicó al mencionado periódico digital en las condiciones en la que fue publicada, esto es, sin haber ocultado o pixelado el rostro de los agentes. 2.El acuerdo de inicio del procedimiento, de conformidad con el artículo 4.7 del RGPD, atribuyó al AYUNTAMIENTO la condición de responsable del tratamiento de datos que, a tenor de lo expuesto en la reclamación, se habría efectuado. A ese respecto, se indicó que la Policía Local se rige por el Reglamento de Organización y Funcionamiento de la Policía Local de Santa Cruz de la Laguna (publicado en el BOP número 132 de 12/08/2005), dictado al amparo del artículo 52.1 de la LOFCS; de la Ley 6/1997, de 4 de julio, de Coordinación de Policías Locales de Canarias y del Decreto 75/2003, de 12 de mayo, del Gobierno de Canarias. El Reglamento de Organización y Funcionamiento citado establece en su artículo 6, “Régimen funcionarial”, que “a los efectos de este Reglamento, los funcionarios en práctica tienen la consideración de miembros del Cuerpo de la Policía Local, siéndoles C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/19 de aplicación sólo aquellos preceptos que no contravengan la naturaleza jurídica de su relación.” Y el artículo 11 establece que “La Jefatura superior de la Policía Local corresponde al Alcalde o concejal en quien delegue, de acuerdo con la normativa reguladora de delegación de competencias vigente. Correspondiéndoles, en exclusiva, la determinación de los servicios a prestar y la adscripción del personal a los mismos.” Sobre la “Jefatura inmediata”, el artículo 12 del Reglamento determina que “El Jefe inmediato del Cuerpo será nombrado por el Alcalde, por el procedimiento de libre designación, entre los funcionarios que ocupen el empleo superior de la plantilla […]”. (El subrayado es nuestro) El AYUNTAMIENTO no ha ofrecido ninguna explicación sobre el tratamiento de datos objeto de la reclamación: Ni formuló alegaciones al acuerdo de apertura ni respondió a las pruebas que se le requirieron. Las únicas manifestaciones que el citado AYUNTAMIENTO ha hecho son las realizadas en la respuesta a la solicitud informativa de la Subdirección General de Inspección, previa a la admisión a trámite de la reclamación (reflejadas en el Antecedente segundo) en las que se limitó a informar que había procedido a la apertura del expediente nº ***EXPEDIENTE.1 “dada la naturaleza y posibles consecuencias de diversa índole” y de que la Policía estaba elaborando los informes correspondientes. 3. Cabe indicar que el tratamiento de datos sobre el que versó la reclamación quedaba sometido al RGPD y no a la Ley Orgánica 7/2021, de 26 de mayo, “de protección de datos personales tratados para fines de prevención, detección, investigación y enjuiciamiento de infracciones penales y de ejecución de sanciones penales” (en adelante, L.O. 7/2021). Así resulta de lo dispuesto en los artículos 1 y 2 de la L.O. 7/2021 -relativos al objeto y al ámbito de aplicación- a tenor de los cuales su aplicación se circunscribe al tratamiento de datos realizados por las autoridades competentes con determinados fines: de prevención, detección, investigación y enjuiciamiento de infracciones penales o de ejecución de sanciones penales, incluidas la protección y prevención frente a las amenazas contra la seguridad pública. Y del carácter de norma especial que tiene la L.O. 7/2021, de modo que únicamente se aplica al tratamiento de datos de carácter personal que regula: el realizado por parte de las autoridades competentes con los fines que en ella se especifican. En tal sentido, la circunstancia de que la imagen de los dos agentes de la Policía Local se hubiera captado -según el relato del escrito de reclamación- en el curso de una actuación de ese cuerpo de seguridad no significa que sus datos se hubieran tratado con el propósito de cumplir alguna de las finalidades específicas de la L.O. 7/2021. Aunque pueda ser relevante conocer por medio de videos o fotografía el lugar en el que se halló y se rescató el alijo incautado, o las características externas del fardo, es irrelevante para los fines que persigue la ley especial captar a través de fotos o videos la identidad de los agentes policiales que intervinieron en la operación. Por ello, en consideración al relato de los hechos expuesto en el escrito de reclamación, el tratamiento de la imagen de los agentes de la Policía Local debía regirse por la norma general, el RGPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/19 III Disposiciones aplicables El RGPD en su artículo 5 - “Principios relativos al tratamiento”- establece los principios que deben de presidir todo tratamiento de datos personales. El precepto dispone: “1. Los datos personales serán:
- a)[…](«licitud, lealtad y transparencia»);
- b)[…] («limitación de la finalidad»);
- c)[…] («minimización de datos»);
- d)[…] («exactitud»);
- e)[…] («limitación del plazo de conservación»);
- f)tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»). 2.El responsable del tratamiento será responsable del cumplimiento de lo dispuesto en el apartado 1 y capaz de demostrarlo («responsabilidad proactiva»).” El artículo 32 del RGPD, “Seguridad del tratamiento”, dispone: “1. Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como los riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, que en su caso incluya, entre otros:
- a)la seudonimización y el cifrado de datos personales;
- b)la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento;
- c)la capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente físico o técnico;
- d)un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento. 2.Al evaluar la adecuación del nivel de seguridad se tendrán particularmente en cuenta los riesgos que presente el tratamiento de datos, en particular como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos. 3.[…]. 4.El responsable y el encargado del tratamiento tomarán medidas para garantizar que cualquier persona que actúe bajo la autoridad del responsable o del encargado y tenga acceso a datos personales solo pueda tratar dichos datos siguiendo instrucciones del responsable, salvo que esté obligada a ello en virtud del Derecho de la Unión o de los Estados miembros.” IV Sobre la presunta infracción del artículo 5.1.
- f)del RGPD C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/19 1.El acuerdo de inicio de este procedimiento sancionador atribuyó al AYUNTAMIENTO una infracción del artículo 5.1.
- f)del RGPD, relativo al principio de confidencialidad, materializada en haber facilitado, presuntamente, a terceros -un periódico local- una fotografía con la imagen de dos policías locales sin adoptar alguna técnica que impidiera que su rostro fuera visible. Diversos considerandos del RGPD se refieren al deber de confidencialidad en el ámbito de la protección de datos. Así el considerando 39 dice: “[…] Los datos personales deben tratarse de un modo que garantice una seguridad y confidencialidad adecuadas de los datos personales, inclusive para impedir el acceso o uso no autorizados de dichos datos y del equipo utilizado en el tratamiento.” La Sentencia del Tribunal Constitucional (STC) 292/2000 con ocasión de su análisis sobre el “contenido” del derecho fundamental a la protección de datos alude al poder de disposición y control que incumbe al titular de los datos sobre el uso o usos posibles de sus datos por un tercero. El Fundamento de Derecho séptimo, señala: “[…] resulta que el contenido del derecho fundamental a la protección de datos consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el Estado o un particular.” (El subrayado es nuestro) 2. Consta acreditado en el expediente administrativo que en fecha 30/04/2022 se publicó en un periódico digital de la localidad una fotografía que muestra la imagen de dos agentes de la Policía Local mientras estaban desempeñando sus funciones y cuyo rostro es perfectamente visible. Resulta por tanto acreditado que las fotografías se facilitaron al periódico sin adoptar ninguna medida que garantizara la confidencialidad (ocultando o pixelando el rostro) , lo que es especialmente grave cuando, como aquí acontece, la actuación policial en la que intervinieron estaba relacionada con la lucha contra el tráfico de drogas. No obstante, en el curso de la instrucción del presente procedimiento no ha quedado probado quién o quiénes proporcionaron al periódico digital la fotografía con la imagen de los agentes de la Policía Local publicada el 30/04/2021. En consecuencia, no ha podido demostrarse la responsabilidad del AYUNTAMIENTO en los hechos. Ni ha podido confirmarse la versión que la parte reclamante expuso en su escrito de reclamación - a tenor de la cual la fotografía se captó por un inspector en prácticas quien la comunicó a la Subcomisaria-jefe quien, a su vez, la cedió al medio de comunicación digital-, ni se ha acreditado que el origen de la fotografía publicada en el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/19 medio de comunicación digital con la imagen de los agentes hubiera sido captada y cedida por miembros de la Policía Local. La apertura de este procedimiento sancionador se fundó en la existencia de indicios razonables y sólidos de vulneración de la normativa de protección de datos, tomando en consideración para ello que la parte reclamante -cuya condición de Delegado de Personal en representación de un Sindicato Policial contribuía a su credibilidadacompañó sus declaraciones de elementos que reforzaban la veracidad del relato, como es que proporcionara los datos identificativos de las dos personas que presuntamente intervinieron en los hechos -el inspector en prácticas y la Subcomisaria-jefe-, pues facilitó el nombre, dos apellidos y NIP. También la respuesta del AYUNTAMIENTO al trámite de traslado contribuyó a reforzar que los hechos expuestos por el reclamante ofrecían indicios de una presunta vulneración del RGPD, toda vez que en su respuesta parecía admitir implícitamente la realidad de los hechos, ya que, además de no haberlos negado ni haber objetado nada en contra de ellos, informaba de la apertura de un expediente (del que facilitó la referencia) que justificó “dada la naturaleza y posibles consecuencias de diversa índole”. E informó también de que la Policía Local estaba realizando los informes pertinentes. Llegados a este punto se ha de recordar que en el Derecho Administrativo sancionador rigen -con alguna matización, pero sin excepciones- los principios que inspiran el Derecho Penal, entre ellos el de presunción de inocencia consagrado en el artículo 24.2 de la Constitución Española (CE) Principio que impide imputar una infracción administrativa cuando no se haya obtenido y constatado una prueba de cargo que acredite los hechos que motivan la imputación o la intervención en los mismos del presunto infractor y que ha de ser respetado en la imposición de cualesquiera sanciones. La vigencia del principio de presunción de inocencia en el marco del procedimiento Administrativo Sancionador es incontrovertida. En ese sentido puede mencionarse la STC 76/1990, de 26 de abril, que afirma: “no puede suscitar ninguna duda que la presunción de inocencia rige sin excepciones en el ordenamiento sancionador y ha de ser respetada en la imposición de cualesquiera sanciones, sean penales sean administrativas […] pues el ejercicio del ius puniendi en sus diversas manifestaciones está condicionado por el art. 24.2 de la Constitución al juego de la prueba y a un procedimiento contradictorio en el que puedan defenderse las propias posiciones. En tal sentido, el derecho a la presunción de inocencia comporta que la sanción esté basada en actos o medios probatorios de cargo o incriminadores de la conducta reprochada; que la carga de la prueba corresponda a quien acusa sin que nadie esté obligado a probar su propia inocencia, y que cualquier insuficiencia en el resultado de las pruebas practicadas, libremente valorado por el órgano sancionador, debe traducirse en un pronunciamiento absolutorio” (F.J. 8) (El subrayado es nuestro) Cabe añadir en relación con la presunta infracción del artículo 5.1.
- f)del RGPD que se atribuyó al AYUNTAMIENTO en el acuerdo de inicio de este expediente sancionador, que tampoco podría operar como prueba de cargo la prueba indiciaria, cuya virtualidad C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/19 para enervar la presunción de inocencia ha sido reconocida por el Tribunal Supremo. Así, en STS de 26/10/1998 el Tribunal Supremo señala que “la vigencia del principio de presunción de inocencia “no se opone a que la convicción judicial en un proceso pueda formarse sobre la base de una prueba indiciaria, pero para que esta prueba pueda desvirtuar dicha presunción debe satisfacer las siguientes exigencias constitucionales: los indicios han de estar plenamente probados – no puede tratarse de meras sospechas – y tiene que explicitar el razonamiento en virtud del cual, partiendo de los indicios probados, ha llegado a la conclusión de que el imputado realizó la conducta infractora, pues, de otro modo, ni la subsunción estaría fundada en Derecho ni habría manera de determinar si el proceso deductivo es arbitrario, irracional o absurdo, es decir, si se ha vulnerado el derecho a la presunción de inocencia al estimar que la actividad probatoria pueda entenderse de cargo.” Es importante subrayar que la ausencia de una prueba de cargo de los hechos imputados en este procedimiento es consecuencia de que el AYUNTAMIENTO no ha tenido a bien responder al requerimiento que se le hizo en fase de prueba para que aportara determinados documentos que obraban en su poder. En esencia, una copia del expediente que tramitó -referencia nº 2022- 033314- , los informes elaborados por la Policía Local, cuantos documentos se mencionaran en ellos y cualquier documento relacionado con los hechos. El AYUNTAMIENTO no ha respondido a las pruebas solicitadas pese a que la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público (LRJSP) le impone un deber de colaboración con otras Administraciones Públicas. El artículo 3 de la LRJSP dispone que “Deberán respetar en su actuación y relaciones los siguientes principios: […] “k)Cooperación, colaboración y coordinación entre las Administraciones Públicas”. También la LOPDGDD impone en su artículo 52 un deber de colaboración de la Administraciones Públicas con la Agencia Española de Protección de Datos, precepto que establece: “1. Las Administraciones Públicas […] y los particulares estarán obligados a proporcionar a la Agencia Española de Protección de Datos los datos, informes, antecedentes y justificantes necesarios para llevar a cabo su actividad de investigación. Cuando la información contenga datos personales la comunicación de dichos datos estará amparada por lo dispuesto en el artículo 6.1
- c)del Reglamento (UE) 2016/679.” En definitiva, no han quedado acreditados los elementos objetivos que integran la infracción del principio de confidencialidad: que la imagen de los agentes hubiera sido captada -por medio de fotografía o de video- por algún miembro de la Policía Local ni que la hubieran cedido -en todo caso sin pixelar - al periódico digital que la ha publicado. Por tanto, no existiendo una prueba de cargo ni indicios suficientes capaces de desvirtuar el principio de presunción de inocencia, procede acordar el archivo del presente expediente sancionador en relación con la infracción del artículo 5.1.
- f)del RGPD que el acuerdo de inició atribuyó al AYUNTAMIENTO. VI C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/19 Presunta infracción del artículo 32 del RGPD 1.El acuerdo de inicio de este procedimiento sancionador atribuyó al AYUNTAMIENTO una infracción del artículo 32 del RGPD - “Seguridad del tratamiento”- cuyo apartado 1 impone a los responsables y encargados de tratamiento la obligación de adoptar las medidas de índole técnica y organizativa que sean necesarias para “garantizar un nivel de seguridad adecuado al riesgo”. Como subrayó el acuerdo de inicio del procedimiento a propósito de la disposición del artículo 32 del RGPD, a diferencia de la normativa precedente, en el RGPD el responsable está obligado a adoptar aquellas medidas que, teniendo en cuenta el principio de proactividad, concluya que son las necesarias para garantizar la seguridad a la vista del riesgo que entrañen los tratamientos de datos que efectúa. Esto implica que el responsable esté obligado a evaluar periódicamente cuál es el riesgo presente en el tratamiento, de manera que las medidas necesarias no son estáticas sino susceptibles de experimentar cambios. Así lo indica el artículo 32.2. del RGPD cuando dice: “Al evaluar la adecuación del nivel de seguridad se tendrán particularmente en cuenta los riesgos que presente el tratamiento de datos, en particular como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos.” El artículo 32.1 del RGPD menciona entre las medidas que pueden adoptarse, según corresponda, las siguientes: “
- a)la seudonimización y el cifrado de datos personales;
- b)la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento;
- c)la capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente físico o técnico;
- d)un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento.” En su apartado 4 el artículo 32 del RGPD obliga al responsable y al encargado de tratamiento a adoptar las medidas que garanticen que, cualquier persona que actúe bajo la autoridad del responsable o del encargado de tratamiento y tenga acceso a datos personales, solo pueda tratar dichos datos siguiendo las instrucciones del responsable. Paralelamente, el artículo 156 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público (en adelante, LRJSP), dispone en su apartado 2: “El Esquema Nacional de Seguridad tiene por objeto establecer la política de seguridad en la utilización de medios electrónicos en el ámbito de la presente Ley, y está constituido por los principios básicos y requisitos mínimos que garanticen adecuadamente la seguridad de la información tratada.” El acuerdo de inicio del procedimiento advirtió que cuando el responsable del tratamiento es, como aquí acontece, un sujeto de los mencionados en el artículo 77.1 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/19 de la LOPDGDD -el AYUNTAMIENTO es una entidad local, a la que se refiere el apartado c), último inciso, de ese precepto- viene obligado, en todo caso, a adoptar las medidas de seguridad a las que alude su Disposición Adicional primera. Esta disposición, bajo la rúbrica “Medidas de seguridad en el ámbito del sector público”, establece: “1. El Esquema Nacional de Seguridad incluirá las medidas que deban implantarse en caso de tratamiento de datos personales para evitar su pérdida, alteración o acceso no autorizado, adaptando los criterios de determinación del riesgo en el tratamiento de los datos a lo establecido en el artículo 32 del Reglamento (UE) 2016/679. 2. Los responsables enumerados en el artículo 77.1 de esta ley orgánica deberán aplicar a los tratamientos de datos personales las medidas de seguridad que correspondan de las previstas en el Esquema Nacional de Seguridad, así como impulsar un grado de implementación de medidas equivalentes en las empresas o fundaciones vinculadas a los mismos sujetas al Derecho privado. En los casos en los que un tercero preste un servicio en régimen de concesión, encomienda de gestión o contrato, las medidas de seguridad se corresponderán con las de la Administración pública de origen y se ajustarán al Esquema Nacional de Seguridad.” (El subrayado es nuestro) Se indicó también en el acuerdo de apertura que, por tanto, el AYUNTAMIENTO estaba obligado a aplicar las medidas de seguridad a las que hace referencia la Disposición Adicional primera de la LOPDGDD: las que correspondan de las previstas en el Esquema Nacional de Seguridad (en adelante, ENS). Se dijo, asimismo, en el acuerdo de apertura que, si bien la norma reglamentaria que regula el ENS es actualmente el Real Decreto 311/2022, de 3 de mayo, “por el que se regula el Esquema Nacional de Seguridad”, que entró en vigor el 5 de mayo y que derogó el Real Decreto 3/2010, de 8 de enero, por el que se regulaba “el Esquema Nacional de Seguridad en el ámbito de la Administración Electrónica”, los hechos que habrían dado lugar al tratamiento de datos sobre el que versaba la reclamación acontecieron el día 30/04/2022, es decir, varios días antes de que entrara en vigor el reglamento actual, el R.D. 311/2022. Y que, por tanto, puesto que en la fecha en la que se realizó el tratamiento estaba aún vigente el R.D. 3/2010, se hacía mención a esa norma y a las obligaciones que ella imponía al responsable del tratamiento, en tanto que no habían sido suprimidas por el vigente R.D. 311/2022. Se transcribió el artículo 21 del R.D. 3/2010, “Protección de información almacenada y en tránsito”, (en la actualidad el artículo 22 del vigente R.D. 311/2022) que establece: “1. En la estructura y organización de la seguridad del sistema, se prestará especial atención a la información almacenada o en tránsito a través de entornos inseguros. Tendrán la consideración de entornos inseguros los equipos portátiles, asistentes personales (PDA), dispositivos periféricos, soportes de información y comunicaciones sobre redes abiertas o con cifrado débil. 2.Forman parte de la seguridad los procedimientos que aseguren la recuperación y conservación a largo plazo de los documentos electrónicos producidos por las Administraciones públicas en el ámbito de sus competencias. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/19 3.[…]”. (El subrayado es nuestro) También el artículo 22 del R.D. 3/2010, “Prevención ante otros sistemas de información interconectados”, (en la actualidad, artículo 23 del vigente R.D. 311/2022) que disponía lo siguiente: “El sistema ha de proteger el perímetro, en particular, si se conecta a redes públicas. Se entenderá por red pública de comunicaciones la red de comunicaciones electrónicas que se utiliza, en su totalidad o principalmente, para la prestación de servicios de comunicaciones electrónicas disponibles para el público, de conformidad a la definición establecida en el apartado 26 del anexo II, de la Ley 32/2003, de 3 de noviembre, General de Telecomunicaciones. En todo caso se analizarán los riesgos derivados de la interconexión del sistema, a través de redes, con otros sistemas, y se controlará su punto de unión.” (El subrayado es nuestro) Se mencionaron, además, el artículo 23 del R.D. 3/2010 - “Registro de Actividad”(disposición que se recoge actualmente en el artículo 24 del vigente R.D. 311/2022) y el artículo 27 del R.D. 3/2010, “Cumplimiento de requisitos mínimos” (disposición recogida en el artículo 28 del vigente R.D. 311/2022) Igualmente, se reprodujo el texto del artículo 34 del RD 3/2010 relativo a las auditorias de seguridad de los sistemas de información utilizados (en la actualidad el artículo 31 del R.D. 311/2022) La Agencia señaló en el acuerdo de apertura que, tomando en consideración los riesgos a los que alude el R.D. 3/2010, estimaba que el uso de cámaras o móviles personales -no oficiales- por los miembros de la Policía Local, no garantiza la seguridad de los datos, ya que los usos privados que cada persona pueda hacer con sus propios dispositivos no resultan compatibles con las medidas de seguridad que para el ejercicio de las funciones de policía deben adoptarse por los responsables del tratamiento Igualmente se hizo constar en el acuerdo de apertura que el tratamiento presuntamente infractor consistió en captar la imagen de los dos agentes utilizando un terminal móvil particular, en el almacenamiento en el terminal particular de los datos así recogidos y en su comunicación desde ese terminal móvil al de otro mando policial. A tenor de lo expuesto en la reclamación, el acuerdo de inicio del procedimiento consideró que, en la medida en que los datos -la imagen de los policías- se recabaron y comunicaron mediante dispositivos privados, se habría incumplido presuntamente la obligación de garantizar la seguridad de los datos, por lo que tal conducta podría constituir una infracción del artículo 32 del RGPD. 2. En el curso de la instrucción de este procedimiento no ha podido acreditarse la realidad de los elementos objetivos que integran la infracción del artículo 32 del RGPD de la que se responsabilizó al AYUNTAMIENTO en el acuerdo de apertura. Esto, porque no se ha probado que la imagen de los agentes de la Policía hubiera sido captada por otro miembro de ese Cuerpo de Seguridad valiéndose de un terminal C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/19 privado, ni menos aún que la fotografía obtenida se hubiera enviado desde ese terminal privado al de otro miembro del Cuerpo de Seguridad. En consecuencia, no podemos concluir que el AYUNTAMIENTO vulneró la obligación de adoptar las medidas de seguridad adecuadas al riesgo, incluidas las medidas de seguridad de aplicación mínima a las que se refiere el ENS. Así pues, no ha podido confirmarse que el AYUNTAMIENTO fuera responsable de la presunta infracción del artículo 32 del RGPD que se le imputó en el acuerdo de inicio. La atribución en el acuerdo de inicio de este procedimiento al AYUNTAMIENTO de una presunta infracción del artículo 32 del RGPD se fundó en la existencia de indicios razonables y sólidos de la vulneración de dicha disposición, tomando en consideración para ello que el relato de los hechos expuesto en la reclamación por la parte reclamante -cuya condición de Delegado de Personal en representación de un Sindicato Policial contribuía a su credibilidad- iba acompañado de elementos que reforzaban su veracidad, como es que los dos sujetos que presuntamente intervinieron -el inspector en prácticas y la Subcomisaria-jefe- hubieran sido plenamente identificados por el reclamante, que proporcionó su nombre, dos apellidos y NIP. También la respuesta del AYUNTAMIENTO al traslado informativo de la reclamación contribuyó a reforzar la idea de que los hechos expuestos en la reclamación ofrecían indicios de una presunta vulneración del RGPD, pues en su respuesta admitía implícitamente la veracidad del relato de la parte reclamante. El AYUNTAMIENTO, además de no negar los hechos ni objetar nada en contra de ellos, informó que se había abierto un expediente interno (del que facilitó la referencia) que justificó “dada la naturaleza y posibles consecuencias de diversa índole”. Asimismo, comunicó que la Policía Local estaba realizando los informes pertinentes. Llegados a este punto se ha de recordar que en el Derecho Administrativo sancionador rigen -con alguna matización, pero sin excepciones- los principios que inspiran el Derecho Penal, entre ellos el de presunción de inocencia consagrado en el artículo 24.2 de la Constitución Española (CE) Principio que impide imputar una infracción administrativa cuando no se haya obtenido y constatado una prueba de cargo que acredite los hechos que motivan la imputación o la intervención en los mismos del presunto infractor y que ha de ser respetado en la imposición de cualesquiera sanciones. La vigencia del principio de presunción de inocencia en el marco del procedimiento Administrativo Sancionador es incontrovertida. Puede mencionarse la STC 76/1990, de 26 de abril, que afirma: “no puede suscitar ninguna duda que la presunción de inocencia rige sin excepciones en el ordenamiento sancionador y ha de ser respetada en la imposición de cualesquiera sanciones, sean penales sean administrativas […] pues el ejercicio del ius puniendi en sus diversas manifestaciones está condicionado por el art. 24.2 de la Constitución al juego de la prueba y a un procedimiento contradictorio en el que puedan defenderse las propias posiciones. En tal sentido, el derecho a la presunción de inocencia comporta que la sanción esté basada en actos o medios probatorios de cargo o incriminadores de la conducta reprochada; que la carga de la prueba corresponda a quien acusa sin que nadie esté obligado a probar su propia inocencia, y que cualquier insuficiencia en el resultado de las pruebas practicadas, libremente C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/19 valorado por el órgano sancionador, debe traducirse en un pronunciamiento absolutorio” (F.J. 8) (El subrayado es nuestro) Es importante subrayar que la ausencia de una prueba de cargo de los hechos imputados en este procedimiento es consecuencia de que el AYUNTAMIENTO no ha tenido a bien responder al requerimiento que se le hizo en fase de prueba para que aportara determinados documentos que obraban en su poder. El AYUNTAMIENTO no respondió a las diligencias de prueba practicadas pese a que la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público (LRJSP) le impone un deber de colaboración con otras Administraciones Públicas. El artículo 3 de la LRJSP dispone que “Deberán respetar en su actuación y relaciones los siguientes principios: […] “k)Cooperación, colaboración y coordinación entre las Administraciones Públicas”. También la LOPDGDD impone en su artículo 52 un deber de colaboración de la Administraciones Públicas con la Agencia Española de Protección de Datos, precepto que establece: “1. Las Administraciones Públicas […] y los particulares estarán obligados a proporcionar a la Agencia Española de Protección de Datos los datos, informes, antecedentes y justificantes necesarios para llevar a cabo su actividad de investigación. Cuando la información contenga datos personales la comunicación de dichos datos estará amparada por lo dispuesto en el artículo 6.1
- c)del Reglamento (UE) 2016/679.” Como consecuencia de que la parte reclamada no ha respondido a las pruebas practicadas no ha logrado acreditarse durante la instrucción del procedimiento que la imagen de los agentes hubiera sido captada por algún miembro de la Policía Local valiéndose de un dispositivo móvil particular ni que la hubiera enviado desde dicho dispositivo particular al de otro miembro de la Policía Local. Así pues, no habiendo quedado probada la realidad de los elementos objetivos de la infracción del artículo 32 del RGPD de la que se responsabilizó al AYUNTAMIENTO en el acuerdo de inicio del presente procedimiento, corresponde acordar el archivo del expediente sancionador respecto a la citada disposición del RGPD. Por lo tanto, de acuerdo con la legislación aplicable, Española de Protección de Datos RESUELVE: la Directora de la Agencia PRIMERO: En virtud del principio de presunción de inocencia, ACORDAR EL ARCHIVO del procedimiento sancionador con referencia EXP20220602 abierto al AYUNTAMIENTO DE SAN CRISTÓBAL DE LA LAGUNA, con NIF P3802300H, por una presunta vulneración de los artículos 5.1.
- f)del RGPD y 32 del RGPD, infracciones tipificadas, respectivamente, en los artículos 83.5 y 83.4 del RGPD. SEGUNDO: NOTIFICAR la presente resolución al AYUNTAMIENTO DE SAN CRISTÓBAL DE LA LAGUNA con NIF P3802300H. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/19 TERCERO: COMUNICAR la presente resolución al Defensor del Pueblo, de conformidad con lo establecido en el artículo 77.5 de la LOPDGDD. CUARTO: De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al artículo 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el artículo 90.3
- a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-16012024 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es