PS-00450-2020

1/7  - Procedimiento Nº PS/00450/2020 RESOLUCIÓN: R/00210/2021 En el procedimiento sancionador PS/00450/2020, instruido por la Agencia Española de Protección de Datos a la entidad AYUNTAMIENTO DE SIERO, vista la denuncia presentada por SINDICATO INDEPENDIENTE DE LA POLICÍA LOCAL DE ASTURIAS (SIPLA-CSL), y en base a los siguientes ANTECEDENTES PRIMERO. Con fecha de 09/03/2018 tiene entrada en esta Agencia, a través de su sede electrónica, una denuncia interpuesta por el SINDICATO INDEPENDIENTE DE LA POLICÍA LOCAL DE ASTURIAS (SIPLA-CSL) (en lo sucesivo el denunciante), en el que manifestaba que: “A finales de 2019, el ***PUESTO.1 del Ayto. de Siero, D. A.A.A., vio rechazada por Delegación del Gobierno en Asturias su pretensión de disolver la Sección de Violencia de Género (VG) de la Policía Local. Ante su forzosa pervivencia, el Sr. ***PUESTO.1 separa de la misma a los 3 policías que la integraban, y destina al Agente nº XXX, bajo la supervisión del Subinspector nº YYY, que por aquel entonces ostentaba la Jefatura en funciones del Cuerpo, y quien también realiza tales tareas y suple al anterior en sus vacaciones/permisos. Los 3 Agentes que hasta entonces integraban la citada Sección respetaron escrupulosamente todas las exigencias y medidas de seguridad de obligada observancia respecto a los datos tratados de las víctimas de VG. Si bien, tras su separación de dicha Sección y el destino a la misma de se elude flagrantemente su cumplimiento, pues a partir de ese cambio se produce un abandono de documentos con datos personales especialmente sensible tratándose de víctimas de VG. En concreto, las fichas y demás documentos de control de víctimas pasan a colocarse en un tablón en el habitáculo destinado a la Sección de VG, apoyado sobre dos sillas. Las estancias de nuestras dependencias policiales se separan por mamparas, sin puerta, cuyo interior puede verse de forma permanente desde el pasillo central. Se acompañan fotografías que prueban cómo ese mural se deja a la vista con tablas mensuales donde se anotan datos de los seguimientos con indicación del nombre de la víctima; fichas de control de las mujeres víctimas del Sistema Viogén y de su valoración del riesgo, donde consta el nombre completo de la víctima, el nº de identificación de su expediente, fecha última valoración de riesgo, nivel de riesgo actual y cuando tiene que ser valorada otra vez, las fichas individuales de protección donde se puede ver una foto con el nombre y apellidos, DNI, lugar y fecha de nacimiento, tlfno. de contacto, y domicilio, tanto de la víctima como de su agresor, así como, una serie de anotaciones con respecto al expediente de ambas personas. Todos esos datos personales permanecieron, no sólo a la vista de todos los C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/7 funcionarios policiales, sino además del personal de limpieza de las dependencias policiales; de otros funcionarios de mantenimiento del Ayto. que acuden habitualmente a las dependencias (informáticos, electricistas, fontaneros, carpinteros, personal de señalización), de las propias víctimas que acudían a hablar con los funcionarios de esa Sección, y lo que es más grave, de los propios agresores que acudieron a las dependencias, e incluso de cualquier ciudadano. Finalmente, manifestar que el abandono denunciado tuvo lugar hasta la incorporación al Cuerpo del actual Comisario-Jefe, que tuvo lugar en abril del presente año, ya que éste, de manera inmediata a su llegada, ordenó el cese de dicha conducta. Desde entonces y hasta la actualidad, se cumple escrupulosamente con las medidas de protección de datos de mujeres víctimas de VG. Por todo ello se solicita, que previas las comprobaciones oportunas, se inicien las actuaciones correspondientes tendentes a depurar las responsabilidades a que hubiere lugar”. Se aporta prueba documental de los hechos relatados en la denuncia. SEGUNDO. Con fecha 25/01/2021 la Directora de la AEPD acordó INICIAR PROCEDIMIENTO DE DECLARACION DE INFRACCION DE ADMINISTRACIONES PUBLICAS al AYUNTAMIENTO DE SIERO con NIF P3306600B, con arreglo a lo dispuesto en el artículo 46 de la LOPD, por la presunta infracción del artículo 9.1 y 10 de dicha norma, en relación con el artículo 91 y 93 del RLOP, tipificadas como grave en los artículos 44.3.

1. h)y 44.3.
2. d)de la citada Ley. TERCERO. Notificado el acuerdo de inicio de procedimiento de declaración de infracción de Administraciones Públicas, el reclamado en fecha 04/02/2021 solicito copia del expediente y ampliación de plazo para alegaciones, siendo aquel trasladado y este ampliado. El 16/02/2021 el reclamado presentó escrito de alegaciones en el que, en síntesis, manifestaba lo siguiente: la nulidad de pleno derecho del procedimiento; y que los hechos puestos de manifiesto en la reclamación no son ciertos. En apoyo de esa alegación, acompaña Informe del Subinspector nº 45 de la policía en el que se indica, en síntesis, lo siguiente: o Que se trabaja en un despacho que es solo accesible por el personal de la Comisaria y en presencia de un agente responsable. el tablón, objeto de reclamación, lo coloca el agente responsable de violencia de género cuando está de servicio, no lo deja puesto cuando está de descanso o vacaciones. o El agente responsable tiene orden de retirarlo cuando acceden terceros al despacho. todo soporte utilizado que incluye datos de carácter personal solo es accesible por quien tiene la condición de encargado de su tratamiento y tiene el deber de secreto profesional y que tampoco se ha incumplido la obligación de guardar debidamente los datos de carácter personal. Las fotografías aportadas se han realizado desde dentro del despacho. o Los reclamantes indican que cualquier funcionario puede ver el tablón sin presentar documentación acreditativa. Cuando entra la limpiadora, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/7 o ha de pedir permiso al agente responsable que quita el tablón en ese momento. El tablón es un calendario que realiza el agente responsable para realizar en plazo las Valoraciones de Riesgo, no se trata de una base de datos. CUARTO. Con fecha 24/02/2021, se acordó por el Instructor del procedimiento la apertura de un período de práctica de pruebas, acordándose: Dar por reproducidos a efectos probatorios la reclamación interpuesta por el reclamante y su documentación, los documentos obtenidos y generados por los Servicios de Inspección que forman parte del expediente E/09126/2020. Dar por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio PS/00450/2020 presentadas por el reclamado y la documentación que a ellas acompaña. HECHOS PROBADOS PRIMERO. El SINDICATO INDEPENDIENTE DE LA POLICÍA LOCAL DE ASTURIAS (SIPLA-CSL) presentó reclamación ante la AEPD en la que indicaba que, en el Ayuntamiento de Siero, en la sección de Violencia de Genero de la Policía Local no custodiaba debidamente la documentación, al encontrarse documentos con datos personales en un tablón a la vista de cualquier funcionario policial que pase por dónde se encuentra y otros trabajadores del Ayuntamiento. SEGUNDO. El Ayuntamiento de Siero ha presentado alegaciones en las que niega los hechos objeto de reclamación, señalando todas las medidas de seguridad y control que se han establecido para que no sea accedida la información por personas distintas de las responsables de su gestión. Siempre hay un agente responsable controlando el acceso al despacho donde está la información de la sección de Violencia de Género. Trabajan con un tablón como calendario para realizar en plazo las Valoraciones de Riesgo en plazo. Cuando accede algún tercero ajeno a la realización de ese trabajo, tiene orden de retirarlo, y no se puede entrar en el despacho sin su permiso. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
3. g)en relación con el artículo 36 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de carácter personal (en lo sucesivo LOPD). II El artículo 89 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/7 Común de las Administraciones Públicas, establece lo siguiente en su apartado primero: “1. El órgano instructor resolverá la finalización del procedimiento, con archivo de las actuaciones, sin que sea necesaria la formulación de la propuesta de resolución, cuando en la instrucción procedimiento se ponga de manifiesto que concurre alguna de las siguientes circunstancias:
4. a)La inexistencia de los hechos que pudieran constituir la infracción.
5. b)Cuando los hechos no resulten acreditados.
6. c)Cuando los hechos probados no constituyan, de modo manifiesto, infracción administrativa.
7. d)Cuando no exista o no se haya podido identificar a la persona o personas responsables o bien aparezcan exentos de responsabilidad.
8. e)Cuando se concluyera, en cualquier momento, que ha prescrito la infracción.” III Hay que señalar que los ficheros de víctimas son ficheros policiales y de conformidad con la Disposición Transitoria Cuarta de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), se rigen por la LOPD. “Disposición transitoria cuarta Tratamientos sometidos a la Directiva (UE) 2016/680 Los tratamientos sometidos a la Directiva (UE) 2016/680 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales por parte de las autoridades competentes para fines de prevención, investigación, detección o enjuiciamiento de infracciones penales o de ejecución de sanciones penales, y a la libre circulación de dichos datos y por la que se deroga la Decisión Marco 2008/977/JAI del Consejo, continuarán rigiéndose por la Ley Orgánica 15/1999, de 13 de diciembre, y en particular el artículo 22, y sus disposiciones de desarrollo, en tanto no entre en vigor la norma que trasponga al Derecho español lo dispuesto en la citada directiva”. IV El artículo 10 de la LOPD establece “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero, o en su caso, con el responsable del mismo”. Dado el contenido del citado artículo, ha de entenderse que el mismo tiene como finalidad evitar que, por parte de quienes están en contacto con los datos personales almacenados en ficheros, se realicen filtraciones de los datos no consentidas por los titulares de los mismos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/7 El deber de secreto profesional que incumbe a los responsables de los ficheros y a quienes intervienen en cualquier fase del tratamiento, recogido en el artículo 10 de la LOPD, comporta que el responsable de los datos almacenados o tratados no pueda revelar ni dar a conocer su contenido teniendo el “deber de guardarlos, obligaciones que subsistirán aún después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo”. Este deber es una exigencia elemental y anterior al propio reconocimiento del derecho fundamental a la protección de datos a que se refiere la citada Sentencia del Tribunal Constitucional 292/2000, y por lo que ahora interesa, comporta que los datos personales no pueden ser conocidos por ninguna persona o entidad ajena fuera de los casos autorizados por la Ley, pues en eso consiste precisamente el secreto. V La otra infracción imputada es la del artículo 9.1 de la LOPD que precisa: “1. El responsable del fichero, y, en su caso, el encargado del tratamiento, deberán adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten la alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural. 2. No se registrarán datos de carácter personal en ficheros que no reúnan las condiciones que se determinen por vía reglamentaria con respecto a su integridad y seguridad y a las de los centros de tratamiento, locales, equipos, sistemas y programas. 3. Reglamentariamente se establecerán los requisitos y condiciones que deban reunir los ficheros y las personas que intervengan en el tratamiento de los datos a que se refiere el artículo 7 de esta Ley”. El citado artículo 9 de la LOPD establece el “principio de seguridad de los datos” imponiendo la obligación de adoptar las medidas de índole técnica y organizativa que garanticen dicha seguridad, añadiendo que tales medidas tienen como finalidad evitar, entre otros aspectos, el “acceso no autorizado” por parte de terceros. Para poder delimitar cuáles sean los accesos que la Ley pretende evitar exigiendo las pertinentes medidas de seguridad es preciso acudir a las definiciones de “fichero” y “tratamiento” contenidas en la LOPD. En lo que respecta al concepto de “fichero” el artículo 3.
9. b)de la LOPD lo define como “todo conjunto organizado de datos de carácter personal”, con independencia de la modalidad de acceso al mismo. Por su parte el artículo 3.
10. c)de la citada Ley Orgánica considera tratamiento de datos cualquier operación o procedimiento técnico que permita, en lo que se refiere al objeto del presente procedimiento, la “comunicación” o “consulta” de los datos personales tanto si las operaciones o procedimientos de acceso a los datos son C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/7 automatizados o no. Y el artículo 3.
11. a)de dicha Ley añade que se entenderá por datos de carácter personal “cualquier información concerniente a personas físicas identificadas o identificables”. Para completar el sistema de protección en lo que a la seguridad afecta, el artículo 44.3.
12. h)de la LOPD tipifica como infracción grave el mantener los ficheros “...que contengan datos de carácter personal sin las debidas condiciones de seguridad que por vía reglamentaria se determinen”. Las medidas de seguridad se clasifican en atención a la naturaleza de la información tratada, esto es, en relación con la mayor o menor necesidad de garantizar la confidencialidad y la integridad de la misma. Dichas medidas, en el caso que nos ocupa, deben salvaguardar la confidencialidad y seguridad de los datos de carácter personal, correspondiendo adoptar las calificadas de nivel alto, en atención al tipo de información que contiene, tal como se especifica en el artículo 81.3.
13. c)del RD 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. Las medidas de seguridad de nivel básico están reguladas en los artículos 89 a 94, las de nivel medio se regulan en los artículos 95 a 100 y las medidas de seguridad de nivel alto se regulan en los artículos 101 a 104, del Reglamento de desarrollo de la LOPD. VI En el presente supuesto, la reclamación presentada por el Sindicato reclamante indicaba una serie de deficiencias en la custodia de datos de carácter personal, al encontrarse documentos y fichas sin medidas de seguridad adecuadas, a la vista de cualquier funcionario o persona que pasase por la puerta del despacho donde se encontraba la documentación de las víctimas de violencia de género. Tras el inicio de este procedimiento sancionador, el reclamado ha presentado alegaciones, acompañadas de un informe del Subinspector núm. 45 del Cuerpo, Jefe en funciones en el momento de la denuncia, en el que se indica que los datos anotados en un tablón y la documentación correspondiente se encontraban debidamente custodiadas en todos momento, sin que fuese accesible por quien no tiene que tratarla por su trabajo y que, además, tiene el deber de secreto profesional. Por tanto, no se ha incumplido el deber de secreto profesional –ni una prueba se aporta sobre este extremo- como tampoco se ha incumplido la obligación de guardar debidamente los datos de carácter personal. En consecuencia, no se han acreditado las infracciones objeto de reclamación. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR el ARCHIVO de la infracción del artículo 9.1 de la LOPD C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/7 iniciado al AYUNTAMIENTO DE SIERO, con NIF P3306600B, tipificada como grave en el artículo 44.3.
14. h)de la LOPD. SEGUNDO: DECLARAR el ARCHIVO de la infracción del artículo 10 de la LOPD iniciado al AYUNTAMIENTO DE SIERO, con NIF P3306600B, tipificada como grave en el artículo 44.3.
15. d)de la LOPD. TERCERO: NOTIFICAR la presente resolución a AYUNTAMIENTO DE SIERO. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Finalmente, se señala que conforme a lo previsto en el art. 90.3
16. a)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sedeelectronica-web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es