PS-00480-2021

1/20  Expediente N.º: EXP202100091 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: El SINDICATO UNIÓN DE POLICÍA MUNICIPAL (en lo sucesivo el reclamante), con NIF P2807900B con fecha 10/06/2021 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra AYUNTAMIENTO DE MADRID con NIF P2807900B (en lo sucesivo el reclamado). Los motivos en que basa la reclamación son los siguientes: el reclamante expone que el 06/05/2021 ***PUESTO.1, envió al resto de departamentos policiales una orden jerárquica en nota interna en la que se solicitaban datos personales; de la citada nota se deduce que la intención del ***PUESTO.1 era ceder los datos personales y los números de teléfono móvil a una empresa (***EMPRESA.1), que tiene la práctica habitual de almacenarlos en un servidor situado en un tercer país. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), el 02/07/2021 se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. Con fecha 22/07/2021 se recibe en esta Agencia escrito de respuesta indicando que la citada nota u orden interna, como bien expresa la misma, responde a una acción generada para todo el personal del Ayuntamiento de Madrid con el objetivo de garantizar la seguridad de las comunicaciones, no es por tanto, como expresa el escrito del Sindicato, una recolección de datos con intención de ceder los mismos a una empresa, sino más bien, una acción legitimada por el mero hecho del cumplimiento de una misión realizada en interés público y en el ejercicio de poderes públicos conferidos al responsable del tratamiento, entre otros, garantizar el buen funcionamiento de los servicios públicos. TERCERO: Con fecha 27/07/2021 la Directora de la Agencia Española de Protección de Datos acordó admitir a trámite la reclamación presentada por la parte reclamante. CUARTO: Con fecha 02/02/2022, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador al reclamado por la presunta infracción del artículo 6.1 del RGPD, tipificada en el artículo 83.5.

1. a)del citado RGPD. QUINTO: Notificado el acuerdo de inicio el reclamado en fecha 16/02/2022 presentó escrito de alegaciones manifestando en síntesis lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/20 - No existe en modo alguno tratamiento ilícito de datos; la nota interna es precisamente la que da transparencia a la finalidad que tiene el uso de los datos que se solicitan, explicando el origen que da lugar a la petición, el objeto, la finalidad funcional y la finalidad operativa del tratamiento. - No cabe hablar de ilicitud del tratamiento, tal y como se expresa en el Acuerdo de inicio, toda vez que el artículo 6 del RGPD explicita en el punto 1.
2. c)que deviene lícito el tratamiento si el mismo es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento y la citada obligación viene sustentada en la obligación de prestar el servicio público de seguridad que el Cuerpo de Policía Municipal debe prestar a los ciudadanos y que se sustenta en el Acuerdo de Junta de Gobierno de 27 de junio de 2019. - Tampoco cabe hablar de ejecución de contrato y, mucho menos, hacia la Dirección General de Seguridad, pues de la misma no nace contrato alguno relacionado con el supuesto que nos ocupa, sino más bien una adaptación a las nuevas tecnologías, iniciada para todo el Ayuntamiento (…), cuyo modo de utilización exige un acceso securizado mediante el método identificativo del trabajador a través de número de teléfono móvil. - No es posible la no facilitación del teléfono móvil de los funcionarios que realizan sus tareas en el ámbito funcional que precisa de las herramientas informáticas, pues supondría una paralización del servicio (…) cuyas misiones están incardinadas en el interés público y en el marco constitucional de proteger el libre ejercicio de derechos y libertades y garantizar la seguridad ciudadana. - El informe facilitado especifica que ***EMPRESA.1 es una entidad encargada de tratamiento mediante expediente de contratación con el objetivo de modernizar el espacio de trabajo del empleado público, estableciéndose los acuerdos de encargo de tratamiento, habiendo dado su visto bueno el Delegado de Protección de Datos del Ayuntamiento, no tratándose de una cesión de datos a ***EMPRESA.1, sino un contrato de encargo de tratamiento para la realización de determinados servicios. - El consentimiento ha sido facilitado (…), lo cual expresa el explícito consentimiento ofrecido por los mismos mediante una acción directa, no pudiendo manifestar el reclamante que se haya obtenido el teléfono sin conocimiento de los afectados debido la publicidad abierta de la nota interna y la respuesta para poder proceder a las actualizaciones tecnológicas. SEXTO: Con fecha 10/08/2022, se acordó la apertura de un período de práctica de pruebas, acordándose las siguientes: - Dar por reproducidos a efectos probatorios las reclamaciones interpuestas y su documentación, los documentos obtenidos y generados que forman parte del procedimiento E/07594/2021. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/20 - Dar por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio del procedimiento sancionador referenciado, presentadas por el reclamado, y la documentación que a ellas acompaña. - Solicitar al reclamado Contrato suscrito con ***EMPRESA.1 “(…)”. En fechas 18 y 19/08/2022 el reclamado dio respuesta a la prueba practica cuyo contenido obra en el expediente. SEPTIMO: Con fecha 29/09/2022, fue emitida Propuesta de Resolución en el sentido de que por la Directora de la Agencia Española de Protección de Datos se sancionara al reclamado por infracción del artículo del artículo 6.1 del RGPD, tipificada en el artículo 83.5.
3. a)del citado Reglamento con sanción de apercibimiento. Asimismo, se acompañaba Anexo conteniendo la relación de los documentos obrantes en el expediente a fin de obtener copia de los que estimara convenientes. La representación del reclamado presentó el 17/10/2022 escrito en el que alegaba en síntesis: que en el proceso de modernización y adaptación a las nuevas tecnologías emprendido por el reclamado hacía necesario incorporar sistemas de seguridad que eliminaran las amenazas externas; que el ENS determina que el responsable de seguridad establecerá los requisitos de seguridad de la información y servicios, encargándose de desarrollar la forma concreta de implementar esta seguridad por sí o a través de terceros contratados y que la estrategia se basará en las guías ENS (…), así como varias guías del CCN (…) siendo por este motivo necesario un número de teléfono móvil al que enviar notificaciones para cada acceso y autorización para registrar dicho número para este uso; que mediante Acuerdo se aprueba la política de seguridad de la información del reclamado y sus organismos, (…). OCTAVO: De las actuaciones practicadas en el presente procedimiento, han quedado acreditados los siguientes: HECHOS PROBADOS PRIMERO. El 23/02/2021 tiene entrada en la Agencia Española de Protección de Datos escrito del reclamante manifestando que el 06/05/2021 ***PUESTO.1, envió al resto de departamentos policiales una orden jerárquica solicitando datos personales (número de, teléfono móvil), deduciéndose que la intención era ceder los datos personales y los números de teléfono móvil a una empresa (***EMPRESA.1), que tiene la práctica habitual de almacenarlos en un servidor situado en un tercer país. SEGUNDO. Consta Nota Interna de 06/05/2021 en la que se manifiesta que con motivo de la migración del correo (...), se crean buzones compartidos con el objeto de garantizar la seguridad de las comunicaciones, solicitando rellenar el Excel que se adjuntaba con los buzones que debían permanecer activos; señalando que “Se debe tener en cuenta lo siguiente: 1. Buzón compartido: son las cuentas genéricas de correo que se utilizan. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/20 2. De cada cuenta genérica, indicar el Responsable con Nombre, Apellidos y Teléfono móvil. 3. El responsable tiene que asignar a Autorizados con Nombre, Apellidos y Teléfono móvil. La solicitud del teléfono móvil a las personas autorizadas viene definida como consecuencia del requisito de seguridad que presenta dicho software, el cual utiliza para el acceso al buzón la introducción de un código que se remite mediante mensaje al teléfono móvil del usuario, como medio de verificación de su identidad, medio similar al utilizado en entidades bancarias. Ya se ha realizado en todas las dependencias que tienen su sede en la Jefatura del Cuerpo, extendiéndose ahora al resto. (…)” TERCERO. Consta aportado recurso de alzada contra el escrito anterior (…) de 12/05/2021. CUARTO. Consta escrito de respuesta del reclamado señalando la improcedencia de la interposición del recurso al no existir acto administrativo susceptible de recurso de conformidad con el artículo 112.1 de la LPACAP; también señala que la citada nota responde a una acción generada para todo el personal con el objetivo de garantizar la seguridad de las comunicaciones, acción legitimada por cumplimiento de una misión realizada en interés público y en el ejercicio de poderes públicos conferidos al responsable del tratamiento y garantizar el buen funcionamiento de los servicios públicos; que el tratamiento afectado por ésta acción corresponde a (…); que la nota se ha transmitido reglamentariamente bajo la figura del conducto reglamentario, pues se trata de una orden y que la misma contiene que para poder acceder a los elementos de trabajo como es el correo electrónico a través del buzón compartido, se precisa una clave de seguridad de carácter personal que es transmitida a través del teléfono móvil lo que garantiza tanto el acceso singularizado y autorizado, como, en su caso, parte del secreto de las comunicaciones. QUINTO. El reclamado en escrito de 22/07/021 respondía al requerimiento de la AEPD en el mismo sentido señalado en el hecho anterior. SEXTO. Consta aportado por el reclamado Contrato suscrito con UTE ACCENTURESCC “(…). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/20 FUNDAMENTOS DE DERECHO I De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos.” II Los hechos denunciados se concretan en el tratamiento de datos por parte del reclamado sin base legitimadora y su cesión a empresa que los almacena en un servidor situado en un tercer país, lo que podría suponer la vulneración de la normativa en materia de protección de datos. El artículo 5 del RGPD se ocupa de los principios que han de regir el tratamiento de los datos personales. El citado precepto dispone que: “1. Los datos personales serán:
4. a)Tratados de manera lícita, leal y transparente con el interesado; (…)” Dicho tratamiento podría ser constitutivo de una infracción del artículo 6, Licitud del tratamiento, del RGPD en su punto 1 establece que: “1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
5. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
6. b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
7. c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
8. d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/20
9. e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
10. f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
11. f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones. (…) 3. La base del tratamiento indicado en el apartado 1, letras
12. c)y e), deberá ser establecida por:
13. a)el Derecho de la Unión, o
14. b)el Derecho de los Estados miembros que se aplique al responsable del tratamiento. La finalidad del tratamiento deberá quedar determinada en dicha base jurídica o, en lo relativo al tratamiento a que se refiere el apartado 1, letra e), será necesaria para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento. Dicha base jurídica podrá contener disposiciones específicas para adaptar la aplicación de normas del presente Reglamento, entre otras: las condiciones generales que rigen la licitud del tratamiento por parte del responsable; los tipos de datos objeto de tratamiento; los interesados afectados; las entidades a las que se pueden comunicar datos personales y los fines de tal comunicación; la limitación de la finalidad; los plazos de conservación de los datos, así como las operaciones y los procedimientos del tratamiento, incluidas las medidas para garantizar un tratamiento lícito y equitativo, como las relativas a otras situaciones específicas de tratamiento a tenor del capítulo IX. El Derecho de la Unión o de los Estados miembros cumplirá un objetivo de interés público y será proporcional al fin legítimo perseguido. (…)” Por otra parte, el artículo 4 del RGPD, Definiciones, en sus apartados 1, 2 y 11, señala que: “1) «datos personales»: toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona; “2) «tratamiento»: cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/20 automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción; “11) «consentimiento del interesado»: toda manifestación de voluntad libre, específica, informada e inequívoca por la que el interesado acepta, ya sea mediante una declaración o una clara acción afirmativa, el tratamiento de datos personales que le conciernen”. También el artículo 6, Tratamiento basado en el consentimiento del afectado, de la nueva Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), señala que: “1. De conformidad con lo dispuesto en el artículo 4.11 del Reglamento (UE) 2016/679, se entiende por consentimiento del afectado toda manifestación de voluntad libre, específica, informada e inequívoca por la que este acepta, ya sea mediante una declaración o una clara acción afirmativa, el tratamiento de datos personales que le conciernen. 2. Cuando se pretenda fundar el tratamiento de los datos en el consentimiento del afectado para una pluralidad de finalidades será preciso que conste de manera específica e inequívoca que dicho consentimiento se otorga para todas ellas. 3. No podrá supeditarse la ejecución del contrato a que el afectado consienta el tratamiento de los datos personales para finalidades que no guarden relación con el mantenimiento, desarrollo o control de la relación contractual”. III 1. Se imputa al reclamado una infracción del artículo 6.1 del RGPD, precepto que relaciona las distintas bases o fundamentos jurídicos en los que puede basarse el tratamiento de datos personales, siendo la concurrencia de alguno de ellos condición necesaria para respetar el principio de licitud previsto en el artículo 5.1.
15. a)del RGPD. De conformidad con lo establecido en el artículo 6.1 del RGPD, además del consentimiento, existen otras posibles bases que legitiman el tratamiento de datos sin necesidad de contar con la autorización de su titular, en particular, cuando sea necesario para la ejecución de un contrato en el que el afectado es parte o para la aplicación, a petición de este, de medidas precontractuales, o cuando sea necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del afectado que requieran la protección de tales datos. El tratamiento también se considera lícito cuando sea necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento, para proteger intereses vitales del afectado o de otra persona física o para C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/20 el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento. (…) Y en esa alegación segunda manifiesta que “Tampoco cabe hablar de ilicitud del tratamiento, tal y como se expresa en el Acuerdo de inicio refiriendo la ilicitud del tratamiento bien en base al consentimiento, bien en la necesidad de un contrato, toda vez que el mismo artículo 6 del RGPD explicita por un lado en el punto 1 apartado
16. c)que deviene lícito el tratamiento si el mismo es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento; dicha obligación viene sustentada en la obligación de prestación de servicio público de seguridad que el Cuerpo de Policía Municipal… 2. La cuestión fundamental que se suscita en el presente es determinar si concurre alguna de las bases legitimadoras de las recogidas en los apartados
17. a)a
18. f)del citado precepto, para el tratamiento de datos de carácter personal en relación con el teléfono móvil de los agentes de la policía por el reclamado. Resulta obvio, a la luz de lo alegado por el reclamado que estas no son las relacionadas en las letras
19. a)del artículo 6.1 del RGPD, a la que hay que añadir la que la propia norma excluye de la posibilidad de que los tratamientos realizados por las autoridades públicas en el ejercicio de sus funciones puedan tener como base jurídica de dicho tratamiento la letra
20. f)del artículo 6.1 RGPD, esto es, el interés legítimo y, además, tampoco nos encontramos en la situación especial definida en la letra d), pues no nos encontramos ante un tratamiento para proteger un interés esencial para la vida de los interesados. Por tanto, habría que señalar que las bases jurídicas que podrían legitimar supuestamente el tratamiento de datos por parte del Ayuntamiento son principalmente dos: la necesidad del tratamiento para el cumplimiento de una obligación legal aplicable al responsable del tratamiento definida en la letra c), o bien, la necesidad del tratamiento para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento, definida en la letra e). Al este respecto, la LOPDGDD introduce el artículo 8, relativo al “Tratamiento de datos por obligación legal, interés público o ejercicio de poderes públicos”, que aclara cuándo el tratamiento de datos personales podrá considerarse fundado en el cumplimiento de una obligación legal exigible al responsable, en los términos previstos en el artículo 6.1.
21. c)del RGPD. Así, señala que el tratamiento de datos personales solo podrá considerarse fundado en el cumplimiento de una obligación legal exigible al responsable cuando así lo prevea una norma de Derecho de la Unión Europea o una norma con rango de ley. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/20 Estas normas serán las encargadas de determinar las condiciones generales del tratamiento y los tipos de datos objeto del mismo, así como las cesiones que procedan como consecuencia del cumplimiento de la obligación legal. Dicha norma podrá igualmente imponer condiciones especiales al tratamiento, tales como la adopción de medidas adicionales de seguridad u otras establecidas en el capítulo IV del RGPD. Por otra parte, y en cuanto al tratamiento de datos personales fundado en el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable y en los términos previstos en el artículo 6.1
22. e)del RGPD, sólo resultará legítimo cuando derive de una competencia atribuida por una norma con rango de ley. 3. Los destinatarios del tratamiento llevado a cabo por el reclamado, como Administración pública, sean simples ciudadanos o empleados públicos, responde a la definición de responsable del tratamiento del RGPD de “autoridad pública, servicio u otro organismo” y, por ello, estará obligada a determinar “los fines y los medios del tratamiento” (artículo 4 7 del RGPD). Precisamente por ello, el Ayuntamiento en este caso, será el responsable del cumplimiento de los principios que se proyectan sobre el derecho a la protección de datos, pero también capaz de demostrar su cumplimiento (artículo 5.2 RGPD). Es cierto, que en la gestión de sus recursos humanos, las Administraciones suelen hacer un uso de datos de las personas a su cargo. Podemos confirmar, que los Ayuntamientos disponen del nombre y apellido, el número de DNI, etc. En el presente caso, se discute si con respecto a un dato personal concreto, como es el número de teléfono móvil particular ¿puede el mismo ser tratado? o por el contrario ¿su tratamiento puede considerarse como ilícito, excesivo e innecesario? En principio, las bases de la licitud que podría esgrimir el reclamado para el tratamiento de los datos personales de los funcionarios policiales se concretan en el art. 6.1 apartado
23. c)y e). Y en efecto, el reclamado en escrito de 06/02/2022 ha alegado como base legitimadora del tratamiento la contenida en el apartado
24. c)del artículo 6.1. del RGPD al manifestar que “…deviene lícito el tratamiento si el mismo es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento…” El reclamado manifiesta en su escrito dicha obligación legal viene sustentada en la de prestar el servicio público de seguridad cuya competencia tiene atribuida la Policía de conformidad con las normas que se lo atribuyen. En este sentido, la Ley Orgánica 2/1986, de 13 de marzo, de Fuerzas y Cuerpos de Seguridad del Estado (en lo sucesivo LOFCS). Los Cuerpos de Seguridad del Estado se hallan divididos en tres niveles administrativos (nacional, autonómico y local). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/20 El artículo 11 de la LOFCS establece que estas unidades tienen como misión proteger el libre ejercicio de los derechos y libertades y garantizar la seguridad ciudadana mediante el desempeño las siguientes funciones: (…)
25. e)Mantener y restablecer, en su caso, el orden y la seguridad ciudadana. (…)” En segundo lugar, la Ley 7/1985, de 2 de abril, reguladora de las Bases del Régimen Local (LBRL), en su artículo 25 establece que: “1. El Municipio, para la gestión de sus intereses y en el ámbito de sus competencias, puede promover actividades y prestar los servicios públicos que contribuyan a satisfacer las necesidades y aspiraciones de la comunidad vecinal en los términos previstos en este artículo. 2. El Municipio ejercerá en todo caso como competencias propias, en los términos de la legislación del Estado y de las Comunidades Autónomas, en las siguientes materias: (…)
26. f)Policía local, protección civil, prevención y extinción de incendios. (…)” Por otra parte, la Ley 1/2018, de 22 de febrero, de Coordinación de Policías Locales de la Comunidad de Madrid (LCPLCM), en su artículo 1, Objeto, establece que: “1. El objeto de esta Ley es regular las funciones de coordinación de los Cuerpos de policía local en el ámbito territorial de la Comunidad de Madrid de conformidad con las competencias que le atribuyen la Ley Orgánica 2/1986, de 13 de marzo, de Fuerzas y Cuerpos de Seguridad, el Estatuto de Autonomía y la legislación de régimen local, así como determinar los principios, políticas e instrumentos de la seguridad pública autonómica, en el marco de la legislación vigente”. Y en lo que respecta al Ayuntamiento de Madrid, el Reglamento de la Policía Municipal del Ayuntamiento de Madrid (RPMAM), en su artículo 5, Misiones y funciones, señala entre otras: “
27. m)Realizar las funciones de protección de la seguridad ciudadana de acuerdo con la legislación vigente”. Hay que señalar que el reclamado se halla vinculado por el principio de legalidad de manera que solo puede llevar a cabo aquello para lo que el ordenamiento jurídico le permite expresamente. Las normas citadas contienen un mandato genérico dirigido a las distintas Administraciones públicas, de la cuales forman parte los Ayuntamientos, para que C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/20 actúen en su ámbito genérico y funcional con la finalidad de mantener la seguridad pública con los medios puestos a su alcance y lograr la misión de proteger el libre ejercicio de derechos y libertades y garantizar la seguridad ciudadana. Ahora bien, el tratamiento de datos llevado a cabo no puede ampararse en la letra
28. c)del artículo 6.1 del RGPD ya exige que este sea necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento, por lo que a sensu contrario, si el tratamiento no es necesario para el cumplimiento de dicha obligación el tratamiento deviene ilícito. Y ninguna de las normas señaladas contienen precepto alguno que determine que dicho tratamiento es necesario para el cumplimiento de las mismas ni está contemplado en la LCPLCM y el RPMAM el dato de carácter personal relativo al número de teléfono móvil. Así, en lo que se refiere al Reglamento para el Cuerpo de Policía Municipal: ni el artículo 42, identificación profesional, articulo 45, expediente personal, articulo 143, carnet profesional, ni en el artículo 144, Cartera y placa policial, contienen referencia u obligación alguna de aportar el número de telefonía móvil, como tampoco se contiene en el artículo 45, Registro, de la LCPLCM que establece: “1. El Registro de policías locales dependerá y estará gestionado por la Consejería competente en materia de coordinación de policías locales. Su organización y funcionamiento se regularán reglamentariamente respetando, en todo caso, la normativa contenida en la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal. 2. El Registro de policías locales tiene por objeto disponer, a efectos estadísticos, de un censo de todos los miembros que integran los Cuerpos de policía local de los ayuntamientos de la Comunidad de Madrid, así como del personal de los Cuerpos que se creen al amparo de lo previsto en el artículo 53.3 de la Ley Orgánica 2/1986, de 13 de marzo, de Fuerzas y Cuerpos de Seguridad. 3. El Registro de policías locales no tiene carácter público, y su acceso quedará restringido en los términos que se establezcan reglamentariamente. 4. En el Registro de policías locales deberá inscribirse el personal que integre los diversos Cuerpos de policía local de la Comunidad de Madrid así como los agentes auxiliares cualquiera que sea la denominación con que se les conozca, y en su caso el personal de los cuerpos que se creen al amparo de los previsto en el artículo 53.3 de la Ley Orgánica 2/1986, de 13 de marzo, de Fuerzas y Cuerpos de Seguridad. La inscripción deberá contener el nombre, apellidos, fecha y lugar de nacimiento, número del Documento Nacional de Identidad y del Registro de Personal del interesado en el ayuntamiento que corresponda” (los subrayados corresponden a la AEPD). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/20 Por su parte, el art. 6.3 del RGPD indica que “La finalidad del tratamiento deberá quedar determinada en dicha base jurídica” y en el caso examinado la actividad desarrollada a la que se encuentra vinculado el tratamiento del dato de carácter personal (…) no está relacionada con los fines de la policía; el tratamiento viene determinado por el acceso a aplicaciones informáticas, el acceso al buzón compartido mediante la introducción de un código que es remitido al teléfono móvil para verificar la identidad del usuario, como cualquier otro funcionario del reclamado, dentro del proceso de modernización y adaptación a las nuevas tecnologías emprendido por el reclamado en sus distintos servicios. En el escrito de alegaciones al acuerdo de inicio el propio reclamado manifiesta que (…), cuyo modo de utilización exige un acceso securizado mediante el método identificativo del trabajador…” y la Nota Interna de 06/05/2021 relativa a buzones compartidos se indica en su párrafo tercero “Se trata de una acción generada para todo el Ayuntamiento de Madrid, con el objeto de garantizar la seguridad de las comunicaciones, …” Y en el mismo contrato suscrito con UTE ACCENTURE-SCC (…) se señala que:” (…)”. Por lo tanto, tal actividad no puede estar legitimada en el cumplimiento de una obligación legal sino como bien señala en su escrito el reclamado en una adaptación a las nuevas tecnologías, (…). Así pues, estando acreditado que el reclamado ha tratado el dato del número de móvil de los agentes siendo uno de los elemento o requisito exigido por el software contratado, para el acceso al buzón compartido mediante la introducción de un código que se remite mediante mensaje al móvil del usuario, como medio de verificación de su identidad sin que este contemplado en norma alguna, no puede operar como base legitimadora del tratamiento el cumplimiento de una obligación legal (letra c, del artículo 6.1 del RGPD) Se concluye por lo expuesto que el tratamiento de datos personales del reclamante que es objeto de valoración en el presente expediente sancionador no se amparaba en ninguna de las bases jurídicas del artículo 6.1. RGPD. Infracción del artículo 6.1 del RGPD que es subsumible en el tipo sancionador del artículo 83.5.
29. b)del RGPD. 4. Por último, el reclamante también alegaba en su escrito de reclamación que la intención del reclamado era ceder los datos personales (incluido el número de teléfono móvil), a una empresa, ***EMPRESA.1, que tiene como práctica habitual almacenarlos en un servidor situado en un tercer país. No obstante, tal manifestación no puede ser compartida, hecha abstracción de lo señalado en los fundamentos anteriores de que el reclamado no cuenta con base jurídica alguna para tratar el dato del número de teléfono móvil. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/20 El reclamado ha aportado copia del contrato celebrado con UTE ACCENTURE SCC, ***EMPRESA.1, en cuyo Anexo XI denominado Acuerdo de Encargo del Tratamiento se establecen los acuerdos alcanzados, que además de contar con el visto bueno del Delegado de Protección de Datos, es acorde con las recomendaciones y directrices de la AEPD. El Considerando 81 del RGPD prevé que el encargado del tratamiento debe ofrecer suficientes garantías en lo referente a conocimientos especializados, fiabilidad y recursos, con vistas a la aplicación de medidas técnicas y organizativas que cumplan los requisitos del Reglamento, incluida la seguridad del tratamiento, así como del cumplimiento de la normativa de protección de datos.