PS-00547-2022

1/111  Expediente N.º: PS/00547/2022 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: D. A.A.A. y Dª B.B.B. (en adelante, la parte reclamante) con fecha 18 de noviembre de 2021 interpusieron reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra Servicios de la Comarca de Pamplona, Sociedad Anónima con NIF A31118441 (en adelante, SCPSA). Los motivos en que basa la reclamación son los siguientes: La parte reclamante manifiesta que SCPSA ha establecido un sistema de apertura de contenedores de residuos a través de una tarjeta electrónica. Ha buzoneado en el término municipal de Pamplona un sobre que contiene un folleto con dos tarjetas electrónicas adheridas, así como una hoja con datos de "usuario" y una contraseña para una aplicación móvil. En cada tarjeta consta una dirección, que es la del inmueble a cuyo ocupante (sea quien sea, sin petición de identificación) se entrega el sobre. En la información facilitada a los interesados se indica que los datos de apertura de los contenedores por cada una de las tarjetas serán tratados para analizar la utilización de los contenedores. La parte reclamante manifiesta que la base normativa (Ordenanza reguladora de la gestión de residuos en la Mancomunidad de la Comarca de Pamplona) habilita la recogida de datos de uso de los contenedores y de uno en relación con el otro (orgánico y resto), no para la recogida de datos de uso de cada contenedor por cada persona, lo que es completamente diferente, toda vez que esta última recogida comporta el inmediato conocimiento de múltiples datos de cada usuario: hábitos de conducta, días en los que la vivienda está vacía, número de ocupantes de la vivienda o las diferencias personales en cuanto a la alimentación o la utilización de artículos que han de ir al contenedor de fracción resto. Continúa indicando la parte reclamante que la asociación de la tarjeta a los interesados se deriva de la vinculación entre la tarjeta y los datos personales del titular o propietario de la vivienda, obteniéndose los citados datos del Registro de Riqueza Territorial de Navarra. La parte reclamante concluye que la recogida de los datos de los propietarios vulnera el artículo 5 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos) (en adelante, RGPD), ya que no es necesario tratar los datos de los propietarios, ni los datos de uso de los contenedores por parte de cada propietario, para alcanzar los C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/111 fines perseguidos por el responsable del tratamiento. En este sentido, significa que para conocer el grado de utilización de cada contenedor no es necesario saber quién es el propietario de la vivienda. A su vez, destaca que SCPSA no ha realizado la evaluación de impacto con carácter previo al tratamiento de los datos, ha incumplido los deberes de minimización, de exactitud de los datos y de información. Junto con la reclamación aporta la parte reclamante el sobre buzoneado, dos tarjetas electrónicas de apertura de los contenedores en las que figura la misma dirección y el folleto informativo relativo a cómo usar el servicio, así como la siguiente información en materia de protección de datos de carácter personal: “En relación con los datos registrados por estas tarjetas y su tratamiento posterior, nos complace informarle que: «Cada una de las tarjetas entregadas incorpora un dispositivo que permite registrar el número de aperturas de los diferentes contenedores, dato que será asociado a la dirección postal indicada en el exterior de la tarjeta. Al tratarse de datos, en ocasiones relativos a una persona identificada o identificable, la información obtenida referente a la apertura de contenedores será tratada conforme a la normativa de protección de datos de carácter personal. Todos los datos que se recaban como consecuencia de la utilización de estas tarjetas serán tratados bajo la responsabilidad de Servicios de la Comarca de Pamplona, S.A. (SCPSA), para analizar la utilización de los contenedores en las fracciones de materia orgánica y resto, y en concreto para conocer su grado de utilización con el fin de alcanzar los objetivos normativos de aplicación, así como para la realización de actividades de información, promoción del servicio y sus resultados. Asimismo, le informamos de que podrá ejercitar sus derechos de acceso, rectificación, supresión y el resto de derechos que le asisten, dirigiéndose al Responsable del Tratamiento a través del correo protecciondatos@mcp. es. Puede consultar información adicional sobre privacidad en www.mcp.es/fichadatosresiduos».” SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la Mancomunidad de la Comarca de Pamplona (en adelante MCP), con NIF P3112070B, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 10 de enero de 2022 como consta en el acuse de recibo que obra en el expediente. TERCERO: Con fecha 24 de enero de 2022 se recibió en esta Agencia escrito de respuesta presentado por MCP en el que indica que MCP y SCPSA son dos entidades con personalidad jurídica independiente y la responsable de los datos objeto de la reclamación es SCPSA, refiriendo en sus conclusiones que: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/111 “- Es SCPSA quien ostenta la relación jurídica con los usuarios del servicio de gestión de residuos urbanos. - La Mancomunidad no ha puesto en funcionamiento el nuevo sistema de recogida de basuras que implica la necesidad de utilizar tarjetas de residuos. - La Mancomunidad carece de información alguna sobre el uso de las tarjetas de residuos para poder usar los contenedores de orgánico y resto. - La Mancomunidad no ostenta la cualidad de responsable ni de encargado de los datos referidos a las tarjetas de residuos. - El personal de la Mancomunidad no tiene acceso ni a las aplicaciones ni a los datos referidos a las tarjetas de residuos. (…) No obstante, la reclamación se ha trasladado a SCPSA, que es la responsable del tratamiento de los datos, para que sea ésta la que dé la respuesta oportuna a esa Agencia Española de Protección de Datos.” A tal escrito, MCP adjunta los Estatutos de SCPSA, el Reglamento de relaciones Mancomunidad de la Comarca de Pamplona / Servicios de la Comarca de Pamplona, S.A., la Ordenanza reguladora de la gestión de residuos en la Mancomunidad de la Comarca de Pamplona, la Ordenanza reguladora de las prestaciones patrimoniales de carácter público no tributario por la prestación de los servicios de gestión de los residuos urbanos 2022, y la información adicional sobre privacidad relativa al fichero de tarjetas de residuos y otros dispositivos de apertura. CUARTO: Con fecha 8 de febrero de 2022 se recibió en esta Agencia escrito presentado por SCPSA, la cual remite: 1.- Informe del delegado de protección de datos de SCPSA, el cual indica, en síntesis, lo siguiente: - Que MCP es la administración pública titular de los servicios de abastecimiento y saneamiento de aguas, gestión de residuos y transporte urbano, correspondiendo la gestión de los servicios a SCPSA, sociedad pública de capital exclusivo de aquélla, conforme a lo dispuesto en el artículo 1 del Reglamento de relaciones Mancomunidad de la Comarca de Pamplona / Servicios de la Comarca de Pamplona. - Señala que la reclamación no se refiere a un ejercicio de derechos. Asimismo, señala que tal y como se ha informado a los interesados, y figura en las páginas web de MCP y SCPSA, se indica cómo las personas interesadas pueden ejercitar sus derechos en materia de protección de datos. - Señala que en las tarjetas que se entregan figura la siguiente información junto con la dirección postal: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/111 “Esta tarjeta es propiedad de Servicios de la Comarca de Pamplona SA y su uso está sujeto a las condiciones determinadas por ésta. Responsable: Servicios de la Comarca de Pamplona SA Puede ejercitar sus derechos en protecciondatos@mcp.es Información adicional en www.mcp.es/fichadatosresiduos” Indicando a continuación cuál es la información adicional que figura en el mencionado enlace. - Hace referencia al PS/00201/2019 de la Agencia Española de Protección de Datos, incoado a MCP y que finalizó mediante resolución de 12 de marzo de 2020, en la que se apercibía a MCP por un defecto en la información facilitada, requiriéndose la subsanación de dicho defecto, pero sin adoptar medida alguna sobre la impresión de la dirección postal, por lo que señala que “SCPSA ha asumido la consideración de la dirección postal como dato de carácter personal y, en consecuencia, su actuación se ajusta a las exigencias de la AEPD cumpliendo con las obligaciones que señala el RGPD”. - Señala que “Dichas tarjetas no son personales ni referidas a ninguna persona física identificada o identificable, únicamente consta la dirección postal que es el dato que se utiliza como unidad de medidas de las aperturas. Por tanto, la utilización de dicha tarjeta está destinada a la apertura de contenedores por parte de las personas que utilicen dicho inmueble ya sea a título de propietario, de arrendatario o simplemente como empleado en el mismo.” Añadiendo que “no se puede saber si el conjunto de tarjetas relativas a una dirección postal se está utilizando para la apertura de contenedores por parte de una o más personas.” - Señala que hay un sistema de solicitud de nuevas tarjetas en la que sí es necesaria la identificación del solicitante, “pero no se coteja ni se cruza dicha información con la utilización de la misma. El dato se destina exclusivamente a resolver dicha solicitud y comprobar con posterioridad posibles situaciones de abuso o fraude. Es decir, por una parte se pretende controlar el número de tarjetas activas por dirección postal (…)” - Indica que el sistema de apertura de contenedores también puede hacerse a través de una aplicación móvil que recaba una serie de datos necesarios para su propio funcionamiento que son diferentes e independientes de los gestionados por SCPSA para la gestión de residuos, señalando que se hace constar tal circunstancia al usuario en la política de privacidad de la aplicación. - Señala que a través de una herramienta de análisis de datos, se puede obtener la siguiente información: - Número de aperturas de cada contenedor y hora de apertura. - Grado de uso del servicio por dirección postal. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/111 - Considera que sí que cumple con los principios recogidos en el artículo 5 del RGPD, en concreto cumple con el principio de minimización porque, dice SCPSA, “el tratamiento se hace de manera que únicamente se explotan de manera agregada los datos de aperturas de la totalidad de las tarjetas de apertura o dispositivos asociados a cada dirección postal. (…) la información de Riqueza Territorial que se utiliza para la gestión del sistema es la referencia postal y a ella se asocian los datos de aperturas, pero no se ponen en relación con la persona física o jurídica titular del inmueble que consta en la base de datos de Riqueza Territorial al no ser necesaria para los fines del tratamiento. De este hecho se desprende igualmente el respeto al principio recogido en la letra

1. d)referente a la exactitud del dato.” - Señala que no ha realizado una evaluación de impacto porque, “tras un examen jurídico de la necesidad de dicha evaluación, se ha llegado a la conclusión de que no era necesaria.” Añade que se llevó a cabo una consultoría con la empresa Auren, la cual efectuó un nuevo análisis de la necesidad de realizar una Evaluación de Impacto de datos personales, concluyendo que no es necesaria. - No comparte la afirmación que realiza la parte reclamante relativa a que con este sistema se conozcan los hábitos de cada usuario, pues, indica SCPSA, “no existe ningún tipo de control de posicionamiento de las tarjetas, no se conoce la persona usuaria de las mismas y no se recaba más información que la agregada a todas las tarjetas entregadas junto con los dispositivos móviles utilizados con el concreto usuario y contraseña relativa al número de aperturas. Al mencionado informe, el delegado de protección de datos adjunta documentación relativa al PS/00201/2019 de la AEPD, el diseño definitivo de la tarjeta, la información adicional que figura en www.mcp.es/fichadatosresiduos relativa a la descripción del fichero de tarjeta de residuos y otros dispositivos de apertura, modelos de solicitudes presenciales de tarjetas, la política de privacidad de la aplicación móvil de apertura de contenedores, el informe de análisis de necesidad de una evaluación de impacto de datos personales realizado por la empresa Auren y la contestación de la AEPD al Defensor del Pueblo en relación con el PS/00201/2019. 2.- Informe del Director-Gerente de SCPSA justificando el sistema de apertura de contenedores y buzones mediante dispositivo electrónico, al cual se adjunta el informe de evaluación ex post del proyecto piloto y el informe final que se elevó al Consejo de Administración de SCPSA sobre el proyecto piloto. QUINTO: Con fecha 18 de febrero de 2022, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. SEXTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del RGPD, y de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/111 conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: Con fecha 4 de marzo de 2022 se accedió a la siguiente página web donde se encuentra la Ordenanza reguladora de la Gestión de Residuos en la Mancomunidad de la Comarca de Pamplona: https://sedeelectronica.mcp.es/sites/default/files/normativa/Ord%20Servicios%20RU/ ordenanza_gestion_ru_castellano_2021-emord-001.pdf Con fecha 11 de marzo de 2022 se envió a SCPSA un requerimiento de información relativo a: 1. Identificación y acreditación (contratos) de los encargados del tratamiento de los datos tratados por el sistema de apertura electrónica de contenedores, incluida la aplicación para móvil, conforme a lo establecido en el artículo 28 del RGPD. 2. Descripción de las medidas técnicas y organizativas de seguridad a que se refiere el artículo 32 del RGPD, así como la acreditación de la implantación de las mismas. 3. Copia del registro de todas las actividades de tratamiento de datos personales de clientes efectuadas bajo su responsabilidad en su versión inicial, junto con cualquier adición, modificación o exclusión en el contenido del mismo. 4. Descripción detallada de los datos personales utilizados, y del tratamiento de los mismos en relación a los siguientes medios o fuentes de información: a. Tarjetas de uso del sistema (diferenciando entre los datos relativos a un propietario, inquilino o usuario de un servicio de portería). b. Tarjetas de Transporte Urbano Comarcal (en adelante TUC) con las que se puede integrar este sistema. c. Aplicación para móvil (SIGMA MCP). d. Registro de Riqueza Territorial. e. Cualquier otro medio o fuente de información utilizado por el sistema. 5. En relación con un usuario propietario de vivienda o local: a. Documentación del proceso de registro en el sistema de apertura electrónica de contenedores. b. Documentación del proceso de baja en el sistema de apertura electrónica de contenedores. 6. En relación con un usuario de un servicio de portería, limpieza o equivalente, encargados de la retirada interna de residuos: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/111 a. Documentación del proceso de registro en el sistema de apertura electrónica de contenedores. b. Documentación del proceso de baja en el sistema de apertura electrónica de contenedores. 7. En relación con un usuario de tarjeta TUC: a. Documentación del proceso de registro desde que el usuario envía la solicitud hasta que, finalmente, se le da de alta en el sistema de apertura electrónica de contenedores. b. Documentación del proceso de baja en el sistema de apertura electrónica de contenedores. 8. En relación con un usuario inquilino de domicilio o local: a. Documentación del proceso de registro desde que el usuario envía la solicitud hasta que, finalmente, se le da de alta en el sistema de apertura electrónica de contenedores. b. Documentación del proceso de baja en el sistema de apertura electrónica de contenedores, relacionándolo con lo solicitado en el punto 4. 9. Realización de una prueba que muestre el funcionamiento paso a paso de la aplicación para móvil SIGMA MCP durante el registro completo de un usuario nuevo. 10. Copia de la información en materia de protección de datos facilitada a través de cualquier canal a los usuarios. Para el caso de que hubiera adendas o variaciones, u otros avisos de privacidad o informaciones adicionales, relativas al tratamiento de datos personales, también se solicitó copia de todos los documentos empleados para informar en materia de protección de datos personales. 11. Detalle de los canales y procedimientos habilitados para dar a conocer a los usuarios toda la información en materia de protección de datos personales (política de privacidad o cualquier otro documento). 12. Información relativa a los canales, mecanismos y metodologías utilizados para recabar la aceptación por parte de los usuarios de la política de privacidad o cualquier otro documento empleado para informar en materia de protección de datos personales, así como para la prestación de los consentimientos previstos en tales documentos, en su caso. 13. Copia de las evaluaciones de impacto en la protección de datos personales relativas a cualquier tipo de operaciones de tratamiento de datos personales de usuarios efectuadas bajo su responsabilidad que entrañen un alto riesgo para los derechos y libertades de las personas físicas, según se establece en el artículo 35 del RGPD. Se solicitó la versión inicial de estas evaluaciones de impacto y, en su caso, el detalle de las modificaciones o actualizaciones que pudieran haberse realizado. En caso de que no se hubiera llevado a cabo ninguna evaluación de impacto, su C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/111 justificación. Asimismo, para los casos en que se hubiera producido un cambio del riesgo que representen las operaciones de tratamiento y de haberse estimado necesario, se solicitó aportar el resultado del examen que haya podido realizar para determinar si el tratamiento es conforme con la evaluación de impacto relativa a la protección de datos (artículo 35.11 del RGPD). Con fecha 22 de marzo de 2022 se accedió a la siguiente página web donde se encuentran los estatutos de SCPSA: https://sedeelectronica.mcp.es/sites/default/files/normativa/Ord%20General %20SCPSA/Estatutos%20SCPSA%20vigente.pdf Con fecha de entrada en registro de 23 de marzo de 2022, SCPSA solicitó ampliación de plazo para enviar la información requerida el 11 de marzo de 2022, la cual fue concedida en la misma fecha. El 4 de abril de 2022, SCPSA contestó al mencionado requerimiento, refiriendo lo siguiente en sus conclusiones: “1. En primer lugar, cabe destacar que todos los tratamientos se realizan sobre bases de legitimación reguladas en el RGPD y LOPDGDD. 2. Toda la recopilación de datos recabados directamente de personas físicas interesadas para la gestión de las tarjetas o permisos se realiza mediante consentimiento expreso tras informar de los extremos exigidos por la normativa aplicable. 3. La información se contiene en sistemas informáticos que gozan de adecuadas medidas de seguridad que garantizan, la confidencialidad, integridad, resiliencia y, en su caso, recuperación. 4. Los diferentes datos utilizados para el tratamiento de los datos de aperturas obtenidos de los diferentes dispositivos se encuentran desagregados en distintas bases de datos impidiendo relacionar los datos de aperturas con ninguna persona física identificada o identificable en caso de producirse un acceso no autorizado. 5. La explotación de la información se realiza a través de un gestor de información que se alimenta previamente de unos datos donde no consta ningún dato identificativo de personas físicas lo que impide relacionar las aperturas con personas físicas en ningún análisis. 6. Las personas interesadas disponen de toda la información que exige la normativa sobre los tratamientos que se llevan a cabo incluida la referente al ejercicio de derechos.” A tal escrito, SCPSA adjunta la siguiente documentación: - Pliego regulador del contrato “suministro, instalación, integración, puesta en marcha, explotación y mantenimiento de un sistema de control de acceso a contenedores en la Comarca de Pamplona. SCAC. Expediente 2020/SCON-ASU/000015”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/111 - Oferta técnica presentada por ID&A. - Contrato “suministro, instalación, integración, puesta en marcha, explotación y mantenimiento de un sistema de control de acceso a contenedores en la Comarca de Pamplona. SCAC. Expediente 2020/SCON-ASU/000015” suscrito entre SCPSA e ID&A. - Pliego regulador del “acuerdo marco para el suministro de tarjetas sin contacto para su uso en el servicio de residuos de la Comarca de Pamplona. Expediente ***EXPEDIENTE.1”. - “Acuerdo marco para el suministro de tarjetas sin contacto para su uso en el servicio de residuos de la Comarca de Pamplona. Expediente ***EXPEDIENTE.1”, lote 1, suscrito entre SCPSA e Industrias Francisco Botella, S.L. - “Acuerdo marco para el suministro de tarjetas sin contacto para su uso en el servicio de residuos de la Comarca de Pamplona. Expediente ***EXPEDIENTE.1”, lote 2, suscrito entre SCPSA y Gureak Marketing, S.L.U. - Pliego regulador del contrato “programa de acciones de comunicación directa y de proximidad para la implantación de contenedores con apertura mediante tarjeta electrónica en la Comarca de Pamplona (fase 2021/2022). Expediente 2020/SCONASU/000024”. - Contrato lote 1 “programa de acciones de comunicación directa y de proximidad para la implantación de contenedores con apertura mediante tarjeta electrónica en la Comarca de Pamplona (fase 2021/2022). Expediente 2020/SCON-ASU/000024” suscrito entre SCPSA y Lavola 1981 S.A.U. - Contrato lote 2 “programa de acciones de comunicación directa y de proximidad para la implantación de contenedores con apertura mediante tarjeta electrónica en la Comarca de Pamplona (fase 2021/2022). Expediente 2020/SCON-ASU/000024” suscrito entre SCPSA y Lavola 1981 S.A.U. - Procedimiento de copias de seguridad. - Procedimiento de gestión de acceso lógico. - Procedimiento de arquitectura de seguridad/control de comunicaciones-redes y seguridad de los servicios. - Documento de seguridad v. 6. - Obligaciones del personal que accede y/o trata recursos o sistemas de información de la MCP y/o de SCPSA. - Registro de actividades de tratamiento de expedientes y tarjetas de residuos. - Información que hay en www.mcp.es sobre la implantación de los contenedores. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/111 - Formulario de solicitud telemática de tarjeta de residuos. - Formulario de solicitud presencial de tarjeta de residuos. - Fichero de tarjetas de residuos y otros dispositivos de apertura. - Carta respuesta a solicitud de tarjeta de residuos. - Fichero de expedientes. - Tríptico sobre el uso de los contenedores. - Tríptico sobre el uso de los buzones de residuos. - Formulario de solicitud presencial de activación de la tarjeta TUC para residuos. - Carta respuesta a la solicitud de activación de la tarjeta TUC para residuos. - Formulario de solicitud presencial en relación con la aplicación móvil para la apertura de contenedores. - Carta respuesta en relación con las credenciales de la aplicación móvil para la apertura de contenedores. - Pasos para instalarse la aplicación móvil para la apertura de contenedores. - Política de privacidad de la aplicación móvil para la apertura de contenedores. - Instrucciones para la utilización de la aplicación móvil para la apertura de contenedores. - Carta firmada por el presidente de MCP sobre la implantación del sistema. - Tríptico que acompaña a las tarjetas. - Tríptico informativo sobre cómo actuar en caso de abandonar una vivienda o establecimiento así como cuando se accede a una nueva vivienda o establecimiento. - Registro de solicitud telemática de tarjeta para copropietarios. - Funcionamiento paso a paso de la aplicación para móvil SIGMA MCP. - ID&A Documento 25-007.2 sobre SIGMA APP. - Tarjeta SCPSA RU+TUC 2021. - Informe de resultados de la evaluación de impacto de datos personales para el tratamiento “tarifas sociales”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/111 Con fecha 21 de abril de 2022 se incorpora a las actuaciones de inspección la siguiente documentación referente a los permisos técnicos de la aplicación móvil SIGMA MCP: “Al realizar una operación de apertura de contenedor, se solicita acceso a la localización (por estar ligado al uso del Bluetooth en dispositivos con sistema operativo Android).” Adjuntándose imágenes de pantallazos al respecto. Con fecha 25 de abril de 2022 se accedió a la siguiente página web donde se encuentra la información adicional sobre protección de datos del fichero de tarjetas de residuos: https://mcp.es/sites/default/files/ficheros_lopd/Tarjeta-de-residuos.pdf De cara a profundizar en más detalle en algunas cuestiones relacionadas con el anterior requerimiento, el día 4 de mayo de 2022 se realizó otro requerimiento de información a SCPSA relativo a: 1. Descripción de las fuentes de datos utilizadas por el sistema de apertura de contenedores. 2. Descripción de las tablas, campos y fuentes de origen de los datos (a nivel de campo de tabla) que se almacenan en las siguientes bases de datos: Clientes, SCM, aperturas, datamart. 3. Respecto a la herramienta Tableau utilizada para explotar la base de datos DATAMART: a. Tipología de informes generados por esta herramienta. b. Detalle de la información que contienen los diferentes tipos de informes generados por esta herramienta y el origen de esa información (base de datos, tabla y campo, u otro en el caso de que no proceda de una base de datos). c. Copia de los informes generados por esta herramienta (1 ejemplo de cada tipología de informe generado). 4. Justificación de que la aplicación para móvil no utiliza ni almacena ningún dato relacionado con la geolocalización del dispositivo móvil. 5. Respecto a los contratos de encargados del tratamiento de datos, en la documentación aportada se indica que existen tres empresas adjudicatarias de la licitación para el suministro de tarjetas de apertura electrónica de contenedores, pero sólo se han enviado los contratos de dos de ellas. Por ello, se solicitó el contrato formalizado con la tercera empresa. 6. En la documentación reportada se señala que SCPSA se encuentra en el ámbito de aplicación del Real Decreto 3/2010, de 8 de enero, por el que se regula el Esquema Nacional de Seguridad en el ámbito de la Administración Electrónica habiendo C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/111 realizado una revisión del estado de adecuación por parte de la consultora externa Auren en 2021 de la que se ha elaborado un Plan Director con medidas a adoptar para continuar con el proceso de adecuación. Por lo que se solicitó una copia de dicho Plan Director. 7. Si existen diferentes usos diarios que se pueden configurar en las tarjetas y dispositivos móviles para poder abrir los contenedores de basura con mayor frecuencia y/o más días a lo largo de la semana, con descripción, en su caso, de las diferentes configuraciones que se pueden establecer en las tarjetas y dispositivos móviles. 8. Respecto a la gestión de listas negras: a. Casuísticas o razones que dan lugar a que una tarjeta o dispositivo móvil sea incluido en esta lista. b. Consecuencias para los domicilios/usuarios. c. En caso de que un domicilio sea incluido en la lista negra, ¿puede realizar solicitudes a través del formulario de la sede electrónica? ¿Queda deshabilitada su dirección del listado de domicilios habilitados en dicho formulario como consecuencia de su inclusión en la lista negra? Con fecha de entrada en registro de 10 de mayo de 2022, SCPSA solicitó ampliación de plazo para enviar la información requerida el 4 de mayo de 2022, la cual fue concedida el 11 de mayo de 2022. Con fecha 18 de mayo de 2022: - Se accedió a la siguiente página web, la cual contiene los datos generales, en concreto, la población del área de recogida de residuos correspondiente a los años 2019 y 2020, de la empresa Servicios de la Comarca de Pamplona, S.A.: https://www.mcp.es/sites/default/files/memorias/memoria2020/es/perfil-entidad/datosgenerales.htm - Se consultó en Axesor los datos empresariales de SCPSA. - Se accedió a la siguiente página web, la cual contiene el calendario de implantación del sistema de contenedores con apertura electrónica para el año 2022 y 2023: https://www.mcp.es/sites/default/files/documentos/Calendario%20de%20implantacio %CC%81n%20contenedores%20-%20marzo%202022.pdf El 26 de mayo de 2022, SCPSA contestó al requerimiento de 4 de mayo de 2022, indicando, en síntesis, lo siguiente: 1. La fuente que datos que utiliza para el sistema de apertura de contenedores es el .Registro de Riqueza Territorial, si bien a través de los ayuntamientos y los C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/111 constructores se alimenta la base de datos de clientes mediante su inclusión manual y no tiene incidencia para la emisión y envío de tarjetas. 2. Respecto a la herramienta Tableau, detalla los informes generados por ésta en relación con la explotación de la base de datos DATAMART. 3. Que “todas las tarjetas y dispositivos pueden abrir cualquier contenedor de materia orgánica y resto que cuente con el sistema ya implantado a cualquier hora del día todos los días de la semana.” 4. “La denominación “lista negra” se emplea para informar al sistema de tarjetas de que las tarjetas incluidas en ella no pueden abrir contenedores.” A continuación enumera una lista no exhaustiva de diferentes casos que dan lugar a que una tarjeta se incluya en tal “lista negra”. Señala SCPSA que “la inclusión de una tarjeta de residuos en una lista negra no conlleva ninguna consecuencia para domicilios, ni usuarios. Será posible en todo momento solicitar nuevas tarjetas que permitan a una dirección la apertura de los contenedores de materia orgánica y resto.” Por último, SCPSA indica que “Los domicilios solo pueden entrar en una lista negra por baja de la dirección postal del inmueble del callejero municipal. En este caso queda deshabilitada esa dirección del formulario de solicitud de tarjetas y no podrían realizarse solicitudes para esa dirección que ya no existe.” A tal escrito, SCPSA adjunta la siguiente documentación: - Pantallazos de las diferentes tablas de clientes, SMC, aperturas y datamart. - Escrito de ID&A en el que declara que “la aplicación SIGMA MCP para móvil, desarrollada y implantada por ID&A no utiliza ni almacena ningún dato relacionado con la geolocalización del dispositivo móvil” - “Acuerdo marco para el suministro de tarjetas sin contacto para su uso en el servicio de residuos de la Comarca de Pamplona. Expediente ***EXPEDIENTE.1”, lote 1, suscrito entre SCPSA e Industrias Francisco Botella, S.L. - “Acuerdo marco para el suministro de tarjetas sin contacto para su uso en el servicio de residuos de la Comarca de Pamplona. Expediente ***EXPEDIENTE.1”, lote 1, suscrito entre SCPSA y Gureak Marketing, S.L.U. - “Acuerdo marco para el suministro de tarjetas sin contacto para su uso en el servicio de residuos de la Comarca de Pamplona. Expediente ***EXPEDIENTE.1”, lote 1, suscrito entre SCPSA y Calmell, S.A. - “Acuerdo marco para el suministro de tarjetas sin contacto para su uso en el servicio de residuos de la Comarca de Pamplona. Expediente ***EXPEDIENTE.1”, lote 2, suscrito entre SCPSA y Gureak Marketing, S.L.U. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/111 - “Acuerdo marco para el suministro de tarjetas sin contacto para su uso en el servicio de residuos de la Comarca de Pamplona. Expediente ***EXPEDIENTE.1”, lote 2, suscrito entre SCPSA e Industrias Francisco Botella, S.L. - “Acuerdo marco para el suministro de tarjetas sin contacto para su uso en el servicio de residuos de la Comarca de Pamplona. Expediente ***EXPEDIENTE.1”, lote 2, suscrito entre SCPSA y Calmell, S.A. - Plan director de seguridad de la información y adecuación al Sistema Nacional de Seguridad realizado por Auren. Con fecha 6 de junio de 2022 se accedió a la siguiente página web, la cual contiene las preguntas frecuentes de la campaña de implantación del nuevo sistema de contenedores de resto y orgánica: https://www.mcp.es/sites/default/files/documentos/V4%20FAQs%20nuevo%20sistema %20apertura%20contenedores_2022%20CAST.pdf Con fecha 10 de junio de 2022 se incorpora a las actuaciones de inspección documentación referente al menú de aplicación móvil SIGMA MCP. SÉPTIMO: Con fecha 16 de noviembre de 2022, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, con arreglo a lo dispuesto en los artículos 63 y 64 de la LPACAP por las presuntas infracciones del artículo 6.1. del RGPD, tipificada en el artículo 83.5.
2. a)del RGPD; de los artículos 12.1, 13 y 14 del RGPD, tipificadas en el artículo 83.5.
3. b)del RGPD; del artículo 30.1 del RGPD, tipificada en el artículo 83.4.
4. a)del RGPD; y del artículo 35 del RGPD, tipificada en el artículo 83.4.
5. a)del RGPD. El citado acuerdo de inicio fue notificado a la parte reclamada, conforme a las normas establecidas en la LPACAP, el 17 de noviembre de 2022. OCTAVO: Con fecha de entrada en registro de 21 de noviembre de 2022, la parte reclamada solicitó ampliación de plazo para presentar alegaciones, la cual fue concedida el 22 de noviembre de 2022. NOVENO: La parte reclamada presentó escrito de alegaciones el 12 de diciembre de 2022, en el que, en síntesis, manifiesta: 1.- Tratamiento de datos personales. Coincide en que la dirección postal es un dato de carácter personal. Asimismo reconoce que cuando se solicitan nuevas tarjetas durante la fase de explotación, se recaba información del solicitante. Señala que “dichos datos no se ponen en relación ni se utilizan para segregar la información que se obtiene del ulterior uso que se le dé a esa concreta tarjeta para la apertura de los diferentes dispositivos.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/111 2.- Manifiesta su conformidad en que la parte reclamada es la responsable del tratamiento objeto del presente procedimiento. 3.- Licitud del tratamiento. Señala la parte reclamada que “en el ejercicio de sus competencias de recogida, transporte y tratamiento de los residuos domésticos, lleva a cabo el tratamiento de datos personales a través de la implantación de contenedores inteligentes con carácter necesario para el cumplimiento de una misión de interés público y en el ejercicio de poderes públicos conferidos por el ordenamiento jurídico”, indicando posteriormente que con la implantación de tal sistema “solo pretende cumplir y hacer cumplir unos objetivos claros de recogida separada y de evitación de impropios”, los cuales, refiere, derivan de las siguientes normas: - Directiva 2018/851, del Consejo y del Parlamento, por la que se modifica la Directiva 2008/98/CE sobre los residuos. - La Ley Foral 14/2018, de residuos y su fiscalidad. - La Ley 7/2022, de residuos y suelos contaminados para una economía circular (en adelante, LRSCEC). Señala que los objetivos de recogida selectiva “implican directamente a los ciudadanos, y por tanto a su ciudadanía, y con consecuencias incluso sancionadoras para ellos, caso de incumplimiento.” Hace referencia al último párrafo del artículo 25.2 de la LRSCEC el cual dice expresamente: “Entre los modelos de recogida de las fracciones anteriores que establezcan las entidades locales se deberán priorizar los modelos de recogida más eficientes, como el puerta a puerta o el uso de contenedores cerrados o inteligentes que garanticen ratios de recogida similares.” Señala al respecto que entre 2013 y 2015 implantó un sistema de “contenedores cerrados, sin identificación del generador/productor de residuos mediante la colocación del 5º Contenedor para Materia Orgánica cuya apertura se llevaba a cabo con una llave mecánica. (…) La experiencia de implantación general de contenedor cerrado sin identificación no fue exitosa en absoluto quedándose, por tanto, muy lejos de poder cumplir en algún momento unos ratios de recogida similares al puerta a puerta ni de cumplir con los requisitos cuantitativos y de reciclado de alta calidad y los objetivos establecidos en la LRSCEC.” Señala que “para cumplir estos fines y objetivos, la LRSCEC y la LF 14/2018 establece como hemos visto, importantes obligaciones para las Administraciones públicas, que se extienden, desde luego, al cumplimiento de los objetivos de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/111 prevención y gestión, pero que se acompañan también de importantes actividades de información, de ejercicio de la potestad normativa y de vigilancia, inspección y sanción; además, en el caso de las entidades locales, se les encomienda la actividad de prestación del servicio obligatorio de recogida, transporte y tratamiento de los residuos domésticos (artículo 12.5.a)” Por ello indica posteriormente que “sin el necesario tratamiento limitado de los datos personales que exige la recogida separada mediante contenedores inteligentes a los que remite la propia Ley, es imposible cumplir las obligaciones y objetivos establecidos por ella, debiendo argumentarse sensu contrario que no existe alternativa a esta opción; de haberla, debiera argumentarse de forma contradictoria.” También hace referencia al artículo 11.3 de la LRSCEC, el cual obliga a las entidades locales al establecimiento, en el plazo de tres años a contar desde la entrada en vigor de esta ley, de una tasa o prestación patrimonial de carácter público no tributaria, diferenciada, que permita implantar sistemas de pago por generación. Lo anterior, indica la parte reclamada, es imposible si no se determina “de manera diferenciada la cantidad real de residuos que se generan/producen por cada dirección postal de cada una de las fracciones. Ello exige de manera ineludible y necesaria el tratamiento de los datos de la recogida separada articulada mediante los sistemas de contenedor, inteligente o puerta a puerta ya que, de lo contrario, es materialmente imposible.” Señala la parte reclamada que el incumplimiento por parte de las entidades locales de los objetivos de recogida selectiva es sancionable, toda vez que el artículo 108.3.
6. w)de la LRSCEC tipifica como infracciones graves “El incumplimiento de la obligación de establecimiento de recogida separada para las fracciones de residuos mencionadas en los artículos 25, 29 y 30, así como el incumplimiento de los porcentajes máximos de impropios que, en su caso, se establezcan.” Considera que “Ello supone que las EELL deberán disponer de medios para controlar cómo sus ciudadanos separan en origen sus residuos y cómo los vierten en el contenedor adecuado, porque de no ser así las consecuencias son claras y al final esas sanciones que se impondrán a las EELL, las acabarán pagando los vecinos incumplidores mediante la correspondiente repercusión en la tasa. De hecho, el artículo 111.3 LRSCEC no sólo habilita a las entidades locales a sancionar el abandono, vertido o eliminación incontrolados de los residuos cuya recogida y gestión les corresponde, sino también el incumplimiento de las condiciones de entrega previstas en las ordenanzas, entre las que habrá de incluir, el incumplimiento de la separación en origen de los residuos.” Por lo expuesto, entiende la parte reclamada que “el tratamiento de datos personales llevados a cabo para la articulación del sistema de recogida separada de residuos domésticos (fracción orgánica, fracción resto) es absolutamente lícito y necesario para el cumplimiento de las obligaciones establecidas por la legislación europea, estatal y autonómica para el cumplimiento de una misión realizada en interés público, en defensa del interés ambiental, que tiene naturaleza de obligación constitucional, tal y como se deduce del propio artículo 45.2 de la Constitución española que establece la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/111 obligación de los poderes públicos de velar por la utilización racional de los recursos naturales.” Señala que numerosos municipios españoles han instaurado el mismo sistema. Asimismo, hace referencia a diversos pronunciamientos de autoridades de control de protección de datos en los que se analizan los sistemas de puerta a puerta como el de contenedores inteligentes: - Los informes 282/2018, 6/2020, 60/2021, 72/2021 y 76/2021 de la Autoridad Catalana de Protección de Datos. - El Dictamen D18-015 de la Agencia Vasca de protección de datos. Finaliza haciendo mención a dos resoluciones de la AEPD, en las que se archivaba una reclamación y se inadmitía otra en relación con el ejercicio de derechos relativos a este sistema de apertura, resoluciones que, entiende la parte reclamada, se amparan “precisamente en la licitud y necesariedad del tratamiento de los datos, y analizando dichas razones, la AEPD ha considerado ajustada a derecho la actuación de MCP/SCPSA”. 4.- Transparencia de la información. - Respecto a la irregularidad de los artículos 13.1.
7. c)y 14.1.
8. c)del RGPD (los fines del tratamiento a que se destinan los datos personales, así como la base jurídica del tratamiento), por un lado se remite a las alegaciones realizadas en el anterior apartado, mientras que por otro lado señala que la estimación de tales alegaciones supondría la corrección de la información a facilitar al interesado identificando la concreta norma habilitante, que, indica, serían la Ley 7/2022, de 8 de abril, de residuos y suelos contaminados para una economía circular, la Ley Foral 14/2018 de residuos y su fiscalidad y la Ley 7/1985, de 2 de abril, reguladora de las Bases del Régimen Local - Respecto a la irregularidad del artículo 14.2.
9. f)del RGPD (la fuente de la que proceden los datos personales), indica que efectivamente se trata de un error y se procederá a su corrección, “dado que en el momento de implantación únicamente se tratan los datos relativos a la dirección postal y a los datos de aperturas”. - Respecto a la irregularidad de los artículos 13.2.
10. f)y 14.2.
11. g)del RGPD (la existencia de decisiones automatizadas, incluida la elaboración de perfiles), señala que la implantación del sistema de apertura de contenedores de residuos a través de una tarjeta electrónica vinculado al domicilio postal “no permite elaborar perfiles fiables en los términos contenidos en el artículo 14.2.
12. g)en relación con el artículo 22 del Reglamento General de Protección de Datos.”, pues:
13. a)“No existe ningún tipo de efecto jurídico que se derive de la información obtenida de la utilización de las tarjetas, tomando como referencia los ejemplos de producción de efectos jurídicos recogidos en las directrices sobre decisiones individuales automatizadas y elaboración de perfiles a los efectos del Reglamento 2016/679 elaborado por el grupo de trabajo sobre protección de datos del artículo 29”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/111
14. b)Respecto al requisito de que el tratamiento automatizado “le afecte significativamente de modo similar”, indica la parte reclamada que “sin perjuicio de que se trata de una expresión jurídicamente indeterminada, hemos de señalar que no se produce en ningún caso una afectación y ello porque no se lleva a cabo tal elaboración de perfiles.” Continúa manifestando que “cuando en un futuro se pretenda que produzca efectos jurídicos en los usuarios (pago por generación, por ejemplo) deberán introducirse medidas que justifiquen al usuario y que garantice la exactitud de los datos. A modo de ejemplo: - modificación normativa. - cambio de régimen jurídico para que las tarjetas sean intransferibles. - asociación de la tarjeta al obligado al pago de la prestación. Lo cual obligará a informar a los usuarios de que la utilización de dichas tarjetas va a generar efectos jurídicos o afectar significativamente al obligado al pago y resto de obligaciones señaladas en esta resolución, como la evaluación de impacto. Si bien para los fines previstos en esta fase del proyecto (la consecución de los objetivos normativos de separación de residuos), es suficiente con el tratamiento del dato de la dirección postal.” Por lo expuesto señala que “no se adopta ninguna decisión automatizada en relación con la información gestionada en el marco del sistema de recogida de residuos implantada, lo que sí sucedería por ejemplo en el caso de fijar la tasa de residuos en función del número de aperturas o que se sancionase por la falta de uso sin más criterio que las aperturas.” - Respecto a la irregularidad del artículo 13.2.
15. e)del RGPD (si la comunicación de datos personales es un requisito legal o contractual, o un requisito necesario para suscribir un contrato, y si el interesado está obligado a facilitar los datos personales y está informado de no facilitar tales datos), señala la parte reclamada que es un error y se procederá a su corrección. - Finalmente, respecto a la irregularidad relativa a que en el momento de dar la información a los interesados se indica que el responsable es SCPSA, si bien tanto en el correo electrónico para ejercitar los derechos como la página web donde se encuentra la información adicional sobre privacidad del sistema son de MCP, señala la parte reclamada que “se procederá a su modificación indicando en todas las comunicaciones que la responsabilidad del tratamiento de datos se llevará a efecto por la Mancomunidad de la Comarca de Pamplona.” 5.- Registro de actividades del tratamiento. Indica la parte reclamada que “en la documentación aportada por esta entidad en el marco del expediente de la reclamación EXP202105962, se remitió un extracto del Registro de Actividades del Tratamiento relativa a los concretos tratamientos relacionados con la reclamación. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/111 Dicho extracto no correspondía al Registro de Actividades íntegro del que dispone SCPSA y donde sí que constan los datos de identificación y contacto del Responsable del Tratamiento. Es por ello que compartimos el criterio de la AEPD, manifestando que, efectivamente en el RAT debe constar la información mencionada en el expediente sancionador como así aparece en el Registro de Actividades del Tratamiento que obra en poder de la entidad.” 6.- Evaluación de impacto de datos personales. Indica la parte reclamada que “se contrató una empresa especializada para la adecuación al Real Decreto 3/2010, de 8 de enero, por el que se regula el Esquema Nacional de Seguridad en el ámbito de la Administración Electrónica (ENS, en adelante), y al Real Decreto 951/2015, de 23 de octubre de modificación del RD 3/2010. Durante la ejecución de dicho proyecto, se llevó a cabo una revisión de determinados aspectos del Reglamento (UE) 2016/679 (RGPD, en adelante) y de la Ley Orgánica 3/2018 de Protección de Datos Personales (LOPDGDD). Entre esos aspectos se encontraba la necesidad de efectuar evaluaciones de impacto relativas a los diferentes tratamientos. El resultado de dicha revisión arrojó conclusiones similares a las que se habían obtenido en el análisis realizado por parte de la propia entidad y que se resumían en la no necesidad de realizar una evaluación de impacto relativa al tratamiento de datos personales derivado de la gestión de residuos.” Critica que el acuerdo de inicio considere que debe hacerse una evaluación de impacto en base a lo siguiente: - Respecto a la “Evaluación o puntuación, incluida la elaboración de perfiles y la predicción”, se remite a lo ya manifestado respecto a que no se realizan perfilados. Indica, en relación con la carta que envió durante la realización del proyecto-piloto, que “la información de las aperturas a las diferentes direcciones no es sino una devolución de su propia información (similar a la información que se entregaría en un ejercicio de derecho de acceso a sus datos personales), pero en ningún caso es cruzada con otra información o es tratada con el fin de generar un concreto perfil que sirva de base para una decisión automatizada o que pueda afectar significativamente a los interesados.” Añadiendo posteriormente que “los datos no se refieren ni es posible vincularlos a una concreta persona física ni se relacionan con personas físicas sino con una referencia postal que se utiliza para la consecución de los objetivos normativos en materia de residuos como por ejemplo orientando las diferentes campañas de información y sensibilización, que fue el motivo de la carta.” - Respecto a la “Observación sistemática”, indica que “no es posible realizar una observación del usuario toda vez que la información se segrega a partir de la dirección postal y no de las personas físicas que depositan el residuo y porque además las tarjetas no son intransferibles ni de uso personal.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 20/111 - Respecto al criterio del “Tratamiento de datos a gran escala”, comparte que en el presente caso concurre tal circunstancia. - Respecto a la “Asociación o combinación de conjuntos de datos” señala que “no es cierto que se asocien o combinen conjuntos de datos”. Expone que “Los datos relativos al transporte son gestionados directamente por MCP, no por SCPSA y no se cruzan en ningún momento con los datos de las aperturas.” A mayor abundamiento manifiesta que “todos los datos que se tratan en cada uno de los dos sistemas son informados a las personas usuarias quienes, de manera voluntaria, solicitan expresamente la utilización de la tarjeta de transporte para el depósito de residuos, de manera que en ningún caso, pueden excederse las expectativas razonables de los interesados.” - Respecto al “Uso innovador o aplicación de nuevas soluciones tecnológicas u organizativas” manifiesta, por un lado, que no comparte que se considere una nueva tecnología o un uso innovador la utilización de una tarjeta, toda vez que entiende que se trata de una tecnología ya consolidada y conocida. Por otro lado, en relación con la aplicación móvil, indica que es propiedad de ID&A S.R.L., “que actúa como responsable de los datos recabados y tratados para el correcto funcionamiento de la misma”, indicando que su uso es voluntario y que los datos que se recaba para el funcionamiento de la aplicación no son cedidos a SCPSA. - Respecto a que “el propio tratamiento «impida a los interesados ejercer un derecho o utilizar un servicio o ejecutar un contrato»”, manifiesta la parte reclamada, tras invocar el considerando 91 del RGPD, que “Lo relevante de este considerando no es tanto si se impide o no ejercer un derecho o utilizar un servicio, sino si realmente se entraña un alto riesgo para los derechos y libertades de los interesados. La interpretación contraria llevaría a la solución no deseada de que todo tratamiento de datos impide el acceso a un servicio.” Considera que “En este caso no cabe hablar de un alto riesgo para los derechos y libertades ya que, como se ha dicho en repetidas ocasiones, ni siquiera se relacionan los datos obtenidos con personas físicas, sino que únicamente se vinculan a una dirección postal.” DÉCIMO: Con fecha 12 de enero de 2023 se acuerda abrir una fase de práctica de prueba. Se acuerda, asimismo, incorporar al expediente, a efectos de prueba, la reclamación que dio origen al procedimiento sancionador y su documentación anexa; los documentos obtenidos y generados durante la fase de admisión a trámite de la reclamación, el informe de actuaciones previas de investigación y las alegaciones al acuerdo de inicio del PS/00547/2022 presentadas por la parte reclamada. En el mismo escrito de fecha 12 de enero de 2023, en el que se comunica la apertura de la fase de prueba, se requiere a la parte reclamada para que remita la siguiente documentación: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 21/111 - Documento acreditativo de los resultados de separación de residuos en origen del sistema de contenedores cerrados, sin identificación del generador/productor de residuos, mediante la colocación del 5º contenedor para materia orgánica con apertura mediante llave mecánica que se implantó entre 2013 y 2015. - Documento acreditativo de los resultados de separación de residuos en origen del actual sistema de apertura de contenedores de residuos equipados con cerraduras electrónicas que se corresponden con Equipos de Control de Acceso a tales contenedores, accionados mediante tarjeta o aplicación móvil vinculadas a una determinada dirección postal. - Toda vez que en el escrito de alegaciones al acuerdo de inicio se manifestaba que “se remitió un extracto del Registro de Actividades del Tratamiento relativa a los concretos tratamientos relacionados con la reclamación”, así como que “Dicho extracto no correspondía al Registro de Actividades íntegro del que dispone SCEPSA y donde sí constan los datos de identificación y contacto del Responsable del Tratamiento”, se requirió que remitiera copia íntegra del registro de actividades de tratamiento de datos personales en su versión inicial, así como copia de todas las versiones posteriores a aquella en atención a cualquier adición, modificación o exclusión en el contenido del mismo (indicando la fecha del cambio), certificada por órgano competente. Con fecha 26 de enero de 2023 se recibió respuesta de la parte reclamada a las pruebas solicitadas, adjuntando: - Informe emitido por la Dirección del Departamento de Residuos, acreditativo de los resultados de separación de residuos en origen, en el que, por un lado, presenta los resultados de separación de residuos en origen del sistema de contenedores cerrados, sin identificación del generador/productor de residuos, mediante la colocación del 5º contenedor para materia orgánica con apertura mediante llave mecánica que se implantó entre 2013 y 2015, y, por otro lado, presenta los resultados de separación de residuos en origen del actual sistema de apertura de contenedores de residuos equipados con cerraduras electrónicas que se corresponden con Equipos de Control de Acceso a tales contenedores, accionados mediante tarjeta o aplicación móvil vinculadas a una determinada dirección postal. - Registro de Actividades del Tratamiento aprobado en el Comité de Seguridad de SCPSA de fecha 23 de noviembre de 2018. - Registro de Actividades del Tratamiento tras la ampliación sufrida a consecuencia del expediente sancionador incoado por la AEPD a MCP con fecha 14 de noviembre de 2019. - Registro de Actividades del Tratamiento aprobado en el Comité de Seguridad de SCPSA de fecha 23 de febrero de 2022. DECIMOPRIMERO: Con fecha 9 de junio de 2023 se formuló propuesta de resolución, proponiendo que por la Directora de la Agencia Española de Protección de Datos se imponga a la MANCOMUNIDAD DE LA COMARCA DE PAMPLONA, con NIF C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 22/111 P3112070B, una sanción de apercibimiento por la infracción de los siguientes artículos: - Artículo 6.1 del RGPD, tipificada en el artículo 83.5.
16. a)del RGPD. - Artículos 12.1, 13 y 14 del RGPD, tipificadas en el artículo 83.5.
17. b)del RGPD. - Artículo 30.1 del RGPD, tipificada en el artículo 83.4.
18. a)del RGPD. - Artículo 35 del RGPD, tipificada en el artículo 83.4.
19. a)del RGPD. Así como que por la Directora de la Agencia Española de Protección de Datos se ordene a la MANCOMUNIDAD DE LA COMARCA DE PAMPLONA, con NIF P3112070B, que en virtud del artículo 58.2.
20. f)del RGPD, en el plazo de XX acredite haber procedido al cese de todo tratamiento de datos personales relativo al sistema de apertura de contenedores de residuos equipados con cerraduras electrónicas que se corresponden con Equipos de Control de Acceso (ECA) a tales contenedores, accionados mediante tarjeta vinculada a una determinada dirección postal, tarjeta de transporte activada para la apertura de contenedores o aplicación móvil vinculada a una determinada dirección postal. La citada propuesta de resolución fue notificada a la parte reclamada, conforme a las normas establecidas en la LPACAP, el 12 de junio de 2023. DECIMOSEGUNDO: Con fecha 12 de junio de 2023 se procedió a realizar la siguiente rectificación de errores de la propuesta de resolución: Donde dice: “Que por la Directora de la Agencia Española de Protección de Datos se ordene a la MANCOMUNIDAD DE LA COMARCA DE PAMPLONA, con NIF P3112070B, que en virtud del artículo 58.2.
21. f)del RGPD, en el plazo de XX, acredite haber procedido al cese de todo tratamiento de datos personales relativo al sistema de apertura de contenedores de residuos equipados con cerraduras electrónicas que se corresponden con Equipos de Control de Acceso (ECA) a tales contenedores, accionados mediante tarjeta vinculada a una determinada dirección postal, tarjeta de transporte activada para la apertura de contenedores o aplicación móvil vinculada a una determinada dirección postal.” Diga: “Que por la Directora de la Agencia Española de Protección de Datos se ordene a la MANCOMUNIDAD DE LA COMARCA DE PAMPLONA, con NIF P3112070B, que en virtud del artículo 58.2.
22. f)del RGPD, en el plazo de 10 días acredite haber procedido al cese de todo tratamiento de datos personales relativo al sistema de apertura de contenedores de residuos equipados con cerraduras electrónicas que se corresponden con Equipos de Control de Acceso (ECA) a tales contenedores, accionados mediante tarjeta vinculada a una determinada dirección postal, tarjeta de transporte activada para la apertura de contenedores o aplicación móvil vinculada a una determinada dirección postal.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 23/111 La citada rectificación de errores fue notificada a la parte reclamada, conforme a las normas establecidas en la LPACAP, el 13 de junio de 2023. DECIMOTERCERO: Con fecha de entrada en registro de 15 de junio de 2023, la parte reclamada solicitó ampliación de plazo para presentar alegaciones. El 16 de junio de 2023, se notificó a la parte reclamada la concesión de nuevo plazo para presentar alegaciones. DECIMOCUARTO: La parte reclamada presentó escrito de alegaciones el 3 de julio de 2023, en el que, en síntesis, manifiesta lo siguiente: 1.- Licitud del tratamiento. Considera la parte reclamada que de dos resoluciones de la AEPD “se desprende” la legitimidad del tratamiento que lleva a cabo. En concreto se refiere a la resolución del Expediente 2022/03664 y a la resolución del Expediente 2022/05572. Continúa indicando que el tratamiento de datos personales que realiza “encuentra su legitimación tanto en la realización de una misión en interés público como en el cumplimiento de una obligación legal.” A tal efecto invoca: - Cuatro principios fundamentales que la Unión Europea ha señalado en materia de gestión de residuos: El principio de prevención, el principio “quien contamina paga”, el principio preventivo y el principio de proximidad. - El Plan Estatal Marco de gestión de residuos 2016-2022. - La Ley 22/2011, de 28 de julio, de residuos y suelos contaminados. - La Ley 7/2022, de 8 de abril, de residuos y suelos contaminados para una economía circular. Critica que la propuesta de resolución señale que “a través del domicilio postal éstos pueden llegar a identificar a todas las personas empadronadas en el mismo”, pues, entiende, que “el dato de la dirección postal no tiene -de manera inequívoca, certera y total- porqué llegar a identificar a la persona que lleva a cabo la tarea de reciclaje de residuos por cuanto sólo con el dato de dirección postal no se puede llegar a identificar quién fue el que acudió al contenedor”. Incluso critica que la propuesta de resolución se refiere a que basta con una “identificación indirecta”, pues, considera la parte reclamada que “la identificación basada únicamente en la dirección postal podría llegar a dar lugar a una identificación incorrecta (o, mejor, dicho, a no identificar)”. Considera que el tratamiento de datos personales que realiza no permite conocer los hábitos de persona alguna “por cuanto al no conocer quién lo realiza en cada ocasión (un día puede ser el dueño de la casa, otro día puede ser la persona de la limpieza C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 24/111 etc.) no sería correcto hablar de hábitos puesto que ni siquiera corresponden a una misma persona identificada y, en realidad, los hábitos están asociados a personas.” También critica que la propuesta de resolución indique que la precitada normativa “ni obliga ni legitima a ésta a realizar tratamiento alguno de datos personales para llevar a cabo el ejercicio de sus competencias de recogida, transporte y tratamiento de los residuos domésticos”, pues, considera la parte reclamada que sí “lo legitima teniendo en cuenta que los objetivos vienen marcados por Europa en un primer momento, por la propia Constitución que habilita a la Mancomunidad a desarrollar sus competencias y por las leyes forales y nacionales”. Considera que el tratamiento del domicilio postal “si no se puede considerar imprescindible, sí que es altamente conveniente y totalmente adecuado para cumplir con la obligación legal y la realización de la misión en interés público a la vista de resultados de los objetivos de reciclaje”, resultados que adjunta. Manifiesta que su delegado de protección de datos está preparando un análisis de riesgos relativa a la “gestión de nuevas tarjetas (…) para valorar si existe un elevado riesgo en el derecho fundamental de protección de datos de los interesados el tratar dichos datos cuando se solicita la renovación”. Toda vez que la propuesta de resolución indica que la ordenanza de MCP “no recoge como uno de sus objetivos la recogida de datos del uso que se realice de los distintos contenedores por cada domicilio”, expresa la parte reclamada “su total compromiso a la hora de modificar la ordenanza si así lo estimara la Agencia”, si bien considera que tal omisión “no implica que no se pueda hacer por cuanto la recogida de datos no es tanto el objetivo sino un medio para conseguir el objetivo que es el de lograr los objetivos de reciclaje.” Considera que la afirmación que realiza la propuesta de resolución al decir que “entre el modelo de apertura de contenedores cerrados con tarjeta sin ningún tipo de vinculación a dato alguno, y el actual sistema de apertura de contenedores mediante tarjeta electrónica vinculada a un dato de carácter personal como es el domicilio postal, existen fórmulas intermedias que no han sido estudiadas por la parte reclamada” no es correcta, pues realmente sí ha llevado a cabo tal estudio. Señala que ha analizado cuatro fórmulas diferentes: - Contenedores abiertos en la calle que no requieren ningún mecanismo para su apertura: No recogen ninguna información personal pero su eficiencia para conseguir la separación de residuos en origen es baja. - Contenedores cerrados en la calle que requieren del uso de un mecanismo de apertura, pero que no permiten el registro de información de las aperturas realizadas: Indica que el nivel de uso de información personal necesario es bajo, así como es baja su eficiencia para conseguir la separación de residuos. - Contenedores cerrados en la calle que requieren del uso de un mecanismo de apertura y que permiten el registro de información de las aperturas realizadas: Señala que el nivel de uso de información personal es medio (dirección postal pero sin C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 25/111 posibilidad de identificar los residuos depositados), mientras que el nivel de eficiencia para la consecución de la separación de residuos en origen es medio-alto. - Recogida puerta a puerta, esto es, recogida de residuos en la puerta de cada domicilio y establecimiento: El nivel de uso de información personal es alto, pues permite la identificación del aportante como del residuo depositado, mientras que el nivel de eficiencia para la consecución de la separación de residuos en origen es muy alto. Por lo expuesto, considera la parte reclamada que el sistema que utiliza “es la fórmula intermedia que aúna el respeto al derecho de protección de datos de los interesados y la eficiencia adecuada -sin utilizar métodos invasivos que, a la vez, son mucho más eficientes-.” Continúa indicando que “antes de la ley de 2022 también estaban establecidos objetivos y que el principio de que “quien contamina paga”; del que deriva el pago por generación, es un clásico de la normativa medioambiental y no es algo que “aparezca o surja en 2022”. Por lo que, la Mancomunidad se ha limitado a seguir la línea marcada por Europa desde muchos años antes.”. Asimismo, señala que tal principio ya lo aplicaba la Ley 22/2011, de 28 de julio, de residuos y suelos contaminados al indicar en su artículo 11 que “De acuerdo con el principio de quien contamina paga, los costes relativos a la gestión de residuos tendrán que correr a cargo del productor inicial de residuos, del poseedor actual o del anterior poseedor de residuos de acuerdo con lo establecido en los artículos 42 y 45.2.” También alega la parte reclamada que el tratamiento de datos personales que lleva a cabo está legitimado con sus competencias en materia de inspección. Indica que los resultados mostrados de los distintos sistemas de recogida de residuos derivan “de la información generada en labores de inspección y control”. Asimismo manifiesta que ha empezado a “implementar actuaciones más precisas de inspección y control”. En concreto indica: - Que ha realizado en abril de 2023 una campaña de inspección en aquellos comercios y locales que no estaban haciendo uso de los contenedores de resto y materia orgánica. - Que se ha planteado una actuación de inspección, basada en la identificación de los domicilios y comercios con malas prácticas, en uno de los barrios con peores resultados de separación de residuos y mayor abandono de residuos en la calle. Finalmente, indica la parte reclamada que la conclusión del Dictamen D18-015 de la Agencia Vasca de protección de datos señala que “la Mancomunidad estará legitimada para tratar, como responsable del tratamiento, los datos de los usuarios del servicio estrictamente necesarios para el ejercicio de las potestades que la Ordenanza le atribuye.” Motivo por el que considera la parte reclamada que, realizando una interpretación analógica, se encuentra legitimada “para el ejercicio de las potestades que la Ordenanza le atribuye y, por tanto, se considera legítimo el tratamiento de información de aperturas de contenedor.” 2.- Registro de actividades del tratamiento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 26/111 Señala la parte reclamada que actualmente está actualizando el registro de actividades del tratamiento para que cumpla fielmente con las exigencias del artículo 30 del RGPD. 3.- Evaluación de impacto de protección de datos. Indica la parte reclamada que ha contratado un nuevo bufete, el cual ha realizado la evaluación de impacto del tratamiento objeto del presente expediente, evaluación que adjunta a sus alegaciones. 4.- Proporcionalidad de la sanción. Considera la parte reclamada que la sanción consistente en el cese de todo tratamiento de datos personales relativos al sistema de apertura de contenedores de residuos mediante tarjeta electrónica o aplicación móvil vinculada al domicilio es desproporcionada, pues no logra una reacción efectiva, disuasoria y proporcionada a la violación. Asimismo, considera que la propuesta de resolución no ha tenido en cuenta las circunstancias que recoge el artículo 83 del RGPD a la hora de graduar la sanción impuesta. Por ello, la parte reclamada ofrece “la adopción -inmediata y total- de numerosas medidas correctoras para lograr la plena adecuación del tratamiento a las exigencias de la normativa”. En concreto se refiere a: “1. Adecuación del Registro de actividades del tratamiento a las exigencias del artículo 30 del Reglamento europeo de protección de datos. 2. Mejora del deber de información haciendo hincapié en el principio de transparencia. 3. Llevar a cabo la Evaluación de Impacto en Protección de Datos de la aplicación móvil para abrir el contenedor y, si se cumplen los requisitos del artículo 36 del Reglamento Europeo de Protección de Datos, realizar previa consulta a la AEPD que determine la posibilidad de su uso. 4. Modificación de la ordenanza para concretar e incluir de manera expresa el objetivo indicado por la AEPD en materia de reciclaje. 5. El uso de la aplicación móvil podría ser suprimido si la AEPD lo estima adecuado una vez llevada a cabo la Evaluación de Impacto en Protección de Datos de la aplicación móvil para abrir el contenedor y, si se cumplen los requisitos del artículo 36 del Reglamento Europeo de Protección de Datos, realizar previa consulta a la AEPD. 6. La Mancomunidad muestra su más absoluta predisposición para adoptar múltiples medidas para adecuar al 100% el tratamiento de datos personales. 7. Aumentar la formación de todos los empleados respecto a sus obligaciones en materia de protección de datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 27/111 8. Revisar las medidas de seguridad aplicadas a los datos personales objeto de tratamiento y, en caso de que se detecte un riesgo elevado para los datos personales, aumentar las medidas existentes. 9. Valorar la posibilidad de adherirse a códigos de conducta y/o mecanismos de certificación en materia de protección de datos. 10. Crear campañas de comunicación dirigidas a los ciudadanos haciendo hincapié en las razones -legales y de interés público- que justifican el tratamiento.” Adjunta la parte reclamada a su escrito de alegaciones a la propuesta de resolución la siguiente documentación: - Informe de evaluación de impacto relativa a la protección de datos del proyecto tarjeta de residuos y otros dispositivos, de fecha 20 de junio de 2023. - Comunicación de la Directora de la AEPD al Defensor del Pueblo de fecha 8 de septiembre de 2020. - Carta, de fecha febrero de 2020, relativa a la experiencia piloto del nuevo sistema de recogida de residuos con tarjeta que se remitía a los vecinos. - Escrito enviado el Defensor del Pueblo Navarro a la Mancomunidad de la Comarca de Pamplona en fecha el 28 de junio de 2023. - Resolución de la Directora de la AEPD de fecha 1 de junio de 2020 por la que se resuelve el PS/00201/2019. - Sistemas existentes de recogida de residuos y el uso de información personal en labores de inspección y control. - Traslado de reclamación y solicitud de información de la AEPD a SCPSA dentro del expediente EXP202205572. - Resolución de la AEPD de fecha 24 de junio de 2022 de no admisión a trámite de la reclamación dentro del expediente EXP202205572. - Información enviada por el Delegado de Protección de Datos de SCPSA a la AEPD dentro del expediente EXP202205572. - Uso de información de aperturas de contendor de domicilios y comercios en las labores de inspección y control de MCP/SCPSA. - Informe, realizado por MCP en mayo de 2023, “Campaña de actuación en establecimientos con cero aperturas”. - Resultados de la Campaña de actuación en establecimientos con cero aperturas realizado en abril de 2023. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 28/111 - Propuesta de actuación, de mayo de 2023, “Plan experimental de comunicación en puntos críticos por áreas.” - Estudio de viabilidad sobre “suministro, instalación, puesta en marcha, explotación y mantenimiento de un sistema de control de acceso a contenedores con identificación de usuarios en la Comarca de Pamplona”, de fecha 12 de mayo de 2020. - Fases de implantación del sistema de apertura de contenedores de residuos equipados con cerraduras electrónicas que se corresponden con Equipos de Control de Acceso (ECA) a tales contenedores, accionados mediante tarjeta vinculada a una determinada dirección postal, tarjeta de transporte activada para la apertura de contenedores o aplicación móvil vinculada a una determinada dirección postal. - Información enviada por el Delegado de Protección de Datos de SCPSA a la AEPD dentro del expediente EXP202203664. - Resolución de la Directora de la AEPD de fecha 19 de mayo de 2022 por la que se acuerda el archivo de las actuaciones del expediente EXP202203664. - Alegaciones presentadas por MCP al acuerdo de inicio del PS/00547/2022. - Compromiso del Presidente de MCP, de fecha 3 de julio de 2023, de modificar la Ordenanza reguladora de la gestión de residuos para incluir de manera expresa “la recogida de datos del uso que se realice de los distintos contenedores por cada dirección postal”. - Compromiso del Presidente de MCP, de fecha 3 de julio de 2023, de que en el caso de que la AEPD no estime adecuado el uso de la aplicación móvil, suprimirla. Asimismo, se compromete a llevar a cabo su correspondiente Evaluación de Impacto en Protección de Datos y, si se cumplen los requisitos del artículo 36 del Reglamento Europeo de Protección de Datos, realizar previa consulta a la AEPD que determine la posibilidad de su uso. - El pliego para la licitación de “Servicios de Consultoría para la elaboración del Plan Director de seguridad de la Información de SCPSA y ejecución de medidas técnicas” de octubre de 2019. DECIMOQUINTO: Con fecha 14 de julio de 2023, la parte reclamada presentó escrito en el que indica que “adjunta, como complemento a las alegaciones presentadas el 3 de julio (…), el documento de análisis de riesgos referido en la página 26 de dichas alegaciones”. En la mencionada página de las alegaciones a la propuesta de resolución, la parte reclamada manifestaba que su delegado de protección de datos estaba preparando un análisis de riesgos relativa a la “gestión de nuevas tarjetas (…) para valorar si existe un elevado riesgo en el derecho fundamental de protección de datos de los interesados el tratar dichos datos cuando se solicita la renovación”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 29/111 El documento que presenta la parte reclamada el 14 de julio de 2023 se denomina “análisis de riesgos”. En la página 4 del mismo se hace alusión, por primera vez, al tratamiento de datos de carácter personal sobre el que se hace tal análisis de riesgos, donde se refiere al “Tratamiento 4: expedientes”. De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS PRIMERO: Los Estatutos de la Mancomunidad de la Comarca de Pamplona fueron publicados en el Boletín Oficial de Navarra nº 69, de 8 de abril de 2011. En su artículo 5.1 se dispone: “Es objeto de la Mancomunidad el ejercicio de las competencias, legalmente establecidas y dentro del ámbito territorial definido en el artículo siguiente, en las siguientes materias cuya titularidad le corresponde: (…)
23. b)Recogida, tratamiento y aprovechamiento de residuos urbanos. (…)” SEGUNDO: La Ordenanza de Gestión de los residuos de la Mancomunidad de la Comarca de Pamplona fue modificada el 25 de octubre de 2021 (Boletín Oficial de Navarra nº 259, de 12 de noviembre). En sus artículos 1, 2 y 3 se dispone: “Artículo 1. ENTIDAD COMPETENTE. La Mancomunidad de la Comarca de Pamplona, (en adelante la Mancomunidad), es una entidad local de carácter asociativo, entre cuyas finalidades se encuentra la prestación de los servicios de recogida y tratamiento de los residuos, en los términos de las entidades locales o ámbitos de actuación en que, en cada momento, la Mancomunidad ostente la titularidad del citado servicio, con la finalidad de proteger el medio ambiente y la salud de las personas. Artículo 2. COMPETENCIAS LOCALES. La Mancomunidad es competente para la recogida, transporte y tratamiento de los residuos domésticos generados y depositados en el ámbito de la misma en la forma que se establezca en la presente ordenanza y en los términos previstos en la legislación de residuos y en la legislación de régimen local. Corresponde a la Mancomunidad la potestad de vigilancia e inspección y la potestad sancionadora en el ámbito de sus competencias. La Mancomunidad podrá: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 30/111 • Aprobar en el marco de sus competencias y coordinación con el plan nacional marco y con los planes autonómicos de gestión de residuos, su propio programa de gestión de residuos y/o su programa de prevención de residuos. En su caso, el plan de gestión de residuos podrá incluir el programa de prevención de residuos. (…) Artículo 3. FORMA DE GESTIÓN DEL SERVICIO. La Mancomunidad gestiona los servicios a los que se hace referencia en el artículo anterior, a través de una sociedad de gestión, Servicios de la Comarca de Pamplona, S.A. (SCPSA), constituida por aquélla a este fin, de conformidad con lo establecido en la normativa vigente en materia de prestación de servicios locales.” TERCERO: La parte reclamada está implantando, desde otoño de 2021, un sistema de apertura de contenedores de residuos equipados con cerraduras electrónicas que se corresponden con Equipos de Control de Acceso (ECA) a tales contenedores, accionados mediante tarjeta vinculada a una determinada dirección postal, tarjeta de transporte activada para la apertura de contenedores o aplicación móvil vinculada a una determinada dirección postal. CUARTO: Con fecha 18 de noviembre de 2021 la parte reclamante interpuso reclamación ante la AEPD denunciando el sistema de apertura de contenedores de residuos a través de una tarjeta electrónica que SCPSA ha implantado por entender que incumple con los deberes de minimización, de exactitud de los datos y de información, así como por no haber realizado la evaluación de impacto con carácter previo al tratamiento de los datos. QUINTO: Consta acreditado que en otoño de 2021 se repartieron tarjetas vinculadas al domicilio postal para la apertura de los contenedores de residuos equipados con cerraduras electrónicas así como una carta informativa explicando el modo de utilización de los contenedores de apertura electrónica, en la que se hace la siguiente referencia a la política de privacidad: “En relación con los datos registrados por estas tarjetas y su tratamiento posterior, nos complace informarle que: Cada una de las tarjetas entregadas incorpora un dispositivo que permite registrar el número de aperturas de diferentes contenedores, dato que será asociado a la dirección postal indicada en el exterior de la tarjeta. Al tratarse de datos, en ocasiones relativos a una persona física identificada o identificable, la información obtenida referente a la apertura de contenedores será tratada conforme a la normativa de protección de datos de carácter personal. Todos los datos que se recaban como consecuencia de la utilización de estas tarjetas serán tratados bajo la responsabilidad de Servicios de la Comarca de Pamplona, S.A. (SCPSA), para analizar la utilización de los contenedores en las fracciones de materia orgánica y resto, y en concreto para conocer su grado de utilización con el fin de lograr los objetivos normativos de aplicación, así como la realización de actividades de informacion, promoción del servicio y sus resultados. Asimismo, le informamos de que podrá ejercer sus derechos de acceso, rectificación, supresión y el resto de los derechos que le asisten, dirigiéndose al Responsable del Tratamiento a través del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 31/111 correo protecciondatos@mcp.es. Puede consultar información adicional sobre privacidad en www.mcp.es/fichadatosresiduos” Asimismo consta acreditado que en las tarjetas repartidas en tal fase de implantación figura el siguiente texto: “Esta tarjeta es propiedad de Servicios de la Comarca de Pamplona SA y su uso está sujeto a las condiciones determinadas por ésta. Responsable: Servicios de la Comarca de Pamplona SA Puede ejercitar sus derechos en protecciondatos@mcp.es Información adicional en www.mcp.es/fichadatosresiduos” SEXTO: Los informes emitidos por el Delegado de Protección de Datos de SCPSA en fecha 4 de febrero de 2022 y en fecha 4 de abril de 2022 indican que con posterioridad al buzoneo de las tarjetas electrónicas para la apertura de contenedores de residuos, las personas han podido: Solicitar una nueva tarjeta (en casos de pérdida, avería, rotura, cambio de domicilio), solicitar la activación de la tarjeta de transporte para la apertura de contenedores de residuos, solicitar credenciales para poder activar la aplicación móvil de apertura de contenedores de residuos. Consta acreditado que en las solicitudes telemáticas de nuevas tarjetas vinculadas al domicilio postal, se han de cumplimentar los datos relativos al DNI, nombre y apellidos, dirección de correo electrónico, número de teléfono (opcional) y dirección postal. Consta acreditado que en las solicitudes presenciales de nuevas tarjetas vinculadas al domicilio postal, se han de cumplimentar los datos relativos al DNI, nombre y apellidos, firma, dirección de correo electrónico, número de teléfono y dirección postal. Consta acreditado que en las solicitudes telemáticas de activación de la tarjeta de transporte a la apertura de contenedores de residuos, se han de cumplimentar los datos relativos al DNI, nombre y apellidos, dirección de correo electrónico, dirección postal, número de teléfono (opcional) e IDE tarjeta transporte (opcional). Consta acreditado que en las solicitudes presenciales de activación de la tarjeta de transporte a la apertura de contenedores de residuos, se han de cumplimentar los datos relativos al DNI, nombre y apellidos, firma, IDE tarjeta transporte, dirección postal, número de teléfono y dirección de correo electrónico. Consta acreditado que en las solicitudes telemáticas relacionadas con la aplicación móvil (nuevo usuario, recordar usuario, recordar contraseña o incidencias), se han de cumplimentar los datos relativos al DNI, nombre y apellidos, email, número de teléfono (opcional) y dirección postal. Consta acreditado que en las solicitudes presenciales relacionadas con la aplicación móvil (nuevo usuario, recordar usuario, recordar contraseña o incidencias), se han de cumplimentar los datos relativos al DNI, nombre y apellidos, firma, dirección postal, número de teléfono y dirección de correo electrónico. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 32/111 SÉPTIMO: Consta acreditado que en las solicitudes de nuevas tarjetas vinculadas al domicilio postal, de activación de la tarjeta de transporte para la apertura de contenedores de residuos, y de credenciales para la aplicación móvil de apertura de contenedores, se indica lo siguiente: “En cumplimiento de lo establecido en el Reglamento General de Protección de Datos, le informamos que los datos que se recaban en el presente formulario serán incorporados a un fichero con la finalidad de gestionar el servicio de apertura de contenedores por medio de tarjeta electrónica. Dichos datos no serán cedidos a terceros salvo las previsiones legales. Asimismo, le informamos que el responsable del fichero será SCPSA a quien podrá dirigirse con el fin de ejercitar sus derechos de acceso, rectificación, supresión y el resto de los derechos que le asisten a través del correo protecciondatos@mcp.es. Puede consultar información adicional sobre privacidad en el siguiente enlace www.mcp.es/fichadatosresiduos” OCTAVO: Consta acreditado que cuando se solicita una nueva tarjeta electrónica para la apertura de los contenedores, el Servicio de Atención Ciudadana de MCP envía una carta al solicitante con la citada tarjeta y un texto en el que se indica, en materia de protección de datos, lo siguiente: “En relación con los datos registrados por estas tarjetas y su tratamiento posterior, nos complace informarle que: «Cada una de las tarjetas entregadas incorpora un dispositivo que permite registrar el número de aperturas de los diferentes contenedores, dato que será asociado a la dirección postal indicada en el exterior de la tarjeta. Al tratarse de datos, en ocasiones relativos a una persona identificada o identificable, la información obtenida referente a la apertura de contenedores será tratada conforme a la normativa de protección de datos de carácter personal. Todos los datos que se recaban como consecuencia de la utilización de estas tarjetas serán tratados bajo la responsabilidad de Servicios de la Comarca de Pamplona, S.A. (SCPSA), para analizar la utilización de los contenedores en las fracciones de materia orgánica y resto, y en concreto para conocer su grado de utilización con el fin de alcanzar los objetivos normativos de aplicación, así como para la realización de actividades de información, promoción del servicio y sus resultados. Asimismo, le informamos de que podrá ejercitar sus derechos de acceso, rectificación, supresión y el resto de derechos que le asisten, dirigiéndose al Responsable del Tratamiento a través del correo protecciondatos@mcp. es. Puede consultar información adicional sobre privacidad en www.mcp.es/fichadatosresiduos».” NOVENO: Consta acreditado que cuando se solicita la activación de una tarjeta de transporte para abrir electrónicamente los contenedores de residuos, el Servicio de Atención Ciudadana de MCP envía una carta de respuesta al solicitante en la que se le indica que se ha “habilitado su tarjeta personalizada del Transporte Urbano Comarcal para poder abrir los contenedores en la zona indicada en su solicitud”, así como el siguiente texto en materia de protección de datos: “Esta comunicación electrónica ha sido enviada por Servicios de la Comarca de Pamplona, S.A. (SCPSA) responsable del tratamiento de los datos facilitados. Esta C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 33/111 dirección de correo ha sido facilitada por usted para la recepción de mensajes. Recibe esta comunicación electrónica en base a la solicitud de activación de tarjeta. Puede ejercitar sus derechos de acceso, rectificación, cancelación, oposición y demás derechos garantizados por la normativa vigente en materia de protección dirigiéndoselo al Responsable del Tratamiento a través del correo protecciondatos@mcp.es. Puede consultar información adicional sobre privacidad en www.mcp.es/fichadatosresiduos.” DÉCIMO: Consta acreditado que cuando se solicita el envío de credenciales para poder utilizar la aplicación móvil de apertura de contenedores de residuos, el Servicio de Atención Ciudadana de MCP remite una carta de respuesta al solicitante en la que se le envía un usuario y contraseña, así como un texto en el que se indica, en materia de protección de datos, lo siguiente: “Esta comunicación electrónica ha sido enviada por Servicios de la Comarca de Pamplona, S.A. (SCPSA) responsable del tratamiento de los datos facilitados. Esta dirección de correo ha sido facilitada por usted para la recepción de mensajes. Recibe esta comunicación electrónica en base a la solicitud relacionada con la aplicación móvil. Puede ejercitar sus derechos de acceso, rectificación, cancelación, oposición y demás derechos garantizados por la normativa vigente en materia de protección dirigiéndoselo al Responsable del Tratamiento a través del correo protecciondatos@mcp.es. Puede consultar información adicional sobre privacidad en www.mcp.es/fichadatosresiduos.” DECIMOPRIMERO: Consta acreditado que la parte reclamada indicó en su escrito con fecha de entrada en el registro de la AEPD de 24 de enero de 2022, que en el enlace relativo a la información adicional sobre privacidad, relativa al “FICHERO DE DISPOSITIVOS ELECTRÓNICOS DE APERTURA”, de fecha 15 de octubre de 2021, figuraba lo siguiente: “- ¿Quién es el responsable del tratamiento de sus datos? Identidad: Servicios de la Comarca de Pamplona, S.A. Dirección postal: Calle General Chinchilla, nº 7, 31002. Pamplona Correo electrónico: protecciondatos@mcp.es Delegado de Protección de Datos: Chaverri & Loitegui, Abogados, Consultores Dirección del Delegado de Protección de Datos: Avda. Baja Navarra, 2 Entreplanta of.3 Correo electrónico: protecciondatos@mcp.es - ¿Con qué finalidad tratamos sus datos? C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 34/111 Los datos de apertura de los contenedores y de los buzones de materia orgánica y resto y, en su caso, envases obtenidos a partir de cada uno de los dispositivos electrónicos de apertura habilitados para ello serán tratados para analizar la utilización de esos contenedores y buzones y en concreto para conocer los índices de separación para así lograr los objetivos normativos de aplicación, así como para la realización de actividades de promoción del servicio y sus resultados - ¿Por cuánto tiempo conservamos sus datos? Los datos personales incorporados se conservarán durante el tiempo necesario para cumplir con la finalidad para la que han sido recabados y para determinar las posibles responsabilidades que se pudieran derivar de la finalidad y de su tratamiento, además de los períodos establecidos en la normativa de archivos y documentación. - ¿Cuál es la legitimación para el tratamiento de sus datos? - El tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento. - El tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento. - Los datos que se facilitan por el interesado en referencia al domicilio asociado a los dispositivos de apertura. - ¿A qué destinatarios se comunicarán sus datos? - No están previstas comunicaciones de datos a terceros a salvo de las previstas legalmente. - No se realizarán transferencias internacionales de datos. - ¿Cuáles son sus derechos cuando nos facilita sus datos? Cualquier persona tiene derecho a obtener información sobre el tratamiento de sus datos. Las personas interesadas tienen derecho a acceder a sus datos personales, así como a solicitar la rectificación de los datos inexactos o, en su caso, solicitar su supresión cuando, entre otros motivos, los datos ya no sean necesarios para los fines para los cuales fueron recogidos. En determinadas circunstancias, los interesados podrán solicitar la limitación del tratamiento de sus datos, en cuyo caso únicamente los conservaremos para el ejercicio de derechos o la defensa de reclamaciones. En determinadas circunstancias y por motivos relacionados con su situación particular, los interesados podrán oponerse al tratamiento de sus datos. Servicios de la Comarca C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 35/111 de Pamplona, S.A., dejará de tratar los datos, salvo por motivos legítimos imperiosos, o el ejercicio o la defensa de posibles reclamaciones. De igual manera, el interesado tiene el derecho a la portabilidad de sus datos. Si considera que los datos no han sido correctamente tratados, podrá ponerlo en nuestro conocimiento a través de la dirección de correo electrónico protecciondatos@mcp.es y posteriormente acudir ante la autoridad de control, o acudir directamente a la autoridad de control. - ¿Cómo hemos obtenido sus datos? - De los datos de uso de los dispositivos electrónicos de apertura por el interesado. - Del registro de Riqueza Territorial aprobado por Ley Foral 12/2006, de 21 de noviembre. - Los tipos de datos que se tratan son: - Identificativos y de contacto: Nombre, apellidos, dirección postal asociada, dirección de correo electrónico y número de teléfono - De transacciones: Datos de uso de los dispositivos electrónicos de apertura vinculados a la dirección postal” DECIMOSEGUNDO: Consta acreditado que la siguiente información adicional sobre protección de datos, de fecha 9 de junio de 2020, relativa al “FICHERO DE DISPOSITIVOS ELECTRÓNICOS DE APERTURA”, se encontraba disponible el 25 de abril de 2022 en la página web www.mcp.es/fichadatosresiduos, según consta en la diligencia de la Inspección de la AEPD de fecha 13 de junio de 2022: “- ¿Quién es el responsable del tratamiento de sus datos? Identidad: Servicios de la Comarca de Pamplona, S.A. Dirección postal: Calle General Chinchilla, nº 7, 31002. Pamplona Correo electrónico: protecciondatos@mcp.es Delegado de Protección de Datos: Chaverri & Loitegui, Abogados, Consultores Dirección del Delegado de Protección de Datos: Avda. Baja Navarra, 2 Entreplanta of.3 Correo electrónico: protecciondatos@mcp.es - ¿Con qué finalidad tratamos sus datos? C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 36/111 Los datos de apertura de los contenedores por cada una de las tarjetas serán tratados para analizar la utilización de los contenedores en las fracciones de materia orgánica y resto y en concreto para conocer los índices de separación para así lograr los objetivos normativos de aplicación, así como para la realización de actividades de promoción del servicio y sus resultados - ¿Por cuánto tiempo conservamos sus datos? Los datos personales incorporados se conservarán durante el tiempo necesario para cumplir con la finalidad para la que han sido recabados y para determinar las posibles responsabilidades que se pudieran derivar de la finalidad y de su tratamiento, además de los períodos establecidos en la normativa de archivos y documentación. - ¿Cuál es la legitimación para el tratamiento de sus datos? - El tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento. - El tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento. - ¿A qué destinatarios se comunicarán sus datos? - No están previstas comunicaciones de datos a terceros a salvo de las previstas legalmente. - No se realizarán transferencias internacionales de datos. - ¿Cuáles son sus derechos cuando nos facilita sus datos? Cualquier persona tiene derecho a obtener información sobre el tratamiento de sus datos. Las personas interesadas tienen derecho a acceder a sus datos personales, así como a solicitar la rectificación de los datos inexactos o, en su caso, solicitar su supresión cuando, entre otros motivos, los datos ya no sean necesarios para los fines para los cuales fueron recogidos. En determinadas circunstancias, los interesados podrán solicitar la limitación del tratamiento de sus datos, en cuyo caso únicamente los conservaremos para el ejercicio de derechos o la defensa de reclamaciones. En determinadas circunstancias y por motivos relacionados con su situación particular, los interesados podrán oponerse al tratamiento de sus datos. Servicios de la Comarca de Pamplona, S.A., dejará de tratar los datos, salvo por motivos legítimos imperiosos, o el ejercicio o la defensa de posibles reclamaciones. De igual manera, el interesado tiene el derecho a la portabilidad de sus datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 37/111 Si considera que los datos no han sido correctamente tratados, podrá ponerlo en nuestro conocimiento a través de la dirección de correo electrónico protecciondatos@mcp.es y posteriormente acudir ante la autoridad de control, o acudir directamente a la autoridad de control. - ¿Cómo hemos obtenido sus datos? - De los datos de uso de los dispositivos electrónicos de apertura por el interesado. - Del registro de Riqueza Territorial aprobado por Ley Foral 12/2006, de 21 de noviembre. - Los tipos de datos que se tratan son: - Identificativos y de contacto: Nombre y apellidos, Dirección postal asociada. . - De transacciones: Datos de uso de los dispositivos electrónicos de apertura vinculados a la dirección postal” DECIMOTERCERO: Con fecha de entrada en el registro de la AEPD de 4 de abril de 2022, SCPSA remitió informe de su delegado de protección de datos de esa misma fecha, en el que expone, entre otras cuestiones, lo siguiente: “En relación con el Registro de Actividades de Tratamiento y entendiendo que se refiere exclusivamente a los tratamientos relativos a la gestión de residuos, se aportan los dos tratamientos que se encuentran implicados en la gestión. El primer de ellos es el tratamiento de “EXPEDIENTES” que hace referencia a la solicitud de nuevas tarjetas por parte de los interesados y que se gestiona como un expediente más de los existentes en la entidad. El segundo de ellos es el denominado “TARJETAS DE RESIDUOS Y OTROS DISPOSITIVOS DE APERTURA”. Se adjunta detalle de la información contenida en el registro de actividades de tratamiento relativa a estos dos tratamientos señalando que no se ha producido ninguna modificación desde su creación. A este respecto, el tratamiento de EXPEDIENTES fue creado con fecha 6 de septiembre de 2018 mientras que el tratamiento de TARJETAS DE RESIDUOS Y OTROS DISPOSITIVOS DE APERTURA fue creado con fecha 7 de octubre de 2021. Se adjunta la información contenida en el Registro General de Actividades de Tratamiento relativa a estos dos tratamientos como anexo 15.” Consta acreditado que en el citado anexo 15, figura la siguiente información respecto del fichero denominado “Expedientes”: “- Actividad del tratamiento: Gestión de expedientes. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 38/111 - Finalidad: Agrupar toda la documentación relacionada con el mismo asunto, en relación con las actividades propias o encomendadas a la entidad. - Categorías de interesados: Usuarios de los servicios de SCPSA - Categorías de datos: Identificativos. De información comercial. De transacciones. - Cesiones: Únicamente las legalmente previstas. - Transferencias internacionales: No previstas. - Período de conservación: Los datos se conservarán durante el tiempo máximo de prescripción de las acciones legales desde la finalización de la prestación del servicio o desde la solicitud de cancelación de los datos por los interesados, en su caso. - Medidas de seguridad: Control de acceso. Copias de seguridad. Proteccion antimalware. Actualizaciones. Seguridad de la red. Seguridad en movilidad. Acceso remoto. Registro de actividad. Control de dispositivos y software instalado” Asimismo, consta acreditado que en el mencionado anexo 15, figura la siguiente información respecto del fichero denominado “Tarjetas de residuos y otros dispositivos de apertura”: “- Actividad del tratamiento: Gestión de expedición de tarjetas. - Finalidad: Gestionar el servicio de apertura de contenedores por medio de tarjeta electrónica - Categorías de interesados: Usuarios de los servicios de SCPSA - Categorías de datos: Identificativos. De transacciones. - Cesiones: Únicamente las legalmente previstas. - Transferencias internacionales: No previstas. - Período de conservación: Los datos se conservarán durante el tiempo máximo de prescripción de las acciones legales desde la finalización de la prestación del servicio o desde la solicitud de cancelación de los datos por los interesados, en su caso. - Medidas de seguridad: Control de acceso. Copias de seguridad. Proteccion antimalware. Actualizaciones. Seguridad de la red. Seguridad en movilidad. Acceso remoto. Registro de actividad. Control de dispositivos y software instalado”. DECIMOCUARTO: El 26 de enero de 2023 MCP remitió a la AEPD el Registro de Actividades del Tratamiento de SCPSA aprobado en el Comité de Seguridad de SCPSA el 23 de noviembre de 2018. Respecto a este registro de actividades del tratamiento, consta acreditado lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 39/111 - Que el responsable de todos los tratamientos contenidos en él es SCPSA, indicando como dato de contacto el correo electrónico sac@mcp.es - Que el delegado de protección de datos es Chaverri & Loitegui, Abogados Consultores, indicando como dato de contacto el correo electrónico chaverriloitegui@chyl.es - Que hay un tratamiento denominado “Expedientes”, respecto al que figura la siguiente información: “- Actividad del tratamiento: Gestión de expedientes. - Finalidad: Agrupar toda la documentación relacionada con el mismo asunto, en relación con las actividades propias o encomendadas a la entidad. - Categorías de interesados: Usuarios de los servicios de SCPSA - Categorías de datos: Identificativos. De información comercial. transacciones. De - Cesiones: Únicamente las legalmente previstas. - Transferencias internacionales: No previstas. - Período de conservación: Los datos se conservarán durante el tiempo máximo de prescripción de las acciones legales desde la finalización de la prestación del servicio o desde la solicitud de cancelación de los datos por los interesados, en su caso. - Medidas de seguridad: Control de acceso. Copias de seguridad. Proteccion antimalware. Actualizaciones. Seguridad de la red. Seguridad en movilidad. Acceso remoto. Registro de actividad. Control de dispositivos y software instalado” DECIMOQUINTO: El 26 de enero de 2023 MCP remitió la versión del Registro de Actividades del Tratamiento de SCPSA, tras la ampliación sufrida a consecuencia del expediente sancionador incoado por la AEPD a MCP con fecha 14 de noviembre de 2019. Respecto a este registro de actividades del tratamiento, consta acreditado lo siguiente: - Que el responsable de todos los tratamientos contenidos en él es SCPSA, con indicación de su domicilio social, CIF y teléfono. - Que el delegado de protección de datos es Chaverri & Loitegui, Abogados, Consultores, con indicación de su dirección postal y como correo electrónico de contacto protecciondatos@mcp.es - Que no hay ningún tratamiento denominado “Expedientes”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 40/111 - Que hay un tratamiento denominado “Gestión de clientes. Recogida de residuos”, respecto al que figura la siguiente información: - Fines del tratamiento: “Tratamiento de los datos personales para la gestión contractual, facturación y cobro de los servicios de recogida de residuos, tramitación de las solicitudes de recogida. Expedición de tarjetas de residuos para la apertura de contenedores, bien sean de nueva creación o de sustitución por incidencias con la tarjeta anterior. Asimismo, se prevé para la finalidad dirigida a gestionar las solicitudes de apertura especial para que el usuario disponga de un mayor rango horario para la apertura de contenedores” - Categorías de interesados: “Ciudadanos/Usuarios. Representantes” - Categoría de datos personales: “Datos identificativos: nombre y apellidos, DNI, certificado digital, firma. Datos de contacto: domicilio, población, provincia, código postal, teléfono, email, fax. Datos de transacciones Datos económicos y financieros: nº cuenta bancaria. Otros: titularidad sobre los bienes, titularidad de licencias de obra, sexo a efectos de comunicaciones y nacionalidad.” - Categoría de destinatarios: “No están previstas cesiones de datos diferentes de las legalmente previstas” - Plazos de conservación: “Los datos se conservarán durante el tiempo máximo de prescripción de las acciones legales desde la finalización de la prestación del servicio o desde la solicitud de cancelación de los datos por los interesados, en su caso.” - Transferencias de datos a un tercer país u organización internacional: “No se transfieren datos fuera del Espacio Económico Europeo” - Medidas técnicas y organizativas: “Servicios de la Comarca de Pamplona, S.A., se ha adaptado a las medidas técnicas y organizativas establecidas en el RD/3/2010 (Esquema Nacional de Seguridad - ENS). En particular, se aplican las siguientes medidas: Control de acceso; Copias de seguridad; Proteccion antimalware; Actualizaciones; Seguridad de la red; Seguridad en movilidad; Acceso remoto; Registro de actividad; Control de dispositivos y software instalado” - Que hay un tratamiento denominado “Gestión de clientes. Tratamiento de residuos”, respecto al que figura la siguiente información: - Fines del tratamiento: “Tratamiento de los datos personales para la gestión contractual, facturación y cobro de los servicios de tratamiento y gestión de residuos. Tratamiento de datos identificativos y de contacto a efectos de proceder a la tramitación de nuevas tarjetas de residuos, bien sean de nueva creación o de sustitución por incidencias con la tarjeta anterior. Asimismo, se prevé para la finalidad C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 41/111 dirigida a gestionar las solicitudes de apertura especial para que el usuario disponga de un mayor rango horario para la apertura de contenedores” - Categorías de interesados: “Ciudadanos/Usuarios. Representantes” - Categoría de datos personales: “Datos identificativos: nombre y apellidos, DNI, certificado digital, firma. Datos de contacto: domicilio, población, provincia, código postal, teléfono, email, fax. Datos económicos y financieros: nº cuenta bancaria. Otros: identificación medioambiental, titularidad sobre los bienes, titularidad de licencias de obra, sexo a efectos de comunicaciones y nacionalidad” - Categoría de destinatarios: “No están previstas cesiones de datos diferentes de las legalmente previstas” - Plazos de conservación: “Los datos se conservarán durante el tiempo máximo de prescripción de las acciones legales desde la finalización de la prestación del servicio o desde la solicitud de cancelación de los datos por los interesados, en su caso.” - Transferencias de datos a un tercer país u organización internacional: “No se transfieren datos fuera del Espacio Económico Europeo” - Medidas técnicas y organizativas: “Servicios de la Comarca de Pamplona, S.A., se ha adaptado a las medidas técnicas y organizativas establecidas en el RD/3/2010 (Esquema Nacional de Seguridad - ENS). En particular, se aplican las siguientes medidas: Control de acceso; Copias de seguridad; Proteccion antimalware; Actualizaciones; Seguridad de la red; Seguridad en movilidad; Acceso remoto; Registro de actividad; Control de dispositivos y software instalado” DECIMOSEXTO: El 26 de enero de 2023 MCP remitió el Registro de Actividades del Tratamiento de SCPSA aprobado en el Comité de Seguridad de SCPSA de fecha 23 de febrero de 2022. Respecto a este registro de actividades del tratamiento, consta acreditado lo siguiente: - Que el responsable de todos los tratamientos contenidos en el mencionado registro es SCPSA, dando como dato de contacto la dirección de correo electrónico protecciondatos@mcp.es - Que el delegado de protección de datos es Chaverri & Loitegui, Abogados, Consultores, dando como dato de contacto la dirección de correo electrónico chaverriloitegui@chyl.es - Que hay un tratamiento denominado “Expedientes”, respecto al que figura la siguiente información: - Actividades del tratamiento: “Gestión de expedientes” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 42/111 - Fines del tratamiento: “Tratamiento de datos personales asociados a los expedientes, recursos contenciosos, procedimientos sancionadores y a la atención ciudadana . Se incluye lo relativo al portal de transparencia” Categorías Representantes” de interesados: “Ciudadanos/Usuarios Proveedores - Categoría de datos personales: “Datos identificativos: Nombre y apellidos, DNI, certificado digital, firma. Datos de contacto: domicilio, población, provincia, código postal, teléfono, email, fax. Información comercial Datos de transacciones Otros: en función de la naturaleza del asunto, se pueden tratar datos económicos.” - Categoría de destinatarios: “Los datos serán comunicados a abogados y procurados para la defensa y representación en los asuntos encomendados, así como, por obligación legal, a los Juzgados y Tribunales, órganos competentes y, en su caso, Fuerzas y Cuerpos de Seguridad.” - Plazos de conservación: “Los datos se conservarán durante el tiempo máximo de prescripción de las acciones legales desde la finalización de la prestación del servicio o desde la solicitud de cancelación de los datos por los interesados, en su caso.” - Transferencias de datos a un tercer país u organización internacional: “Se utiliza WeTransfer para el intercambio de archivos con el procurador designado. La utilización de WeTransfer recaba información personal y la transfiere a Estados Unidos. Garantías: apartado what parties do we share personal information with https://wetransfer.com/legal/ privacy” - Medidas técnicas y organizativas: “Control de acceso. Copias de seguridad. Proteccion antimalware. Actualizaciones. Seguridad de la red. Seguridad en movilidad. Acceso remoto. Registro de actividad. Control de dispositivos y software instalado” - Que hay un tratamiento denominado “Tarjetas residuos y otros dispositivos”, respecto al que figura la siguiente información: - Actividades del tratamiento: “Gestión de tarjetas de apertura de contenedores y buzones.” - Fines del tratamiento: “Los datos de apertura de los contenedores y buzones por cada una de las tarjetas o dispositivos equivalentes serán tratados para analizar la utilización de los contenedores y buzones y en concreto para conocer los índices de separación para así lograr los objetivos normativos de aplicación, así como para la realización de actividades de promoción del servicio y sus resultados” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 43/111 - Categorías de interesados: “Ciudadanos” - Categoría de datos personales: “Identificativos. De transacciones” - Categoría de destinatarios: “No están previstas cesiones de datos diferentes de las legalmente previstas” - Plazos de conservación: “Los datos personales incorporados se conservarán durante el tiempo necesario para cumplir con la finalidad para la que han sido recabados y para determinar las posibles responsabilidades que se pudieran derivar de la finalidad y de su tratamiento, además de los períodos establecidos en la normativa de archivos y documentación” - Transferencias de datos a un tercer país u organización internacional: “No se transfieren datos fuera del Espacio Económico Europeo” - Medidas técnicas y organizativas: “Control de acceso. Copias de seguridad. Proteccion antimalware. Actualizaciones. Seguridad de la red. Seguridad en movilidad. Acceso remoto. Registro de actividad. Control de dispositivos y software instalado” DECIMOSÉPTIMO: Consta acreditado que la empresa Auren realizó en el año 2021 un informe de análisis de necesidad de Evaluación de Impacto de Datos Personales sobre los tratamientos de datos personales que se efectúan por MCP como responsable, por SCPSA como responsable, y por MCP como responsable, siendo el encargado SCPSA. En tal informe consta que los tratamientos en los que MCP es el responsable del tratamiento y SCPSA la encargada son: - Gestión de clientes de recogida de residuos - Gestión de clientes relacionados con el tratamiento de residuos - Gestión de clientes relativos Ciclo Integral del Agua - Gestión del servicio de transporte urbano - Gestión del servicio de taxi - Tarifas sociales Consta acreditado que el análisis de necesidad de evaluación de impacto de datos personales realizado por Auren indica lo siguiente respecto del tratamiento “Gestión de clientes de recogida de residuos”, cuyo responsable es MCP: “Finalidad del tratamiento: Tratamiento de los datos personales para la gestión contractual, facturación y cobro de los servicios de recogida de residuos, tramitación de las solicitudes de recogida. Tratamiento de datos identificativos y de contacto a efectos de proceder a la tramitación de nuevas tarjetas de residuos, bien sean de nueva creación o de sustitución por incidencias con la tarjeta anterior. Asimismo, se prevé para la finalidad dirigida a gestionar las solicitudes de apertura especial para que el usuario disponga de un mayor rango horario para la apertura de contenedores. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 44/111 Respecto a la tipología de datos personales se gestionan datos identificativos, de contacto, económicos, financieros y otros tales como la titularidad sobre los bienes, titularidad de licencias de obra, nacionalidad y sexo a efectos de comunicaciones. En lo referente al volumen de datos, se tratan datos de más de 250 interesados al día. Si bien “a gran escala” es un concepto jurídico indeterminado, se han considerado los criterios establecidos en la guía WP243 “Directrices sobre los delegados de protección de datos (DPD)” del Grupo de Trabajo del Artículo 29, así como el considerando 91 del RGPD. En base a los citados criterios, el alcance geográfico del tratamiento es amplio, pues la Mancomunidad de la Comarca de Pamplona está integrada por 50 municipios y persigue alcanzar la prestación de los servicios púbicos a la totalidad de los ciudadanos de dichos municipios. Por lo tanto, se puede concluir que implica el uso de datos a gran escala, sin embargo, no se presentan al menos dos criterios de los presentes en la lista del Grupo de Trabajo del Artículo 29 establecidos en el WP 248 ni en las “Listas de tipos de tratamientos de datos que requieren evaluación de impacto relativa a protección de datos (art.35.4)” de la AEPD. Y, por último, en base a las citadas cuestiones relativas a la finalidad, tipología y volumen de datos personales, se puede determinar que el presente tratamiento no se encuentra englobado en ninguno de los supuestos establecidos en el artículo 35.3 RGPD. Por lo tanto, teniendo en cuenta los supuestos de especial riesgo de la LOPDGDD 3/2018 y, en base a los citados criterios de la AEPD y del Grupo de Trabajo del Artículo 29, podemos concluir que el tratamiento no entraña un alto riesgo para los derechos y libertades de las personas físicas, por lo que no se requiere una evaluación de impacto en materia de protección de datos sobre el tratamiento “Gestión de clientes recogida de residuos”.” Consta acreditado que el análisis de necesidad de evaluación de impacto de datos personales realizado por Auren indica lo siguiente respecto del tratamiento “Gestión de clientes relacionados con el tratamiento de residuos”, cuyo responsable es MCP: “Finalidad del tratamiento: Tratamiento de los datos personales para la gestión contractual, facturación y cobro de los servicios de tratamiento y gestión de residuos. Tratamiento de datos identificativos y de contacto a efectos de proceder a la tramitación de nuevas tarjetas de residuos, bien sean de nueva creación o de sustitución por incidencias con la tarjeta anterior. Asimismo, se prevé para la finalidad dirigida a gestionar las solicitudes de apertura especial para que el usuario disponga de un mayor rango horario para la apertura de contenedores. Respecto a la tipología de datos personales se gestionan datos identificativos, de contacto, económicos, financieros y otros tales como la identificación medioambiental, titularidad de licencias de obra, sexo a efectos de comunicaciones y nacionalidad. En lo referente al volumen de datos, se tratan datos de más de 250 interesados al día. Asimismo, consta un volumen aproximado de 30.000 contratos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 45/111 Se han analizado los supuestos de especial riesgo de la LOPDGDD 3/2018 y, teniendo en cuenta las consideraciones de la Agencia Española de Protección de Datos (AEPD) y del Grupo de Trabajo del Artículo 29 sobre los casos en los que se requiere de una EIPD, se concluye lo siguiente: Si bien “a gran escala” es un concepto jurídico indeterminado, se han considerado los criterios establecidos en la guía WP243 “Directrices sobre los delegados de protección de datos (DPD)” del Grupo de Trabajo del Artículo 29, así como el considerando 91 del RGPD. En base a los citados criterios, el alcance geográfico del tratamiento es amplio, pues la Mancomunidad de la Comarca de Pamplona está integrada por 50 municipios y persigue alcanzar la prestación de los servicios púbicos a la totalidad de los ciudadanos de dichos municipios. Por lo tanto, se puede concluir que implica el uso de datos a gran escala, sin embargo, no se presentan al menos dos criterios de los presentes en la lista del Grupo de Trabajo del Artículo 29 establecidos en el WP 248 ni en las “Listas de tipos de tratamientos de datos que requieren evaluación de impacto relativa a protección de datos (art.35.4)” de la AEPD. Y, por último, en base a las citadas cuestiones relativas a la finalidad, tipología y volumen de datos personales, se puede determinar que el presente tratamiento no se encuentra englobado en ninguno de los supuestos establecidos en el artículo 35.3 RGPD. Por lo tanto, podemos concluir que el tratamiento no entraña un alto riesgo para los derechos y libertades de las personas físicas, por lo que no se requiere una evaluación de impacto en materia de protección de datos sobre el tratamiento “Gestión de clientes tratamiento de residuos”.” DECIMOCTAVO: Consta acreditado que MCP realizó, con fecha 20 de junio de 2023, informe de evaluación de impacto relativa a la protección de datos del proyecto “Tarjeta de residuos y otros dispositivos”. En tal EIPD: - Se indica, dentro de las fases del tratamiento que “La finalidad es analizar la utilización de los contenedores y buzones y en concreto para conocer los índices de separación para así lograr los objetivos normativos de aplicación, así como para la realización de actividades de promoción del servicio y sus resultados.” - Se señala, respecto a la legitimación del tratamiento, lo siguiente: Control: “Analizar la utilización de los contenedores y buzones y en concreto para conocer los índices de separación para así lograr los objetivos normativos de aplicación, así como para la realización de actividades de promoción del servicio y sus resultados.” Base legal: “Cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos.” Justificación: “Misión pública o ejercicio de poderes públicos atribuidos por la Ley 7/1985, de 2 de abril, reguladora de las Bases del Régimen Local, Ley 7/2022, de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 46/111 8 de abril, de residuos y suelos contaminados para una economía circular, Ley Foral 14/2018, de 18 de junio, de Residuos y su Fiscalidad y Directiva (UE) 2018/851 del Parlamento Europeo y del Consejo, de 30 de mayo de 2018, por la que se modifica la Directiva 2008/98/CE sobre los residuos.” - Manifiesta, respecto a la justificación de la necesidad y proporcionalidad del tratamiento, lo siguiente: “Los datos únicamente van a ser utilizados para la finalidad declarada que consta en el registro de actividades del tratamiento.” “Se recaban los datos mínimos necesarios para la finalidad a la que se destinan.” “Se considera que la tecnología empleada es la más adecuada para cumplir con la finalidad declarada, cumpliendo asimismo con lo