PS-00596-2021

1/13  Expediente N.º: PS/00596/2021 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: En fecha 7 de enero de 2021, D. A.A.A. (en adelante, la parte reclamante), interpuso reclamación ante la Agencia Española de Protección de Datos contra el AYUNTAMIENTO DE OURENSE, con NIF P3205500F (en adelante, la parte reclamada). Los motivos en que basa la reclamación son los siguientes: En fecha día 5 de enero, sobre las 22h, en Ourense, en la calle ***DIRECCIÓN.1, el Agente nº***AGENTE.1 de la Policía Local, le solicitó el DNI para su identificación. En el momento de tenerlo en su mano, lo fotografió sin su consentimiento y sin aclararle el uso que iba a hacer de dichos datos. Debido a esta situación de indefensión y al dispositivo utilizado por el Agente, considera que no tiene garantizada la seguridad de sus datos personales y fotografía del DNI, por lo que solicita que dicha imagen sea eliminada, al no tener dicho Agente motivos para su uso y almacenamiento. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), mediante notificación electrónica, fue recibido en fecha 1 de marzo de 2021, como consta en el certificado que obra en el expediente. No se ha recibido respuesta a este escrito de traslado. TERCERO: En fecha 12 de mayo de 2021, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de los poderes de investigación otorgados a las autoridades de control en el artículo 57.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/13 En fecha 26 de mayo de 2021, se requirió por la Inspección de Datos, al Ayuntamiento de Ourense, para que, en el plazo de diez días, aportara determinada información y documentación con objeto de aclarar los hechos denunciados. En fecha 7 de julio de 2021, tuvo entrada un escrito de respuesta a dicho requerimiento en el que, en síntesis, se pone de manifiesto lo siguiente: Respecto a la licitud del tratamiento de datos personales por parte de la Policía Local a la hora de requerir los datos de un ciudadano y que lo hagan mediante la realización de una fotografía a su Documento Nacional de Identidad: Exponen que el Reglamento General de Protección de Datos (RGPD) diseña un sistema de legitimación basado en seis bases jurídicas que no mantienen entre sí ninguna relación de prioridad o prelación. En particular, y para el ámbito de la Administración Local, son relevantes las siguientes: • El tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento. • El tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento. En el presente caso alegan lo siguiente: Las Fuerzas y Cuerpos de Seguridad del Estado se encuentran totalmente autorizados para solicitar o tomar los datos de las personas con motivos de investigación, preventivos o para aquellos casos que se produzcan en el contexto de que el individuo pueda estar incurriendo en algún tipo de ilegalidad o infracción de la ley, todo ello de conformidad con lo dispuesto en la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales, la Directiva Europea 2016/680, de 27 de abril de 2016, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales por parte de las autoridades competentes para fines de prevención, investigación, detección o enjuiciamiento de infracciones penales o de ejecución de sanciones penales, y a la libre circulación de dichos datos y el Reglamento General de Protección de Datos, de misma fecha. La Ley Orgánica 4/2015, de 30 de marzo, de Protección de la Seguridad Ciudadana, establece en los artículos 16.1 y 9.2 que los ciudadanos deben obligatoriamente presentar sus datos personales o DNI cuando los agentes de las Fuerzas y Cuerpos de Seguridad les requieran la identificación en las siguientes situaciones:

1. a)Cuando existan indicios de que han podido participar en la comisión de una infracción.
2. b)Cuando, en atención a las circunstancias concurrentes, se considere razonablemente necesario que acrediten su identidad para prevenir la comisión de un delito. En el momento en el que un agente de la autoridad realice fotografías de un documento de identidad, es necesario situar en contexto legal dicho C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/13 procedimiento, teniendo en cuenta que se debe cumplir la normativa impuesta para aquellos que se ocupan del tratamiento de los datos personales de un individuo. Así, en la Ley Orgánica 3/2018 que se ocupa de las Garantías de Derechos Digitales y de la Protección de Datos Personales se establece que el agente que lleve a cabo el tratamiento de la información personal de ciudadanos debe garantizar que dicho procedimiento cumpla con las medidas de confidencialidad y seguridad establecidas para la protección de datos e información personal. Por tanto, de acuerdo con lo anterior, los Agentes de las FyCSE entienden que podrán tratar datos personales cuando lo soliciten a efectos de identificación. Con todo, cuando un agente toma una fotografía del DNI, debemos poner el foco dentro del ámbito del cumplimiento de las medidas de seguridad que la normativa de protección de datos exige al responsable del tratamiento. La LO 3/2018 de Protección de Datos personales y Garantía de derechos digitales, exige a los responsables del tratamiento la adopción de las correspondientes medidas de seguridad de índole técnica y organizativa necesarias que garanticen que el tratamiento es conforme a la normativa vigente. Es decir, la toma de los datos de filiación de un ciudadano para su posterior tratamiento debe realizarse con métodos que garanticen la seguridad y confidencialidad de los datos personales. En el caso de que los agentes utilicen dispositivos particulares para la toma de imágenes de los datos personales que contiene el DNI en el ejercicio de sus funciones no garantiza totalmente la seguridad de los datos, ya que el uso privado de que cada agente pueda hacer de su dispositivo no resultaría compatible con las medidas de seguridad que para el ejercicio de las funciones de indagación, investigación y prevención de delitos e infracciones deban adoptarse. Además, conviene señalar que dicho dispositivo queda fuera del control del responsable del tratamiento. Cuestión distinta será si el dispositivo a través del cual se toma la imagen pertenece a la organización, en lugar de ser personal, es corporativo, siendo susceptible de que se le puedan aplicar las políticas y medidas de control y seguridad que garanticen que dicho tratamiento se realiza conforme a la normativa de protección de datos. En relación con la reclamación presentada por el reclamante en la que manifiesta que un Agente de la Policía Local le solicitó la identificación y le fotografió con un móvil sin su consentimiento el DNI, por lo que solicita la supresión de las imágenes tomadas, manifiestan: Manifiestan que el ayuntamiento ha revisado procedimientos llevados a cabo por la Jefatura de Policía a los efectos de conocer el alcance y procedimientos de uso de dispositivos móviles. - (…). Desde la Jefatura de Policía se ha elaborado un manual de uso para la incorporación de imágenes a los expedientes. En la formación se insistió en que todas las fotografías se tienen que tomar con el terminal de dotación, quedando pendiente y en elaboración instrucción oficial de uso adecuado. Alegan que se considera ajustado a derecho y a la normativa en vigor en materia de tratamiento y protección de datos personales el uso de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/13 dispositivos corporativos por parte de la Policía Local de Orense con y para la finalidad descrita. Respecto a la solicitud de eliminación de la imagen del DNI tomada por el agente: En cuanto al tratamiento de las fotografías tomadas, manifiestan que estas serán eliminadas una vez concluya la finalidad para la cual fueron tomadas, es decir, apertura de expediente, el cual a fecha de hoy se encuentra todavía en trámite. Manifiestan que toda vez que el expediente sigue en curso, se le notifica a D. A.A.A. la circunstancia en la que se encuentra su tratamiento de datos personales. Respecto a la información facilitada al reclamante relativa al tratamientos de los datos de carácter personal recabados: No consta que se haya facilitado información al reclamante en los términos previstos en el art. 13 del RGPD. Con fecha 9 de septiembre de 2021, se solicitó por la Inspección de Datos al Ayuntamiento de Orense información y documentación con objeto de aclarar el contexto legal y el ámbito (penal o administrativo) en los que se enmarca la actuación del Agente de Policía. Con fecha 18 de octubre de 2021, tuvo entrada escrito de respuesta al requerimiento en el que ponen de manifiesto que, en el caso que nos ocupa, se trata de un acta de denuncia por saltarse el toque de queda establecido por la situación de pandemia y adjuntan una captura de pantalla, en la que consta el inicio del expediente sancionador en la Subdelegación, la cual les informó que lo derivaran a la Xunta ya que era la competente para sancionar estos temas. Con fecha 26 de octubre de 2021, se solicitó por la Inspección de Datos al Ayuntamiento de Orense, en relación con la fotografía tomada por la Policía Local del documento de identidad de A.A.A., aclaración sobre si dicha fotografía fue tomada con un terminal móvil corporativo, o se hizo uso de otro dispositivo ajeno al Ayuntamiento. Con fecha 25 de noviembre de 2021, tuvo entrada escrito de respuesta al requerimiento en el que ponen de manifiesto lo siguiente: - La fotografía fue tomada por un dispositivo distinto a los corporativos. Desde el 16 de marzo de 2021, la Policía Local del Ourense utiliza en sus actuaciones, dispositivos corporativos. Desde la Jefatura de Policía se ha elaborado un manual de uso para la incorporación de imágenes a los expedientes. En cuanto a la fotografía obtenida, ésta fue eliminada del dispositivo una vez que concluyó la finalidad para la que fue tomada. QUINTO: En fecha 5 de abril de 2022, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, por las presuntas infracciones de los artículos 5.1.
3. c)y 32 del RGPD, tipificadas en los artículos 83.5 y 83.4 del RGPD, respectivamente. El acuerdo de inicio fue enviado, conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/13 Administraciones Públicas (en adelante, LPACAP), mediante notificación electrónica, siendo recibido en fecha 5 de abril de 2022, como consta en el certificado que obra en el expediente. SEXTO: Transcurrido el plazo otorgado para la formulación de alegaciones al acuerdo de inicio del procedimiento, se ha constatado que no se ha recibido alegación alguna por la parte reclamada. El artículo 64.2.
4. f)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante LPACAP) -disposición de la que se informó a la parte reclamada en el acuerdo de apertura del procedimientoestablece que si no se efectúan alegaciones en el plazo previsto sobre el contenido del acuerdo de iniciación, cuando éste contenga un pronunciamiento preciso acerca de la responsabilidad imputada, podrá ser considerado propuesta de resolución. En el presente caso, el acuerdo de inicio del expediente sancionador determinaba los hechos en los que se concretaba la imputación, la infracción del RGPD atribuida a la reclamada y la sanción que podría imponerse. Por ello, tomando en consideración que la parte reclamada no ha formulado alegaciones al acuerdo de inicio del expediente y en atención a lo establecido en el artículo 64.2.
5. f)de la LPACAP, el citado acuerdo de inicio es considerado en el presente caso propuesta de resolución. A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes, HECHOS PROBADOS PRIMERO: Consta que en fecha 7 de enero de 2021, la parte reclamante interpuso reclamación ante la Agencia Española de Protección de Datos, toda vez que un Agente de la Policía Local fotografió su DNI para su identificación, sin su consentimiento. SEGUNDO: La fotografía fue tomada por un dispositivo distinto a los corporativos de la Policía Local. TERCERO: La fotografía fue realizada en el contexto de la identificación del reclamante en la constatación de una posible infracción como saltarse el toque de queda establecido por la situación de pandemia. CUARTO: En relación con el tratamiento de la fotografía del DNI, el reclamado afirma que será eliminada “una vez concluya la finalidad para la cual fueron tomadas, es decir, apertura de expediente”, el cual, a fecha de formulación de esa alegación, se encontraba todavía en trámite. FUNDAMENTOS DE DERECHO PRIMERO: De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/13 los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos.” SEGUNDO: Según se establece en el apartado III del “Preámbulo” de la Ley Orgánica 4/2015, de 30 de marzo, de protección de la seguridad ciudadana (LOPSC), “(…) se habilita a las autoridades competentes para acordar distintas actuaciones dirigidas al mantenimiento y, en su caso, al restablecimiento de la tranquilidad ciudadana en supuestos de inseguridad pública, regulando con precisión los presupuestos, los fines y los requisitos para realizar estas diligencias, de acuerdo con los principios, entre otros, de proporcionalidad, injerencia mínima y no discriminación (…)”. Y así se establecen en los artículos 9.2 y 16.1 de la LOPSC, respecto de la obligación de exhibir y permitir la comprobación del DNI por parte de los agentes de las Fuerzas y Cuerpos de Seguridad del Estado. En el artículo 9, sobre las obligaciones y derechos del titular del Documento Nacional de Identidad, indica que: “2. Todas las personas obligadas a obtener el Documento Nacional de Identidad lo están también a exhibirlo y permitir la comprobación de las medidas de seguridad a las que se refiere el apartado 2 del artículo 8 cuando fueren requeridas para ello por la autoridad o sus agentes, para el cumplimiento de los fines previstos en el apartado 1 del artículo 16. De su sustracción o extravío deberá darse cuenta tan pronto como sea posible a la comisaría de Policía o puesto de las Fuerzas y Cuerpos de Seguridad más próximo”. En su artículo 16, sobre la Identificación de las personas, se establece que: 1. En el cumplimiento de sus funciones de indagación y prevención delictiva, así como para la sanción de infracciones penales y administrativas, los agentes de las Fuerzas y Cuerpos de Seguridad podrán requerir la identificación de las personas en los siguientes supuestos:
6. a)Cuando existan indicios de que han podido participar en la comisión de una infracción.
7. b)Cuando, en atención a las circunstancias concurrentes, se considere razonablemente necesario que acrediten su identidad para prevenir la comisión de un delito. En estos supuestos, los agentes podrán realizar las comprobaciones necesarias en la vía pública o en el lugar donde se hubiese hecho el requerimiento, incluida la identificación de las personas cuyo rostro no sea visible total o parcialmente por utilizar cualquier tipo de prenda u objeto que lo cubra, impidiendo o dificultando la identificación, cuando fuere preciso a los efectos indicados. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/13 En la práctica de la identificación se respetarán estrictamente los principios de proporcionalidad, igualdad de trato y no discriminación por razón de nacimiento, nacionalidad, origen racial o étnico, sexo, religión o creencias, edad, discapacidad, orientación o identidad sexual, opinión o cualquier otra condición o circunstancia personal o social. Por tanto, las Fuerzas y Cuerpos de Seguridad del Estado pueden tratar los datos personales de los ciudadanos para la prevención, investigación, detección o enjuiciamiento de infracciones penales y para el desempeño de las funciones de interés público que les son propias. No obstante, estos tratamientos deben ser realizados respetando en todo momento, lo establecido en la normativa vigente en materia de protección de datos de carácter personal, el RGPD y la LOPDGDD, respectivamente. TERCERO: En lo que respecta a la aplicación de la normativa de protección de datos al supuesto planteado, debe tenerse en cuenta que el RGPD, en su artículo 32, exige a los responsables del tratamiento, la adopción de las correspondientes medidas de seguridad necesarias que garanticen que el tratamiento es conforme a la normativa vigente, así como garantizar que cualquier persona que actúe bajo la autoridad del responsable o del encargado y tenga acceso a datos personales, solo los pueda tratar siguiendo instrucciones del responsable. Establece el artículo 32 del RGPD, seguridad del tratamiento, lo siguiente: 1. Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, que en su caso incluya, entre otros:
8. a)la seudonimización y el cifrado de datos personales;
9. b)la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento;
10. c)la capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente físico o técnico;
11. d)un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento. 2. Al evaluar la adecuación del nivel de seguridad se tendrán particularmente en cuenta los riesgos que presente el tratamiento de datos, en particular como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos (El subrayado es de la AEPD). Por otra parte, el Considerando