REPOSICION-E-02197-2015

1/7 Procedimiento nº.: E/02197/2015 ASUNTO: Recurso de Reposición Nº RR/00167/2016 Examinado el recurso de reposición interpuesto por A.A.A. contra la resolución dictada por la Directora de la Agencia Española de Protección de Datos en el expediente de actuaciones previas de inspección E/02197/2015, y en base a los siguientes HECHOS PRIMERO: Con fecha 1/02/2016, se dictó resolución por la Directora de la Agencia Española de Protección de Datos en el expediente de actuaciones previas de inspección E/02197/2015, procediéndose al archivo de actuaciones al valorar que la normativa comunitaria y nacional da cobertura legal a que en las tarjetas de los vigilantes de seguridad que prestan servicios en los aeropuertos de AENA figure su nombre y apellidos y DNI del afectado en base a la primacía del de4echo fundamental a la seguridad sobre la protección de datos Dicha resolución de 16/02/2016, fue notificada al recurrente en fecha 24/02/2015, según aviso de recibo. SEGUNDO: A.A.A. (en lo sucesivo el recurrente) ha presentado recurso potestativo de reposición en el Servicio de Correos el 4/3/2016, con entrada en esta Agencia el siguiente día 8, fundamentándolo en que la resolución adoptada no ha tenido en cuenta la legislación nacional con cita de la Ley de Seguridad Privada y adjunta una copia de una denuncia por haberle incluido fraudulentamente en el fichero Asnef. FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (en lo sucesivo LRJPAC). II En relación con las manifestaciones efectuadas por el recurrente, que reiteran básicamente las ya realizadas en el escrito de denuncia, debe señalarse que las mismas ya fueron analizadas y desestimadas en la resolución impugnada, basada en los fundamentos jurídicos que se trascriben a continuación: << II En el caso analizado el denunciante, vigilante de seguridad de la empresa C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/7 TRABLISA en el aeropuerto de Palma de Mallorca, su disconformidad con que en la tarjeta identificativa a la que está obligado a llevar visible en su puesto de trabajo en el aeropuerto en la que figura: el nombre completo del vigilante y su número de identificación que coincide con el del DNI y aporta, entre otros argumentos, en defensa de su pretensión, una Sentencia de la Audiencia Nacional de fecha 20/11/2013 por la que se estima la pretensión de anular la previsión ,contenida en el artículo 14.1 del Anexo V de la Orden del Ministerio del Interior INT/318/2011, que establece como dato incluido en la tarjeta de identificación profesional del personal de seguridad privada el número del DNI. La Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal -LOPDen su artículo 6.1, consagra el principio de consentimiento o autodeterminación y dispone que: “El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa”. Por otra parte, en cuanto a la necesidad de que el interesado preste su consentimiento (o pueda oponerse) al tratamiento de un dato, debe indicarse que si bien el artículo 6.1 de la LOPD exige el consentimiento del interesado para el tratamiento automatizado de los datos de carácter personal, el artículo 6.2 prevé que no será preciso el consentimiento cuando los datos “se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento”. En el caso que se examina, parece deducirse que el tratamiento del nombre y apellidos y del DNI en la tarjeta identificativa del vigilante de seguridad visible a terceros trae su origen, precisamente, en la necesidad de asegurar el debido cumplimiento de las obligaciones derivadas que vincula al personal laboral con la empresa AENA. El tratamiento de datos sin consentimiento de los afectados constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre, Fundamento Jurídico Séptimo, primer párrafo, “(...) consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...). Son pues elementos característicos del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. La LOPD además de sentar el anterior principio de “consentimiento” regula en su artículo 4 el principio de “calidad de datos” que resulta aplicable al supuesto de hecho planteado. El citado artículo 4, dispone en su apartado 1 que: “Los datos de carácter personal sólo se podrán recoger para su tratamiento, así como C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/7 someterlos a dicho tratamiento, cuando sean adecuados, pertinentes y no excesivos en relación con el ámbito y las finalidades determinadas, explícitas y legítimas para las que se hayan obtenido”. Conforme a dicho precepto sólo está permitido el tratamiento de datos personales cuando sean adecuados, pertinentes y no excesivos en relación con el ámbito y las finalidades determinadas, explícitas y legítimas para las que se hayan obtenido. Este artículo 4.1 consagra el “principio de pertinencia o proporcionalidad en el tratamiento de los datos de carácter personal”, que impide el tratamiento de aquellos que no sean necesarios o proporcionados a la finalidad que justifica el tratamiento, debiendo restringirse el tratamiento de los datos excesivos o bien procederse a la supresión de los mismos. En consecuencia, el tratamiento del dato ha de ser pertinente y no excesivo en relación con el fin perseguido. Únicamente pueden ser sometidos a tratamiento aquellos datos que sean estrictamente necesarios para la finalidad perseguida. Este criterio, se encuentra recogido también en el artículo 6 de la Directiva 95/46/CE, aparece también reflejado en el Convenio 108, cuyo artículo 5

1. c)indica que "los datos de carácter personal que sean objeto de un tratamiento automatizado (...) serán adecuados, pertinentes y no excesivos en relación con las finalidades para las cuales se hayan registrado”. La pertinencia en el tratamiento de los datos no sólo debe producirse en el ámbito de la recogida e introducción de los datos en el fichero, sino que habrá asimismo de respetarse en el posterior “tratamiento” que se realice de los mismos. No se pone en duda que TRABLISA, como empresa de los vigilantes y AENA, como gestora del Aeropuerto de Palma de Mallorca, puedan tratar los datos personales de los empleados vigilantes de seguridad que prestan sus servicios en el aeropuerto de Palma de Mallorca, entre ellos los datos del nombre y apellidos y dni, al haber establecido una relación laboral. La cuestión suscitada es si está justificado para la “finalidad” que tienen atribuida los vigilantes de seguridad en los aeropuertos de AENA que figuren en las tarjetas de identificación de los vigilantes de seguridad entre otros datos, el nombre y apellidos y DNI a la vista de terceros o se trata de datos excesivos, pudiéndose tal previsión ser sustituida por un número, código o clave menos invasivo para la intimidad de los vigilantes y para su seguridad. III Como ha quedado dicho en el citado artículo 6 de la LOPD el tratamiento de los datos requerirá el consentimiento inequívoco del afectado o el tratamiento, salvo que esté previsto en una norma con rango de Ley. Tampoco será preciso cuando los datos se refieran a las partes de un contrato y sean necesarios para su mantenimiento o cumplimiento. Sobre el tratamiento de datos de carácter personal en el contexto profesional se ha pronunciado el Grupo de Trabajo previsto en el artículo 29 de la Directiva 95/46 que es un órgano asesor independiente que engloba a los representantes de ámbito europeo. En su Opinión 8/2001, adoptada el 13 de septiembre de 2001, prevé en el ámbito laboral el tratamiento de determinados datos por parte del empresario para el cumplimiento de sus finalidades, si bien sujeto a determinadas condiciones, al recoger: “Que asumiendo que los trabajadores han sido informados y el proceso es legítimo, el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/7 dato personal debe ser adecuado, relevante y no excesivo en relación con las finalidades para las cuales han sido recogidos y para las finalidades para las cuales han sido tratados posteriormente. Asumiendo que los trabajadores han sido informados de la operación de tratamiento y presumiendo que el tratamiento es legítimo y proporcional, el tratamiento debe siempre ser justo con el trabajador Esta exigencia de responsabilidad potencialmente extensa presenta varios aspectos en el contexto profesional. En todo momento, el más importante de estos efectos es que el empleador deberá siempre tratar los datos de carácter personal de la manera menos intrusiva posible. Varios elementos son a tomar en cuenta para asegurar la discreción: los riesgos en curso, la clase de datos implicados, la finalidad del tratamiento”. En base a lo expuesto, el Grupo del artículo 29 incluye en el citado documento un ejemplo según el cual los empleadores tal vez pueden tener necesidad de conocer para ciertos empleos si los candidatos poseen un coche y si tienen el permiso de conducir y derecho de pedir esta información, pero sería contrario a este principio el exigir el modelo o el color del coche en cuestión. En definitiva, la naturaleza de un puesto de trabajo puede requerir el uso de determinados datos que no quedaría justificado en otro puesto. AENA en el período de Diligencias previas ha informado (Hecho segundo),en síntesis, lo siguiente sobre la justificación de que en el tarjetas identificativas figure el nombre y apellidos y DNI: A) En cuanto a la normativa que lo avala cita:
2. a)La Ley 21/2003, de 7 de julio, de Seguridad Aérea, en el artículo 3 establece que se aprobará el Programa Nacional de Seguridad para la Aviación Civil, en el que se determinarán las medidas y los procedimientos necesarios para garantizar la aplicación efectiva de las normas de seguridad de la aviación civil en los aeropuertos, aeródromos e instalaciones de navegación aérea y la prevención de actos ilícitos contra las actividades aeronáuticas. y las medidas previstas en el Programa Nacional de Seguridad para la Aviación Civil serán aplicables en todos los aeropuertos abiertos a las operaciones comerciales de transporte aéreo.
3. b)El Programa Nacional de Seguridad –PNS- para la Aviación Civil, aprobado mediante acuerdo del Consejo de Ministros, de 5/05/2006, es de difusión restringida, por contener información clasificada de la Unión Europea, de conformidad con lo dispuesto en el Reglamento (UE) 185/2010, de 4 de marzo, por el que se establecen medidas detalladas para la aplicación de las normas básicas comunes de seguridad aérea, y cuya parte pública se publicó en el B.O.E. nº 145, de 18 de junio de 2015. El PNS ha sido aprobado con arreglo al mandato del Reglamento (CE) 300/2008, del Parlamento Europeo y del Consejo, sobre normas para la seguridad de la aviación civil. Por lo que, las medidas del PNS se deben aplicar en todos los aeropuertos nacionales e instalaciones de navegación aérea como es el caso de los aeropuertos titularidad de AENA. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/7 B) Y en materia de acreditaciones, el PNS se remite a los dispuesto en la Instrucción de Seguridad SA-7, Procedimientos de Acreditación de Personas y Autorización de Vehículos, que no ha sido objeto de publicidad, al formar parte de la información clasificada de la Unión Europea y que en el apartado 4.1.8 establece que la acreditación personal deberá mostrar:
4. a)Nombre, apellidos, DNI/NIE/pasaporte y fotografía del titular. En las acreditaciones de los miembros de las fuerzas y cuerpos de Seguridad y de los funcionarios de Aduanas se podrá poner su número de identificación en lugar del nombre y/o DNI.
5. b)Número de orden.
6. c)Nombre de la empresa, si procede.
7. d)Nombre del aeropuerto.
8. e)Los dos últimos dígitos del año de expiración en el color correspondiente a la zona a la que permite el acceso.
9. f)Fecha de caducidad. Así consta en la página 3 del anexo A de la Instrucción de Seguridad SA-7 que se trata de un documento declarado confidencial y que no debe ser objeto de difusión o divulgación. C) En definitiva concluye:
10. a)que la constancia del nombre y apellidos y DNI en las tarjetas no es una medida adoptada por AENA en forma voluntaria o potestativa, pues el incumplimiento de esta obligación prevista en el PSN y en la Instrucción SA-7 es constitutiva de infracción administrativa sancionable con multa de hasta 4.500.000 € conforme a los artículos 43. y
11. b)Que, dada la función auxiliadora de los vigilantes de seguridad respecto de los miembros de la FFSS (actores principales) destinados en los recintos aeroportuarios, les corresponde verificar la autenticidad del personal obrante en los aeropuertos, entre ellos, de los vigilantes de seguridad mediante la solicitud de identificación y la petición del DNI o NIE, como medida ante posibles acreditaciones falsificadas a los efectos de prevenir la comisión de acciones delictivas y actos de terrorismo.  AENA termina alegando que el hecho de que Reglamento 185/2010, prevea que la tarjeta de identificación del personal del aeropuerto debe mostrar :
12. a)El nombre y fotografía del titular.
13. b)El nombre del empleador del titular, a menos que se haya programado electrónicamente.
14. c)El nombre de la entidad emisora o aeropuerto.
15. d)Las zonas para cuyo acceso se ha autorizado al titular.
16. e)La fecha de expiración, salvo haberse programado de forma electrónica, se pueden sustituir los nombres y zonas de acceso por una identificación equivalente; y que el hecho de la posibilidad de la sustitución por una identificación equivalente, teniendo en cuenta, que el artículo 6 apartado 1 del Reglamento 300/2008, prevé que los Estados miembros de la Unión Europea pueden aplicar medidas más C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/7 estrictas que las normas básicas comunes que son mínimos y, por ende, establecer medidas más estrictas que las medidas detalladas en el Reglamento 185/2010, por lo que entienden que la constancia de los nombres, apellidos y DNI en las tarjetas aeroportuarias es en todo caso compatible con el Derecho de la Unión Europea en materia de seguridad aeroportuaria. IV El denunciante en apoyo de su pretensión alude a la Sentencia de la Sala de lo Contencioso-Administrativo de la Audiencia Nacional, de fecha 20/11/2013, en relación con la Orden del Ministerio del Interior INT/318/2011, de 1 de febrero, sobre Personal de Seguridad Privada, que anula la previsión contenida en el apartado 1 de su Anexo V que establece como dato incluido en la tarjeta de identidad profesional del personal de seguridad privada, excepto en la de los guardas particulares del campo y sus especialidades, el número del Documento Nacional de Identidad o del Número de Identificación de Extranjero, con todos sus caracteres alfanuméricos”, excepción que se considera adecuada a otros casos como son hoy los espacios aeroportuarios que cada día exigen una mayor y especial vigilancia y seguridad, como lugares objetivo de actos terroristas. Como prevé el Grupo del artículo 29 la naturaleza de un puesto de trabajo puede requerir el tratamiento de determinados datos que no quedaría justificado en otro colectivos, considerándose que la normativa citada por AENA comunitaria y Nacional da cobertura legal a que en las tarjetas de los vigilantes de seguridad que prestan servicios en los aeropuertos de AENA figure su nombre y apellidos y DNI del afectado en base a la primacía del de4echo fundamental a la seguridad sobre la protección de datos.>> Es decir, la resolución impugnada pondera la normativa comunitaria y la nacional, y como quiera que la legislación comunitaria (que que obliga a la nacional), prevé que figure en la tarjeta de identidad de los vigilantes de seguridad de los aeropuertos el nombre y apellidos y DNI, se declaró su conformidad a derecho. Por otra parte, el recurrente adjunta una denuncia por su inclusión indebida en el fichero de morosos Asnef imputándola a la exhibición de su DNI, aseveración que no constituye sino una conjetura de parte que carente de valor probatorio. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por A.A.A. contra la resolución de esta Agencia dictada con fecha 16 de febrero de 2016, en el expediente de actuaciones previas de inspección E/02197/2015. SEGUNDO: NOTIFICAR la presente resolución a A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/7 la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es