1/7 Procedimiento nº.: E/07439/2019 ASUNTO: Recurso de Reposición Nº RR/00725/2019 Examinado el recurso de reposición interpuesto por A.A.A. contra la resolución dictada por la Directora de la Agencia Española de Protección de Datos en el expediente de actuaciones previas de inspección E/07439/2019, y en base a los siguientes HECHOS PRIMERO: Con fecha 12 de septiembre de 2019, se dictó resolución por la Directora de la Agencia Española de Protección de Datos en el expediente de actuaciones previas de inspección E/07439/2019, procediéndose al archivo de actuaciones en aplicación del principio de presunción de inocencia. Dicha resolución, que fue notificada al recurrente en fecha 10 de octubre de 2019, según aviso de recibo que figura en el expediente. SEGUNDO: A.A.A. (en lo sucesivo el recurrente) ha presentado en esta Agencia, en fecha 18 de octubre de 2019, recurso de reposición, fundamentándolo básicamente en la vulneración a su derecho de intimidad ante la cesión de sus datos personales por parte de la compañía aérea Ryanair a la Dirección General de Policía ante una denuncia por falta disciplinaria para constituir como prueba en un procedimiento disciplinario. FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo LPACAP). II Debido a razones de funcionamiento del órgano administrativo, por ende no atribuibles al recurrente, hasta el día de la fecha no se ha emitido el preceptivo pronunciamiento de esta Agencia respecto a la pretensión del interesado. De acuerdo con lo establecido en el art. 24 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP) el sentido del silencio administrativo en los procedimientos de impugnación de actos y disposiciones es desestimatorio. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/7 Con todo, y a pesar del tiempo transcurrido, la Administración está obligada a dictar resolución expresa y a notificarla en todos los procedimientos cualquiera que sea su forma de iniciación, según dispone el art. 21.1 de la citada LPACAP. Por tanto, procede emitir la resolución que finalice el procedimiento del recurso de reposición interpuesto. III En relación con las manifestaciones efectuadas por el recurrente, reiterándose básicamente en las alegaciones ya presentadas a lo largo del procedimiento sancionador, debe señalarse que todas ellas ya fueron analizadas y desestimadas en el Fundamento de Derecho III, IV y V de la Resolución recurrida, tal como se transcribe a continuación: “ III En el presente caso, se ha recibido en esta Agencia la reclamación contra las reclamadas, por una presunta vulneración de los artículos 5 y 6 del RGPD en relación con los principios relativos al tratamiento de los datos personales del interesado y la licitud de su tratamiento, señalándose en el artículo 5 del RGPD que: “1.Los datos personales serán:
- a)tratados de manera lícita, leal y transparente en relación con el interesado («licitud, lealtad y transparencia»);
- b)recogidos con fines determinados, explícitos y legítimos, y no serán tratados ulteriormente de manera incompatible con dichos fines; de acuerdo con el artículo 89, apartado 1, el tratamiento ulterior de los datos personales con fines de archivo en interés público, fines de investigación científica e histórica o fines estadísticos no se considerará incompatible con los fines iniciales («limitación de la finalidad»);
- c)adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados («minimización de datos»);
- d)exactos y, si fuera necesario, actualizados; se adoptarán todas las medidas razonables para que se supriman o rectifiquen sin dilación los datos personales que sean inexactos con respecto a los fines para los que se tratan («exactitud»);
- e)mantenidos de forma que se permita la identificación de los interesados durante no más tiempo del necesario para los fines del tratamiento de los datos personales; los datos personales podrán conservarse durante períodos más largos siempre que se traten exclusivamente con fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos, de conformidad con el artículo 89, apartado 1, sin perjuicio de la aplicación de las medidas técnicas y organizativas apropiadas que impone el presente Reglamento a fin de proteger los derechos y libertades del interesado («limitación del plazo de conservación»);
- f)tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/7 2. El responsable del tratamiento será responsable del cumplimiento de lo dispuesto en el apartado 1 y capaz de demostrarlo («responsabilidad proactiva»).” Por su parte el artículo 6 del RGPD, en relación a la licitud del tratamiento de los datos personales, señala que: “1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
- a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
- b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
- c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
- d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
- e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
- f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
- f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones. 2. Los Estados miembros podrán mantener o introducir disposiciones más específicas a fin de adaptar la aplicación de las normas del presente Reglamento con respecto al tratamiento en cumplimiento del apartado 1, letras
- c)y e), fijando de manera más precisa requisitos específicos de tratamiento y otras medidas que garanticen un tratamiento lícito y equitativo, con inclusión de otras situaciones específicas de tratamiento a tenor del capítulo IX. 3. La base del tratamiento indicado en el apartado 1, letras
- c)y e), deberá ser establecida por:
- a)el Derecho de la Unión, o
- b)el Derecho de los Estados miembros que se aplique al responsable del tratamiento. La finalidad del tratamiento deberá quedar determinada en dicha base jurídica o, en lo relativo al tratamiento a que se refiere el apartado 1, letra e), será necesaria para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento. Dicha base jurídica podrá contener disposiciones específicas para adaptar la aplicación de normas del presente Reglamento, entre otras: las condiciones generales que rigen la licitud del tratamiento por parte del responsable; los tipos de datos objeto de tratamiento; los interesados afectados; las entidades a las que se pueden comunicar datos personales y los fines de tal comunicación; la limitación de la finalidad; los plazos de conservación de los datos, así C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/7 como las operaciones y los procedimientos del tratamiento, incluidas las medidas para garantizar un tratamiento lícito y equitativo, como las relativas a otras situaciones específicas de tratamiento a tenor del capítulo IX. El Derecho de la Unión o de los Estados miembros cumplirá un objetivo de interés público y será proporcional al fin legítimo perseguido. 4. Cuando el tratamiento para otro fin distinto de aquel para el que se recogieron los datos personales no esté basado en el consentimiento del interesado o en el Derecho de la Unión o de los Estados miembros que constituya una medida necesaria y proporcional en una sociedad democrática para salvaguardar los objetivos indicados en el artículo 23, apartado 1, el responsable del tratamiento, con objeto de determinar si el tratamiento con otro fin es compatible con el fin para el cual se recogieron inicialmente los datos personales, tendrá en cuenta, entre otras cosas:
- a)cualquier relación entre los fines para los cuales se hayan recogido los datos personales y los fines del tratamiento ulterior previsto;
- b)el contexto en que se hayan recogido los datos personales, en particular por lo que respecta a la relación entre los interesados y el responsable del tratamiento;
- c)la naturaleza de los datos personales, en concreto cuando se traten categorías especiales de datos personales, de conformidad con el artículo 9, o datos personales relativos a condenas e infracciones penales, de conformidad con el artículo 10;
- d)las posibles consecuencias para los interesados del tratamiento ulterior previsto;
- e)la existencia de garantías adecuadas, que podrán incluir el cifrado o la seudonimización.” IV En el presente caso se denuncia la cesión de los datos personales del reclamante por la compañía aérea Ryanair a la Dirección General de Policía, en este sentido, dicho Organismo, el 17 de mayo de 2019, en respuesta a la presente reclamación ha manifestado que los datos de carácter personal objeto del presente caso, son cedidos por Ryanair de acuerdo con su política de privacidad, para su uso en un procedimiento disciplinario de conformidad con la Ley Orgánica 4/2010, de 20 de mayo, del Régimen disciplinario del Cuerpo Nacional de Policía. Debe tenerse en cuenta la siguiente normativa, en primer lugar la Ley Orgánica 2/1986, de 13 de marzo, de Fuerzas y Cuerpos de Seguridad, que en su artículo 27.5 establece que “Incurrirán en la misma responsabilidad que los autores de una falta los que induzcan a su comisión y los Jefes que la toleren. Asimismo, incurrirán en falta de inferior grado los que encubrieran la comisión de una falta.” Asimismo, el artículo 28.3 de dicho texto legal establece que “Los funcionarios del Cuerpo Nacional de Policía tendrán obligación de comunicar por escrito al superior jerárquico competente los hechos que consideren constitutivos de faltas graves y muy graves de los que tengan conocimiento.”, y en el apartado 5 continúa señala lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/7 “Para la imposición de la sanción de separación del servicio será competente el Ministro del Interior. Para la imposición de sanciones por faltas muy graves y graves, además del Ministro del Interior, será competente el Director de la Seguridad del Estado. Para la imposición de las sanciones por faltas graves también será competente el Director general de la Policía. Además de los órganos anteriores, los Gobernadores civiles y los Jefes de las dependencias, centrales o periféricas, en que presten servicio los infractores, serán competentes para la imposición de las sanciones por faltas leves. En segundo lugar, la Ley Orgánica 4/2010, de 20 de mayo, del Régimen disciplinario del Cuerpo Nacional de Policía, en su artículo 4 regula la comunicación de infracciones, señalando que: “Los miembros del Cuerpo Nacional de Policía tendrán la obligación de comunicar por escrito a su superior jerárquico los hechos de los que tengan conocimiento que consideren constitutivos de faltas graves y muy graves, salvo cuando dicho superior sea el presunto infractor; en tal caso, la comunicación se efectuará al superior inmediato de este último.” Por su parte el artículo 5 que regula la extensión de la responsabilidad, manifiesta que: “Incurrirán en la misma responsabilidad que los autores de una falta los que induzcan a su comisión. Asimismo, incurrirán en falta de inferior grado los que encubrieran la comisión de una falta muy grave o grave, y los superiores que la toleren. Se entenderá por encubrimiento no dar cuenta al superior jerárquico competente, de forma inmediata, de los hechos constitutivos de falta muy grave o grave de los que se tenga conocimiento.” Además, el artículo 13 de dicho texto legal regula la competencia sancionadora indicando que: “Son órganos competentes para imponer sanciones disciplinarias a los funcionarios del Cuerpo Nacional de Policía:
- a)Para la imposición de la sanción de separación del servicio por faltas muy graves, el Ministro del Interior.
- b)Para la imposición de las sanciones de suspensión de funciones de tres años y un día a seis años y de traslado forzoso por faltas muy graves, el Secretario de Estado de Seguridad.
- c)Para la imposición de la sanción de suspensión de funciones hasta tres años por faltas muy graves, así como para la imposición de sanciones por faltas graves, el Director General de la Policía y de la Guardia Civil. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/7
- d)Para la imposición de sanciones por faltas leves, los Delegados del Gobierno en las Comunidades Autónomas, respecto de las cometidas por funcionarios que presten servicio en el territorio de su respectiva Comunidad Autónoma; asimismo, los jefes de órganos centrales hasta el nivel de subdirector general, o asimilados; y los jefes superiores de policía, los jefes de las comisarías provinciales y locales y los jefes de las unidades del Cuerpo Nacional de Policía adscritas a las Comunidades Autónomas, respecto de las cometidas por funcionarios de ellos dependientes.
- e)Los órganos competentes para imponer sanciones de una determinada naturaleza, lo son también para imponer sanciones de naturaleza inferior.” Concluir señalando que Ley 39/2015 del regimen juridico del procedimiento administrativo común de las administraciones públicas, en su artículo 18 regula la colaboración de las personas, estableciendo que: “1. Las personas colaborarán con la Administración en los términos previstos en la Ley que en cada caso resulte aplicable, y a falta de previsión expresa, facilitarán a la Administración los informes, inspecciones y otros actos de investigación que requieran para el ejercicio de sus competencias, salvo que la revelación de la información solicitada por la Administración atentara contra el honor, la intimidad personal o familiar o supusieran la comunicación de datos confidenciales de terceros de los que tengan conocimiento por la prestación de servicios profesionales de diagnóstico, asesoramiento o defensa, sin perjuicio de lo dispuesto en la legislación en materia de blanqueo de capitales y financiación de actividades terroristas.” Por su parte el artículo 61.1 que regula el inicio del procedimiento por petición razonada de otros órganos establece que: “Se entiende por petición razonada, la propuesta de iniciación del procedimiento formulada por cualquier órgano administrativo que no tiene competencia para iniciar el mismo y que ha tenido conocimiento de las circunstancias, conductas o hechos objeto del procedimiento, bien ocasionalmente o bien por tener atribuidas funciones de inspección, averiguación o investigación.” V Así las cosas, teniendo en cuenta los argumentos jurídicos del fundamento IV, y el hecho de que no constan tratamientos de datos por la entidad reclamada, de acuerdo con el Registro de Actividades del tratamiento de datos publicados en la página web del Ministerio del Interior, la AEPD considera que no se han vulnerado los principios de integridad y confidencialidad regulados en el artículo 5.1
- f)del RGPD que exige que los datos personales sean “tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas”. Asimismo, aunque en el artículo 6.1
- f)del RGPD se establece que para el tratamiento lícito de los datos personales han de prevalecer los derechos y libertades fundamentales del interesado sobre los intereses legítimos del responsable del tratamiento, en el inciso final de dicho precepto, se contempla la salvedad en la aplicación de este artículo a las autoridades públicas en el ejercicio de sus funciones. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/7 Por lo tanto, en lo que respecta a la compañía aérea, se considera que actuó diligentemente cediendo los datos personales del reclamante a la Dirección General de Policía, cumpliendo con los artículos 18 y 61 de la LRJPAC, que establecen la obligación de facilitar a la Administración los informes, inspecciones y otros actos de investigación que requieran para el ejercicio de sus competencias, al considerar que el reclamado tiene atribuidas funciones de inspección, averiguación e investigación , en concreto para su uso en un procedimiento disciplinario de conformidad con la Ley Orgánica 4/2010, de 20 de mayo, del Régimen disciplinario del Cuerpo Nacional de Policía, según los preceptos indicados en el fundamento de derecho IV. “ IV En consecuencia, en el presente recurso de reposición, el recurrente no ha aportado nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por A.A.A. contra la resolución de esta Agencia dictada con fecha 12 de septiembre de 2019, en el expediente de actuaciones previas de inspección E/07439/2019. SEGUNDO: NOTIFICAR la presente resolución a A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es