1/5 Procedimiento nº.: E/07614/2013 ASUNTO: Recurso de Reposición Nº RR/00103/2015 Examinado el recurso de reposición interpuesto por D. A.A.A. contra la resolución dictada por el Director de la Agencia Española de Protección de Datos en el expediente de actuaciones previas de inspección E/07614/2013, y en base a los siguientes HECHOS PRIMERO: Con fecha 6 de noviembre de 2014, se dictó resolución por el Director de la Agencia en el expediente de actuaciones previas de inspección E/07614/2013, en el que se procede al archivo de actuaciones al comprobarse la inexistencia de una infracción a la normativa sobre protección de datos. Dicha resolución de 6 de noviembre de 2014, fue notificada al recurrente en fecha el 14 de noviembre de 2014, según aviso de recibo. SEGUNDO: D. A.A.A. (en lo sucesivo el recurrente) ha interpuesto recurso potestativo de reposición en el Servicio de Correos el 13 de diciembre 2014, con entrada en esta Agencia el 2 de enero de 2015, fundamentándolo básicamente en la remisión de una fotocopia de un informe de fecha 21 de octubre de 2014 de la Brigada Provincial de Policía Científica de Zaragoza solicitado por el Juzgado de Instrucción de nº 2 de Zaragoza y en base al mismo cuestionar los hechos contrastados por el personal inspector en el periodo de diligencias previas que sirvieron de base a la resolución impugnada. FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (en lo sucesivo LRJPAC). II En primer lugar, señalar que el escrito del recurrente se ha de calificar como un recurso potestivo de reposición contra la resolución de instancia y no como nueva denuncia como sugiere el firmante del escrito. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/5 III El recurrente contrapone a los hechos recogidos en el resolución impugnada el Informe sobre Soportes informáticos, de fecha 21 de octubre de 2014, de la Brigada Provincial de la Policía Científica de Zaragoza solicitado por el Juzgado de instrucción nº 2 de Calatayud, que recoge: << CONCLUSIONES: El análisis de las evidencias se ha desarrollado utilizando las herramientas y métodos forenses de tratamiento de la prueba que permiten mantener completamente inalterado el contenido y por tanto poderlo utilizar como prueba para posteriores análisis. El resultado en la localización de programas de captura y copiado de datos, tras su análisis es NEGATIVO. No se localizan las carpetas donde se producían, al parecer, las descargas automáticas. Fecha de último acceso al equipo: 07-05-2013: > El 02-05-2013, según el denunciante, se detectaron los hechos motivo de las presentes, habiendo sido el equipo manipulado, hasta el día 07-05-2013. Del análisis del registro de Windows: > > En programas de inicio se localiza uno, cuyo nombre, se corresponde con un programa comercial de copiado del contenido de pendrives y tarjetas de almacenamiento de forma oculta. Se determina la existencia en su momento de las carpetas "cosas" y "alvarezx". Se adjunta CD ANEXO >> . Pues bien, aún en el supuesto de que en algún momento en los equipos fueran instalados programas espías el Informe de la Policía Científica es “ NEGATIVO EN CUANTO A LA LOCALIZACIÓN DE PROGRAMAS DE CAPTURA Y COPIADO DE DATOS” y, en consonancia el Juzgado de Instrucción nº 2 de Calatayud solicitante del informe archivó las actuaciones por falta de pruebas, coincidiendo con la resolución de la AEPD ahora impugnada. La resolución impugnada se adoptó previa inspección in situ para la comprobación de los hechos denunciados y en la que se recoge: << III La LOPD en su Artículo 9, dispone: “1. El responsable del fichero, y, en su caso, el encargado del tratamiento, deberán adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten su alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/5 naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural. 2. No se registrarán datos de carácter personal en ficheros que no reúnan las condiciones que se determinen por vía reglamentaria con respecto a su integridad y seguridad y a las de los centros de tratamiento, locales, equipos, sistemas y programas. 3. Reglamentariamente se establecerán los requisitos y condiciones que deban reunir los ficheros y las personas que intervengan en el tratamiento de los datos a que se refiere el artículo 7 de esta Ley”. Pues bien, tras las alegaciones formuladas por el denunciante en su escrito de 24 de enero de 3014 reiterando los hechos denunciados sin constatación, la inspección “in situ” se centró en la comprobación de si el ordenador ubicado en el Centro de Control tenía instalado un programa autocopiativo del contenido de los pendrives que se introducían circunstancia que el denunciante comprobó al acceso al procedimiento judicial en el que figuraban, correos intercambiados por él en calidad de representante sindical con representantes del Ayuntamiento y una copia de un parte médico de baja laboral, sobre la incautación por la Policía Nacional del disco duro del ordenador, como también del sistema informático de la Corporación, con el siguiente resultado:
- a)Respecto a la afirmación de la instalación de un programa que al introducir un pendrive realiza una copia de seguridad, el Ayuntamiento aclara que el denunciado, Oficial de la Policía Local, nunca informó de ello y que la Policía Nacional que se incautó del disco duro del ordenador no ha informado de las actuaciones realizadas y tampoco ha solicitado ninguna información. El representante del Ayuntamiento declaró que no tienen conocimiento de que en ningún momento se haya instalado un programa informático que realice una copia de los contenidos del disco duro o de un pendrive. En la inspección se verificó la existencia de un ordenador conectado en red a un servidor ubicado en el Centro de Control de la Policía Local y no se obtuvo indicio de la existencia de la carpeta ....CARPETAS....... en el servidor ni en el actual disco duro y solo la existencia de una carpeta denominada VCP con información policial exclusivamente. En cualquiera de los casos, no es posible la comprobación de la información existente en el disco duro ya que fue retirado por la Policía Nacional, haciéndose constar dicha incidencia en el Libro de Actas de la Policía Local en fecha 7 de mayo de 2013.
- b)En lo relativo a la aseveración de que los pendrives se autocopiaban en el ordenados dado que en el procedimiento judicial se encontraban incorporados los correos electrónicos intercambiados por el denunciante como representante sindical con cargos del Ayuntamiento y un parte médico de baja laboral, el Ayuntamiento manifiesta que desconocen dicha circunstancia, no obstante verifican la existencia de una única certificación de Asistencia (que aportan) en la cual el denunciante comparece ante el Juzgado de Primera Instancia e Instrucción número 2 de Calatayud en fecha 4 de junio de 2013 y hay constancia a una Cédula de Citación a dicho Juzgado en la que se adjunta la copia de las declaraciones realizadas en el Atestado 1249/13 por parte del C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/5 denunciante y otro Policía Local correspondientes a una denuncia presentada por ellos mismos relacionada con un incidente en el cual participaron en su calidad de Policía Local. Asimismo, se aporta un Informe del Servicio Nacional de Urgencia a nombre del denunciante sobre las lesiones provocadas en dicho incidente
- c)En lo concerniente al hecho denunciado de la existencia de una cámara de grabación ubicada en el lugar donde se encuentra la fotocopiadora general, se verificó que se trata de una cámara fija que enfoca al pasillo que da acceso al archivo y a los calabozos, no obstante, no hay ninguna fotocopiadora y la cámara tiene la finalidad de controlar el acceso a los calabozos y que únicamente personal del Ayuntamiento accede a dicho pasillo. En la actualidad se ha instalado la nueva fotocopiadora se ha instalado en otras dependencias del Ayuntamiento y para visualizar las imágenes recogidas por la citada cámara es necesario autenticarse comprobándose que la distancia visual no permitiría identificar un documento, ya que ésta no cuenta con zoom y a las imágenes sólo tiene acceso el Jefe de la Policía Local.
- d)Respecto del archivador ubicado en el sótano del edifico del Ayuntamiento, al lado de un baño, al que tiene acceso todo tipo de personal del Ayuntamiento, también se comprueba que en dicho sótano se están realizando obras ya que acoge, entre otras dependencias, el archivo del Ayuntamiento y el baño al que se refiere en la denuncia ya no existe. Se verifica que el archivador se encuentra en el pasillo cerca de los calabozos hasta la finalización de la obra y su ubicación definitiva dentro del archivo. Se comprueba que el archivo figuran diferentes fichas, las cuales, según manifiesta el Ayuntamiento corresponden con fichas padronales y que el acceso es restringido al personal que trabaja en el Ayuntamiento y existen cámaras de seguridad en la zona de acceso al mismo>>. IV No habiéndose aportado elementos que hagan reconsiderar la resolución de instancia, procede desestimar el recurso. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por D. A.A.A. contra la resolución de esta Agencia dictada con fecha 6 de noviembre de 2014, en el expediente de actuaciones previas de inspección E/07614/2013. SEGUNDO: NOTIFICAR la presente resolución a D. A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/5 Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es