1/5 Procedimiento nº.: PS/00145/2020 Recurso de reposición Nº RR/00111/2021 Examinado el recurso de reposición interpuesto por AYUNTAMIENTO DE ISTÁN contra la resolución dictada por la Directora de la Agencia Española de Protección de Datos en el procedimiento sancionador PS/00145/2020, y en base a los siguientes HECHO PRIMERO: Con fecha 28 de enero de 2021, se dictó resolución por la Directora de la Agencia Española de Protección de Datos en el procedimiento sancionador PS/00145/2020, en virtud de la cual se imponía a una sanción de apercibimiento al AYUNTAMIENTO DE ISTÁN, con NIF P2906100I, por una infracción del aartículo 5.1.
- a)del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016 relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (en lo sucesivo RGPD), de conformidad con el artículo 83.5
- a)del RGPD. SEGUNDO: Como hechos probados del citado PS/00145/2020, quedó constancia de los siguientes: procedimiento sancionador, 1) El reclamante reclama contra el Alcalde del Ayuntamiento de Istán porque solicitó, obtuvo y se le envió el 26/03/2029 un escrito relacionado con la prestación de sus servicios del que se desprende que utiliza el sistema de videovigilancia del Ayuntamiento para examinar la cumplimentación de su parte de servicios. 2) Según las manifestaciones del reclamado, actual Alcalde que toma posesión el 15/06/2019, figura un parte del servicio (del que aporta copia) del Agente de Policía, indicando que el Alcalde le solicita telefónicamente, a las 9 h 22, del ***FECHA.1 revisar las cámaras de vigilancia y seguridad, concretándose la banda de las imágenes entre las 18 horas a 19 30 horas del día ***FECHA.2. Manifiesta el parte que “Tras la llamada , más tarde se le da la información observada en el visionado de las cámaras” “qué se le comunica al Alcalde que solamente se observa personal conocido del Ayuntamiento y de Protección Civil así como nada que resulte extraño desde el punto de vista propiamente de la seguridad.” 3) El reclamado tiene seis cámaras, financiadas en parte con una subvención del grupo de desarrollo rural para equipamiento cultural instaladas en 2013. Todas se hallan situadas en espacios interiores del edificio con finalidad, según la memoria de la subvención “ de garantizar tanto la seguridad de los ciudadanos que asisten al teatro situado en la planta baja, que comparte la misma entrada general que el resto de las dependencias municipales, la vigilancia del acceso al Teatro (planta baja) y no la vigilancia de las dependencias municipales que se encuentran en el resto de las plantas del edificio”. El reclamado manifiesta, ampliando la finalidad, al “ control de acceso y seguridad al mismo para prevenir y evitar la entrada de personas ajenas con respecto a la custodia de documentación y/o posibles daños o robos de bienes”. También indica expresamente que el sistema “no tiene la finalidad del control de sus empleados en ningún caso”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/5 4) Las cámaras están colocadas: dos en el garaje, dos en la recepción, y una en la primera planta y en la segunda. Aporta imágenes de donde están colocadas. Acompaña imágenes de la visualización en monitor de los espacios que abarcan. De la visualización de las cámaras, con relación a los hechos, aunque no se relata el espacio al que corresponde cada imagen, se aprecia: La CH 3 tiene una vista interna amplia del acceso a las dependencias, se ve una puerta de acceso a la vía publica, la parte de recepción, otra imagen de la misma Cámara dispone de “zoom” de acercamiento de imagen y se aprecia mas en detalle la misma zona. La CH 2 se ve un primer piso, un espacio común de escaleras y parte del enfoque de la planta de acceso. La CH 4 una vista mas cercana de esas escaleras. La CH 1 parece la puerta del ascensor de una planta superior a la que enfoca la CH 2. 5) El Correo electrónico que remitió el Alcalde al reclamante el ***FECHA.3 le informa que “en el parte del día 21 de marzo realizado por ti no se corresponde con lo que yo directamente observe al encontrarme mi despacho esta tarde”, ya que sobre las 18 10 le vio entrar con el delegado sindical de personal laboral. En el correo se indica que el Alcalde tuvo una reunión a la que asistió desde 19 a 20, 45 y al constar en el parte de servicio del reclamante que “desde las 18 a las 18:30 estaba en la avenida Juan Carlos I, calle Marbella, plaza alrededores, calles interiores presencia policial de 18,30 a 19 horas descanso, de 19 a 19,30 Ayuntamiento oficina ”solicité a la mañana siguiente al policía de servicio que me informara sobre la grabación de las personas que la tarde anterior habían estado en el Ayuntamiento y el horario aproximado”.. “El policía me informa sobre varias personas…, y también de su compañero, A.A.A. que entran sobre las 18:10 horas y salen de la oficina a las 19:20”, subrayando que “no aparece reflejado en el parte esas circunstancias”. Le pregunta el Alcalde al reclamante si esa reunión que mantuvo en su despacho “era relacionada con su trabajo de policía o sobre asuntos sindicales y si la respuesta está relacionada con su trabajo porque no aparece reflejado en el parte.” 6) El reclamante aportó copia de escrito de reclamación ante el Ayuntamiento de 5/04/2019 exponiendo los hechos y la vulneración de su derecho de protección de datos.” TERCERO: AYUNTAMIENTO DE ISTÁN (en lo sucesivo el recurrente) que fue notificado de la resolución el 29 de enero de 2021 ha presentado en fecha 24 de febrero de 2021, en esta Agencia Española de Protección de Datos, recurso de reposición fundamentándolo en: 1) La responsabilidad no debe ser imputable al Ayuntamiento como Institución, debiendo ser individualizada en la persona física que ostentaba en dicho momento la condición de Alcalde quien debe ser considerado, en dicho supuesto, como único responsable ya que actuó en su propio nombre, y utilizando los datos para sus propias finalidades, y no por cuenta del Ayuntamiento, por más que se quiera encuadrar su actuación en el ámbito del desempeño de sus funciones como Jefe de la Policía Local. El artículo 36.3 de la Ley 40/2015 prevé la posibilidad de que la Administración pueda instruir un procedimiento de responsabilidad administrativa frente a las autoridades sujetas a la Administración cuando por acciones u omisiones imputables a las mismas haya sufrido C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/5 cualquier tipo de daños y perjuicios en sus bienes y derechos. De lo dicho se deduce que los miembros de las Corporaciones locales sí que han de responder directa y personalmente, en vía civil, penal y administrativa de los actos realizados en el ejercicio de su cargo, cuando en su actuación hayan incurrido en dolo, culpa o negligencia grave. 2) Falta de culpabilidad en el reclamado. FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 48.1 de la LOPDPGDD. II En relación con las manifestaciones efectuadas por el recurrente, la actividad del Alcalde de control de las obligaciones de un subordinado, como jefe administrativo de la jerarquía y en el desarrollo de sus competencias fue el que motu proprio decide optar por completar el contenido del parte de servicio de su empleado acudiendo a la petición de un informe, requiriendo la visualización de cámaras de videovigilancia. No se puede decir que sea una actuación particular o privada cuando ejercía tales funciones atribuidas legalmente al mismo, en la sede del Ayuntamiento, en jornada laboral, sin que se pueda manifestar sin acreditación alguna que utilizó los datos para su propio beneficio o a nivel particular. Considerando en este caso al Alcalde como la cúspide de la Jefatura de personal, es esta persona jurídica, el Ayuntamiento, a la que se la considera responsable del tratamiento al que acude el Alcalde, con los medios titularidad del Municipio y que tiene que disponer de un protocolo propio para la utilización y efectos jurídicos asociados al uso finalidad del citado control laboral, y quien no haciéndolo así, se considera responsable. Todo ello, con independencia de la responsabilidad interna que se puede exigir o derivar ya fuese según las normas internas de seguridad de la información que pudiera contemplar cada entidad, la eventual responsabilidad civil que pudiera ser exigible de aquella actuación, o la administrativa que el nuevo Alcalde pueda considerar. III Se deriva del RGPD la distinción entre responsable del tratamiento y empleado de este, similar a persona que actúa por cuenta del responsable, por ejemplo al referirse al Delegado de Protección de Datos, en su considerando 97:”… Tales delegados de protección de datos, sean o no empleados del responsable del tratamiento”, y las funciones de este en el artículo 39 del RGPD “
- a)informar y asesorar al responsable o al encargado del tratamiento y a los empleados que se ocupen del tratamiento de las obligaciones que C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/5 les incumben en virtud del presente Reglamento y de otras disposiciones de protección de datos de la Unión o de los Estados miembros;”. Con ello, se quiere significar, que los cargos o empleados del responsable del tratamiento, al llevar a cabo tratamientos de datos de carácter personal en el desempeño de sus funciones, se hallan en el círculo del responsable del tratamiento, que es el que debe establecer directrices y difusión de la información de modo que se consiga una aplicación uniforme en su ámbito. Así y todo, los empleados, y cargos directivos deben considerar antes de proceder a un tratamiento de datos, especialmente si es distinto del habitual, o novedoso, por interpretación o por situación concreta, llevar a cabo antes una consulta al responsable del tratamiento. Este deberá emitir normas a sus empleados y centros directivos para coordinar aspectos básicos de los tratamientos de datos. En cuanto a la falta de culpabilidad por la acción personal del anterior Alcalde ya se ha indicado que el responsable legalmente es en cuanto al que decide los “fines y medios del tratamiento” sobre un sistema de videovigilancia que tenia finalidades de seguridad del edificio y las instalaciones, estaba habilitado por las competencias legales que ostenta la autoridad de un Alcalde, y en tales funciones realizó un tratamiento especifico por el que se declaró la infracción del Ayuntamiento. Es el Ayuntamiento el que debe establecer medidas proactivas para que todo su personal comprenda el alcance y manejo de datos y dentro de las competencias establezca los limites y configuración de los derechos que corresponden a los titulares de los datos. En consecuencia, en el presente recurso de reposición, el recurrente no ha aportado nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por AYUNTAMIENTO DE ISTÁN contra la resolución de esta Agencia Española de Protección de Datos dictada con fecha 28 de enero de 2021, en el procedimiento sancionador PS/00145/2020. SEGUNDO: NOTIFICAR la presente resolución a AYUNTAMIENTO DE ISTÁN. TERCERO: De conformidad con lo establecido en el artículo 50 de la LOPDPGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDPGDD, y de acuerdo con lo establecido en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), los interesados podrán interponer recurso contencioso-administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/5 meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
- a)LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada LPACAP. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 180-100519 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es