1/5 Procedimiento nº.: PS/00596/2021 Recurso de reposición N.º RR/00323/2022 Examinado el recurso de reposición interpuesto por el AYUNTAMIENTO DE OURENSE, contra la resolución dictada por la Directora de la Agencia Española de Protección de Datos, en el procedimiento sancionador PS/00596/2021, y en base a los siguientes HECHOS PRIMERO: En fecha 3 de mayo de 2022, se dictó resolución por la Directora de la Agencia Española de Protección de Datos, en el procedimiento sancionador PS/00596/2021, en virtud de la cual se imponía una sanción de apercibimiento por la vulneración de lo dispuesto en el artículo 5.1.
- c)del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (en lo sucesivo RGPD), infracción tipificada en el artículo 83.5 del RGPD, otra sanción de apercibimiento por vulneración de lo dispuesto en el artículo 32 del RGPD, infracción tipificada en el artículo 83.4 del RGPD y se requería al Ayuntamiento de Ourense que implante las medidas correctoras necesarias para adecuar su actuación a la normativa de protección de datos personales, que impidan que en el futuro se repitan hechos similares. Dicha resolución, que fue notificada al recurrente en fecha 5 de mayo de 2022, fue dictada, previa la tramitación del correspondiente procedimiento sancionador, de conformidad con lo dispuesto en la LOPDGDD, y supletoriamente en la LPACAP, en materia de tramitación de procedimientos sancionadores. SEGUNDO: Como hechos probados del citado PS/00596/2021, quedó constancia de los siguientes: procedimiento sancionador “PRIMERO: Consta que en fecha 7 de enero de 2021, la parte reclamante interpuso reclamación ante la Agencia Española de Protección de Datos, toda vez que un Agente de la Policía Local fotografió su DNI para su identificación, sin su consentimiento. SEGUNDO: La fotografía fue tomada con un dispositivo distinto a los corporativos de la Policía Local. TERCERO: La fotografía fue realizada en el contexto de la identificación del reclamante en la constatación de una posible infracción como saltarse el toque de queda establecido por la situación de pandemia. CUARTO: En relación con el tratamiento de la fotografía del DNI, el reclamado afirma que será eliminada “una vez concluya la finalidad para la cual fueron tomadas, es C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/5 decir, apertura de expediente”, el cual, a fecha de formulación de esa alegación, se encontraba todavía en trámite.” TERCERO: El Ayuntamiento de Ourense (en lo sucesivo el recurrente) ha presentado, en fecha 6 de junio de 2022, en esta Agencia Española de Protección de Datos, recurso de reposición fundamentándolo en que la finalidad perseguida por el agente con la realización de la fotografía no era otra que la de dar inicio a un procedimiento administrativo, que la toma de fotografías como medio de reproducción de la imagen para reproducir datos relevantes para el proceso, como es la identificación del interesado para el inicio del expediente administrativo, ostenta la consideración de medio de prueba admitido en derecho, que han adoptado e implantado las medidas técnicas y organizativas para garantizar un nivel de seguridad adecuado al riesgo, que el uso de dispositivos personales se trató de una medida temporal toda vez que, desde el 16 de marzo de 2021, se entregaron a los agentes, dispositivos corporativos acompañados de un manual de uso, así como de una formación para todos los agentes implicados, y que la normativa vigente en materia de protección de datos personales no recoge en ningún precepto la prohibición del uso de dispositivos personales por parte de los usuarios de los sistemas de información responsabilidad de los responsables del tratamiento, si bien es cierto que el uso de los mismos, implica un aumento de la probabilidad de producción de un riesgo, ello no implica un incumplimiento de lo establecido en el artículo 32 del Reglamento (UE) 2016/679 siempre que previamente se adopten las medidas técnicas y organizativas adecuadas al riesgo. FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 48.1 de la LOPDGDD. II En relación con las manifestaciones efectuadas por el recurrente sobre la finalidad perseguida por la toma de fotografías, debe señalarse en primer lugar que el principio de minimización de datos no limita el exceso de datos, sino la necesidad de estos. En este sentido, en el artículo 5 del RGPD se establecen los principios relativos al tratamiento de los datos personales por el responsable y/o encargado de los mismos y en su apartado 1.
- c)se especifica que: “los datos personales serán: adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados («minimización de datos»). Este artículo consagra el principio de minimización de datos en el tratamiento de los datos personales. Supone que dicho tratamiento sea ajustado y proporcional a la finalidad a la que se dirige, debiendo restringirse el tratamiento de los datos excesivos o bien procederse a la supresión de estos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/5 Sobre la necesidad de tratamiento de datos de carácter personal cabe decir que cualquier tratamiento de datos implica per se y de partida, la restricción del derecho fundamental, al producirse la recogida y disposición de estos por parte del responsable que va a operar con ellos. Según la jurisprudencia, por la afectación que el tratamiento de datos personales supone para una serie de derechos fundamentales, la limitación del derecho fundamental a la protección de datos personales debe ser la estrictamente necesaria. Ello implica que, si la consecución de los fines previstos puede realizarse sin tratamiento de datos personales, será preferible esta vía y supondrá que no es necesario llevar a cabo tratamiento alguno de datos, lo que supondrá que tal derecho, con las limitaciones que conlleva, no estaría en liza, al no haber datos. La recogida, almacenamiento y uso constituye per se una limitación del derecho de protección de datos que debe cumplir con la normativa. Ello requiere pues en primer lugar analizar y asegurar que la recogida de datos sea necesaria para la finalidad establecida o pretendida y que sea proporcional. En el caso concreto que se examina, el cumplimiento del principio de minimización requeriría identificar los datos concretos que deben comunicarse atendiendo a la finalidad, así como limitarlos a los estrictamente necesarios. Por lo tanto, en relación con la minimización y necesidad del tratamiento, existen alternativas menos lesivas para la protección de los datos del ciudadano afectado. En el supuesto examinado el tratamiento ha consistido en la realización de la fotografía de DNI a través del móvil personal del policía, así como su conservación, hasta la apertura del expediente administrativo. Este tratamiento es claramente excesivo, debiendo destacar que el principio de “minimización de datos” impone además la supresión de la imagen inmediatamente después de que se haya producido la mencionada identificación. Con ello, carece aún de menor justificación la conservación de la imagen, que se encuentra desprovista de ninguna finalidad. En relación con las medidas de seguridad en el tratamiento de las fotografías, la LO 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de Derechos Digitales, exige a los responsables del tratamiento la adopción de las correspondientes medidas de seguridad de índole técnica y organizativa necesarias que garanticen que el tratamiento es conforme a la normativa vigente. Es decir, la toma de los datos de filiación de un ciudadano para su posterior tratamiento debe realizarse con métodos que garanticen la seguridad y confidencialidad de los datos personales. En el caso de que los agentes utilicen dispositivos particulares para la toma de imágenes de los datos personales que contiene el DNI en el ejercicio de sus funciones, no garantiza la seguridad de los datos, ya que el uso privado que cada agente pueda hacer de su dispositivo no resultaría compatible con las medidas de seguridad que para el ejercicio de las funciones de indagación, investigación y prevención de delitos e infracciones deban adoptarse. Además, conviene señalar que dicho dispositivo queda fuera del control del responsable del tratamiento. Por tanto, debe examinarse si tales cámaras domésticas y teléfonos móviles pueden garantizar la seguridad de los datos de forma que no se produzcan pérdidas o C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/5 alteraciones de los datos y, muy especialmente, dada la generalización de uso de dispositivos inteligentes, la posibilidad de acceso por terceros a los datos en ellas almacenados. Debe así tenerse en cuenta que puede producirse inadvertidamente una comunicación de datos a terceros no amparada por lo contemplado en el artículo 6 del RPGD. Este riesgo se produce, por ejemplo, si se instalan aplicaciones en los teléfonos móviles que requieran el acceso a los datos obrantes en las mismas o cuando se produce un almacenamiento de las imágenes o de su copia en una nube (produciéndose así una comunicación de datos al proveedor del servicio de cloud computing), con el agravante de que en ocasiones la falta de transparencia de los desarrolladores de aplicaciones no permite conocer si se están produciendo accesos a los datos almacenados en los dispositivos. Por tanto, teniendo en cuenta los riesgos señalados debe considerarse que el uso de cámaras o móviles personales de los agentes no garantiza la seguridad de los datos, en tanto que los usos privados que cada agente pueda realizar con sus propios dispositivos no resultan compatibles con las medidas de seguridad que para el ejercicio de las funciones de policía judicial deben adoptarse por los responsables del fichero policial del que formarán parte tales grabaciones. Asimismo, en el caso de que se utilizasen dispositivos inteligentes que se hayan entregado con carácter oficial para su uso con fines policiales, éstos deberán adoptarse todas las precauciones para impedir accesos indebidos a los datos que con ellos se capten. En relación con la alegación referida al hecho de que la toma de fotografías como medio de reproducción de la imagen para reproducir datos relevantes para el proceso, como es la identificación del interesado para el inicio del expediente administrativo, ostenta la consideración de medio de prueba admitido en derecho, es preciso señalar que no se pone en duda esa consideración, pero en relación con las circunstancias concretas de este expediente, la finalidad de la toma es identificar al interesado a efectos de una posterior apertura, en su caso, de un expediente sancionador. Para ello basta con la exhibición del DNI y toma de datos por los agentes, sin que sea precisa la conservación posterior de la imagen. Se señala en el recurso asimismo que el uso de dispositivos privados fue temporal. A este respecto, lo cierto es que cuando ocurrieron los hechos, los agentes no utilizaban dispositivos corporativos, lo que, como se ha razonado, no permite entender cumplida la obligación de disponer de medidas técnicas y organizativas que garanticen la seguridad del tratamiento. Finalmente, si bien el RGPD y la LOPDGDD no recogen una prohibición expresa del uso de determinado tipo de dispositivos, como ya se ha razonado tanto en la resolución recurrida como en esta, el uso de móviles no corporativos no permite entender cumplido el requisito de seguridad en el tratamiento de los datos del art. 32 RGPD. III En consecuencia, en el presente recurso de reposición, el recurrente no ha aportado nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/5 Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por AYUNTAMIENTO DE OURENSE contra la resolución de esta Agencia Española de Protección de Datos dictada con fecha 3 de mayo de 2022, en el procedimiento sancionador PS/00596/2021. SEGUNDO: NOTIFICAR la presente resolución a la entidad AYUNTAMIENTO DE OURENSE. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), los interesados podrán interponer recurso contencioso-administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
- a)LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada LPACAP. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 180-050422 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es