1/6 Expediente Nº: TD/00166/2021 RESOLUCIÓN Nº: R/00619/2021 Vista la reclamación formulada el 3 de junio de 2021 ante esta Agencia por Don A.A.A., contra la DIRECCIÓN GENERAL DE LA GUARDIA CIVIL, por no haber sido debidamente atendido su derecho de acceso. Realizadas las actuaciones procedimentales previstas en el Título VIII de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), se han constatado los siguientes: HECHOS PRIMERO: Don A.A.A. (en adelante, la parte reclamante) ejerció derecho de acceso frente a la la DIRECCIÓN GENERAL DE LA GUARDIA CIVIL, con NIF S2816003D (en adelante, la parte reclamada), sin que su solicitud haya recibido la contestación legalmente establecida. El reclamante pone de manifiesto que, con fecha 22 de enero de 2021, solicitó ante la parte reclamada acceso a sus datos y específicamente a los contenidos en el fichero FGDO-T03 al que se accede a través del sistema informático SINVES - Aquila, no habiendo recibido respuesta. solicitud remitida a través de registro electrónico. SEGUNDO: Trasladadas sucesivamente la reclamación y los escritos de descargos que se produjeron en la tramitación del presente expediente, y por lo que a efectos de la resolución de la presente reclamación interesa, se realizaron, en síntesis, las siguientes alegaciones: La parte reclamada señaló, en síntesis, lo siguiente: La LOPDGDD establece en la Disposición transitoria cuarta que; Los tratamientos sometidos a la Directiva (UE) 2016/680 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales por parte de las autoridades competentes para fines de prevención, investigación, detección o enjuiciamiento de infracciones penales o de ejecución de sanciones penales, y a la libre circulación de dichos datos y por la que se deroga la Decisión Marco 2008/977/JAI del Consejo, continuarán rigiéndose por la Ley Orgánica 15/1999, de 13 de diciembre, y en particular el artículo 22, y sus disposiciones de desarrollo, en tanto no entre en vigor la norma que trasponga al Derecho español lo dispuesto en la citada directiva.” A la fecha de la solicitud no se había incorporado la Directiva a nuestro ordenamiento jurídico, siendo aplicable, por tanto, la Ley Orgánica de 1999, en cuyo artículo 2.2 indica lo siguiente: “2. El régimen de protección de los datos de carácter personal que se establece en la presente Ley Orgánica no será de aplicación: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/6 (…)
- c)A los ficheros establecidos para la investigación del terrorismo y de formas graves de delincuencia organizada. No obstante, en estos supuestos el responsable del fichero comunicará previamente la existencia del mismo, sus características generales y su finalidad a la Agencia de Protección de Datos. En fecha 3 de marzo de 2005, se procedió a notificar por la parte reclamada el fichero FGDO-T03. Al no ser aplicable la Ley Orgánica 15/1999, tampoco es aplicable el ejercicio del derecho de acceso. Trasladadas las alegaciones de la parte reclamada a la parte reclamante que alega que la parte reclamada sitúa la primera comunicación en el mes de abril de 2021, firmándola ese día y no el 29 de mayo de 2021, para eludir la aplicación de la Ley 7/2021 que tiene fecha de 26 de mayo de 2021, por la que ya sería aplicable el RGPD. Trasladadas las alegaciones de la parte reclamante a la parte reclamada, indica que se produjo un error en la fecha de firma de la contestación a la Agencia y se puso abril en vez de mayo; pero esto no cambia la situación de aplicabilidad de la Ley Orgánica de protección de datos de 1999, ya que su solicitud es del mes de enero de 2021. FUNDAMENTOS DE DERECHO PRIMERO: Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el apartado 2 del artículo 56 en relación con el apartado 1
- f)del artículo 57, ambos del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016 relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (en lo sucesivo, RGPD); y en el artículo 47 de la LOPDGDD. SEGUNDO: La Disposición transitoria cuarta de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales, dispone que: “Los tratamientos sometidos a la Directiva (UE) 2016/680 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales por parte de las autoridades competentes para fines de prevención, investigación, detección o enjuiciamiento de infracciones penales, y a la libre circulación de dichos datos y por la que se deroga la Decisión Marco 2008/977/JAI del Consejo, continuarán rigiéndose por la Ley Orgánica 15/1999, de 13 de diciembre, y en particular el artículo 22, y sus disposiciones de desarrollo, en tanto no entre en vigor la norma que trasponga al Derecho español lo dispuesto en la citada directiva.” TERCERO: El artículo 15 de la LOPD dispone que “1.- El interesado tendrá derecho a solicitar y obtener gratuitamente información de sus datos de carácter personal sometidos a tratamiento, el origen de dichos datos, así como las comunicaciones realizadas o que se prevén hacer de los mismos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/6 2.- La información podrá obtenerse mediante la mera consulta de los datos por medio de su visualización, o la indicación de los datos que son objeto de tratamiento mediante escrito, copia, telecopia o fotocopia, certificada o no, en forma legible e inteligible, sin utilizar claves o códigos que requieran el uso de dispositivos mecánicos específicos. 3.- El derecho de acceso a que se refiere este artículo sólo podrá ser ejercitado a intervalos no inferiores a doce meses, salvo que el interesado acredite un interés legítimo al efecto, en cuyo caso podrán ejercitarlo antes.” CUARTO: El artículo 27 del Reglamento de la LOPD aprobado por el Real Decreto 1720/2007, de 21 de diciembre (en lo sucesivo Reglamento de la LOPD), regula el derecho de acceso en los siguientes términos: "1. El derecho de acceso es el derecho del afectado a obtener información sobre si sus propios datos de carácter personal están siendo objeto de tratamiento, la finalidad del tratamiento que, en su caso, se está realizando, así como la información disponible sobre el origen de dichos datos y las comunicaciones realizadas o previstas de los mismos. 2. En virtud del derecho de acceso el afectado podrá obtener del responsable del tratamiento información relativa a datos concretos, a datos incluidos en un determinado fichero, o a la totalidad de sus datos sometidos a tratamiento. No obstante, cuando razones de especial complejidad lo justifiquen, el responsable del fichero podrá solicitar del afectado la especificación de los ficheros respecto de los cuales quiera ejercitar el derecho de acceso, a cuyo efecto deberá facilitarle una realización una relación de todos ellos. 3. El derecho de acceso es independiente del que otorgan a los afectados las leyes especiales y en particular la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común." QUINTO: El artículo 22 de la LOPD dispone: “1. Los ficheros creados por las Fuerzas y Cuerpos de Seguridad que contengan datos de carácter personal que, por haberse recogido para fines administrativos, deban ser objeto de registro permanente, estarán sujetos al régimen general de la presente Ley. 2. La recogida y tratamiento para fines policiales de datos de carácter personal por las Fuerzas y Cuerpos de Seguridad sin consentimiento de las personas afectadas están limitados a aquellos supuestos y categorías de datos que resulten necesarios para la prevención de un peligro real para la seguridad pública o para la represión de infracciones penales, debiendo ser almacenados en ficheros específicos establecidos al efecto, que deberán clasificarse por categorías en función de su grado de fiabilidad. 3. La recogida y tratamiento por las Fuerzas y Cuerpos de Seguridad de los datos, a que hacen referencia los apartados 2 y 3 del artículo 7, podrán realizarse exclusivamente en los supuestos en que sea absolutamente necesario para los fines de una investigación concreta, sin perjuicio del control de legalidad de la actuación administrativa o de la obligación de resolver las pretensiones formuladas en su caso C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/6 por los interesados que corresponden a los órganos jurisdiccionales. 4. Los datos personales registrados con fines policiales se cancelarán cuando no sean necesarios para las averiguaciones que motivaron su almacenamiento. A estos efectos, se considerará especialmente la edad del afectado y el carácter de los datos almacenados, la necesidad de mantener los datos hasta la conclusión de una investigación o procedimiento concreto, la resolución judicial firme, en especial la absolutoria, el indulto, la rehabilitación y la prescripción de responsabilidad.” SEXTO: El artículo 23.1 de la LOPD establece que: “1. Los responsables de los ficheros que contengan los datos a que se refieren los apartados 2, 3 y 4 del artículo anterior podrán denegar el acceso, la rectificación o cancelación en función de los peligros que pudieran derivarse para la defensa del Estado o la seguridad pública, la protección de los derechos y libertades de terceros o las necesidades de las investigaciones que se estén realizando. 2. Los responsables de los ficheros de la Hacienda Pública podrán, igualmente, denegar el ejercicio de los derechos a que se refiere el apartado anterior cuando el mismo obstaculice las actuaciones administrativas tendentes a asegurar el cumplimiento de las obligaciones tributarias y, en todo caso, cuando el afectado esté siendo objeto de actuaciones inspectoras. 3. El afectado al que se deniegue, total o parcialmente, el ejercicio de los derechos mencionados en los apartados anteriores podrá ponerlo en conocimiento del Director de la Agencia de Protección de Datos o del organismo competente de cada Comunidad Autónoma en el caso de ficheros mantenidos por Cuerpos de Policía propios de éstas, o por las Administraciones tributarias autonómicas, quienes deberán asegurarse de la procedencia o improcedencia de la denegación.” SÉPTIMO: En el supuesto aquí analizado, queda acreditado que la parte reclamante ejercitó su derecho de acceso ante la parte reclamada, y que, trascurrido el plazo establecido conforme a las normas antes señaladas, su solicitud no obtuvo la respuesta legalmente exigible. Antes de entrar en las cuestiones planteadas, cabe señalar que, en cuanto a la regulación de ficheros y régimen jurídico, el articulo 2 segundo párrafo de la Orden INT/12P2/2011, de cuatro de mayo, por la que se regulan los ficheros de datos de carácter personal del Ministerio del Interior, recoge que: “Tales ficheros estarán sometidos al ámbito de aplicación de la Ley Orgánica 15/1999, de 13 de diciembre, así como a su Reglamento de desarrollo.” Esta Agencia ha consultado la mencionada Orden y el fichero “FGDO-T03” no figura en la relación de esta Orden Ministerial, asimismo, el artículo 2 de la LOPD recoge que: “2. El régimen de protección de los datos de carácter personal que se establece en la presente Ley Orgánica no será de aplicación” y en su apartado c, señala que: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/6 “
- c)A los ficheros establecidos para la investigación del terrorismo y de formas graves de delincuencia organizada. No obstante, en estos supuestos el responsable del fichero comunicará previamente la existencia del mismo, sus características generales y su finalidad a la Agencia de Protección de Datos” Por otro lado, hay que señalar que la Ley 7/2021, de 26 de mayo, de protección de datos personales tratados para fines de prevención, detección, investigación y enjuiciamiento de infracciones penales y de ejecución de sanciones penales, publicada en el BOE del día siguiente, establece en su Disposición final duodécima, referida a la entrada en vigor de la misma lo siguiente: “Esta Ley Orgánica entrará en vigor a los veinte días de su publicación en el «Boletín Oficial del Estado». No obstante, las previsiones contenidas en el capítulo IV producirán efectos a los seis meses de la entrada en vigor de la Ley Orgánica.” Una vez iniciado este procedimiento, la reclamada ha remitido en la fase de alegaciones, la respuesta al derecho de acceso al reclamante, explicando motivadamente porque no era aplicable la normativa de protección de datos. No obstante, no cabe aceptar que la respuesta que corresponda realizar pueda manifestarse con ocasión de un mero trámite administrativo, como es la formulación de alegaciones con motivo de la reclamación, iniciado precisamente por no atender debidamente la solicitud en cuestión. Por consiguiente, la normativa de protección de datos, referenciada en los Fundamentos de Derecho anteriores, establece la obligación de contestar a los reclamantes de forma expresa, aún en el supuesto de que no existan datos del interesado en los ficheros de la entidad o que le indique las causa por las que no procede considerar el acceso solicitado. La parte reclamada no ha contestado a la parte reclamante motivando la denegación del derecho de acceso solicitado Por todo ello, procede estimar la reclamación que originó el presente procedimiento. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: ESTIMAR la reclamación formulada por Don A.A.A. e instar a la DIRECCIÓN GENERAL DE LA GUARDIA CIVIL con NIF S2816003D, para que, en el plazo de los diez días hábiles siguientes a la notificación de la presente resolución, remita a la parte reclamante certificación en la que se atienda el derecho de acceso solicitado o se deniegue motivadamente indicando las causas por las que no procede atender la petición, de conformidad con lo establecido en el cuerpo de la presente resolución. Las actuaciones realizadas como consecuencia de la presente Resolución deberán ser comunicadas a esta Agencia en idéntico plazo. El incumplimiento de esta resolución podría comportar la comisión de la infracción considerada en el artículo 72.1.
- m)de la LOPDGDD, que se sancionará, de acuerdo con el art. 58.2 del RGPD. SEGUNDO: NOTIFICAR la presente resolución a Don A.A.A., y a la DIRECCIÓN GENERAL DE LA GUARDIA CIVIL. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/6 De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 1037-180321 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es