1/7 Expediente Nº: TD/00215/2021 RESOLUCIÓN Nº: R/00629/2021 Vista la reclamación formulada ante esta Agencia por Doña A.A.A. (en adelante, la parte reclamante), contra la JUNTA DE CASTILLA Y LEÓN (en adelante, la parte reclamada), por no haber sido debidamente atendido su derecho de supresión. Realizadas las actuaciones procedimentales previstas en el Título VIII de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), se han constatado los siguientes HECHOS PRIMERO: La parte reclamante ejerció el derecho de acceso y supresión frente a la parte reclamada, sin que su solicitud haya recibido la contestación legalmente establecida. Por ello, presenta reclamación ante esta AEPD, con fecha 2 de enero de 2020. La causa directa de la incidencia se produce como consecuencia de la llamada efectuada por la parte reclamante al Servicio Telefónico de Información Administrativa 012 de la Junta de Castilla y León, el día 19 de noviembre de 2019, que fue atendido por el área 012 Mujer. Por la información proporcionada en la conversación la persona que la atendió, profesional especializada de la Sección 012 Mujer, entendió que existía una situación de peligro para su integridad física, al detectar la posibilidad de que podría intentar suicidarse, por lo que se vio obligada a activar el aviso al servicio de emergencias 112, tal como se establece en el Protocolo de actuación. Con fecha 27 de noviembre de 2019 la reclamante presentó escrito ante el Servicio de información Administrativa 012 de la Comunidad Autónoma de Castilla y León, que fue contestado por técnico responsable del Servicio en el sentido indicado anteriormente. Se actuó de acuerdo a lo establecido en la Resolución de 21 de octubre de 2013, de la Secretaría de Estado de Servicios Sociales e Igualdad del Ministerio de Sanidad, Servicios Sociales e Igualdad, por la que se publica el Convenio de Colaboración con la Comunidad de Castilla y León, para la prestación del servicio telefónico de información y asesoramiento a mujeres víctimas de violencia de género. Las llamadas de información general que se reciben en el 012 son grabadas con la única finalidad de realizar un control aleatorio de calidad. Pasados 4 meses se borran automáticamente. Los correos electrónicos, igualmente, se borran al año. Por tanto, en el momento del suceso el único dato que se transfirió al 112, con motivo de la comunicación de la situación de peligro detectada, fue el número de teléfono de la interesada, a partir del cual los servicios de emergencia gestionan lo que procede, según su protocolo y medios. Las llamadas atendidas por el O12 Mujer no son grabadas, porque así se establece en el Protocolo y, además, esté configurado técnicamente para que no se pueda grabar a voluntad de las personas profesionales que lo atienden. Estas personas están sujetas al deber de secreto profesional. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/7 Al constatarse que la actuación de la parte reclamada fue acorde a la normativa de protección de datos, se archivó la reclamación. SEGUNDO: La parte reclamante presentó recurso de reposición al no estar conforme con la resolución de archivo, que fue estimado, con fecha 14 de mayo de 2021. Como consecuencia de la estimación del recurso de reposición, se inició la presente tutela de derechos, dando traslado de la documentación a la parte reclamada para que presentase las alegaciones que estimase adecuadas. La parte reclamada presenta las alegaciones siguientes: “1. Con fecha 27 de noviembre de 2019 la interesada presentó escrito para ejercicio de los derechos de acceso, supresión y a no ser objeto de decisiones individuales automatizadas al amparo del Reglamento General de Protección de Datos (referencia E/02216/2020), dirigido al Servicio de Atención al Ciudadano 012 de la Administración de la Comunidad de Castilla y León, motivado por una llamada atendida por el 012 Mujer. 2. Con fecha 17 de diciembre de 2019 (registro de salida de 18 de diciembre), desde la Dirección General de Atención al Ciudadano y Calidad de los Servicios se contesta a la interesada. En el escrito se le comunica, de manera concisa y sencilla que, como consecuencia de los plazos de conservación de datos establecidos para el 012, el único dato personal objeto de tratamiento es su número de teléfono, que se accede a su derecho de supresión de datos personales (teléfono móvil) desde esa misma fecha, conforme a lo dispuesto en la legislación vigente, y que no ha sido objeto de decisiones basadas únicamente en actuaciones automatizadas. Se le informa asimismo que el único dato comunicado al Servicio de emergencias 1-1-2 fue el teléfono móvil. Además, se le informa de que dicho servicio de emergencias dispone de un procedimiento propio sobre protección de datos y el medio para acceder a él. 3. Con fecha 2 de enero de 2020, la interesada interpone reclamación ante la Agencia Española de Protección de Datos, que abre expediente, con número E/02216/2020, traslada la reclamación y solicita información al responsable del tratamiento o de su Delegado de Protección de Datos, conforme al mecanismo previo de admisión a trámite establecido en el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales. 4. En la respuesta a la solicitud de información remitida por la Delegada de Protección de Datos se manifiesta sustancialmente lo siguiente: Que la causa directa de la incidencia que originó la reclamación se produce como consecuencia de la llamada efectuada por la interesada al Servicio Telefónico de Información Administrativa 012 de la Junta de Castilla y León el día 19 de noviembre de 2019, que fue atendida por el área 012 Mujer, y la activación como consecuencia del contenido de dicha llamada de protocolo antisuicidio y la consiguiente derivación al servicio de emergencias 1-1-2. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/7 Que la derivación es consecuencia de una apreciación técnica de la persona profesional que atendió la llamada y se corresponde con lo que contempla el protocolo aplicable. Que las llamadas de información general se asignan de manera aleatoria a uno de los sesenta operadores que atienden el servicio. Estas llamadas son grabadas con la única finalidad de realizar un control aleatorio de calidad. Pasados 4 meses se borran automáticamente. Los correos electrónicos igualmente se borran al año. Por tanto, en el momento del suceso el único dato que se transfirió al 1-1-2, con motivo de la comunicación de la situación de peligro detectada, fue el número de teléfono de la interesada, a partir del cual los servicios de emergencia gestionan lo que procede, según su protocolo y medios. Que las llamadas atendidas por el 012 Mujer no son grabadas, porque así se establece en el Protocolo y, además, está configurado técnicamente para que no se pueda grabar a voluntad de las personas profesionales que lo atienden. Estas personas están sujetas al deber de secreto profesional. 5. Que, aun cuando no se ha podido acceder a la resolución recaída en el expediente, como consecuencia de los intentos efectuados de acceso a la misma, se tiene conocimiento de que la resolución fue de archivo de las actuaciones. No obstante, se reitera la petición de acceso a la misma y al escrito de contestación que admite a trámite con ref. 0067867/2020 a la que se refiere la interesada en la página 13 del anexo 1.” TERCERO: La parte reclamante presenta escrito en esta Agencia en el que indica que no ha recibido contestación del Área de la Mujer 012 al ejercicio de supresión ejercido. FUNDAMENTOS DE DERECHO PRIMERO: Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el apartado 2 del artículo 56 en relación con el apartado 1
- f)del artículo 57, ambos del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016 relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (en lo sucesivo, RGPD); y en el artículo 47 de la LOPDGDD. SEGUNDO: De conformidad con lo establecido en el artículo 55 del RGPD, la Agencia Española de Protección de Datos es competente para desempeñar las funciones que se le asignan en su artículo 57, entre ellas, la de hacer aplicar el Reglamento y promover la sensibilización de los responsables y los encargados del tratamiento acerca de las obligaciones que les incumben, así como tratar las reclamaciones presentadas por un interesado e investigar el motivo de las mismas. Correlativamente, el artículo 31 del RGPD establece la obligación de los responsables y encargados del tratamiento de cooperar con la autoridad de control que lo solicite en el desempeño de sus funciones. Para el caso de que éstos hayan designado un delegado de protección de datos, el artículo 39 del RGPD atribuye a éste la función de cooperar con dicha autoridad. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/7 La apertura de este procedimiento es motivado por la estimación del recurso de reposición por la falta de atención de una solicitud de ejercicio de los derechos establecidos en los artículos 15 a 22 del RGPD, regulado en el artículo 64.1 de la LOPDGDD, según el cual: “1. Cuando el procedimiento se refiera exclusivamente a la falta de atención de una solicitud de ejercicio de los derechos establecidos en los artículos 15 a 22 del Reglamento (UE) 2016/679, se iniciará por acuerdo de admisión a trámite, que se adoptará conforme a lo establecido en el artículo siguiente. En este caso el plazo para resolver el procedimiento será de seis meses a contar desde la fecha en que hubiera sido notificado al reclamante el acuerdo de admisión a trámite. Transcurrido ese plazo, el interesado podrá considerar estimada su reclamación”. No se estima oportuna la depuración de responsabilidades administrativas en el marco de un procedimiento sancionador, cuyo carácter excepcional implica que se opte, siempre que sea posible, por la prevalencia de mecanismos alternativos que tengan amparo en la normativa vigente. Es competencia exclusiva de esta Agencia valorar si existen responsabilidades administrativas que deban ser depuradas en un procedimiento sancionador y, en consecuencia, la decisión sobre su apertura, no existiendo obligación de iniciar un procedimiento ante cualquier petición realizada por un tercero. Tal decisión ha de basarse en la existencia de elementos que justifiquen dicho inicio de la actividad sancionadora, circunstancias que no concurren en el presente caso, considerando que con el presente procedimiento quedan debidamente restauradas las garantías y derechos del reclamante. TERCERO: Los derechos de las personas en materia de protección de datos personales están regulados en los artículos 15 a 22 del RGPD y 13 a 18 de la LOPDGDD. Se contemplan los derechos de acceso, rectificación, supresión, oposición, derecho a la limitación del tratamiento y derecho a la portabilidad. Los aspectos formales relativos al ejercicio de esos derechos se establecen en los artículos 12 del RGPD y 12 de la LOPDGDD. Se tiene en cuenta, además, lo expresado en los Considerandos 59 y siguientes del RGPD. De conformidad con lo dispuesto en estas normas, el responsable del tratamiento debe arbitrar fórmulas y mecanismos para facilitar al interesado el ejercicio de sus derechos, que serán gratuitas (sin perjuicio de lo dispuesto en los artículos 12.5 y 15.3 del RGPD), y viene obligado a responder las solicitudes formuladas a más tardar en un mes, salvo que pueda demostrar que no está en condiciones de identificar al interesado, y a expresar sus motivos en caso de que no fuera a atender dicha solicitud. Recae sobre el responsable la prueba del cumplimiento del deber de responder a la solicitud de ejercicio de sus derechos formulada por el afectado. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/7 La comunicación que se dirija al interesado con ocasión de su solicitud deberá expresarse en forma concisa, transparente, inteligible y de fácil acceso, con un lenguaje claro y sencillo. Tratándose del derecho de acceso a los datos personales, de acuerdo con lo establecido en el artículo 13 de la LOPDGDD, cuando el ejercicio del derecho se refiera a una gran cantidad de datos, el responsable podrá solicitar al afectado que especifique los “datos o actividades de tratamiento a los que se refiere la solicitud”. El derecho se entenderá otorgado si el responsable facilita un acceso remoto a los datos, teniéndose por atendida la solicitud (si bien el interesado podrá solicitar la información referida a los extremos previstos en el artículo 15 del RGPD). El ejercicio de este derecho se podrá considerar repetitivo en más de una ocasión durante el plazo de seis meses, a menos que exista causa legítima para ello. Por otra parte, la solicitud será considerada excesiva cuando el afectado elija un medio distinto al que se le ofrece que suponga un coste desproporcionado, que deberá ser asumido por el afectado. CUARTO: El artículo 17 del RGPD, que regula el derecho de supresión de los datos personales, establece lo siguiente: “1. El interesado tendrá derecho a obtener sin dilación indebida del responsable del tratamiento la supresión de los datos personales que le conciernan, el cual estará obligado a suprimir sin dilación indebida los datos personales cuando concurra alguna de las circunstancias siguientes:
- a)los datos personales ya no sean necesarios en relación con los fines para los que fueron recogidos o tratados de otro modo;
- b)el interesado retire el consentimiento en que se basa el tratamiento de conformidad con el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), y este no se base en otro fundamento jurídico;
- c)el interesado se oponga al tratamiento con arreglo al artículo 21, apartado 1, y no prevalezcan otros motivos legítimos para el tratamiento, o el interesado se oponga al tratamiento con arreglo al artículo 21, apartado 2;
- d)los datos personales hayan sido tratados ilícitamente;
- e)los datos personales deban suprimirse para el cumplimiento de una obligación legal establecida en el Derecho de la Unión o de los Estados miembros que se aplique al responsable del tratamiento;
- f)los datos personales se hayan obtenido en relación con la oferta de servicios de la sociedad de la información mencionados en el artículo 8, apartado 1. 2. Cuando haya hecho públicos los datos personales y esté obligado, en virtud de lo dispuesto en el apartado 1, a suprimir dichos datos, el responsable del tratamiento, teniendo en cuenta la tecnología disponible y el coste de su aplicación, adoptará medidas razonables, incluidas medidas técnicas, con miras a informar a los responsables que estén tratando los datos personales de la solicitud del interesado de supresión de cualquier enlace a esos datos personales, o cualquier copia o réplica de los mismos. 3. Los apartados 1 y 2 no se aplicarán cuando el tratamiento sea necesario: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/7
- a)para ejercer el derecho a la libertad de expresión e información;
- b)para el cumplimiento de una obligación legal que requiera el tratamiento de datos impuesta por el Derecho de la Unión o de los Estados miembros que se aplique al responsable del tratamiento, o para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable;
- c)por razones de interés público en el ámbito de la salud pública de conformidad con el artículo 9, apartado 2, letras
- h)e i), y apartado 3;
- d)con fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos, de conformidad con el artículo 89, apartado 1, en la medida en que el derecho indicado en el apartado 1 pudiera hacer imposible u obstaculizar gravemente el logro de los objetivos de dicho tratamiento, o
- e)para la formulación, el ejercicio o la defensa de reclamaciones”. QUINTO: En el supuesto aquí analizado, la parte reclamante ejercitó su derecho de acceso y de supresión, y si bien se archivó la reclamación en un primer momento, posteriormente se estimó el recurso de reposición interpuesto por la parte reclamante y se inició la tramitación de este procedimiento de tutela de derechos. La entidad reclamada no ha atendido la solicitud de la parte reclamante pues ha contestado que ya atendió la solicitud recibida en su día. Ha vuelto a explicar detalladamente los datos obtenidos y tratados de la parte reclamante y la supresión efectuada. Las normas antes citadas no permiten que pueda obviarse la solicitud como si no se hubiera planteado, dejándola sin la respuesta que obligatoriamente deberán emitir los responsables, aún en el supuesto de que no existan datos del interesado en los ficheros de la entidad o incluso en aquellos supuestos en los que no reuniera los requisitos previstos, en cuyo caso el destinatario de dicha solicitud viene igualmente obligado a requerir la subsanación de las deficiencias observadas o, en su caso, denegar la solicitud motivadamente indicando las causas por las que no procede considerar el derecho de que se trate. El derecho de supresión si fue contestado a la parte reclamante (ella misma aporta la copia en su reclamación), indicándole que se suprimía, pasando a ser bloqueados durante el plazo necesario durante el que se pueden exigir responsabilidades. En cuanto al derecho de acceso, no puede entenderse atendido ya que solo contestan a la parte reclamante que el único dato tratado es el teléfono, pero no informan de los apartados que se recogen en el artículo 15 del RGPD y en el artículo13 de la LOPDGDD, referidos a la finalidad del tratamiento, categorías de datos, cesionarios… Por tanto, la solicitud que se formule obliga al responsable a dar respuesta expresa y completa, en todo caso, empleando para ello cualquier medio que justifique la recepción de la contestación. Dado que no se ha aportado copia de la necesaria comunicación que debe dirigir a la parte reclamante informándole sobre la decisión que haya adoptado a propósito de la solicitud de ejercicio de derechos, procede estimar la reclamación que originó el presente procedimiento, para que le dirija contestación expresa a la parte reclamante de los aspectos facilitados a esta Agencia, y en particular sobre los datos del Área de la Mujer 012. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/7 Por último, si la parte reclamante quiere solicitar la supresión de sus datos por parte de los responsables del 112, deberá dirigirse de forma expresa a ellos. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: ESTIMAR la reclamación formulada por Doña A.A.A. e instar a la JUNTA DE CASTILLA Y LEÓN, con NIF S4711001J, para que, en el plazo de los diez días hábiles siguientes a la notificación de la presente resolución, remita a la parte reclamante certificación en la que haga constar que ha atendido el derecho de acceso solicitado o se deniegue motivadamente indicando las causas por las que no procede atender la petición, de conformidad con lo establecido en el cuerpo de la presente resolución. Las actuaciones realizadas como consecuencia de la presente Resolución deberán ser comunicadas a esta Agencia en idéntico plazo. El incumplimiento de esta resolución podría comportar la comisión de la infracción considerada en el artículo 72.1.
- m)de la LOPDGDD, que se sancionará, de acuerdo con el art. 58.2 del RGPD. SEGUNDO: NOTIFICAR la presente resolución a Doña A.A.A. y a la JUNTA DE CASTILLA Y LEÓN. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 1195-180321 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es