1/8 Expediente Nº: TD/01644/2013 RESOLUCIÓN Nº.: R/02738/2013 Vista la reclamación formulada el 30 de julio de 2013 ante esta Agencia por Dª A.A.A. contra Dirección General de Telecomunicaciones y Nuevas Tecnologías de la Comunidad Autónoma de Canarias, por no haber sido debidamente atendido su derecho de cancelación. HECHOS PRIMERO: Con fecha 26 de junio de 2013 Dª A.A.A. (en lo sucesivo, la reclamante) ejerció derecho de cancelación de sus datos personales del Sistema de Verificación de Datos ante Dirección General de Telecomunicaciones y Nuevas Tecnologías de la Comunidad Autónoma de Canarias (en lo sucesivo, DG Telecomunicaciones y Nuevas Tecnologías). Este organismo le remitió un escrito en el que le informaban que «En contestación a su solicitud de ‘cancelación de los datos personales, en el Sistema de Verificación de Datos, manteniéndose en los departamentos que he dado mi conformidad”, con fecha de entrada en este centro directivo el pasado 1 de julio de 2013, registro de entrada CPJI 62460, procede informarle que no podemos proceder a la cancelación de los datos correspondientes al servicio de verificación de datos, ya que son titulandad de la Dirección General de Policía. La Administración Pública de la Comunidad Autónoma de Canarias, en adelante APCAC, tiene acceso a dichos datos de forma intermedia a través de un servicio cuyo responsable y titular es el Ministerio de Hacienda y Administraciones Públicas, y para cuyo acceso y consulta por parte de la APCAC requiere el consentimiento expreso del ciudadano, de conformidad con el artículo 6 de la Ley Orgánica 15/1 999, de 13 de diciembre, de Protección de Datos de Carácter Personal, en adelante LOPD. Confirmarle que la APCAC sólo accede y accederá a sus datos en aquellos casos en los cuales haya dado su consentimiento expreso. Igualmente confirmarle que si lo que solicita es que la APCAC, de forma general, no tenga acceso a sus datos a través del servicio de verificación de sus datos, la solicitud deberá dirigirla al Ministerio de Hacienda y Administraciones Públicas que es quien ofrece el servicio a esta Administración y al resto de Administraciones Públicas. Si por el contrario lo que solicita es la cancelación de sus datos, la solicitud deberá dirigirla a la Dirección General de Policía como órgano titular y responsable de los mismos.» SEGUNDO: Con fecha 30 de julio de 2013 tuvo entrada en esta Agencia reclamación contra DG Telecomunicaciones y Nuevas Tecnologías por no haber sido debidamente atendido su derecho de cancelación, al interpretar la reclamante que éste es el organismo responsable del fichero. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/8 FUNDAMENTOS DE DERECHO PRIMERO: Es competente para resolver el Director de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.
- d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). SEGUNDO: El artículo 18.1 de la LOPD señala que: “Las actuaciones contrarias a lo dispuesto en la presente Ley pueden ser objeto de reclamación por los afectados ante la Agencia Española de Protección de Datos, en la forma que reglamentariamente se determine”. TERCERO: El artículo 16 de la LOPD dispone que “1. El responsable del tratamiento tendrá la obligación de hacer efectivo el derecho de rectificación o cancelación del interesado en el plazo de diez días. 2. Serán rectificados o cancelados, en su caso, los datos de carácter personal cuyo tratamiento no se ajuste a lo dispuesto en la presente Ley y, en particular, cuando tales datos resulten inexactos o incompletos. 3. La cancelación dará lugar al bloqueo de los datos, conservándose únicamente a disposición de las Administraciones públicas, Jueces y Tribunales, para la atención de las posibles responsabilidades nacidas del tratamiento, durante el plazo de prescripción de éstas. Cumplido el citado plazo deberá procederse a la supresión. 4. Si los datos rectificados o cancelados hubieran sido comunicados previamente, el responsable del tratamiento deberá notificar la rectificación o cancelación efectuada a quien se hayan comunicado, en el caso de que se mantenga el tratamiento por este último, que deberá también proceder a la cancelación. 5. Los datos de carácter personal deberán ser conservados durante los plazos previstos en las disposiciones aplicables o, en su caso, en las relaciones contractuales entre la persona o entidad responsable del tratamiento y el interesado.” CUARTO: El artículo 32.2 y 3 del Reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 de diciembre (en lo sucesivo, RLOPD) determina que: “2. El responsable del fichero resolverá sobre la solicitud de rectificación o cancelación en el plazo máximo de diez días a contar desde la recepción de la solicitud. Transcurrido el plazo sin que de forma expresa se responda a la petición, el interesado podrá interponer la reclamación prevista en el artículo 18 de la Ley Orgánica 15/1999, de 13 de diciembre. En el caso de que no disponga de datos de carácter personal del afectado deberá igualmente comunicárselo en el mismo plazo. 3. Si los datos rectificados o cancelados hubieran sido cedidos previamente, el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/8 responsable del fichero deberá comunicar la rectificación o cancelación efectuada al cesionario, en idéntico plazo, para que éste, también en el plazo de diez días contados desde la recepción de dicha comunicación, proceda, asimismo, a rectificar o cancelar los datos. La rectificación o cancelación efectuada por el cesionario no requerirá comunicación alguna al interesado, sin perjuicio del ejercicio de los derechos por parte de los interesados reconocidos en la Ley Orgánica 15/1999, de 13 de diciembre.” QUINTO: El artículo 25 del RLOPD determina: “1. Salvo en el supuesto referido en el párrafo 4 del artículo anterior, el ejercicio de los derechos deberá llevarse a cabo mediante comunicación dirigida al responsable del fichero, que contendrá:
- a)Nombre y apellidos del interesado; fotocopia de su documento nacional de identidad, o de su pasaporte u otro documento válido que lo identifique y, en su caso, de la persona que lo represente, o instrumentos electrónicos equivalentes; así como el documento o instrumento electrónico acreditativo de tal representación. La utilización de firma electrónica identificativa del afectado eximirá de la presentación de las fotocopias del DNI o documento equivalente. El párrafo anterior se entenderá sin perjuicio de la normativa específica aplicable a la comprobación de datos de identidad por las Administraciones Públicas en los procedimientos administrativos.
- b)Petición en que se concreta la solicitud.
- c)Dirección a efectos de notificaciones, fecha y firma del solicitante.
- d)Documentos acreditativos de la petición que formula, en su caso. 2. El responsable del tratamiento deberá contestar la solicitud que se le dirija en todo caso, con independencia de que figuren o no datos personales del afectado en sus ficheros. 3. En el caso de que la solicitud no reúna los requisitos especificados en el apartado primero, el responsable del fichero deberá solicitar la subsanación de los mismos. 4. La respuesta deberá ser conforme con los requisitos previstos para cada caso en el presente título. 5. Corresponderá al responsable del tratamiento la prueba del cumplimiento del deber de respuesta al que se refiere el apartado 2, debiendo conservar la acreditación del cumplimiento del mencionado deber…” SEXTO: En el supuesto aquí analizado, ha quedado acreditado que la reclamante ejercitó su derecho de cancelación en el Sistema de Verificación de Datos ante la entidad demandada, y que, dentro del plazo establecido conforme a las normas antes C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/8 señaladas, su solicitud obtuvo la respuesta legalmente exigible, denegando la cancelación solicitada al no ser el responsable del fichero. Por todo ello procede inadmitir la reclamación que originó el presente procedimiento de tutela de derechos. En cuanto a la interpretación de la reclamante sobre quién es el responsable del fichero y sus dudas sobre el uso que se hará de los datos contenidos en ese fichero, dichas cuestiones fueron analizadas en el Informe Jurídico 0052/2009 de esta Agencia: «La consulta plantea si con motivo de la incorporación de la información cedida por la Administración General del Estado, en el marco de lo previsto en el artículo 9 de la Ley 11/2007, de 22 de junio, de acceso electrónico de los ciudadanos a los Servicios Públicos, a la aplicación informática con que se gestionan la mayoría de los procedimientos administrativos de la Consejería consultante, es preciso declarar los ficheros que contengan dicha información cedida, y si ésta puede utilizarse como fuente siempre que medie consentimiento de los ciudadanos. La finalidad es que dicha información pueda utilizarse de forma simultánea o sucesiva en todos los procedimientos, que a instancia de un mismo interesado, se gestionen en el plazo de tiempo correspondiente a la validez del documento que se consulta, evitando realizar consultas en paralelo por distintos órganos gestores. El artículo 6.2.b de la Ley 11/2007 reconoce a los ciudadanos el derecho a “no aportar los datos y documentos que obren en poder de las Administraciones Públicas, las cuales utilizarán medios electrónicos para recabar dicha información siempre que, en el caso de datos de carácter personal, se cuente con el consentimiento de los interesados en los términos establecidos por la Ley Orgánica 15/1999, de Protección de Datos de Carácter Personal, o una norma con rango de Ley así lo determine, salvo que existan restricciones conforme a la normativa de aplicación a los datos y documentos recabados. El citado consentimiento podrá emitirse y recabarse por medios electrónicos.” Por su parte el artículo 9.1 de la misma Ley 11/2007 prevé en relación con las transmisiones de datos entre Administraciones públicas lo siguiente: “Para un eficaz ejercicio del derecho reconocido en el apartado 6.2.b, cada Administración deberá facilitar el acceso de las restantes Administraciones Públicas a los datos relativos a los interesados que obren en su poder y se encuentren en soporte electrónico, especificando las condiciones, protocolos y criterios funcionales o técnicos necesarios para acceder a dichos datos con las máximas garantías de seguridad, integridad y disponibilidad, de conformidad con lo dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal y su normativa de desarrollo.” En aplicación de lo previsto en la Ley antes citada se firmó con fecha 3 de julio de 2007 (publicado en el B.O.E. por Resolución de 5 de julio de 2007, de la Secretaria General para la Administración Pública) un convenio de colaboración entre la Junta de Andalucía y el Ministerio de Administraciones públicas que permite a esta Comunidad Autónoma acceder a los servicios ofrecidos por el Ministerio de Administraciones Públicas para la verificación por vía electrónica de los datos de identidad y residencia de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/8 los ciudadanos que expresamente lo autoricen, a fin de evitar que tengan que aportar la fotocopia de documentos de identidad o el certificado de empadronamiento como documento probatorio del domicilio y residencia cuando dichos documentos obran en poder de las Administraciones. La verificación por vía electrónica de los datos de identidad y residencia viene regulada en la ORDEN PRE/3949/2006, de 26 de diciembre, por la que se establece la configuración, características, requisitos y procedimientos de acceso al Sistema de Verificación de Datos de Identidad y en la ORDEN PRE/4008/2006, de 27 de diciembre, por la que se establece la configuración, características, requisitos y procedimientos de acceso al Sistema de Verificación de Datos de Residencia, en desarrollo, respectivamente, de los Reales Decretos 522/2006, de 28 de abril y 523/2006, de la misma fecha. Señala la ORDEN PRE/3949/2006 que los objetivos de dicha norma son, por un lado, suprimir la obligación de presentar fotocopias de los documentos acreditativos de identidad en todos los trámites administrativos, pudiendo sustituirse dicha fotocopia, en aquellos supuestos donde la constancia de los datos fuese imprescindible, por una consulta telemática a la Dirección General de la Policía y de la Guardia Civil de forma directa o diferida. En este sentido, el número primero del Reglamento técnico del Sistema de Verificación de Datos de identidad aprobado por la aludida ORDEN PRE/3949/2006, describe el sistema disponiendo que “El Sistema de Verificación de Datos de Identidad puesto a disposición de los Departamentos y Organismos de la Administración General del Estado por parte del Ministerio de Administraciones Públicas se establece como servicio horizontal para la consulta y comprobación de los datos del Documento de Identificación del Ciudadano custodiados por la Dirección General de la Policía y de la Guardia Civil en base a lo dispuesto en la Ley Orgánica 2/1986, de 13 de marzo, de Fuerzas y Cuerpos de Seguridad, que atribuye al Cuerpo Nacional de Policía, la función de expedición del Documento Nacional de Identidad y el control de entrada y salida del territorio nacional de españoles y extranjeros. Información que se encuentra registrada y custodiada en los ficheros de la Dirección General de la Policía y de la Guardia Civil, que soportan la gestión del documento nacional de identidad y la Tarjeta de Identificación de Extranjeros (Sus denominaciones, conforme a las Órdenes INT/1751/2002, de 20 de junio e INT/2190/2006, de 19 de junio, son ADDNIFIL y ADEXTTRA, respectivamente).” Por su parte la ORDEN PRE/4008/2006 señala que los objetivos de dicha norma son, por un lado, no exigir a quien tenga la condición de interesado en los procedimientos, la aportación del certificado de empadronamiento como documento acreditativo del domicilio y residencia; y de otro, sustituir, en los procedimientos para cuya tramitación sea imprescindible acreditar de modo fehaciente los datos del domicilio y residencia del interesado, la presentación de documento acreditativo por una consulta electrónica mediante un Sistema de Verificación de Datos de Residencia puesto a disposición de los organismos de la Administración General del Estado por parte del Ministerio de Administraciones Públicas y el Instituto Nacional de Estadística dependiente del Ministerio de Economía y Hacienda. Igualmente el número primero del Reglamento Técnico del Sistema de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/8 Verificación de Datos de Residencia, efectúa una descripción de éste conforme al cual “El Sistema de Verificación de Datos de Residencia puesto a disposición de los Departamentos y Organismos de la Administración General del Estado por parte del Ministerio de Administraciones Públicas se establece como servicio horizontal para la consulta y comprobación de los datos sobre residencia de los ciudadanos mediante el acceso a los Padrones municipales coordinados por el Instituto Nacional de Estadística, en base a lo dispuesto en la Ley 7/1985, de 2 de abril, reguladora de las Bases de Régimen Local, en relación con el Padrón Municipal, en la que se atribuye al Instituto Nacional de Estadística, entre otras, la función de coordinación de los distintos padrones municipales. Ésta información se encuentra registrada y custodiada en los ficheros del Instituto Nacional de Estadística registrados en la Agencia de Protección de Datos con la denominación «PADRONES MUNICIPALES»,conforme a la Orden ECO/143/2002, de 10 de enero, publicada en el BOE 26, de 30 de enero de 2002.” Se trata, en definitiva, de dos sistemas que permiten que, en aquellos supuestos en que durante la tramitación de un procedimiento administrativo, sea preciso aportar fotocopia del DNI u otro documento acreditativo de identidad, o certificado de empadronamiento u otra acreditación de su domicilio y residencia, el interesado pueda optar a que la Administración actuante, con su expreso consentimiento, realice una verificación de dichos datos mediante una consulta a determinados ficheros de los órganos de la Administración del Estado. Debe resaltarse que se trata de ficheros creados para el ejercicio de sus específicas competencias, esto es las funciones de expedición del DNI y el control de entrada y salida del territorio nacional de españoles y extranjeros, atribuidas por la Ley Orgánica 2/1986, de 13 de marzo, de Fuerzas y Cuerpos de Seguridad, al Cuerpo Nacional de Policía, y la función de coordinación de los padrones municipales que la Ley 7/1985, de 2 de abril, reguladora de las Bases de Régimen Local, atribuye al Instituto Nacional de Estadística. Desde el punto de vista de la normativa de protección de datos cabe señalar que esta comunicación de datos personales constituye una cesión de datos de carácter personal definida por el artículo 3
- i)de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, como “Toda revelación de datos efectuada a persona distinta del interesado”. El artículo 11.a de la Ley Orgánica 15/1999 establece que “Los datos de carácter personal objeto del tratamiento sólo podrán ser comunicados a un tercero para el cumplimiento de fines directamente relacionados con las funciones legítimas del cedente y del cesionario con el previo consentimiento del interesado.”, aunque establece algunas excepciones en el número segundo de dicho artículo, entre las que cabe destacar la prevista en la letra a “Cuando la cesión esté autorizada en una ley.” El número primero del artículo 4 de la misma Ley Orgánica 15/1999 establece dentro de los principios de protección de datos que “Los datos de carácter personal sólo se podrán recoger para su tratamiento, así como someterlos a dicho tratamiento, cuando sean adecuados, pertinentes y no excesivos en relación con el ámbito y las finalidades determinadas, explícitas y legítimas para las que se hayan obtenido.” En su número segundo dispone que “Los datos de carácter personal objeto de tratamiento no podrán usarse para finalidades incompatibles con aquellas para las que los datos hubieran sido recogidos. No se considerará incompatible el tratamiento posterior de éstos con fines históricos, estadísticos o científicos.” Debe aclararse aquí que la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/8 Audiencia Nacional partiendo de una interpretación sistemática de este precepto viene considerando la expresión “finalidades incompatibles” como sinónimo de “finalidades distintas” Por consiguiente, los datos que han sido objeto de cesión solamente pueden utilizarse por el cesionario, en este caso la Consejería consultante, para la finalidad “determinada, explicita y legítima”, previamente conocida y autorizada por el titular del dato. Esta finalidad en el presente supuesto vendría constituida exclusivamente por la incorporación en un procedimiento, en tramitación por el órgano de la Consejería consultante competente en cada caso, de aquellos datos relativos a la identidad o residencia del interesado, mediante una comprobación en línea de dichos datos efectuada en sus ficheros por los órganos a que hacen referencia las Ordenes antes citadas que, por las competencias que tienen atribuidas, pueden realizar dicha verificación. Este principio de finalidad regulado en la Ley Orgánica 15/1999 viene también expresamente previsto en el artículo 9.2 de la Ley 11/2007 según el cual “La disponibilidad de tales datos estará limitada estrictamente a aquellos que son requeridos a los ciudadanos por las restantes Administraciones para la tramitación y resolución de los procedimientos y actuaciones de su competencia de acuerdo con la normativa reguladora de los mismos. El acceso a los datos de carácter personal estará, además, condicionado al cumplimiento de las condiciones establecidas en el artículo 6.2.b de la presente Ley.” Asimismo, se hace constar el principio de finalidad en los Reglamentos técnicos de los sistemas de verificación de datos antes citados así dispone el número cuarto del Reglamento Técnico del Sistema de Verificación de Datos de Identidad que “La consulta y el acceso a la información proporcionada por el Sistema de Verificación de Datos de Identidad deberá realizarse con una finalidad concreta, que quedará recogida en el momento de la consulta.” Y el número quinto del Reglamento Técnico del Sistema de Verificación de Datos de Residencia señala que “La consulta y el acceso a la información proporcionada por el Sistema de Verificación de Datos de Residencia deberá realizarse con una finalidad concreta, que quedará recogida en el momento de la consulta.” De todo lo expuesto resulta claro que, además de la necesidad de consentimiento del interesado para la cesión de datos mediante estos sistemas de verificación, es esencial que los datos se traten conforme a los restantes principios establecidos por la Ley Orgánica 15/1999, señaladamente los principios de legitimidad y finalidad del tratamiento, principios reiterados en la Ley 11/2007 que limita la disponibilidad de los datos “a los procedimientos y actuaciones de su competencia.” (…)» Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: INADMITIR la reclamación formulada por Dª C/ Jorge Juan, 6 28001 – Madrid A.A.A. contra Dirección www.agpd.es sedeagpd.gob.es 8/8 General de Telecomunicaciones y Nuevas Tecnologías de la Comunidad Autónoma de Canarias,. SEGUNDO: NOTIFICAR la presente resolución a Dª A.A.A. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del RLOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 18.4 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es