1/19
Procedimiento Nº: PS/00201/2019
938-090320
RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR
Del procedimiento instruido por la Agencia Española de Protección de Datos y
en base a los siguientes
PRIMERO: Con fecha 4 de enero de 2019 se registra de entrada en la Agencia
Española de Protección de Datos reclamación formulada por Dña. A.A.A., (en
adelante, la reclamante), contra la Mancomunidad de la Comarca de Pamplona, (en
adelante MCP o la Mancomunidad), exponiendo que:
“Hace seis meses la Mancomunidad de Pamplona puso en funcionamiento un
nuevo sistema de recogida de basuras que implica la necesidad de utilizar tarjetas
nominativas por domicilio para poder usar los contenedores de orgánico y resto.
Ahora, a punto de terminar la prueba de este nuevo sistema, la Mancomunidad
de Pamplona nos envía una carta en la que se nos notifica que en las próximas
semanas se nos enviará "información con los datos de apertura registrados en su
domicilio".
Evidentemente, la Mancomunidad de Pamplona no nos había informado a los
usuarios de que se iban a recoger datos, de qué datos concretos son los recogidos, ni
el tratamiento y uso que va a hacer de los mismos, obviando así el derecho a la
información de los usuarios”
La reclamante adjunta copia de dos escritos dirigidos en mayo y diciembre de
2018 por el Presidente de la Mancomunidad a los vecinos y vecinas en relación con la
puesta en marcha de una prueba piloto para implantar un nuevo sistema de apertura
con tarjeta para los contenedores de materia orgánica (marrón) y de resto (gris) a fin
de mejorar los resultados obtenidos en la recogida selectiva de materia orgánica.
En el escrito remitido en mayo de 2018 se señalan como novedades del nuevo
sistema:
“- La llave de apertura del contenedor marrón se sustituye por una tarjeta
magnética;
- Esta tarjeta abrirá el contenedor marrón y, también desde ahora, el
contenedor de resto.
- Cada hogar recibirá dos tarjetas asociadas a la dirección del domicilio que
permitirán registrar los datos de su utilización.”
En el escrito remitido en diciembre de 2018 el Presidente de la Mancomunidad
informaba que “En las próximas semanas le enviaremos información con los datos de
aperturas registrados en su domicilio o establecimiento, y con aquellos puntos de
mejora en los que podrá avanzar en el caso de que no se realice un uso adecuado de
los contenedores”.
SEGUNDO: De conformidad con el artículo 65.4 de la de la Ley Orgánica 3/2018, de 5
de diciembre, de Protección de Datos Personales y garantía de los derechos digitales
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
2/19
(en lo sucesivo, LOPDGDD), con fecha 19 de febrero 2019 la Subdirección General de
Inspección de Datos trasladó dicha reclamación a la MCP para su análisis y
comunicación al reclamante de la decisión adoptada al respecto. Igualmente, se le
requería que en el plazo de un mes remitiera a la AEPD determinada información,
entre la que se encontraba informase sobre las causas que habían motivado los
hechos que han originado la reclamación e informase sobre las medidas adoptadas
para evitar que se produzcan incidencias similares.
Con fecha 8 de marzo de 2019 se registra de entrada en la AEPD escrito de la
MCP señalando que ha procedido a trasladar la reclamación a la sociedad “Servicios
de la Comarca de Pamplona, S.A.”, (en adelante, SCPSA), para que proceda a dar
contestación al requerimiento efectuado con arreglo a lo siguiente:
- Que la MCP es la Administración Pública titular de los servicios de
abastecimiento y saneamiento de aguas, gestión de residuos y transporte urbano,
correspondiendo la gestión de los servicios a SCPSA, sociedad pública de capital
exclusivo de aquélla, conforme a lo dispuesto en el artículo 1 del Reglamento de
Relaciones entre la Mancomunidad y SCPSA, aprobado por la Asamblea General de
aquélla.
El artículo 2.3 de dicho Reglamento atribuye a SCPSA la prestación material de
la actividad empresarial, entre cuyas funciones se encuentra la titularidad de la
relación jurídica con los usuarios de los servicios de gestión de residuos urbanos
encomendada.
Los artículos 3 y 4 de la Ordenanza reguladora de la Gestión de Residuos en la
Mancomunidad de la Comarca de Pamplona (BON nº 245 de 23/12/2013) reafirman la
condición de SCPSA como titular de las relaciones con los usuarios del servicio de
gestión de los residuos.
El artículo 1 de la Ordenanza Reguladora de las Prestaciones Patrimoniales de
Carácter Público No Tributario por la Prestación de Los Servicios de Gestión de los
Residuos Urbanos 2019 (BON nº 249 de 28/12/2018) determina que la SCPSA presta
y gestiona los citados servicios. Los artículos 3, 4.1 y 5.1 de esta Ordenanza recogen
el régimen de financiación del servicio, fundado en su naturaleza como de recepción
obligatoria, y derivado directamente de la titularidad o uso del inmueble, para lo cual se
utilizan los datos del Registro de la Riqueza Territorial de Navarra y del fichero de
usuarios registrado con fecha 21/09/2009 en la AEPD por dicha sociedad, siendo el
valor catastral la base imponible de la prestación patrimonial pública y no tributaria.
- Que la MCP no ha puesto en funcionamiento el nuevo sistema de
recogida de basuras que implica la necesidad de utilizar tarjetas nominativas por
domicilio; que tampoco ha solicitado dato alguno a ningún ciudadano sobre las tarjetas
nominativas para poder usar los contenedores de orgánico y resto, careciendo de
información alguna sobre el uso de las citadas tarjetas.
TERCERO: Con fecha 20 de marzo de 2019 se registra de entrada en la AEPD
escrito del Delegado de Protección de Datos de la SCPSA señalando que la
reclamación no está justificada al no haberse producido ningún tratamiento de datos
de carácter personal, causa por la que no se han adoptado medidas concretas frente a
la reclamación. tal y como se ha informado también a la reclamante.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
3/19
La Mancomunidad ostenta la competencia y responsabilidad de los servicios
de recogida y tratamiento de los residuos urbanos, cuya prestación integral gestiona a
través de su sociedad de gestión SCPSA, en virtud de lo establecido en la Ordenanza
Reguladora de la Gestión de Residuos Urbanos publicada en el Boletín Oficial de
Navarra nº 17, de 7 de febrero de 2007.
El Plan de Residuos de Navarra 2017-2017, obliga a las administraciones
públicas competentes y gestoras de los residuos urbanos a adoptar las medidas
necesarias para alcanzar los objetivos de reciclado fijados en el mismo,
estableciéndose una separación en origen de la materia orgánica del 50% en 2020 y
del 70% en 2027.
En cumplimiento del Plan de Gestión Anual 2017 de MCP/SCPSA se puso en
marcha el “proyecto piloto para el diseño de un sistema de contenedores de materia
orgánica y resto que permita la identificación de los usuarios y la medición de la
cantidad de residuos depositada, con el objetivo de incrementar sustancialmente la
separación en origen.“ Entre las acciones puestas en marcha para conseguir el
incremento de la separación en origen de la materia orgánica ( también MO, en
adelante), está la prueba piloto consistente en establecer un sistema de apertura de
contenedores de MO cerrados, con apertura mediante tarjeta vinculada a los
domicilios que permita la recogida de datos para analizar el impacto y seguimiento de
su uso. Para llevar a cabo este seguimiento se ha tomado como unidad de medida la
dirección postal, por lo que no se han tenido en cuenta datos personales para la
gestión del servicio,
Se decidió realizar este proyecto-piloto en dos zonas diferentes de la comarca
con una duración de un semestre. Las Tarjetas tienen grabado en su parte exterior la
dirección postal a la que está vinculada dicha tarjeta. La entrega de las tarjetas se
realizó previa comunicación a las diferentes direcciones postales de la existencia y los
objetivos del programa piloto. Se repartieron dos tarjetas para la apertura de
contenedores por cada dirección postal (domicilio o local), y las cifras totales al inicio
del proyecto fueron 8.266 tarjetas.
En cada una de las dos tarjetas consta la misma dirección postal con el fin de
poder registrar el uso de la actividad de esa dirección. La información obtenida se
conserva en unas bases de datos independiente al objeto de obtener y explotar la
información estadística relativa al uso de las mismas. En tanto que el uso de las
tarjetas no se ha limitado a los propietarios (persona física o jurídica) o usuarios de la
dirección postal ni se ha prohibido que su uso se transfiriera a terceros, la información
recabada a través de las tarjetas no permite establecer una relación directa e
inequívoca con ninguna persona física identificada o identificable, motivo por el cual la
información obtenida no se encuentra sujeta al régimen de protección de datos
personales al no cumplirse la definición de dato personal del RGPD.
Señalan que para la obtención de las direcciones postales, se han utilizado las
direcciones postales de las unidades catastrales del ámbito de la Mancomunidad de la
Comarca de Pamplona que figuran en el Registro de la Riqueza Territorial de Navarra
y que son susceptibles de facturación de la tasa de residuos, según la ordenanza de
precios de este servicio.
Aportan impresión de captura del anverso y reverso de una de dichas Tarjetas
de “Recogida selectiva de residuos” significando que no contiene ningún dato
personal, sólo la dirección postal a la que se entregó la tarjeta.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
4/19
En cuanto al aplicativo donde se almacenan los datos de tarjeta, del que
aportan captura de un registro del mismo, se aduce que sólo contiene datos relativos a
la dirección postal, sin almacenar otra información que pueda relacionar dicha
dirección postal con una persona física identificada o identificable. Cada tarjeta tiene
su número único de identificador y los datos que se obtienen están únicamente
referenciados a ese número. El aplicativo de tarjetas y sus datos relacionados se
encuentran almacenados en el CPD (Centro de Procesamiento de Datos) de la
Mancomunidad.
Señalan que durante el desarrollo del mencionado proyecto-piloto se ha
realizado un control indirecto del uso de los contenedores por parte de la ciudadanía y
sus cambios de hábitos respecto de la situación precedente. Como parte de dicha
acción, se consideró de interés remitir a las direcciones postales de las tarjetas las
estadísticas de uso de las tarjetas entregadas en las respectivas direcciones postales
a los efectos de poder contrastar los resultados con los datos globales. Previamente,
en diciembre de 2018 se remitió una carta informativa comunicando que se iba a
proceder dicho envío, que es a la que se refiere la reclamante, aunque en la misma
sólo se indican datos estadísticos agregados de uso de las tarjetas entregadas en sus
respectivas direcciones postales a los efectos de poder contrastarlos con los datos
globales del resto de usuarios del programa. En ningún momento se han indicado o
utilizado datos que permitan relacionar dicha información con personas físicas
identificadas o identificables.
CUARTO: A la vista de la documentación aportada por el SCPSA se observa:
De la impresión de captura de la tarjeta aportada, se constata:
Que en el anverso de la misma aparece denominada como de “Recogida
selectiva de residuos”/“Hondakinen gaikako biketa”, figurando, entre otra información
relativa al tipo de residuos, el logotipo de la Mancomunidad, una dirección postal con
número de calle y piso debajo de la cual hay un número de identificación.
Por su parte, en el reverso de la tarjeta consta la siguiente leyenda: “Esta
tarjeta es propiedad de la Mancomunidad de la Comarca de Pamplona y su uso está
sujeto a las condiciones determinadas por ésta”, que también aparece redactada en
euskera, bajo las cuales está el logotipo del reclamado vinculado a la “Mancomunidad
Comarca de Pamplona”/“Iruñerriko Mankomunítatea” , constando también los datos de
contacto de información del Servicio de Atención Ciudadana de la Mancomunidad.
De las comunicaciones enviadas en mayo, junio, julio y diciembre de 2018 a las
direcciones de los vecinos afectados por el mencionado proyecto-piloto, cuya copia se
ha adjuntado al escrito del SCPSA registrado en esta Agencia con fecha 20 de marzo
de 2019, se observa que están encabezadas por el logotipo del reclamado y firmadas
por el Presidente de la MCP, sin hacerse en las mismas ninguna referencia a la
SCPSA.
Así, por ejemplo, en el encabezamiento de la carta remitida en junio de 2018 la
siguiente frase: “Tal y como le anunciamos recientemente en la carta remitida por esta
Mancomunidad, el pasado día 28 de mayo iniciamos las acciones informativas con
motivo de la prueba piloto del nuevo sistema de contenedores.”
Asimismo, en el encabezamiento de la carta remitida en julio de 2018 figuraba:
“Tal y como le anunciamos recientemente en una carta anterior remitida por esta
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
5/19
Mancomunidad, el pasado 18 de junio comenzó en ***LOCALIDAD.1 la prueba piloto
del nuevo sistema de contenedores con apertura mediante tarjeta magnética.”
QUINTO: De conformidad con el artículo 65 de la LOPDGDD y a los efectos previstos
en su artículo 64.2, con fecha 12 de junio de 2019 la Directora de la AEPD acordó
admitir a trámite la reclamación presentada por la reclamante
SEXTO: Con fecha 14 de noviembre de 2019, la Directora de la Agencia Española de
Protección de Datos acordó iniciar procedimiento sancionador de apercibimiento al
reclamado, con arreglo a lo previsto en el artículo 58.2.b) del RGPD, por la presunta
infracción del artículo 14 del RGPD, tipificada en el artículo 83.5.b) del RGPD.
En dicho acuerdo se señalaba: “Que, de confirmarse la existencia de
infracción, a los efectos previstos en el artículo 58.2 del RGPD la medida correctiva
que podría imponerse a la MANCOMUNIDAD DE LA COMARCA DE PAMPLONA, con
NIF (…), en la resolución, consistiría en ORDENARLE, al amparo de lo dispuesto en el
artículo 58.2.d) del RGPD, la adopción de las medidas necesarias para facilitar en las
tarjetas magnéticas de apertura de contenedores, utilizadas para la recogida selectiva
de residuos la información relativa a los extremos señalados en el artículo 14 del
RGPD cuando incluyan datos de personas identificadas o, como en este supuesto,
incluyan datos de personas identificables, para lo que deberá tener en cuenta lo
dispuesto en el artículo 6 del RGPD en relación con la licitud del tratamiento. Dicha
medida se habrá de adoptar, en su caso, en el plazo de un mes computado desde el
día siguiente al que se le notifique la resolución sancionadora, debiendo, asimismo,
aportarse en ese mismo plazo los medios de prueba acreditativos de su
cumplimiento.”
El mencionado acuerdo de inicio del procedimiento fue notificado a la
Mancomunidad por medios electrónicos con fecha 15 de noviembre de 2019.
SÉPTIMO: Con fecha 28 de noviembre de 2019 se registra de entrada en esta Agencia
escrito de alegaciones de la Mancomunidad al citado acuerdo de inicio en el que indica
las medidas que ha resuelto adoptar para dar cumplimiento a las obligaciones
señaladas en el artículo 14 del RGPD, y que se señalan en el Fundamento de Derecho
VI de esta resolución.
OCTAVO: Con fecha 19 de diciembre de 2019 se formuló propuesta de resolución en
el sentido de que por la Directora de la Agencia Española de Protección de Datos:
-Se impusiese al reclamado, de conformidad con lo previsto en el artículo
58.2.b) del RGPD, una sanción de apercibimiento por una infracción del artículo 14 del
RGPD, tipificada en el artículo 83.5.b) del RGPD.
- Se ordenase al reclamado en la resolución que pudiera recaer, al amparo de
lo establecido en el artículo 58.2.d) del RGPD, que acreditase el envío a los
interesados afectados por la prueba piloto de las comunicaciones informativas que se
señalaban en el Fundamento de Derecho V de la propuesta de resolución formulada,
así como que, de implantarse en toda la Mancomunidad el sistema de apertura de
contenedores estudiado, había previsto la adopción de las medidas necesarias para
que en las tarjetas magnéticas de apertura de contenedores que vayan a utilizarse
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
6/19
para la recogida selectiva de residuos se ofrezca la información relativa a los
extremos señalados en el artículo 14 del RGPD cuando incluyan datos de personas
identificadas o identificables.
- Comunicar la resolución que recayese al Defensor del Pueblo.
La mencionada propuesta de resolución fue notificada a la MCP con fecha 19
de diciembre de 2019.
NOVENO: Con fecha 17 de febrero de 2020 se registra de entrada en esta Agencia
escrito de alegaciones de la MCP a la referida propuesta en el que comunica las
medidas que ha resuelto adoptar a través de la SCPSA, y que se citan en el
Fundamento de Derecho VII de esta resolución.
HECHOS PROBADOS
Primero: Con fecha 4 de enero de 2019 se registra de entrada en la Agencia
Española de Protección de Datos reclamación formulada por la reclamante contra la
Mancomunidad de la Comarca de Pamplona (MCP), ya que no había informado a los
interesados sobre el tratamiento de los datos personales utilizados en el marco de la
prueba piloto llevada a cabo para implantar un nuevo sistema de apertura con tarjeta
magnética para los contenedores de materia orgánica y resto.
Segundo: La MCP es la administración pública titular de los servicios de
abastecimiento y saneamiento de aguas, gestión de residuos y transporte urbano, que
presta a través de “Servicios de la Comarca de Pamplona, S.A.”, (SCPSA), sociedad
mercantil de capital exclusivo de la MCP.
Tercero: En cumplimiento del Plan de Gestión Anual 2017 la MCP puso en marcha
en dos zonas de la Comarca, entre junio y diciembre de 2018, un proyecto piloto
basado en la implantación de un sistema de apertura de contenedores de materia
orgánica y resto mediante tarjetas magnéticas vinculadas a la dirección postal de los
domicilios y establecimientos que permitiría la identificación de los usuarios, la
medición de la cantidad de residuos depositada y el seguimiento de uso de dichos
contenedores a través de la actividad de uso de las tarjetas.
Cuarto: Por cada dirección postal (domicilios o locales) la MCP facilitó dos tarjetas de
apertura de contenedores. En cada una de las tarjetas constaba:
En el anverso, la tarjeta se vincula a la “Recogida selectiva de
residuos”/“Hondakinen gaikako biketa”, figurando, entre otra información, el logotipo
de la MCP, la dirección postal con número de calle y piso a la que se asocia la
tarjeta y el número identificador único de la tarjeta.
En el reverso, aparece la leyenda: “Esta tarjeta es propiedad de la
Mancomunidad de la Comarca de Pamplona y su uso está sujeto a las condiciones
determinadas por ésta”, también redactada en euskera, el logotipo de la MCP
asociado a la “Mancomunidad Comarca de Pamplona”/“Iruñerriko Mankomunítatea”, y
los datos de contacto de información del Servicio de Atención Ciudadana de la
Mancomunidad.
Quinto: Las direcciones postales utilizadas en las citadas tarjetas de apertura se
obtuvieron de las unidades catastrales del ámbito de la MCP que figuran en el Registro
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
7/19
de la Riqueza Territorial de Navarra y que son susceptibles de facturación de la tasa
de residuos, según la ordenanza de precios de ese servicio.
Sexto: La aplicación en la que se almacena la información relativa a la utilización de
las tarjetas de apertura registra las direcciones postales de los domicilios de las
viviendas y establecimientos a las que aquéllas se vinculan y su número identificador
único.
Séptimo: Consta en el procedimiento sancionador que en los meses de mayo, junio,
julio y diciembre de 2018 el Presidente de la MCP remitió y, firmó como tal, sendas
comunicaciones dirigidas a los vecinos y vecinas afectados por la puesta en marcha
de la prueba piloto. En estas comunicaciones el Presidente de la MCP informaba
sobre las razones y el alcance del nuevo sistema, el funcionamiento de las tarjetas
entregadas y el resultado porcentual e separación de materia orgánica obtenido con la
información disponible a la fecha del envío en cuestión en relación con el objetivo
programado en el Plan de Residuos de Navarra.
Todas estas comunicaciones muestran el logotipo de la MCP vinculado a la
“Mancomunidad Comarca de Pamplona”/“Iruñerriko Mankomunítatea”, y no hacen
ninguna referencia a la sociedad de gestión SCPSA ni a su participación en el
desarrollo de la prueba piloto sobre la que se informa.
Así, por ejemplo, en el encabezamiento de la carta remitida en junio de 2018 la
siguiente frase: “Tal y como le anunciamos recientemente en la carta remitida por esta
Mancomunidad, el pasado día 28 de mayo iniciamos las acciones informativas con
motivo de la prueba piloto del nuevo sistema de contenedores.”
Asimismo, en el encabezamiento de la carta remitida en julio de 2018 figuraba:
“Tal y como le anunciamos recientemente en una carta anterior remitida por esta
Mancomunidad, el pasado 18 de junio comenzó en ***LOCALIDAD.1 la prueba piloto
del nuevo sistema de contenedores con apertura mediante tarjeta magnética.”
Octavo: En la comunicación remitida por el Presidente de la MCP en diciembre de
2018 éste indicaba, entre otros extremos:
“Con la información disponible en estos momentos se puede confirmar que el
nuevo sistema de apertura está ofreciendo unos resultados alentadores: en el caso de
***LOCALIDAD.1 se está depositando de manera adecuada el 63% de la Materia
Orgánica generada, lo que supone un importante avance con respecto al 18% con el
que se inició la experiencia piloto.
En las próximas semanas le enviaremos información con los datos de
aperturas registrados en su domicilio o establecimiento, y con aquellos puntos de
mejora en los que podrá avanzar en el caso de que no se realice un uso adecuado de
los contenedores.”
Noveno: Las comunicaciones remitidas por la MCP reseñadas en los hechos probados
anteriores y las “Tarjetas de recogida selectiva de residuos” vinculadas a los domicilios
que se entregaron a los vecinos y vecinas de las zonas en las que se puso en marcha
la reseñada prueba piloto no incluían la información indicada en el artículo 14 del
RGPD.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
8/19
FUNDAMENTOS DE DERECHO
I
En virtud de los poderes que los artículos 55.1 y 2, 57.1 y 58.2.b) del del
Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de
2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento
de datos personales y a la libre circulación de estos datos, (en adelante RGPD),
reconocen a cada autoridad de control, y según lo establecido en los arts. 47, 48.1,
77.1.c) y 2 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos
Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), la
Directora de la Agencia Española de Protección de Datos es competente para resolver
este procedimiento.
El artículo 63.2 de la LOPDGDD determina que: “Los procedimientos
tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto
en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones
reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter
subsidiario, por las normas generales sobre los procedimientos administrativos.”
II
Los artículos 1 y 2.1 del RGPD disponen lo siguiente:
“Artículo 1. Objeto
1. El presente Reglamento establece las normas relativas a la protección de las
personas físicas en lo que respecta al tratamiento de los datos personales y las
normas relativas a la libre circulación de tales datos.
2. El presente Reglamento protege los derechos y libertades fundamentales de
las personas físicas y, en particular, su derecho a la protección de los datos
personales.
3. La libre circulación de los datos personales en la Unión no podrá ser
restringida ni prohibida por motivos relacionados con la protección de las personas
físicas en lo que respecta al tratamiento de datos personales.
Artículo 2. Ámbito de aplicación material
1. El presente Reglamento se aplica al tratamiento total o parcialmente
automatizado de datos personales, así como al tratamiento no automatizado de datos
personales contenidos o destinados a ser incluidos en un fichero.”
A estos efectos se recuerda que el artículo 4 del RGPD, bajo la rúbrica
“Definiciones”, dispone que:
“A efectos del presente Reglamento se entenderá por:
1) «datos personales»: toda información sobre una persona física identificada o
identificable («el interesado»); se considerará persona física identificable toda persona
cuya identidad pueda determinarse, directa o indirectamente, en particular mediante
un identificador, como por ejemplo un nombre, un número de identificación, datos de
localización, un identificador en línea o uno o varios elementos propios de la identidad
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
9/19
física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona;
2) «tratamiento»: cualquier operación o conjunto de operaciones realizadas
sobre datos personales o conjuntos de datos personales, ya sea por procedimientos
automatizados o no, como la recogida, registro, organización, estructuración,
conservación, adaptación o modificación, extracción, consulta, utilización,
comunicación por transmisión, difusión o cualquier otra forma de habilitación de
acceso, cotejo o interconexión, limitación, supresión o destrucción;”
Así, de conformidad con dichas definiciones, constituye un tratamiento de datos
de personas físicas identificables la inclusión de la dirección postal objeto de
seguimiento de uso junto con un número identificador único en cada una de las dos
tarjetas magnéticas entregadas por dirección postal utilizada (domicilio o local) en el
marco del proyecto-piloto citado, desarrollado por la Mancomunidad en dos zonas
de la Comarca de Pamplona, con la finalidad de recoger en origen datos sobre el
uso por parte de la ciudadanía de los nuevos contenedores de residuos de materia
orgánica y resto instalados para facilitar la consecución de los objetivos de reciclaje
marcados en el Plan de Residuos de Navarra.
Por lo que a través de las direcciones postales incluidas en las tarjetas
resultan identificables las personas físicas, en su caso, obligadas al pago de las
prestaciones patrimoniales de carácter público no tributarias,- condición atribuida a
las tarifas por la prestación de los servicios de gestión de los residuos urbanos-, que
por cualquier título habiten, ocupen o disfruten las viviendas, locales,
establecimientos o centros en cuyo beneficio o provecho se preste o disponga ese
servicio de carácter general y obligatorio, pudiendo incluso resultar identificables las
personas físicas propietarias de los inmuebles que están obligadas a dicho pago
cuando no sean conocidas las personas beneficiarias del servicio.
III
En el presente procedimiento se imputa a la Mancomunidad la vulneración del
deber de informar previsto en el artículo 14 del RGPD, precepto que establece:
“Artículo 14. Información que deberá facilitarse cuando los datos personales no
se hayan obtenido del interesado
1. Cuando los datos personales no se hayan obtenidos del interesado, el
responsable del tratamiento le facilitará la siguiente información:
a) la identidad y los datos de contacto del responsable y, en su caso, de su
representante;
b) los datos de contacto del delegado de protección de datos, en su caso;
c) los fines del tratamiento a que se destinan los datos personales, así como la
base jurídica del tratamiento;
d) las categorías de datos personales de que se trate;
e) los destinatarios o las categorías de destinatarios de los datos personales,
en su caso;
f) En su caso, la intención del responsable de transferir datos personales a un
destinatario en un tercer país u organización internacional y la existencia o ausencia
de una decisión de adecuación de la Comisión, o, en el caso de las transferencias
indicadas en los artículos 46 o 47 o el artículo 49, apartado 1, párrafo segundo,
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
10/19
referencia a las garantías adecuadas o apropiadas y a los medios para obtener una
copia de ellas o al hecho de que se hayan prestado.
2. Además de la información mencionada en el apartado 1, el responsable del
tratamiento facilitará al interesado la siguiente información necesaria para garantizar
un tratamiento de datos leal y transparente respecto del interesado:
a) el plazo durante el cual se conservarán los datos personales o, cuando eso
no sea posible, los criterios utilizados para determinar este plazo;
b) cuando el tratamiento se base en el artículo 6, apartado 1, letra f), los
intereses legítimos del responsable del tratamiento o de un tercero;
c) la existencia del derecho a solicitar al responsable del tratamiento el acceso
a los datos personales relativos al interesado, y su rectificación o supresión, o la
limitación de su tratamiento, y a oponerse al tratamiento, así como el derecho a la
portabilidad de los datos;
d) cuando el tratamiento esté basado en el artículo 6, apartado 1, letra a), o el
artículo 9, apartado 2, letra a), la existencia del derecho a retirar el consentimiento en
cualquier momento, sin que ello afecte a la licitud del tratamiento basada en el
consentimiento antes de su retirada;
e) el derecho a presentar una reclamación ante una autoridad de control;
f) la fuente de la que proceden los datos personales y, en su caso, si proceden
de fuentes de acceso público;
g) la existencia de decisiones automatizadas, incluida la elaboración de
perfiles, a que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos,
información significativa sobre la lógica aplicada, así como la importancia y las
consecuencias previstas de dicho tratamiento para el interesado.
3. El responsable del tratamiento facilitará la información indicada en los
apartados 1 y 2:
a) dentro de un plazo razonable, una vez obtenidos los datos personales, y a
más tardar dentro de un mes, habida cuenta de las circunstancias específicas en las
que se traten dichos datos;
b) si los datos personales han de utilizarse para comunicación con el
interesado, a más tardar en el momento de la primera comunicación a dicho
interesado, o
c) si está previsto comunicarlos a otro destinatario, a más tardar en el momento
en que los datos personales sean comunicados por primera vez.
4. Cuando el responsable del tratamiento proyecte el tratamiento ulterior de los
datos personales para un fin que no sea aquel para el que se obtuvieron,
proporcionará al interesado, antes de dicho tratamiento ulterior, información sobre ese
otro fin y cualquier otra información pertinente indicada en el apartado 2.
5. Las disposiciones de los apartados 1 a 4 no serán aplicables cuando y en la
medida en que:
a) el interesado ya disponga de la información;
b) la comunicación de dicha información resulte imposible o suponga un
esfuerzo desproporcionado, en particular para el tratamiento con fines de archivo en
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
11/19
interés público, fines de investigación científica o histórica o fines estadísticos, a
reserva de las condiciones y garantías indicadas en el artículo 89, apartado 1, o en la
medida en que la obligación mencionada en el apartado 1 del presente artículo pueda
imposibilitar u obstaculizar gravemente el logro de los objetivos de tal tratamiento. En
tales casos, el responsable adoptará medidas adecuadas para proteger los derechos,
libertades e intereses legítimos del interesado, inclusive haciendo pública la
información;
c) la obtención o la comunicación esté expresamente establecida por el
Derecho de la Unión o de los Estados miembros que se aplique al responsable del
tratamiento y que establezca medidas adecuadas para proteger los intereses legítimos
del interesado, o
d) cuando los datos personales deban seguir teniendo carácter confidencial
sobre la base de una obligación de secreto profesional regulada por el Derecho de la
Unión o de los Estados miembros, incluida una obligación de secreto de naturaleza
estatutaria.”
Dicho precepto ha de ponerse en relación con lo dispuesto en el artículo 12 del
mismo Reglamento, que en su apartado 1 establece lo siguiente:
“Artículo 12. Transparencia de la información, comunicación y modalidades de
ejercicio de los derechos del interesado.
1. El responsable del tratamiento tomará las medidas oportunas para facilitar al
interesado toda la información indicada en los artículos 13 y 14, así como cualquier
comunicación con arreglo a los artículos 15 a 22 y 34 relativas al tratamiento, en forma
concisa, transparente, inteligible y de fácil acceso, con una lenguaje claro y sencillo,
en particular cualquier información dirigida específicamente a un niño. La información
será facilitada por escrito o por otros medios, inclusive, si procede, por medios
electrónicos Cuando lo solicite el interesado, la información podrá facilitarse
verbalmente siempre que se demuestre la identidad del interesado por otros medios.”
Por su parte, el artículo 11 de la LOPDGDD, bajo la rúbrica “Transparencia e
información al afectado”, en su apartado 3 determina que:
“3. Cuando los datos personales no hubieran sido obtenidos del afectado, el
responsable podrá dar cumplimiento al deber de información establecido en el artículo
14 del Reglamento (UE) 2016/679 facilitando a aquel la información básica señalada
en el apartado anterior, indicándole una dirección electrónica u otro medio que permita
acceder de forma sencilla e inmediata a la restante información.
En estos supuestos, la información básica incluirá también:
a) Las categorías de datos objeto de tratamiento.
b) Las fuentes de las que procedieran los datos.”
Según recoge el apartado 2 del citado artículo 11 de la LOPDGDD, la
información básica a la que se refiere el apartado 3 del mismo artículo deberá, al
menos, contener:
“2. (…)
a) La identidad del responsable del tratamiento y de su representante, en su
caso.
b) La finalidad del tratamiento.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
12/19
c) La posibilidad de ejercer los derechos establecidos en los artículos 15 a 22
del Reglamento (UE) 2016/679.
Si los datos obtenidos del afectado fueran a ser tratados para la elaboración de
perfiles, la información básica comprenderá asimismo esta circunstancia. En este
caso, el afectado deberá ser informado de su derecho a oponerse a la adopción de
decisiones individuales automatizadas que produzcan efectos jurídicos sobre él o le
afecten significativamente de modo similar, cuando concurra este derecho de acuerdo
con lo previsto en el artículo 22 del Reglamento (UE) 2016/679.
IV
Partiendo de que en el Fundamento de Derecho II anterior ha quedado
justificado que, en las fechas en que se desarrolló la citada prueba piloto, la MCP llevó
a cabo un tratamiento de datos personales consistente en incluir en las tarjetas
magnéticas objeto de seguimiento las direcciones postales de personas físicas que
resultaban fácilmente identificables, se estima que la MCP resulta responsable de
dicho tratamiento con arreglo al propio contenido de las Tarjetas Magnéticas
entregadas a los vecinos y vecinas de las direcciones postales incluidas en las
mismas y que, a su vez, avala la información facilitada por el Presidente de la MCP
a dichos vecinos y vecinas en las comunicaciones que les dirigió entre mayo y
diciembre de 2018 con motivo de la implantación y desarrollo del proyecto-piloto
asociado al nuevo sistema de contenedores (Hechos Probados Cuarto, Séptimo y
Octavo), documentación, en la que, por otra parte, no aparece mención alguna a la
SCPSA.
Sentado lo anterior, consta también probado en el procedimiento que durante
la puesta en marcha de la mencionada prueba piloto la MCP no facilitó a las
personas interesadas afectadas por dicho tratamiento la información relativa a los
extremos señalados en el artículo 14 del RGPD que debe proporcionárseles cuando
los datos personales no se hayan obtenido de los mismas, tal y como ha ocurrido en
este caso en el que la información de las direcciones postales tratadas en la prueba
piloto procedía de las unidades catastrales del ámbito de la MCP que figuran en el
Registro de la Riqueza Territorial de Navarra, y que son susceptibles de facturación de
la tasa de residuos, según la ordenanza de precios de ese servicio (Hecho Probado
Quinto).
De este modo, la MCP incumplió el deber de información que le resultaba
exigible no proporcionando en las comunicaciones dirigidas a los interesados ni en las
tarjetas repartidas a los mismos para la apertura de contenedores la información
relativa a los extremos señalados en el artículo 14 del RGPD anteriormente citado.
Deber que podría haber cumplido facilitando en dichos documentos la información
básica señalada en los apartados 2 y 3 del artículo 11 de la LOPDGDD e indicando
una dirección electrónica u otro medio que permitiese acceder de forma sencilla e
inmediata al resto de la información.
En consecuencia, la MCP, en su condición de responsable del tratamiento
efectuado con los datos personales utilizados en la prueba piloto desarrollada para
implantar un nuevo sistema de apertura con tarjeta para los contenedores de materia
orgánica y resto, no ha mostrado la diligencia que le resultaba exigible para facilitar a
los interesados afectados por ese tratamiento la información reseñada en el artículo
14 del RGPD, vulnerando de este modo el derecho de los mismos a ser informados
de los aspectos reseñados en dicho precepto, ya que los datos personales utilizados
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
13/19
no habían sido obtenidos de los propios interesados afectados por el tratamiento
estudiado.
V
En virtud de lo establecido en el artículo 58.2 del RGPD, la Agencia Española
de Protección de Datos, en cuanto autoridad de control, dispone de un conjunto de
poderes correctivos en el caso de que concurra una infracción a los preceptos del
RGPD.
Los apartados b), d) e i) del artículo 58.2 del RGPD, “Poderes”, disponen lo
siguiente:
“2 Cada autoridad de control dispondrá de todos los siguientes poderes
correctivos indicados a continuación:
(…)
b) sancionar a todo responsable o encargado del tratamiento con
apercibimiento cuando las operaciones de tratamiento hayan infringido lo dispuesto en
el presente Reglamento;”
(...)
“d) ordenar al responsable o encargado del tratamiento que las operaciones de
tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda,
de una determinada manera y dentro de un plazo especificado;”
“i) imponer una multa administrativa con arreglo al artículo 83, además o en
lugar de las medidas mencionadas en el presente apartado, según las circunstancias
de cada caso particular;”
A los efectos de determinar la sanción que pudiera llevar aparejada la conducta
descrita han de tenerse en cuenta los siguientes preceptos:
El artículo 83 del RGPD, bajo la rúbrica “Condiciones generales para la
imposición de multas administrativas”, establece en su apartado 5.b) que:
“5. Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo
con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o,
tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del
volumen de negocio total anual global del ejercicio financiero anterior, optándose por
la de mayor cuantía:
(…)
b) los derechos de los interesados a tenor de los artículos 12 a 22;”
A su vez, el artículo 72.1.h) de la LOPDGDD, bajo la rúbrica “Infracciones
consideradas muy graves”, dispone:
“1. En función de lo que establece el artículo 83.5 del Reglamento (UE)
2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que
supongan una vulneración sustancial de los artículos mencionados en aquel y, en
particular, las siguientes:
(…)
h) La omisión del deber de informar al afectado acerca del tratamiento de sus
datos personales conforme a lo dispuesto en los artículos 13 y 14 del Reglamento
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
14/19
(UE) 2016/679 y 12 de esta ley orgánica.”
Paralelamente, el artículo 83.7 del RGPD establece que:
“Sin perjuicio de los poderes correctivos de las autoridades de control en virtud
del artículo 58, apartado 2, cada Estado miembro podrá establecer normas sobre si se
puede, y en qué medida, imponer multas administrativas a autoridades y organismos
públicos establecidos en dicho Estado miembro”
En tal sentido, los apartados 1.c), 2, 4 y 5 del artículo 77 de la LOPDGDD, bajo
la rúbrica “Régimen aplicable a determinadas categorías de responsables o
encargados del tratamiento“, establecen lo siguiente:
“1. El régimen establecido en este artículo será de aplicación a los tratamientos
de los que sean responsables o encargados:
(…)
c) La Administración General del Estado, las Administraciones de las
comunidades autónomas y las entidades que integran la Administración Local.
(…)
2. Cuando los responsables o encargados enumerados en el apartado 1
cometiesen alguna de las infracciones a las que se refieren los artículos 72 a 74 de
esta ley orgánica, la autoridad de protección de datos que resulte competente dictará
resolución sancionando a las mismas con apercibimiento. La resolución establecerá
asimismo las medidas que proceda adoptar para que cese la conducta o se corrijan
los efectos de la infracción que se hubiese cometido.
La resolución se notificará al responsable o encargado del tratamiento, al
órgano del que dependa jerárquicamente, en su caso, y a los afectados que tuvieran
la condición de interesado, en su caso.”
“4. Se deberán comunicar a la autoridad de protección de datos las
resoluciones que recaigan en relación con las medidas y actuaciones a que se
refieren los apartados anteriores
5. Se comunicarán al Defensor del Pueblo o, en su caso, a las instituciones
análogas de las comunidades autónomas las actuaciones realizadas y las
resoluciones dictadas al amparo de este artículo.”
Con arreglo a lo expuesto, el tratamiento efectuado por la MCP durante el
desarrollo de la prueba piloto constituye infracción a lo dispuesto en el artículo 14 del
RGPD, tipificada en el artículo 83.5.b) del citado texto legal y calificada como muy
grave a efectos de prescripción en el artículo 72.1.h) de la LOPDGDD, pudiendo ser
sancionada con apercibimiento, de acuerdo con lo dispuesto en el artículo 58.2.b) del
RGPD en su relación con lo previsto en el artículo 77.1.c) y 2 de la LOPDGDD.
VI
En este caso, la MCP en su escrito de alegaciones al acuerdo de inicio
comunicó que había “resuelto adoptar las medidas necesarias para dar cumplimiento
a las obligaciones señaladas en el artículo 14 del Reglamento General de Protección
de Datos y por lo tanto informará, a través de su Sociedad de Gestión, Servicios de la
Comarca de Pamplona, S.A. a todos los interesados sobre los extremos señalados en
el citado artículo 14 del RGPD.”, añadiendo que “Ante la imposibilidad de que esta
información figure en la tarjeta ya repartida en la prueba piloto, la información se
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
15/19
llevará a cabo mediante comunicación a los interesados.”, señalando también que se
aportarán a esta Agencia “los medios de prueba acreditativos de las citadas
comunicaciones, una vez sean realizadas.”
A la vista de lo cual, la Instructora del procedimiento estimó conveniente
proponer a la Directora de la AEPD la aplicación de lo establecido en el artículo
58.2.d) del RGPD, proponiendo ordenar a la MCP no sólo la acreditación del envío
de las reseñadas comunicaciones a los interesados afectados por la prueba piloto con
la información relativa a las exigencias contempladas en el artículo 14 del RGPD, sino
también la realización de las actuaciones necesarias para adecuar los tratamientos
semejantes al estudiado a lo dispuesto en el precepto del RGPD que ha resultado
conculcado. De modo que en el caso de que el sistema de apertura de contenedores
mediante tarjeta magnética que incluya datos de carácter personal que no se hayan
obtenido de los interesados llegue a implantarse en toda la Mancomunidad acredite el
establecimiento de los mecanismos necesarios para dar cumplimiento al deber de
informar recogido en el mencionado artículo 14 del RGPD.
VII
Con posterioridad a la notificación de la propuesta de resolución, la MCP alegó
haber resuelto adoptar, a través de la SCPSA, las medidas que a continuación se
señalan, y cuya comunicación efectuaba, “antes de llevar a cabo las comunicaciones y
de implementar las medidas previstas en el futuro”:
a) Comunicación informativa a remitir a las personas interesadas
afectadas por la prueba piloto.
En el ejemplar adjuntado, fechado en febrero de 2020, encabezado con el
logotipo de la MCP y firmado por su Presidente, aparece, entre otra, la siguiente
información:
“En junio de 2018, ***LOCALIDAD.1 (Pamplona) y ***LOCALIDAD.2
(Baerrioplano) fueron las dos zonas en las que se inició la experiencia piloto en de
implantación del nuevo sistema de recogida de residuos, que incorpora la apertura de
los contenedores de materia orgánica (Marrón) y de resto (gris) mediante una tarjeta
magnética identificada con la dirección postal en su exterior.
En relación con los datos registrados por estas tarjetas y su tratamiento
posterior, la Agencia Española de Protección de datos ha señalado la necesidad de
facilitar a los usuarios y usuarias la información que a continuación reproducimos:
<<Cada una de las tarjetas entregadas incorpora un dispositivo que permite
registrar el número de aperturas de los diferentes contenedores, dato que será
asociado a la dirección postal indicada en el exterior de la tarjeta.
Al tratarse de datos, en ocasiones relativos a una persona física identificada o
identificable, la información obtenida referente a la apertura de contenedores será
tratada conforme a la normativa de protección de datos de carácter personal.
Todos los datos que se recaban como consecuencia de la utilización de estas
tarjetas serán tratados bajo la responsabilidad de Servicios de la Comarca de
Pamplona S.A. (SCPSA), para analizar la utilización de los contenedores en las
fracciones de materia orgánica y resto, y en concreto para conocer su grado de
utilización con el fin de lograr los objetivos normativos de aplicación, así como para la
realización de actividades de información, promoción del servicio y sus resultados.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
16/19
Asimismo, le informamos de que podrá ejercitar sus derechos de acceso,
rectificación, supresión y el resto de los derechos que le asisten, dirigiéndose al
Responsable del Tratamiento a través del correo protecció[email protected].
Puede consultar información adicional sobre privacidad en
www.mcp.es/fichadatosresiduos>>
El objetivo de cumplir la legislación europea en materia de residuos y de lograr
una Comarca ambientalmente sostenible y comprometida en a lucha contra el cambio
climático es un trabajo colectivo que requiere la contribución de cada vecino y cada
vecina. (…)”
b) Para dar cumplimiento al deber de infirmar recogido en el artículo 14 del
RGPD en la implantación en toda la mancomunidad del nuevo sistema de apertura de
contenedores mediante tarjeta, han previsto la introducción de la siguiente información
básica sobre protección de datos en las tarjetas de apertura, con indicación de una
dirección electrónica que permite acceder de forma sencilla e inmediata al resto de
información:
Responsable: Servicios de la Comarca de Pamplona, S.A.
Puede ejercitar sus derechos en protecció[email protected]
Información adicional en www.mcp.es/fichadatosresiduos.
Se aduce que debido al escaso espacio disponible para incluir en la citada
tarjeta toda la información básica prevista en la normativa de aplicación, se ha
dispuesto facilitar una información mínima que puede ser ampliada a través de la
dirección electrónica indicada, que contendrá la información adicional sobre protección
de datos, cuyo contenido es el señalado en el fichero de Tarjetas de Residuos.
c) Fichero de tarjetas de residuos, alojada en la url a la cual remite la carta
informativa www.mcp.es/fichadatosresiduos, (en adelante, la tarjeta).
En el ejemplar adjuntado con la información adicional en cuestión se constata
que aparecen cumplimentados los siguientes apartados:
¿Quién es el responsable del tratamiento de sus datos?, donde se identifica
como tal a SCPSA, cuya dirección postal y correo electrónico son facilitados. También
se identifica al Delegado de Protección de Datos, facilitándose su dirección y correo
electrónico.
¿Con qué finalidad tratamos sus datos?, en el que se señala que “Los datos de
apertura de los contenedores por cada una de las tarjetas serán tratados para analizar
la utilización de los contenedores en las fracciones de materia orgánica y resto y en
concreto para conocer su grado de utilización para así lograr los objetivos normativos
de aplicación, así como para la realización de actividades de promoción del servicio y
sus resultados.
¿Por cuánto tiempo conservamos sus datos?
¿Cuál es la legitimación para el tratamiento de sus datos?
¿A qué destinatarios se comunicarán sus datos?
¿Cuáles son sus derechos cuando nos facilita sus datos?, donde se citan los
derechos de acceso, rectificación, supresión, limitación del tratamiento, oposición y
portabilidad. Se añade que “Si considera que los datos no han sido correctamente
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
17/19
tratados, podrá ponerlo en nuestro conocimiento a través de la dirección de correo
electrónico [email protected] y posteriormente acudir ante la autoridad de
control: Agencia Española de Protección de Datos.”
“¿Cómo hemos obtenido sus datos?
De los datos de uso de la tarjeta por el interesado.
Del registro de Riqueza Territorial aprobado por Ley Foral 12/206, de 21 de
noviembre.
Los tipos de datos que se tratan son:
Identificativos. Nombre y apellidos, Dirección postal asociada.
De transacciones. Datos de uso de las tarjetas vinculadas a la dirección
postal.”
A la vista del contenido de dichos documentos, se observa lo siguiente:
- Respecto de la comunicación informativa a remitir a las personas interesadas
afectadas por la prueba piloto deberá eliminarse la siguiente afirmación “En relación
con los datos registrados por estas tarjetas y su tratamiento posterior, la Agencia
Española de Protección de datos ha señalado la necesidad de facilitar a los usuarios y
usuarias la información que a continuación reproducimos:”, toda vez que resulta
incierto que la AEPD haya requerido la facilitación textual de la información que se da
por reproducida en el texto entrecomillado, lo que resulta probado de la simple lectura
de los actos obrantes en el procedimiento.
- Respecto de la información adicional sobre protección de datos accesible a
través de la url www.mcp.es/fichadatosresiduos que figuraría incluida en las tarjetas,
se detectan las siguientes irregularidades en relación con la información que debe
facilitarse conforme a lo dispuesto en el artículo 14 del RGPD:
No constando que los datos personales objeto de tratamiento hayan sido
obtenidos de los interesados, sin embargo en el apartado relativo al tiempo de
conservación de los mismos se reseña que “Los datos personales proporcionados se
conservarán (…)”
En cuanto a las categorías de datos personales o tipos de datos que se tratan
se informa del tratamiento de nombre y apellidos vinculados a la dirección postal que
figura en las tarjetas, cuando en la documentación obrante en el procedimiento
únicamente consta el tratamiento de la dirección postal como dato personal objeto de
tratamiento en dichas tarjetas.
En relación con la información referida a que “Si considera que los datos no
han sido correctamente tratados, podrá ponerlo en nuestro conocimiento a través de la
dirección de correo electrónico [email protected] y posteriormente acudir
ante la autoridad de control: Agencia Española de Protección de Datos.”, se observa
que el artículo 14.2.e) se limita a indicar el deber de informar sobre “el derecho a
presentar una reclamación ante una autoridad de control” sin introducir ningún tipo de
condición previa al ejercicio de ese derecho.
VIII
Constatada la existencia de la infracción al deber de informar previsto en el
artículo 14 del RGPD por parte de la MCP durante el desarrollo del proyecto
analizado, y a la vista de las irregularidades observadas en la documentación
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
18/19
reseñada se estima adecuado aplicar lo establecido en el artículo 58.2.d) del RGPD,
ordenando a la MCP eliminar de la comunicación informativa a remitir a las personas
interesadas afectadas por la prueba piloto la afirmación contenida en la misma
referida a la Agencia Española de Protección de Datos.
Asimismo, se considera adecuado ordenar a la MCP la realización de las
actuaciones necesarias para que el tratamiento de datos de carácter personal
incluidos en las tarjetas magnéticas de apertura de contenedores a implantar en toda
la Mancomunidad lleve aparejado que, por parte del responsable del tratamiento, se
adecue la información a incluir en el sistema de información por capas que se ha
alegado se iba a utilizar por el responsable del tratamiento a las exigencias
contempladas en el mencionado precepto, lo que exigirá la subsanación de las
irregularidades informativas puestas de manifestó en el anterior Fundamento de
Derecho en relación con la información adicional. (Fichero de Tarjeta de Residuos)
Tales medidas habrán de adoptarse el plazo de UN MES, computado desde el
día siguiente a aquel en que se notifique la resolución recaída en el procedimiento,
debiendo acreditarse por el reclamado su cumplimiento en idéntico plazo mediante la
aportación de documentación o cualquier otro medio de prueba válido en derecho que
permita verificar su adopción e implementación en forma fehaciente.
Por lo tanto, de acuerdo con la legislación aplicable y valoradas las
circunstancias concurrentes en la infracción cuya existencia ha quedado acreditada,
La Directora de la Agencia Española de Protección de Datos RESUELVE:
PRIMERO: IMPONER a la MANCOMUNIDAD DE LA COMARCA DE PAMPLONA, con
NIF P3112070B, de conformidad con lo previsto en el artículo 58.2.b) del RGPD, una
sanción de apercibimiento por una infracción del Artículo 14 del RGPD, tipificada en el
artículo 83.5.b) del RGPD.
SEGUNDO: ORDENAR a la MANCOMUNIDAD DE LA COMARCA DE PAMPLONA,
con NIF P3112070B, al amparo de lo establecido en el artículo 58.2.d) del RGPD, la
adopción de las medidas indicadas en el Fundamento de Derecho VIII a los efectos de
adecuar la información a ofrecer a lo previsto en el artículo 14 del RGPD.
TERCERO: NOTIFICAR la presente resolución a la MANCOMUNIDAD DE LA
COMARCA DE PAMPLONA.
CUARTO: COMUNICAR la presente resolución al Defensor del Pueblo, de
conformidad con lo establecido en el artículo 77.5 de la LOPDGDD.
De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la
presente Resolución se hará pública una vez haya sido notificada a los interesados.
Contra esta resolución, que pone fin a la vía administrativa conforme al art.
48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la
LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición
ante la Directora de la Agencia Española de Protección de Datos en el plazo de un
mes a contar desde el día siguiente a la notificación de esta resolución o directamente
recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la
Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
19/19
la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la
Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el
día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la
referida Ley.
Finalmente, se señala que conforme a lo previsto en el art. 90.3 a) de la
LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa
si el interesado manifiesta su intención de interponer recurso contencioso-
administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este
hecho mediante escrito dirigido a la Agencia Española de Protección de Datos,
presentándolo a través del Registro Electrónico de la Agencia
[https://sedeagpd.gob.es/sede-electronica-web/], o a través de alguno de los restantes
registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También
deberá trasladar a la Agencia la documentación que acredite la interposición efectiva
del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la
interposición del recurso contencioso-administrativo en el plazo de dos meses desde el
día siguiente a la notificación de la presente resolución, daría por finalizada la
suspensión cautelar.
Mar España Martí
Directora de la Agencia Española de Protección de Datos
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es