CN21-012
DICTAMEN Nº D22-005
DICTAMEN RELATIVO A LA LICITUD DE INCLUIR DATOS DE FILIACIÓN EN LAS
INCIDENCIAS QUE LA POLICÍA LOCAL ENVÍA CADA DÍA AL CONCEJAL DE
SEGURIDAD CIUDADANA Y A LA ALCALDESA DE LA LOCALIDAD
ANTECEDENTES
PRIMERO: Con fecha de 13 de diciembre de 2021 tiene entrada en esta Agencia Vasca de
Protección de Datos escrito del Sindicato Vasco de Policía y Emergencias en el que se
manifiesta lo siguiente:
“Por la presente y ante las dudas que se están suscitando entre los componentes de
la Policía Local de […] sobre procedimientos diarios ordenados por la Jefatura de
Policía y que parte del colectivo interpreta pudiesen vulnerar la LOPD 3/2018 de 5 de
diciembre, se solicita una aclaración y resolución de su Agencia sobre la cuestión que
a continuación les trasladamos;
La Policía Local de […] utiliza como herramienta policial de gestión policial interna el
programa informático de uso policial con licencia anual llamado EUROCOP. Con este
programa se registran la totalidad de las incidencias conocidas por esta policía local,
sea cual sea la forma de conocimiento de las mismas, teléfono, aviso en la vía,
actuación policial..., incluidas sanciones administrativas, accidente, ilícitos penales...
El agente operador del centro de comunicaciones accede a este programa al inicio de
su jornada mediante una clave personalizada y privada de la cual es único conocedor,
quedando registrado su número profesional como agente operador de cuantas
incidencias se registren en su sesión, numeradas individual y correlativamente a través
de los turnos y a lo largo del año.
Este acceso se realiza a diario aceptando el agente operador los términos de la LOPD
mediante un “click” en la pestaña “ACEPTAR”, dándose por enterado de todos los
términos de la Ley, deber de sigilo y tratamiento de datos que en el programa se
registren o se hallen registrados. Una vez se inicia la sesión el agente operador del
centro de comunicaciones genera una incidencia por cada aviso conocido, quedando
registrados en el mismo en diferentes pestanas desplegables; El hecho en sí, las
personas implicadas con filiación completa incluso menores de edad, posibles
implicados también con filiación completa incluso menores de edad, agentes
actuantes, vehículos y resultado de la incidencia. Estas incidencias también registran
sanciones administrativas propuestas e incluso penales (Art 27. 1 a) b) de la LO
3/2018).
Al finalizar cada turno de trabajo, de 8 horas, el operador del centro coordinador genera
un archivo PDF en el que constan la totalidad de las incidencias registradas en su turno
y con estas se genera un documento PDF llamado “Novedades para alcaldía” y estas
se guardan en la carpeta correspondiente, ordenados por turno (Mañana/T/Noche),
día (01 al 31) y mes del año (Enero a Dic), generándose 3 diarias por cada día del
mes.
c/ Beato Tomás de Zumárraga, 71, 3º - 01008 Vitoria – Gasteiz - Tel. 945 016 230 - Fax. 945 016 231 [email protected] - www.avpd.es
Esta forma de proceder facilita que el resto de agentes tengan conocimiento de las
incidencias de carácter policial registradas en turnos anteriores, durante su libranza,
mediante la revisión de los PDFs generados, los cuales son leídos a todo el operativo
por el jefe de servicio al inicio de cada turno de trabajo en el conocido como “Pase de
lista”.
Este formato de archivo generado recoge de manera más breve, sin datos de filiación
de comunicantes, implicados o testigos, (Particulares en general) el resumen de cada
incidencia conocida en cada turno, los agentes actuantes y el resultado de la misma.
Los tres listados diarios generados (M/T/N) de “Novedades para alcaldía” son enviados
a la mañana del día siguiente a través del correo electrónico corporativo
([email protected]) a los mandos superiores, Sr. jefe de Policía así como a la Sra.
alcaldesa de […] y el Sr. concejal de seguridad ciudadana.
Muchos componentes del colectivo policial ante la orden de realizar este envío de
incidencias policiales, el cual en sus campos no incluye datos de carácter personal, a
personas ajenas a operativo solo reflejan las iniciales de nombre y apellidos de las
personas implicadas en los campos de aviso y resultado, a fin de evitar vulnerar su
privacidad y entendiendo que el conocimiento de los mismos no es necesario para las
funciones de alcaldía o concejalía, más allá de casos puntuales y mediante informe
motivado. Por parte de la jefatura de Policía y a demanda de la concejalía se ha
ordenado al colectivo la inclusión de datos de filiación completos de los ciudadanos,
nombre, apellidos y n.° DNI en el cuerpo del aviso y resultado con lo que tanto el Sr.
concejal como la Sra. alcaldesa tienen acceso a los mismos, eludiendo así la
privacidad que otorga este formato de fichero PDF que, como explicamos, no los
incluye.
Esta práctica, ordenada por la jefatura como primera tarea de cada turno de mañana,
es entendida por la mayoría del colectivo como una posible vulneración de la LOPD y
al artículo 5.1.c) del Reglamento (UE) 2016/679, entendiendo además, que el
conocimiento de estos datos policiales completos de filiación son de datos personales
de primer orden de protección y cuyo conocimiento es limitado y su acceso debe
motivado.
Por lo expuesto solicitamos aclaración a este sindicato por parte de su Agencia sobra
la licitud y conveniencia de incluir sistemáticamente datos de filiación completa de
ciudadanos, incluso menores, en las incidencias que les son enviadas cada día por
correo electrónico al Sr. Concejal de Seguridad Ciudadana del ayuntamiento de […] y
a la Sra. Alcaldesa del ayuntamiento de […] (Todas las recogidas por la Policía Local”.
SEGUNDO: Con fecha de 20 de diciembre de 2021 se solicitó a la Delegada de Protección
de Datos del Ayuntamiento de […] informe sobre la cuestión. Con fecha de 26 de enero de
2022 tuvo entrada escrito del Ayuntamiento de […] que adjuntaba informe del Jefe de la
Policía Local en el que se manifiesta lo siguiente:
“Leído el escrito que se ha presentado en la Agencia Vasca de Protección de Datos en
cuando a la elaboración de los listados de actuaciones diarias, uso y remisión de los
mismos a diferentes personas, aclarar:
1º.- Existen dos tipos de documentos o listados de uso común en la elaboración y
revisión de las incidencias creadas por las actuaciones policiales diarias.
Primero. La Ficha de Recepción de avisos.
Se trata de un documento realizado por cada incidencia abierta en el sistema de
gestión policial "Eurocop", en la cual aparecen todos los datos incorporados en la
2
actuación siempre que la persona operadora del sistema cumpla con las indicaciones
de la Jefatura e incorpore la filiación de toda persona implicada en la misma
(comunicante, implicados, etc...), vehículos y titulares de los mismos, resultado del
aviso, Implicación de las personas actuantes, etc... es imprescindible documentar
todos los datos del programa para tener el archivo completo y poder realizar consultas
policiales y/o contestaciones a diversos organismos como Juzgados, Fiscalía, otros
cuerpos policiales, etc... lo habitual es ocupar dos páginas con cada ficha si es que se
imprime.
Segundo. El Listado de Incidencias Diarias.
Ei listado es un informe minimalista de las Fichas policiales donde aparecen los
siguientes datos:
El texto del resumen de la llamada
La gestión de la llamada
El lugar del incidente y los números profesionales de los agentes actuantes.
Este documento contiene menos datos que la ficha policial, no constando en el mismo
la Filiación de las personas ni vehículos implicados en la incidencia y se genera en
forma de PDF por cada turno de trabajo de 8 horas de mañana, tarde y noche de forma
diaria archivando el mismo en el intranet policial en una carpeta de acceso policial, es
el que la solicitud de información denomina "Novedades para la Alcaldía".
El documento es el utilizado en el pase de lista ó inicio de servicio de los tres grupos
de trabajo diario y sirve para facilitar la información imprescindible para su
conocimiento y la realización de las tareas de prevención de la seguridad vial y
ciudadana, ya que es de interés en materia de prevención conocer las personas
investigadas, sospechosos a identificar investigar ó detener, personas con requisitorias
pendientes, vehículos sospechosos de cometer ilícitos penales, etc...
La forma habitual es incorporar en este listado la solo filiación que permita su
identificación al operativo Policial (Nombre y apellido) no el resto (DNI,NIE, Pasaporte,
etc...).
La Orden de Jefatura se refiere a incorporar todos los datos completos de todas las
personas implicadas y vehículos en la 1ª. "Ficha policial" y solo los datos Identificativos
en el 2º. "Listado de incidencias diarias", nunca el DNI/NIE/Pasaporte (que no aporta
nada ya que el operativo no conoce a las personas por los mismos y que además si
consta en la FICHA) cuando se refiere a los implicados en los ilícitos penales, ni es
habitual indicar en esta ficha la filiación de personas comunicantes, testigos e
implicados que no aportan en este documento nada a la prevención policial, este
segundo tipo de datos ya consta en la Ficha de Recepción de avisos y se pueden
explotar esos datos ante cualquier requerimiento.
El hecho de incorporar las iniciales X.X. de las personas detenidas e investigadas,
practica realizada por varios Agentes, dificulta las labores del operativo policial al - no
identificar a las personas con las cuales la Policía tienen que interactuar.
Este listado de Incidencias diarias del día anterior que consta de tres documentos
generados en PDF (mañana, Tarde y Noche), se remite al día siguiente a la dirección
de correo de Policí[email protected], de donde se distribuye a los usuarios siguientes:
El Subcomisario-Jefe de Policía y los tres Suboficiales
3
Habiendo sido ampliado a los usuarios Alcaldía y Concejalía con Delegación de
Policía por indicación de la jefatura Política de la Policía Local.
De forma diaria la Ertzaintza nos remite a todo el operativo policial a través de la
dirección de correo [email protected] con los usuarios mencionados en el párrafo
anterior las incidencias diarias elaboradas en la demarcación o ámbito de trabajo
común de ambas policías.
En este listado aparecen tipo de incidente, delito, filiación completa de las personas
implicadas, DNI, NIE, etc... vehículos, teléfonos de las personas y fotografías de las
personas detenidas. Este listado es presentado en el pase de lista de cada turno de
trabajo para que el operativo de esta Policía conozca también a las personas con las
que se interactúa y sirve de prevención de seguridad.
Se adjuntan:
1.- Un ejemplo de la Ficha de Recepción de Avisos
2.- Listado de incidencias que se presenta en los pases de lista con iniciales
3.- Listado de incidencias que se presenta con nombre y apellidos
4.- Orden de Jefatura de cumplimentar la filiación completa (nombre y apellidos...
nunca más datos innecesarios)
5.- Incidencias remitidas diariamente desde la Ertzaintza”.
TERCERO: El artículo 17.1 de la Ley 2/2004, de 25 de febrero, de Ficheros de Datos de
Carácter Personal de Titularidad Pública y de Creación de la Agencia Vasca de Protección
de Datos, en su apartado n) atribuye a la Agencia Vasca de Protección de Datos la siguiente
función:
“Atender a las consultas que en materia de protección de datos de carácter personal
le formulen las administraciones públicas, instituciones y corporaciones a que se
refiere el artículo 2.1 de esta Ley, así como otras personas físicas o jurídicas, en
relación con los tratamientos de datos de carácter personal incluidos en el ámbito de
aplicación de esta Ley”.
Corresponde a esta Agencia Vasca de Protección de Datos, en virtud de la normativa más
arriba citada, la emisión del informe en respuesta a la consulta formulada.
CONSIDERACIONES
I
El marco normativo actual en materia de protección de datos personales se contiene en el
Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016,
relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos
personales y a la libre circulación de estos datos y por el que se deroga la Directiva
95/46/CE (Reglamento General de Protección de Datos), directamente aplicable en los
Estados miembros desde el 25 de mayo de 2018, y en la Ley Orgánica 3/2018, de 5 de
diciembre, de Protección de Datos Personales y garantía de los derechos digitales
(LOPDGDD), en vigor desde el 7 de diciembre de 2018.
4
El RGPD define en su artículo 4.1 los datos personales como “toda información sobre una
persona física identificada o identificable («el interesado»); se considerará persona física
identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en
particular mediante un identificador, como por ejemplo un nombre, un número de
identificación, datos de localización, un identificador en línea o uno o varios elementos
propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de
dicha persona”.
En lo que se refiere al tratamiento de datos, éste se define en el artículo 4.2 del RGPD,
como “cualquier operación o conjunto de operaciones realizadas sobre datos personales o
conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la
recogida, registro, organización, estructuración, conservación, adaptación o modificación,
extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra
forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción
Por tanto, en la medida que los datos personales sean objeto de tratamiento estarán
obligados al cumplimiento de la normativa sobre protección de datos.
En el artículo 5 del RGPD se establecen los principios relativos al tratamiento de datos
personales. De acuerdo con dichos principios, los datos deben ser tratados de manera lícita,
leal y transparente. Así mismo, una vez recabados deben aplicarse a finalidades
previamente determinadas, explícitas y legítimas, no pudiendo ulteriormente ser utilizados
de manera incompatible con dichos fines. Además, el tratamiento de datos personales debe
observar el principio de minimización de datos, debiendo ser estos adecuados, pertinentes
y limitados al objetivo perseguido, aplicándose las medidas técnicas y organizativas que así
lo garanticen.
II
La consulta planteada por el Sindicato Vasco de Policía y Emergencias se refiere a la licitud
de incluir datos de filiación en las incidencias que se envían cada día al concejal de
seguridad ciudadana y a la alcaldesa de la localidad. Al respecto, debemos destacar que el
RGPD establece en su artículo 6.1 los supuestos que legitiman el tratamiento de datos
personales, son los siguientes:
a) el interesado dio su consentimiento para el tratamiento de sus datos personales
para uno o varios fines específicos;
b) el tratamiento es necesario para la ejecución de un contrato en el que el interesado
es parte o para la aplicación a petición de este de medidas precontractuales;
c) el tratamiento es necesario para el cumplimiento de una obligación legal aplicable
al responsable del tratamiento;
d) el tratamiento es necesario para proteger intereses vitales del interesado o de otra
persona física;
e) el tratamiento es necesario para el cumplimiento de una misión realizada en
interés público o en el ejercicio de poderes públicos conferidos al responsable del
tratamiento;
f) el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos
por el responsable del tratamiento o por un tercero, siempre que sobre dichos
5
intereses no prevalezcan los intereses o los derechos y libertades fundamentales del
interesado que requieran la protección de datos personales, en particular cuando el
interesado sea un niño.
El artículo 6.3 del RGPD establece que “la base del tratamiento indicado en el apartado 1,
letras c) y e), deberá ser establecida por el Derecho de la Unión, o el Derecho de los
Estados miembros que se aplique al responsable del tratamiento”.
En este sentido, la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos
Personales y garantía de los derechos digitales (LOPDGDD), en su artículo 8, relativo al
tratamiento de datos por obligación legal, interés público o ejercicio de poderes públicos,
establece:
“1. El tratamiento de datos personales solo podrá considerarse fundado en el
cumplimiento de una obligación legal exigible al responsable, en los términos previstos
en el artículo 6.1 c) del Reglamento (UE) 2016/679, cuando así lo prevea una norma
de Derecho de la Unión Europea o una norma con rango de ley, que podrá determinar
las condiciones generales del tratamiento y los tipos de datos objeto del mismo así
como las cesiones que procedan como consecuencia del cumplimiento de la obligación
legal. Dicha norma podrá igualmente imponer condiciones especiales al tratamiento,
tales como la adopción de medidas adicionales de seguridad u otras establecidas en
el capítulo IV del Reglamento (UE) 2016/679”.
Así mismo, el artículo 10 de la LOPDGDD relativo al tratamiento de datos de naturaleza
penal, establece que el tratamiento de datos personales relativos a condenas e infracciones
penales, así como a procedimientos y medidas cautelares y de seguridad conexas, para
fines distintos de los de prevención, investigación, detección o enjuiciamiento de
infracciones penales o de ejecución de sanciones penales, solo podrá llevarse a cabo
cuando se encuentre amparado en una norma de Derecho de la Unión, en esta ley orgánica
o en otras normas de rango legal.
Por lo tanto, para determinar la licitud del tratamiento consultado será necesario analizar el
régimen jurídico aplicable al acceso por parte de los miembros de una corporación local a
información personal obrante en las en una base de datos EUROCOOP. Al respecto,
debemos comenzar señalando que el art. 77 de la Ley 7/1985, de 2 de abril, Reguladora de
las Bases del Régimen Local (en adelante LRBRL), establece que todos los miembros de
las Corporaciones locales tienen derecho a obtener del Alcalde o Presidente o de la
Comisión de Gobierno cuantos antecedentes, datos o informaciones obren en poder de los
servicios de la Corporación y resulten precisos para el desarrollo de su función.
La Ley de bases del régimen local no prevé, por tanto, un acceso indiscriminado a la
información municipal, sino que introduce un criterio de prudencia tanto al enunciar el
derecho, como al articular su procedimiento de ejercicio. A igual conclusión podemos llegar
si analizamos el desarrollo que de dicho artículo se contiene en el Real Decreto 2568/1986,
de 28 de noviembre, por el que se aprueba el Reglamento de Organización,
Funcionamiento y Régimen Jurídico de las Entidades Locales (ROF), concretamente en los
artículos 14 a 16. En el artículo 15 se establece la obligación de facilitar la información a los
concejales cuando se trate de corporativos que ostenten delegaciones o responsabilidades
de gestión, y la información sea propia de las áreas correspondientes; también se obliga a
ceder a los concejales la información y documentación correspondiente a los asuntos que
hayan de ser tratados por los órganos colegiados de que formen parte, así como a las
6
resoluciones o acuerdos adoptados por cualquier órgano municipal y, por último, aquella
información que sea de libre acceso para los ciudadanos.
Al respecto, el Tribunal Supremo (entre otras STS 1541/2016, de 27 de junio) ha reconocido
que el derecho de los miembros de las Corporaciones Locales a la información necesaria
para el desempeño de sus cargos que, con carácter básico, reconoce el artículo 77, es
esencial para el funcionamiento democrático de dichas Corporaciones, así como para el
derecho fundamental de participación en los asuntos públicos que dimana del artículo 23.1
de la Constitución. Una información adecuada es presupuesto ineludible para participar en
las deliberaciones y votaciones del Pleno y de los restantes órganos colegiados, para una
correcta labor de control y fiscalización o para el ejercicio de las responsabilidades de
gestión que, en su caso, ostente el Concejal quien, en fin, debe responder civil y penalmente
por los actos y omisiones realizados en el ejercicio de su cargo (artículo 78 LRBRL). Por
eso la jurisprudencia ha examinado siempre con rigor los supuestos de limitación o
restricción de este derecho (sentencias, entre otras muchas, de 9 de febrero de 1995, 27
de diciembre de 1994 y 24 de noviembre de 1993).
De acuerdo con dicho régimen jurídico el derecho de información de los concejales aparece
estrecha y directamente relacionado con el desarrollo de su función, que en este caso se
concreta en el ejercicio de competencias relacionadas con la seguridad ciudadana. En este
sentido, el art. 21 de la LRBRL al regular las atribuciones del Alcalde, establece en el
apartado i) que le corresponde ejercer la jefatura de la Policía Municipal. En el mismo
sentido, la Ley 2/2016, de 7 de abril, de Instituciones Locales de Euskadi, regula en art. 17
las competencias propias de los municipios, destacando la ordenación y gestión de la
policía local, ordenación del tráfico, seguridad vial, estacionamiento de vehículos y
colaboración en la seguridad ciudadana.
Por otra parte, la Ley 15/2012, de 28 de junio, de Ordenación del Sistema de Seguridad
Pública de Euskadi, regula las autoridades públicas en materia de seguridad (art. 4), y
establece que participan en el sistema de seguridad pública como autoridades en el ámbito
de sus respectivas competencias los Alcaldes, y otros titulares de órganos municipales en
el marco de sus competencias.
Por lo tanto, atendiendo al marco jurídico expuesto, puede concluirse que los miembros de
las corporaciones locales que ostenten competencias en materia de seguridad ciudadana
podrán acceder a la información relacionada con el desarrollo de sus funciones, al amparo
de lo dispuesto en el artículo 6.1 c) del RGPD, así como cuando el tratamiento sea
necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio
de poderes públicos conferidos al responsable del tratamiento establecido por el art. 6.1 e)
del RGPD.
En todo caso, debe tenerse presente el papel central que para una correcta garantía del
derecho fundamental a la protección de datos tienen el principio de minimización recogido
en el art. 5.1 c) del RGPD, de acuerdo con el cual los datos personales tratados serán
adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son
tratados. Este principio trata de incluir un criterio de razonabilidad y proporcionalidad en el
manejo de la información, a la vista de la finalidad perseguida por el tratamiento.
En el presente caso, se consulta la licitud de incluir datos de filiación en las incidencias que
la policía local envía cada día al concejal de seguridad ciudadana y a la alcaldesa de la
localidad, por lo que atendiendo al marco legal establecido se deberá permitir el acceso
7
tratando los datos estrictamente necesarios para la finalidad pretendida en cada caso,
evitando así intromisiones ilegítimas en el derecho a la privacidad de las personas de
conformidad con el principio de minimización.
En Vitoria-Gasteiz, a 7 de marzo de 2022
8