Vulneración del principio de minimización por dejar una denuncia de tráfico en el parabrisas con datos personales

I Competencia

De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos.

II Procedimiento

Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos."

III Cuestiones previas

El artículo 4.1) del RGPD, define «dato personal» como: "toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona".

El artículo 4.2) del RGPD, define «tratamiento» como: "cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción."

El artículo 4.7) del RGPD, define al «responsable del tratamiento» o «responsable» como: "la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros". A su vez el artículo 4.8) del RGPD determina al «encargado del tratamiento» o «encargado» como la persona física o jurídica, autoridad pública, servicio u otro organismo que trate datos personales por cuenta del responsable del tratamiento.

En el presente caso, de acuerdo con lo establecido en el artículo 4.1 y 4.2 del RGPD, consta la realización de un tratamiento de datos personales, toda vez que el Ayuntamiento realiza, entre otros, la recogida, la conservación, realización de consultas y posterior utilización de datos personales de personas físicas. En el caso objeto de reclamación, consta que se ha recogido el nombre y los apellidos de la parte reclamante, así como el número del documento nacional de identidad completo y número de matrícula de su vehículo.

El Ayuntamiento realiza esta actividad en su condición de responsable del tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del RGPD.

IV Obligación incumplida. Minimización de datos

La letra c) del artículo 5.1 del RGPD propugna:

"1. Los datos personales serán:

(…)

adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados («minimización de datos»);

Si examinamos la definición podemos deducir que solo se pueden recabar los datos personales que se vayan a tratar, es decir, los que sean estrictamente necesarios para el tratamiento; que solo podrán ser recogidos cuando vayan a ser tratados y que solo podrán ser utilizados para la finalidad con la que fue recogida, pero no con ningún otro objetivo.

Cabe traer a colación las consideraciones acerca del principio de minimización de datos realizadas por el Comité Europeo de Protección de Datos (CEPD) en las Directrices 4/2019, "relativas al artículo 25, Protección de datos desde el diseño y por defecto", versión 2.0, de fecha 20/10/2020, adoptadas en cumplimiento de la función que el artículo 70 del RGPD le encomienda de garantizar su aplicación coherente.

En el epígrafe 74 de dichas directrices se establece que:

"En primer lugar, los responsables del tratamiento deben determinar si tienen siquiera necesidad de tratar datos personales para sus fines pertinentes. El responsable debe verificar si se pueden alcanzar los fines pertinentes tratando menos datos personales, o utilizando datos personales menos detallados o agregados, o sin tener que tratar datos personales en modo alguno. Dicha verificación debe tener lugar antes de cualquier tratamiento, pero también puede llevarse a cabo en cualquier momento durante el ciclo de tratamiento." (Epígrafe 74).

Y en su epígrafe 76, estas Directrices 4/2019 indican que pueden ser "Elementos esenciales desde el diseño y por defecto con respecto a la minimización de datos" entre otros, los siguientes:

". Evitación de datos: Se evitará todo tratamiento de datos personales cuando ello sea posible para cumplir la finalidad pertinente.

. Limitación: Se limitará la cantidad de datos personales recogidos a lo estrictamente necesario para el fin previsto.

. Limitación de acceso: Se configurará el tratamiento de datos de manera que se minimice el número de personas que necesiten acceder a datos personales para desempeñar sus funciones, y se limitará el acceso en consecuencia.

. Pertinencia: Los datos personales deben ser pertinentes para el tratamiento en cuestión, y el responsable del tratamiento deberá poder acreditar dicha pertinencia.

. Necesidad: Cada categoría de datos personales será necesaria para los fines especificados y solo deberá ser objeto de tratamiento si no es posible cumplir la finalidad por otros medios."

Por tanto, es necesario llevar a cabo una debida ponderación de la información a requerir a los interesados, sopesando las circunstancias que rodean un determinado tratamiento y analizando las consecuencias que puede conllevar el acceso a determinados datos.

También en el Considerando 39 del RGPD se señala que: "…Los datos personales deben ser adecuados, pertinentes y limitados a lo necesario para los fines para los que sean tratados".

En el presente caso, examinada la documentación contenida en el expediente, el Ayuntamiento, con fecha 8 de noviembre de 2024 y de acuerdo con los hechos probados, dejó un boletín de denuncia por la comisión de una infracción de tráfico en el parabrisas de un vehículo estacionado en la vía pública, titularidad del reclamante.

Dicho boletín de denuncia, que se aportó junto a la reclamación y cuya existencia ha sido confirmada por el Ayuntamiento, contenía datos relativos a la infracción, lugar de la comisión, precepto infringido, hecho denunciado, importe económico de la sanción, importe reducido de la misma, datos del vehículo, matrícula, marca, clase y modelo, así como los datos del infractor, nombre y apellidos y número del DNI. Es decir, contenía todos los elementos que señala el artículo 87 del Real Decreto Legislativo 6/2015, por el que se aprueba el texto refundido de la Ley sobre Tráfico, Circulación de Vehículos a Motor y Seguridad Vial (en adelante, LSV), cuyo apartado 1 establece la obligación de que los agentes de la autoridad encargados de la vigilancia del tráfico en el ejercicio de las funciones que tienen encomendadas deberán denunciar las infracciones que observen cuando ejerzan funciones de esa naturaleza.

El apartado 2 del mismo artículo hace constar que en las denuncias por hechos de circulación deberá constar, en todo caso:

a) La identificación del vehículo con el que se haya cometido la presunta infracción.

b) La identidad del denunciado, si se conoce. (El subrayado es de la AEPD).

c) Una descripción sucinta del hecho, con expresión del lugar o tramo, fecha y hora.

Los ayuntamientos que tengan agentes de policía local tienen competencia para ordenar y controlar el tráfico en las vías urbanas de su titularidad, así como la vigilancia por medio de agentes propios, al igual que la denuncia de las infracciones cometidas en dichas vías y la sanción de estas cuando no esté atribuida expresamente a otra Administración.

La Ley 7/1985, de 2 de abril, Reguladora de las Bases del Régimen Local, en el capítulo III, regula las competencias que los municipios pueden asumir para la gestión de sus intereses y para ello puede promover actividades y prestar los servicios públicos que contribuyan a satisfacer las necesidades y aspiraciones de la comunidad vecinal, en los términos previstos en este artículo. La Ley atribuye una serie de competencias a los Municipios que, de acuerdo con el artículo 25 apartado 2, ejercen en todo caso como competencias propias, en los términos de la legislación del Estado y de las Comunidades Autónomas, en las siguientes materias: (….)

f) Policía local, protección civil, prevención y extinción de incendios.

g) Tráfico, estacionamiento de vehículos y movilidad. (….).

Asimismo, la LSV determina la competencia para sancionar las infracciones que se cometen en materias relacionadas con el tráfico en el ámbito local en su artículo 84 apartado 4, que establece que la sanción por infracción a normas de circulación cometidas en vías urbanas corresponderá a los respectivos Alcaldes, los cuales podrán delegar esta competencia de acuerdo con la normativa aplicable.

Por otro lado, y además del contenido de las denuncias en materia de tráfico señaladas en el art. 87 antes mencionado, en el artículo 89 de mismo texto legal se regula cómo se efectúa la notificación de las denuncias en materia de seguridad vial; en lo que respecta a la notificación de la denuncia, estas se notificarán en el acto al denunciado (apartado 1), no obstante, la notificación podrá efectuarse en un momento posterior siempre que se dé alguna de las siguientes circunstancias:

(…)

2 b) Que la denuncia se formule estando el vehículo estacionado, cuando el conductor no esté presente.

Por su parte, el artículo 90 regula la práctica de la notificación de las denuncias cuando no se realicen en el acto, en atención a las circunstancias mencionadas en el artículo anterior, ya indicadas.

1. Las Administraciones con competencias sancionadoras en materia de tráfico notificarán las denuncias que no se entreguen en el acto y las demás notificaciones a que dé lugar el procedimiento sancionador en la Dirección Electrónica Vial (DEV).

En el caso de que el denunciado no la tuviese, la notificación se efectuará en el domicilio que expresamente hubiese indicado para el procedimiento, y en su defecto, en el domicilio que figure en los registros del organismo autónomo Jefatura Central de Tráfico.

2. La notificación en la Dirección Electrónica Vial (DEV) permitirá acreditar la fecha y hora en que se produzca la puesta a disposición del denunciado del acto objeto de notificación, así como el acceso a su contenido, momento a partir del cual la notificación se entenderá practicada a todos los efectos legales.

Si existiendo constancia de la recepción de la notificación en la Dirección Electrónica Vial (DEV), transcurrieran diez días naturales sin que se acceda a su contenido, se entenderá que aquélla ha sido rechazada, salvo que de oficio o a instancia del destinatario se compruebe la imposibilidad técnica o material del acceso. El rechazo se hará constar en el procedimiento sancionador, especificándose las circunstancias del intento de notificación, y se tendrá por efectuado el trámite, continuándose el procedimiento.

3. Cuando la notificación se practique en el domicilio del interesado, de no hallarse presente éste en el momento de entregarse, podrá hacerse cargo de la misma cualquier persona que se encuentre en el domicilio y haga constar su identidad.

Si nadie se hiciera cargo de la notificación, se dejará constancia de esta circunstancia en el procedimiento sancionador, junto con el día y la hora en que se intentó, y se practicará de nuevo dentro de los tres días siguientes. Si tampoco fuera posible la entrega, se dará por cumplido el trámite, procediéndose a la publicación en el Boletín Oficial del Estado.

Si estando el interesado en el domicilio rechazase la notificación, se hará constar en el procedimiento sancionador, especificándose las circunstancias del intento de notificación, teniéndose por efectuado el trámite y continuándose el procedimiento.

Por consiguiente, el Ayuntamiento ejerce la competencia sancionadora en materia de tráfico por atribución expresa de la Ley 7/1985 Reguladora de las Bases del Régimen Local y el Real Decreto Legislativo 6/2015 de la Ley sobre Tráfico, Circulación de Vehículos a Motor y Seguridad Vial. La obligación de denunciar se materializa en la elaboración del correspondiente boletín de denuncia, tal y como se recoge en el artículo 87 de la LSV y la notificación del mismo ha de realizarse de acuerdo con lo dispuesto en los artículos 89 y 90 del mismo texto legal.

Dichas funciones han de ejercerse con respeto a, por lo que a este caso atañe, la normativa en materia de protección de datos personales y, en concreto, los principios aplicables al tratamiento, en especial, el principio de minimización.

En el presente caso, como hechos probados, consta que el Ayuntamiento ha realizado un tratamiento de datos de carácter personal, consistente en la incorporación de los datos de la parte reclamante en la información que, sobre la infracción, se ha proporcionado al interesado mediante documento inserto en el parabrisas de dicho vehículo. Dicha información, al contener todos los datos necesarios para la notificación de la denuncia, pero sin utilizar la vía prevista para efectuar dicha notificación de acuerdo con lo prescrito en la LSV, habría supuesto una vulneración del principio de minimización de datos señalado en el art. 5.1 c). A este respecto, el tratamiento debiera haberse limitado a los datos estrictamente necesarios para comunicar la infracción- que no su notificación- como pudiera ser la identificación del vehículo por el que se cometió la infracción y los hechos por los que se entienda cometida la misma.

Por tanto, de conformidad con los hechos probados de que se dispone en este momento de resolución de procedimiento sancionador, se considera que los hechos conocidos son constitutivos de una infracción, imputable a la parte reclamada, por vulneración del artículo 5.1 c) RGPD.

V Tipificación de la infracción del artículo 5.1.c) del RGPD y calificación a efectos de prescripción

El artículo 83.5 del RGPD tipifica como infracción administrativa la vulneración del artículo siguiente, que se sancionará, de acuerdo con el apartado 2, con multas administrativas de 20.000.000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:

"a) los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9;"

Por su parte, la LOPDGDD en su artículo 71, Infracciones, señala que:

"Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica".

A los solos efectos del plazo de prescripción, el artículo 72.1 de la LOPDGDD establece lo siguiente:

"En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:

a) El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679."

VI Declaración de infracción

El artículo 83 "Condiciones generales para la imposición de multas administrativas" del RGPD, en su apartado 7, establece:

"Sin perjuicio de los poderes correctivos de las autoridades de control en virtud del artículo 58, apartado 2, cada Estado miembro podrá establecer normas sobre si se puede, y en qué medida, imponer multas administrativas a autoridades y organismos públicos establecidos en dicho Estado miembro."

El artículo 77 "Régimen aplicable a determinadas categorías de responsables o encargados del tratamiento" de la LOPDGDD dispone lo siguiente:

"1. El régimen establecido en este artículo será de aplicación a los tratamientos de los que sean responsables o encargados:

a) Los órganos constitucionales o con relevancia constitucional y las instituciones de las comunidades autónomas análogas a los mismos.

b) Los órganos jurisdiccionales.

c) La Administración General del Estado, las Administraciones de las comunidades autónomas y las entidades que integran la Administración Local.

d) Los organismos públicos y entidades de Derecho público vinculadas o dependientes de las Administraciones Públicas.

e) Las autoridades administrativas independientes.

f) El Banco de España.

g) Las corporaciones de Derecho público cuando las finalidades del tratamiento se relacionen con el ejercicio de potestades de derecho público.

h) Las fundaciones del sector público.

i) Las Universidades Públicas.

j) Los consorcios.

k) Los grupos parlamentarios de las Cortes Generales y las Asambleas Legislativas autonómicas, así como los grupos políticos de las Corporaciones Locales.

2. Cuando los responsables o encargados enumerados en el apartado 1 cometiesen alguna de las infracciones a las que se refieren los artículos 72 a 74 de esta ley orgánica, la autoridad de protección de datos que resulte competente dictará resolución declarando la infracción y estableciendo, en su caso, las medidas que proceda adoptar para que cese la conducta o se corrijan los efectos de la infracción que se hubiese cometido, con excepción de la prevista en el artículo 58.2.i del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016.

La resolución se notificará al responsable o encargado del tratamiento, al órgano del que dependa jerárquicamente, en su caso, y a los afectados que tuvieran la condición de interesado, en su caso.

3. Sin perjuicio de lo establecido en el apartado anterior, la autoridad de protección de datos propondrá también la iniciación de actuaciones disciplinarias cuando existan indicios suficientes para ello. En este caso, el procedimiento y las sanciones a aplicar serán las establecidas en la legislación sobre régimen disciplinario o sancionador que resulte de aplicación.

Asimismo, cuando las infracciones sean imputables a autoridades y directivos, y se acredite la existencia de informes técnicos o recomendaciones para el tratamiento que no hubieran sido debidamente atendidos, en la resolución en la que se imponga la sanción se incluirá una amonestación con denominación del cargo responsable y se ordenará la publicación en el Boletín Oficial del Estado o autonómico que corresponda.

4. Se deberán comunicar a la autoridad de protección de datos las resoluciones que recaigan en relación con las medidas y actuaciones a que se refieren los apartados anteriores.

5. Se comunicarán al Defensor del Pueblo o, en su caso, a las instituciones análogas de las comunidades autónomas las actuaciones realizadas y las resoluciones dictadas al amparo de este artículo.

6. Cuando la autoridad competente sea la Agencia Española de Protección de Datos, esta publicará en su página web con la debida separación las resoluciones referidas a las entidades del apartado 1 de este artículo, con expresa indicación de la identidad del responsable o encargado del tratamiento que hubiera cometido la infracción.

Cuando la competencia corresponda a una autoridad autonómica de protección de datos se estará, en cuanto a la publicidad de estas resoluciones, a lo que disponga su normativa específica."

Este precepto establece que los procedimientos que tengan causa en infracciones en materia de protección de datos personales cometidas por las categorías de responsables o encargados del tratamiento enumerados en su apartado 1 se resolverán, en todo caso, declarando la infracción.

Por consiguiente, toda vez que el responsable del tratamiento tiene la consideración de entidad local y, por tanto, se encuentra encuadrada en el apartado c) del artículo 77.1. de la LOPDGDD, se ha de declarar la infracción del artículo 5.1 c) del RGPD.

Por lo tanto, de acuerdo con la legislación aplicable, la Presidencia de la Agencia Española de Protección de Datos