1/25 Procedimiento Nº AP/00036/2017 RESOLUCIÓN: R/03532/2017 En el procedimiento de Declaración de Infracción de Administraciones Públicas AP/00036/2017, instruido por la Agencia Española de Protección de Datos al AYUNTAMIENTO DE VALENCIA, y en virtud de los siguientes ANTECEDENTES PRIMERO: Con fecha 16 de junio de 2017, la Directora de la Agencia Española de Protección de Datos acordó iniciar actuaciones de investigación en relación a las noticias publicadas en prensa en las que se menciona la realización de una encuesta a 1.100 presidentes de falla, delegados de sector y falleros de base con preguntas, entre otras, sobre su ideología política, por parte del Ayuntamiento de Valencia. En la noticia se indica que desde hace algo más de una semana (2 de junio de 2017, aproximadamente) Invest Group - Investigación de Mercados, empresa contratada por la concejalía de Cultura Festiva, está preguntando, entre otras cosas, a los falleros si son de izquierdas o de derechas y con qué partido político se sienten más identificados. El formulario de 50 preguntas no se realiza de forma anónima, ya que se pide a los encuestados datos personales tales como nombre, apellido, número de teléfono, sector de la falla y la calle en la que residen. Los encuestadores, identificados con una tarjeta con el logo del Ayuntamiento, justificaban la petición de estos datos con el fin de que la empresa pueda verificar que se había efectuado el trabajo. SEGUNDO: A la vista de los hechos denunciados, por los Servicios de Inspección de esta Agencia se realizaron las actuaciones siguientes: 1. Con fecha 29 de junio de 2017, se giró una visita de inspección al Ayuntamiento de Valencia (en adelante el Ayuntamiento) y a Invest Group Investigación de Mercados, S.L., (en adelante INVEST) con los siguientes resultados, en base a las manifestaciones de los representantes de las entidades inspeccionadas, y a las comprobaciones realizadas que se citan: 1.1. En virtud del contrato suscrito entre el Ayuntamiento de Valencia y la entidad INVEST, con fecha 25 de abril de 2017, la Delegación de Cultura Festiva llevó a cabo una encuesta sobre la percepción social del colectivo fallero con relación al proceso de patrimonialización de la fiesta de las Fallas. La encuesta forma parte de un plan estratégico cuyo objetivo es la valoración del impacto económico, turístico, medioambiental y social de la Fiesta de las Fallas, en el marco de su declaración como Patrimonio Inmaterial de la Humanidad por la Unesco. Se recabó durante la inspección copia del expediente de contratación completo, incluido el contrato suscrito entre el Ayuntamiento e INVEST. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/25 Se verifica que en el contrato consta que INVEST actúa como encargado del tratamiento en la prestación del servicio, estableciéndose expresamente las siguientes obligaciones: o el encargado del tratamiento tratará los datos conforme a las instrucciones del Ayuntamiento, o los utilizará únicamente para cumplir sus obligaciones contractuales con el Ayuntamiento, absteniéndose de emplearlos con fines distintos a los establecidos, o no los revelará, transferirá, cederá o comunicará, ni siquiera para su conservación, a ningún tercero, o adoptará cuantas medidas de seguridad sean exigidas por las leyes y reglamentos a fin de asegurar la confidencialidad, secreto, integridad y disponibilidad…, o Destruirá o devolverá al Ayuntamiento los datos de carácter personal. En el objeto del contrato consta que el servicio se concreta en la realización de 1100 encuestas personales de captación aleatoria en calle, utilizando un cuestionario de estructura cerrada (que se encuentra incorporado en el expediente de contratación en lengua valenciana), y una supervisión de al menos un 15% de las encuestas realizadas. En el Expediente consta que entre los objetivos del estudio sociológico sobre el colectivo fallero se encuentra el conocimiento del impacto socio cultural, que se concreta en conocer la realidad asociativa del conjunto de integrantes de las comisiones falleras, así como sus opiniones sobre la fiesta fallera, con el fin de radiografiar sus perfiles y actitudes a partir de sus valoraciones en distintos temas como la cultura, la identidad, la ideología o la religión, entre otros aspectos. 1.2. Se recaba durante la inspección documento que recoge la encuesta sociológica completa en castellano, cuyos pormenores se recogen con posterioridad. 1.3. El cuestionario fue realizado por el Ayuntamiento y consensuado con la entidad INVEST adjudicataria, si bien es el Ayuntamiento en última instancia el que decidió el contenido de la encuesta en su totalidad. 1.4. La encuesta se realizó entre el 18 de mayo y el 13 de junio de 2017, fecha en que se paralizó al publicarse en prensa diversas noticias relacionadas con la misma. En el momento de finalizarse la encuesta se habían cumplimentado 963 respuestas sobre las 1100 previstas. Está previsto que el 1 de julio concluya el proceso de explotación de los datos recabados y la entrega del informe final al Ayuntamiento. 1.5. El público objetivo de la encuesta lo constituyeron falleros/integrantes de comisiones falleras, sin necesidad de que fueran presidentes o miembros directivos de las Comisiones Falleras. La Oficina de Estadística del Ayuntamiento solicitó a la Junta Central Fallera el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/25 censo con datos estadísticos (anonimizados) de los falleros distribuidos por sexo, edad, distritos y barrios, para la determinación del público objetivo. Partiendo de esta información el Ayuntamiento facilitó a INVEST un documento que recogía el número de encuestas a realizar según el distrito, edad y sexo, siendo en principio el objetivo encuestar 1100 personas de los 46000 individuos integrantes del censo fallero. Se recaba durante la inspección copia del documento facilitado por el Ayuntamiento a INVEST, verificando que en él únicamente aparece una distribución del número de personas a encuestar por barrios y rangos de edades, sin listados de personas a encuestar. 1.6. El proceso de realización de las encuestas comenzó con una fase piloto en la que encuestaron a unas 5 o 6 personas cercanas a INVEST, al objeto de validar el procedimiento de realización del sondeo. Esta fase se realizó con formularios en papel que fueron destruidos sin conservar la información recabada. Una vez iniciada la encuesta real, únicamente se utilizaron medios electrónicos, no realizando ninguna encuesta más en formato papel. 1.7. La encuesta se realizó utilizando tablets y móviles inteligentes que incorporaban una aplicación desarrollada por ESAM que implementa el cuestionario y recoge la información. La aplicación fue utilizada por los encuestadores para consignar la información que facilitan los encuestados a pie de calle. 1.8. A los encuestadores se les formó previamente, dándoles instrucciones verbalmente de mostrar a los encuestados, antes de iniciar la encuesta, un documento en el que se informa de la finalidad de la recogida de los datos. Durante la inspección se recaba copia del documento informativo citado, comprobándose lo siguiente: Se resalta, en mayúsculas y negrita, el estudio del que el cuestionario forma parte: “CARACTERÍSTICAS Y OPINIÓN DE LOS FALLEROS SOBRE DIVERSOS ASPECTOS RELACIONADOS CON LA FIESTA DE LAS FALLAS DE VALENCIA TRAS SU DECLARACION COMO PATRIMONIO CULTURAL INMATERIAL DE LA HUMANIDAD POR LA UNESCO”. En el documento se cita que la información recopilada será utilizada única y exclusivamente con fines de investigación, siendo analizada de forma conjunta y global, así como que INVEST garantiza la seguridad y la confidencialidad de los datos de carácter personal facilitados. Los encuestadores también informaban del carácter voluntario de las respuestas, habiendo sido formados verbalmente al respecto y que todas las preguntas, incluidas las que se refieren a ideología y creencias, ofrecen la opción de contestar NS/NC (No Sabe/No Contesta). No existen instrucciones escritas dadas a los encuestadores. Sí se exigía la firma de un compromiso de confidencialidad cuya copia se recaba durante la inspección. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/25 1.9. La aplicación instalada en el dispositivo móvil, mostraba las preguntas, y las respuestas alternativas en su caso, en orden secuencial, y a lo largo de varias pantallas. Durante la encuesta, una vez que el encuestador pasa de pantalla, no puede volver hacia atrás para visualizar los datos facilitados. Tampoco puede acceder a las respuestas una vez finalizada la encuesta. Al finalizar la encuesta, la aplicación solicitaba nombre, dirección y teléfono móvil del encuestado, siendo solo el dato de teléfono móvil un campo obligatorio. En caso de no querer facilitar este dato el encuestado, se rellenaba con números al azar o el número de la oficina de INVEST, debido a que en ningún caso se obliga al encuestado a facilitarlo y a que la aplicación no permite finalizar la encuesta si no se rellena ese campo del teléfono móvil. Estos datos se recaban al objeto de poder cumplir con la obligación de supervisión del 15% de las encuestas, que se realiza llamando telefónicamente al número de teléfono móvil facilitado, y eliminando de los resultados de la encuesta las respuestas de cuestionarios no validados. En total se realizaron 169 llamadas de validación. 1.10. Al finalizar la encuesta, los datos quedan cifrados en el dispositivo móvil, hasta que son descargados en la oficina de INVEST, borrándose del dispositivo. Los datos de las respuestas de las encuestas son incorporados en un fichero y los datos que pueden identificar a la persona (nombre, dirección, teléfono móvil) en otro separado, de tal forma que los datos de cada encuesta realizada se almacenan de forma disociada. Para ello se asocia un identificador de resultado de encuesta a cada una de ellas al objeto de poder eliminar las encuestas no validadas. Este identificador de resultado de encuesta es asociado asimismo a los datos identificativos de los que se dispone, para su asociación, que se realiza exclusivamente para la supervisión y validación de los resultados, no revirtiéndose la disociación para ninguna otra finalidad (cuando una persona es llamada durante la supervisión del 15% de las encuestas, y no reconoce haber realizado la encuesta, se revierte la disociación y la encuesta se elimina). Los datos identificativos se borran al finalizar el periodo de supervisión y validación, estando previsto que se supriman totalmente a 1 de julio de 2017, eliminando totalmente la posibilidad de revertir la disociación. 1.11. Los encuestadores no recababan el consentimiento expreso y por escrito de los encuestados, entendiendo que los datos que se recaban sobre ideología y creencias se encuentran disociados. 1.12. Al finalizar la encuesta, INVEST realiza un informe de resultados con cuatro bloques de información que incluyen estadísticas de los perfiles característicos de los falleros, valoración de la dimensión patrimonial de las fallas, opinión sobre otros aspectos de la fiesta de las fallas, y el perfil sociológico de la Comunidad Festiva. Este informe no contiene datos personales y es el producto que se facilita al Ayuntamiento. Durante la inspección se recabó el documento de fundamentos de referencia C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/25 de la encuesta sociológica de las fallas, que refleja los objetivos y la fundamentación del diseño de las preguntas integradas en la encuesta. Se comprueba que en el documento se resalta la importancia, para la salvaguardia del Patrimonio Cultural Inmaterial, de la diversidad cultural, así como la interacción armoniosa y la voluntad de convivir con personas y grupos con identidades culturales, a un tiempo plurales, variadas y dinámicas. 1.13. Durante la inspección se recabó copia del Código Tipo de autoregulación de ESOMAR para la práctica de la Investigación de Mercados, Opinión Social y del Análisis de Datos, al que esta adherido INVEST. Se comprueba que en su artículo 6 recoge garantías sobre protección de datos, como que los investigadores deben de asegurarse de que los datos personales no puedan ser trazables ni pueda ser identificable una persona por procesos de deducción. 1.14. Durante la inspección se realizó una revisión de la aplicación utilizada para realizar la encuesta, comprobando que ésta iba mostrando las pantallas, con las respuestas alternativas a las mismas en su caso, implementando filtros en algunos casos para las diferentes opciones. Se comprobó que las preguntas que mostraba la aplicación se correspondían con las que aparecen en el documento de encuesta recabado. Se verificó que la última pantalla contenía los campos de nombre, dirección y teléfono móvil, comprobándose que la aplicación no dejaba finalizar la encuesta sin cumplimentar este último dato, al contrario que los de nombre y dirección, que pueden dejarse en blanco sin que se impida finalizar la encuesta. Completada la encuesta, se verifica que desde el dispositivo móvil no se puede volver a acceder a la información contenida en la encuesta finalizada. 1.15. Durante la inspección se recabaron impresiones de pantalla de la estructura del fichero de resultados de las encuestas donde se muestra el campo CUEST_ID, así como del fichero de datos identificativos donde se muestra igualmente el campo CUEST_ID. TERCERO: Examinado el documento que se facilita a los encuestadores, se comprueba que aparecen las siguientes cuestiones: Antes de comenzar la encuesta aparece una pregunta filtro sobre si el encuestado es integrante de una comisión fallera en la actualidad; señalándose que en caso de que la respuesta sea NO, no se realice la entrevista. Se comprueba que en un segundo filtro se pregunta el distrito/barrio en el que reside el encuestado, disponiendo el cuestionario de un listado de los mismos al objeto de marcar el que le corresponda. En el caso de que no los conozca consta un campo “anotar la calle _____”. La pregunta P.6 indica: Personalmente se siente… (Leer opciones) o Solo Valenciano? C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/25 o Más valenciano que español? o Tan valenciano como español? o Más español que valenciano? o Solo español? o Ns/Nc. Se verifica que la pregunta P.8 cita “¿Cómo se define Ud. en materia religiosa… (leer opciones)?”. En las respuestas alternativas se encuentran o Católico/a practicante. o Católico no practicante. o Creyente de otra religión. o No creyente. o Ateo/a. Se comprueba que como última opción aparece N.C. (No contesta) Se verifica que la pregunta P.9.a indica “En general, respecto al valenciano ¿Vd. Personalmente?”. En las respuestas alternativas se encuentran o Solo habla valenciano. o Habla valenciano siempre o casi siempre y en ocasiones el castellano. o Habla por igual valenciano y castellano. o Habla castellano siempre o casi siempre y en ocasiones el valenciano. o Habla otro idioma. Se comprueba que como última opción aparece Ns/Nc. Se verifica que la pregunta P.11 cita “De las siguientes opciones que le leo ¿Cuál es su opinión sobre la utilización del valenciano en la fiesta de las Fallas?”. En las respuestas alternativas se encuentran o El valenciano debería ser la lengua vehicular (única) de las Fallas. o El valenciano debería tener mayor presencia que la actual en las Fallas. o El valenciano debería tener la misma presencia que la actualidad en las Fallas. o El valenciano debería tener menor presencia que la actual en las Fallas. o El valenciano debería tener una escasa presencia en las Fallas. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/25 La pregunta P.17 señala: Y hablando de la JUNTA CENTRAL FALLERA (JCF) en su opinión ¿qué modelo de gestión es más conveniente en la relación entre el Ayuntamiento y las Fallas… o Que siga como está (la JCF depende del Ayuntamiento). o Que la JCF sea independiente del Ayuntamiento. La pregunta P.20.a. cita “En otro orden de cosas, haciendo referencia a temas más genéricos ¿Cómo calificaría la situación económica en general en la Comunitat Valenciana? La pregunta P.20.b. continúa “Y concretamente ¿Cómo definiría su actual situación económica? o Muy buena. o Buena. o Regular. o Mala. o Muy Mala. o NS/NC La pregunta 21 es la siguiente: En referencia a la situación Política en nuestra Comunitat ¿cómo la calificaría? o Muy buena. o Buena. o Regular. o Mala. o Muy Mala. o NS/NC Se comprueba que en las preguntas P.23.a y P.23.b se interroga por el partido político con el que se siente más identificado y por el que le gustaría que ganase ante unas elecciones al Ayuntamiento de Valencia. Se comprueba que en la pregunta P.24 se pide al encuestado que se sitúe en una escala del 1 al 10, siendo 1 extrema izquierda y 10 extrema derecha En ambas preguntas se ofrece también la opción de NS/NC. (No sabe/no contesta). A continuación se incluyen diez cuestiones acerca de la situación laboral del encuestado. Si trabaja se le pregunta acerca del tiempo que lleva en el lugar de trabajo actual, si piensa que puede perder su trabajo en los próximos doce meses; a los desempleados se les pregunta si cobran prestación ellos o algún miembro de la familia, tiempo en el desempleo, si cree que encontrará trabajo en los próximos doce meses. A todos se les pregunta en el sector de actividad en el que trabajan, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/25 ingresos mensuales y nivel de estudios. Al final de la encuesta figura : “[campo no obligatorio] Nombre ______ [campo no obligatorio] Domicilio _______ [campo OBLIGATORIO] Teléfono móvil_______” CUARTO: Con fecha 4 de agosto de 2017, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento de declaración de infracción de Administraciones Públicas al AYUNTAMIENTO DE VALENCIA, por la presunta infracción del artículo 7.2 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como muy grave en el apartado b del artículo 44.4 de dicha norma; asimismo, se requirió la cesación de la utilización ilícita de los datos personales relativos a las personas que no consintieron expresamente y por escrito el tratamiento de sus datos personales. QUINTO: Notificado el citado acuerdo de inicio de procedimiento de declaración de infracción de Administraciones Públicas, en fecha 11 de agosto de 2017, con entrada en esta Agencia el día 17 del mismo mes y año, se recibió escrito del AYUNTAMIENTO DE VALENCIA en el que, en síntesis, manifestaba que ya no se continuaba con el tratamiento de los datos personales ya que fueron recabados por INVEST con la finalidad de validar el 15% de las encuestas realizadas; nunca se los facilitaron al Ayuntamiento de Valencia; y fueron borrados al finalizar el periodo de supervisión y validación, siendo suprimidos totalmente, eliminándose la posibilidad de revertir la disociación de los datos recogidos en los dos ficheros: uno con las respuestas de las encuestas y otro con los datos identificativos. En resumen, en ese momento ya no se trataba ningún dato personal ni tales datos los tuvo nunca el Ayuntamiento de Valencia. SEXTO: Con fecha 21 de agosto de 2017, el Ayuntamiento de Valencia presentó escrito de alegaciones al acuerdo de inicio, tras solicitar ampliación de plazo, en el que exponen lo siguiente: 1. La Concejalía de Cultura Festiva de ese Ayuntamiento inició un expediente de contratación de una encuesta sobre la percepción social que el colectivo fallero tiene del proceso de patrimonialización de las Fallas tras su declaración como Patrimonio Inmaterial de la Humanidad de la UNESCO. 2. Se contrató a una empresa especializada en encuestas, INVEST, con más de 20 años de experiencia en la realización de estudios de mercado; prestación de servicios que se concretaría en realizar 1.100 encuestas a personas captadas aleatoriamente en la calle, cuestionario cerrado, adaptación de los cuestionarios a lenguaje digital, depuración de cuestionarios, codificación de cuestionarios, e informe de resultados en castellano y valenciano. Se establecía en el contrato que tenían que adoptar medidas de seguridad de nivel alto, y el cumplimiento de la LOPD. 3. Los objetivos y la metodología a aplicar no indican que se vayan a recoger datos personales. La entidad INVEST actúa conforme al Código Tipo de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/25 autorregulación de ESOMAR. 4. Resumen la forma en que se realizaba la encuesta, ya relataba en el antecedente Segundo. Añaden que actúan de forma similar al C.I.S. 5. Los datos personales que se recogían por INVEST lo fueron a los solos efectos de verificar que habían efectuado la encuesta, siendo destruidos y nunca se comunicaron al Ayuntamiento de Valencia. 6. El Ayuntamiento de Valencia no es responsable de los hechos que se le imputan ya que no han tratado ningún dato personal; no hay no dolo ni culpa. Solicitan en archivo de las actuaciones en base a las alegaciones presentadas, acompañando un escrito de INVEST en el que exponen que los datos personales tratados: nombre, apellidos y teléfono se recogieron para validar el 15% de las encuestas y fueron destruidos sin trasladarlos en ningún momento al Ayuntamiento de Valencia. SÉPTIMO: Con fecha 21 de septiembre de 2017, se acordó por la Instructora del procedimiento la apertura de un período de práctica de pruebas, teniéndose por incorporadas las actuaciones previas de investigación, E/03692/2017, así como la documental aportada por el AYUNTAMIENTO DE VALENCIA; y Solicitó a la entidad Invest Group que presentase certificación de la destrucción de los datos personales que se recogieron en la encuesta efectuada a casi mil falleros en el mes de junio de 2017 y en cumplimiento del contrato de prestación de servicios suscrito con el Ayuntamiento de Valencia de fecha 25 de abril de 2017. Con fecha 11 de octubre de 2017, se recibió certificado en el que se hace constar que con fecha 19 de junio de 2017, se procedió al borrado de los datos albergados en relación al estudio sociológico de falleros. OCTAVO: Con fecha 17 de noviembre de 2017, la Instructora del procedimiento formuló propuesta de resolución en el sentido de que por la Directora de la AEPD se resolviese el presente procedimiento declarando que el Ayuntamiento de Valencia ha infringido el artículo 7.2 de la LOPD, tipificada como muy grave en el artículo 44.4.b) de dicha norma; requiriendo a que adoptase las medidas de orden interno que impidan que en el futuro se produzca una nueva infracción de la mencionada Ley Orgánica. NOVENO: El Ayuntamiento de Valencia, tras solicitar copia de algunos documentos que forman parte del procedimiento y solicitar ampliación, presentó escrito de alegaciones ratificándose en las alegaciones efectuadas al acuerdo de inicio. Los hechos denunciados no incumplen la LOPD ya que contrataron la realización de la encuesta con una empresa importante, consignando en el contrato que debe cumplir las obligaciones de la LOPD e incorporar las medidas de seguridad de nivel alto. La empresa Invest actúa con arreglo a los estándares internacionales ESOMAR. El Ayuntamiento no ha participado en la realización material de la encuesta y en la recogida de datos, los cuales nunca se les facilitaron. La propuesta de resolución no se ha motivado y va contra los precedentes de la propia Agencia Española de Protección de Datos, que en el AP/00012/2014 mantuvo que quien envió a los medios de comunicación datos personales protegidos no tuvo conocimiento de los mismos, exculpando de responsabilidad al remitente. El Ayuntamiento de Valencia es C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/25 responsable del fichero o tratamiento, y como tal veló porque el encargado del tratamiento cumpliese con lo establecido en la LOPD y Reglamento de desarrollo; por este motivo, contrató con una entidad que actúa conforme al código Tipo ESOMAR. El Ayuntamiento no tuvo conocimiento de los posibles datos de carácter personal obtenidos por la empresa Invest, nunca se los facilitaron. No son responsables de ninguna infracción, no existe culpabilidad, no pueden responder por hechos que no han cometido. Alega el Ayuntamiento de Valencia que han actuado de la misma forma que el CIS, en cuyo protocolo figura lo siguiente: “Todas las respuestas son anónimas, protegidas por las leyes del secreto estadístico y de protección de datos. Las respuestas se utilizan de forma agregada, sin referencias individuales de ningún tipo. No se conserva ningún dato personal o identificador de quien ha respondido, y, una vez grabada la información que contienen, los cuestionarios son destruidos. El CIS realiza labores de supervisión e inspección del proceso de realización de las entrevistas, para garantizar así la calidad de los datos que recoge. Por este motivo, solicita el número de teléfono de las personas entrevistadas, pero este dato se utiliza exclusivamente con el fin de que el CIS pueda realizar inspecciones con objeto de comprobar si efectivamente se ha realizado una entrevista a dicha persona.” Por último, recuerdan el principio de lealtad institucional que rige las relaciones entre Administraciones Públicas, debiendo respetar el ejercicio legítimo por las otras Administraciones de sus competencias. HECHOS PROBADOS PRIMERO: Con fecha 25 de abril de 2017, el Ayuntamiento de Valencia y la entidad INVEST, firmaron un contrato de servicios de realización de estudios mediante encuestas sobre la percepción social del colectivo fallero con relación al proceso de patrimonialización de la fiesta de las Fallas. SEGUNDO: En el contrato consta que INVEST actúa como encargado del tratamiento en la prestación del servicio, estableciéndose expresamente las siguientes obligaciones: - El encargado del tratamiento tratará los datos conforme a las instrucciones del Ayuntamiento. - Utilizará los utilizará únicamente para cumplir sus obligaciones contractuales con el Ayuntamiento, absteniéndose de emplearlos con fines distintos a los establecidos. - No revelará, transferirá, cederá o comunicará los datos, ni siquiera para su conservación, a ningún tercero. - Adoptará cuantas medidas de seguridad sean exigidas por las leyes reglamentos a fin de asegurar la confidencialidad, secreto, integridad disponibilidad… y y - Destruirá o devolverá al Ayuntamiento los datos de carácter personal. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/25 TERCERO: En la cláusula primera del contrato consta que el servicio se concreta en la realización de 1100 encuestas personales de captación aleatoria en calle, utilizando un cuestionario de estructura cerrada (que se encuentra incorporado en el expediente de contratación en lengua valenciana), y una supervisión de al menos un 15% de las encuestas realizadas. CUARTO: En el Expediente de contratación consta que entre los objetivos del estudio sociológico sobre el colectivo fallero se encuentra el conocimiento del impacto socio cultural, que se concreta en conocer la realidad asociativa del conjunto de integrantes de las comisiones falleras, así como sus opiniones sobre la fiesta fallera, con el fin de radiografiar sus perfiles y actitudes a partir de sus valoraciones en distintos temas como la cultura, la identidad, la ideología o la religión, entre otros aspectos. QUINTO: El cuestionario fue realizado por el Ayuntamiento y consensuado con la entidad INVEST adjudicataria, si bien es el Ayuntamiento en última instancia el que decidió el contenido de la encuesta en su totalidad. SEXTO: La encuesta se realizó entre el 18 de mayo y el 13 de junio de 2017. En el momento de finalizarse la encuesta se habían cumplimentado 963 respuestas sobre las 1100 previstas. SÉPTIMO: El público objetivo de la encuesta lo constituyeron falleros/integrantes de comisiones falleras, sin necesidad de que fueran presidentes o miembros directivos de las Comisiones Falleras. OCTAVO: La encuesta se realizó utilizando tablets y móviles inteligentes que incorporaban una aplicación que implementa el cuestionario y recoge la información. La aplicación fue utilizada por los encuestadores para consignar la información que facilitan los encuestados a pie de calle. NOVENO: Los encuestadores debían mostrar a los encuestados, antes de iniciar la encuesta, un documento en el que se informa de la finalidad de la recogida de los datos. En el documento se resalta, en mayúsculas y negrita, el estudio del que el cuestionario forma parte: “CARACTERÍSTICAS Y OPINIÓN DE LOS FALLEROS SOBRE DIVERSOS ASPECTOS RELACIONADOS CON LA FIESTA DE LAS FALLAS DE VALENCIA TRAS SU DECLARACION COMO PATRIMONIO CULTURAL INMATERIAL DE LA HUMANIDAD POR LA UNESCO”. En el mencionado documento se cita que la información recopilada será utilizada única y exclusivamente con fines de investigación, siendo analizada de forma conjunta y global, así como que INVEST garantiza la seguridad y la confidencialidad de los datos de carácter personal facilitados. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/25 DÉCIMO: La aplicación instalada en el dispositivo móvil, mostraba las preguntas, y las respuestas alternativas en su caso, en orden secuencial, y a lo largo de varias pantallas. Durante la encuesta, una vez que el encuestador pasa de pantalla, no puede volver hacia atrás para visualizar los datos facilitados. Tampoco puede acceder a las respuestas una vez finalizada la encuesta. DECIMOPRIMERO: Al finalizar la encuesta, la aplicación solicitaba nombre, dirección y teléfono móvil del encuestado, siendo solo el dato de teléfono móvil un campo obligatorio. En caso de no querer facilitar este dato el encuestado, se rellenaba con números al azar o el número de la oficina de INVEST, debido a que en ningún caso se obliga al encuestado a facilitarlo y a que la aplicación no permite finalizar la encuesta si no se rellena ese campo del teléfono móvil. Estos datos se recababan al objeto de poder cumplir con la obligación de supervisión del 15% de las encuestas, que se realiza llamando telefónicamente al número de teléfono móvil facilitado, y eliminando de los resultados de la encuesta las respuestas de cuestionarios no validados. En total se realizaron 169 llamadas de validación. DECIMOSEGUNDO: Al finalizar la encuesta, los datos quedan cifrados en el dispositivo móvil, hasta que son descargados en la oficina de INVEST, borrándose del dispositivo. Los datos de las respuestas de las encuestas eran incorporados en un fichero y los datos que pueden identificar a la persona (nombre, dirección, teléfono móvil) en otro fichero separado, de tal forma que los datos de cada encuesta realizada se almacenaban de forma disociada. Se asocia un identificador de resultado de encuesta a cada una de ellas al objeto de poder eliminar las encuestas no validadas. Este identificador de resultado de encuesta era asociado asimismo a los datos identificativos de los que se dispone, para su asociación, que se realizaba para la supervisión y validación de los resultados, no revirtiéndose la disociación para ninguna otra finalidad (cuando una persona es llamada durante la supervisión del 15% de las encuestas, y no reconoce haber realizado la encuesta, se revierte la disociación y la encuesta se elimina). Durante la inspección se recabaron impresiones de pantalla de la estructura del fichero de resultados de las encuestas donde se muestra el campo CUEST_ID, así como del fichero de datos identificativos donde se muestra igualmente el campo CUEST_ID. DECIMOTERCERO: Los datos identificativos se borraron el 19 de junio de 2017. DECIMOCUARTO: Al finalizar las encuestas, INVEST realizó un informe de resultados con cuatro bloques de información que incluyen estadísticas de los perfiles característicos de los falleros, valoración de la dimensión patrimonial de las fallas, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/25 opinión sobre otros aspectos de la fiesta de las fallas, y el perfil sociológico de la Comunidad Festiva. Este informe no contiene datos personales y es el producto que se facilita al Ayuntamiento. DECIMOQUINTO: En la encuesta aparecen las aparecen las siguientes cuestiones: La pregunta P.6 indica: Personalmente se siente… (Leer opciones) Solo Valenciano? Más valenciano que español? Tan valenciano como español? Más español que valenciano? Solo español? Ns/Nc. La pregunta P.8 cita “¿Cómo se define Ud. en materia religiosa… (leer opciones)?”. En las respuestas alternativas se encuentran Católico/a practicante. Católico no practicante. Creyente de otra religión. No creyente. Ateo/a. Se comprueba que como última opción aparece N.C. (No contesta) La pregunta P.9.a indica “En general, respecto al valenciano ¿Vd. Personalmente?”. En las respuestas alternativas se encuentran Solo habla valenciano. Habla valenciano siempre o casi siempre y en ocasiones el castellano. Habla por igual valenciano y castellano. Habla castellano siempre o casi siempre y en ocasiones el valenciano. Habla otro idioma. Se comprueba que como última opción aparece Ns/Nc. La pregunta P.11 cita “De las siguientes opciones que le leo ¿Cuál es su opinión sobre la utilización del valenciano en la fiesta de las Fallas?”. En las respuestas alternativas se encuentran El valenciano debería ser la lengua vehicular (única) de las Fallas. El valenciano debería tener mayor presencia que la actual en las Fallas. El valenciano debería tener la misma presencia que la actualidad en las Fallas. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/25 El valenciano debería tener menor presencia que la actual en las Fallas. El valenciano debería tener una escasa presencia en las Fallas. La pregunta P.17 señala: Y hablando de la JUNTA CENTRAL FALLERA (JCF) en su opinión ¿qué modelo de gestión es más conveniente en la relación entre el Ayuntamiento y las Fallas… Que siga como está (la JCF depende del Ayuntamiento). Que la JCF sea independiente del Ayuntamiento. La pregunta P.20.a. señala “En otro orden de cosas, haciendo referencia a temas más genéricos ¿Cómo calificaría la situación económica en general en la Comunitat Valenciana? La pregunta P.20.b. continúa “Y concretamente ¿Cómo definiría su actual situación económica? Muy buena. Buena. Regular. Mala. Muy Mala. NS/NC La pregunta 21 es la siguiente: En referencia a la situación Política en nuestra Comunitat ¿cómo la calificaría? Muy buena. Buena. Regular. Mala. Muy Mala. NS/NC En las preguntas P.23.a y P.23.b se pregunta por el partido político con el que se siente más identificado y por el que le gustaría que ganase ante unas elecciones al Ayuntamiento de Valencia. En la pregunta P.24 se pide al encuestado que se sitúe en una escala del 1 al 10, siendo 1 extrema izquierda y 10 extrema derecha En ambas preguntas se ofrece también la opción de NS/NC. (No sabe/no contesta). A continuación se incluyen diez cuestiones acerca de la situación laboral del encuestado. Si trabaja se le pregunta acerca del tiempo que lleva en el lugar de trabajo actual, si piensa que puede perder su trabajo en los próximos doce meses; a los desempleados se les pregunta si cobran prestación ellos o algún miembro de la familia, tiempo en el desempleo, si cree que encontrará trabajo en los próximos doce meses. A todos se les pregunta en el sector de actividad en el que trabajan, ingresos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/25 mensuales y nivel de estudios. Al final de la encuesta figura: “[campo no obligatorio] Nombre ______ [campo no obligatorio] Domicilio _______ [campo OBLIGATORIO] Teléfono móvil_______” FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37. g) en relación con el artículo 36 de la LOPD. II Tras la Declaración de las Fallas como Patrimonio Inmaterial de la Humanidad por la UNESCO, el Ayuntamiento de Valencia impulsó y aprobó la realización del Plan Estratégico de las Fallas, con el objetivo de analizar los distintos vectores de impacto que tiene la Fiesta sobre su entorno para determinar las claves sobre la fiesta y su futuro. Uno de los apartados del análisis es el conocimiento de su impacto sociocultural, que se concreta en conocer la realidad asociativa del conjunto de integrantes de las comisiones falleras, sus características; así como las opiniones y valoraciones respecto a la fiesta fallera. El objetivo genérico de la realización de un Estudio Sociológico sobre el colectivo fallero es radiografiar los perfiles y actitudes de sus integrantes, a partir de sus valoraciones en distintos temas como la cultura, la identidad, la ideología o la religión, entre otros aspectos; así como conocer sus opiniones sobre la naturaleza y características de las Fallas y los cambios que se pudieran proponer a las fiestas. Los resultados del estudio permitirá concretar el impacto sociocultural de las Fallas sobre sus principales protagonistas y como se plantea este colectivo la realidad actual y el futuro de la fiesta. Desde el 18 de mayo hasta el 13 de junio de 2017, el Ayuntamiento de Valencia, mediante un contrato de prestación de servicios con INVEST, realizó una encuesta a 969 ciudadanos falleros en relación con la Declaración de las Fallas como Patrimonio Inmaterial de la Humanidad por la UNESCO. Según consta en el informe de actuaciones, los encuestadores que participaron en la realización de las encuestas debían informar a los encuestados sobre la finalidad de la recogida de datos, indicando el carácter voluntario de las respuestas. Los datos de las respuestas de las encuestas eran incorporados en un fichero, y los datos que podían identificar a la persona encuestada (nombre, dirección, teléfono C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/25 móvil) en otro fichero separado. Se asocia un identificador de resultado de encuesta a cada una de ellas al objeto de poder eliminar las encuestas no validadas. Este identificador de resultado de encuesta era asociado asimismo a los datos identificativos de los que se dispone, para su asociación, que se realizaba para la supervisión y validación de los resultados, no revirtiéndose la disociación para ninguna otra finalidad (cuando una persona es llamada durante la supervisión del 15% de las encuestas, y no reconoce haber realizado la encuesta, se revierte la disociación y la encuesta se elimina). Durante la inspección se recabaron impresiones de pantalla de la estructura del fichero de resultados de las encuestas donde se muestra el campo CUEST_ID, así como del fichero de datos identificativos donde se muestra igualmente el campo CUEST_ID. III El formulario de la encuesta, según el contenido que consta detallado en los Antecedentes y hechos probados, plantea diversos temas relacionados con la definición religiosa del encuestado, la situación económica y política de la Comunidad Valenciana, quién le gustaría que ganase las elecciones al Ayuntamiento de Valencia, y la situación en la que se ve ubicado el encuestado entre la extrema derecha y la extrema izquierda. El encuestador debía mostrar a los encuestados un cartel con la información siguiente: <> IV La realización de la citada encuesta se llevó a cabo por encuestadores a pie de calle, utilizando tablets y móviles inteligentes que recogía el cuestionario y la información. Los encuestadores informaban del carácter voluntario de las respuestas, habiendo sido formados verbalmente al respecto y que todas las preguntas, incluidas las que se refieren a ideología y creencias, ofrecen la opción de contestar NS/NC (No Sabe/No Contesta). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 17/25 La aplicación instalada en el dispositivo móvil, mostraba las preguntas, y las respuestas alternativas en su caso, en orden secuencial, y a lo largo de varias pantallas. Durante la encuesta, una vez que el encuestador pasa de pantalla, no puede volver hacia atrás para visualizar los datos facilitados. Tampoco puede acceder a las respuestas una vez finalizada la encuesta. Al finalizar la encuesta, la aplicación solicitaba nombre, dirección y teléfono móvil del encuestado, siendo solo el dato de teléfono móvil un campo obligatorio. En caso de no querer facilitar este dato el encuestado, se rellenaba con números al azar o el número de la oficina de INVEST, debido a que en ningún caso se obliga al encuestado a facilitarlo y a que la aplicación no permite finalizar la encuesta si no se rellena ese campo del teléfono móvil. Estos datos se recababan al objeto de cumplir con la obligación de supervisión del 15% de las encuestas, que se realizó llamando telefónicamente al número de teléfono móvil facilitado, y eliminando de los resultados de la encuesta las respuestas de cuestionarios no validados. INVEST es el destinatario de las respuestas recibidas que se incorporaban en dos ficheros pero con el mismo identificador. Los datos de las respuestas de las encuestas son incorporados en un fichero y los datos que pueden identificar a la persona (nombre, dirección, teléfono móvil) en otro separado. El identificador del resultado de encuesta se asocia a cada una de ellas al objeto de poder eliminar las encuestas no validadas. Este identificador de resultado de encuesta es asociado a los datos identificativos de los que se dispone, para su asociación, que se realiza exclusivamente para la supervisión y validación de los resultados, no revirtiéndose la disociación para ninguna otra finalidad (cuando una persona es llamada durante la supervisión del 15% de las encuestas, y no reconoce haber realizado la encuesta, se revierte la disociación y la encuesta se elimina). V En orden a precisar el alcance antijurídico de los referidos hechos, procede analizar, en primer lugar, si la información recabada conforme a lo descrito en los anteriores fundamentos de derecho incluye datos de carácter personal. La LOPD viene a regular el derecho fundamental a la protección de datos de las personas físicas, esto es, el derecho a disponer de sus propios datos sin que puedan ser utilizados, tratados o cedidos sin su consentimiento, con la salvedad de las excepciones legalmente previstas. En cuanto al ámbito de aplicación de la citada norma, el artículo 2.1 de la misma señala que “La presente Ley Orgánica será de aplicación a los datos de carácter personal registrados en soporte físico que los haga susceptibles de tratamiento, y a toda modalidad de uso posterior de estos datos por los sectores público y privado”. Por ello resulta preciso determinar que ha de entenderse por dato de carácter personal y tratamiento de datos. El artículo 3.a) de la LOPD define el concepto de dato de carácter personal como “cualquier información concerniente a personas físicas identificadas o identificables”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 18/25 Y el apartado 1.f) del artículo 5 del Real Decreto 1720/2007, de 21 de diciembre (RLOPD), por el que se aprueba el Reglamento de desarrollo de la LOPD, define dato de carácter personal como “cualquier información numérica, alfabética, gráfica, fotográfica, acústica o de cualquier otro tipo concerniente a personas físicas identificadas o identificables”. De ello se desprende que el concepto de dato personal, según la definición de la LOPD, requiere la concurrencia de un doble elemento: por una parte, la existencia de una información o dato y, por otra, que dicho dato pueda vincularse a una persona física identificada o identificable. La definición de persona identificable aparece en la letra o) del citado artículo 5.1 del RLOPD, que considera como tal “toda persona cuya identidad pueda determinarse, directa o indirectamente, mediante cualquier información referida a su identidad física, fisiológica, psíquica, económica, cultural o social. Una persona física no se considerará identificable si dicha identificación requiere plazos o actividades desproporcionados”. En este caso, resulta determinante considerar la forma de llevar a cabo la recogida de información expuesta en el Fundamento de Derecho anterior, que se y registra en dos ficheros distintos pero con un identificador que es el mismo en ambos ficheros, y que la misma se almacena según un sistema estructurado que permite su localización. Dicha información puede asociarse a personas físicas identificada. Por tanto, atendiendo a la definición contenida en las normas citadas, la información recabada se ajusta a dicho concepto, al tratarse de información concerniente a personas físicas identificadas, ya que los datos almacenados, se recogieron conteniendo la identificación de los encuestados mediante un mismo código en el fichero de respuestas y en el fichero de datos personales; al menos hasta que se efectuaron las validaciones y se destruyó el fichero de datos personales. En conclusión, se han tratado datos personales y son plenamente aplicables los principios y garantías expuestas en la normativa de protección de datos de carácter personal. VI El tratamiento de datos sin consentimiento de los afectados constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre (F.J. 7 primer párrafo), “consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporciona a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 19/25 particular (...)”. Son pues elementos característicos del derecho fundamental a la protección de datos personales, los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. El artículo 7 de la LOPD establece el régimen específicamente protector diseñado por el Legislador para aquellos datos personales que proporcionan una información de esferas más íntimas del individuo, a los que etiqueta bajo la denominación común de “Datos especialmente protegidos”. Para las diversas categorías de éstos el precepto citado establece específicas medidas para su protección. En el supuesto específico de los datos de ideología y religión, se consideran como especialmente protegidos y prevé que sólo puedan ser tratados cuando el afectado consienta expresamente y por escrito, debiendo advertirse al interesado acerca de su derecho a no prestar el consentimiento. El artículo 7 “Datos especialmente protegidos” de la LOPD, en sus apartados 1 y 2, establece lo siguiente: “1. De acuerdo con lo establecido en el apartado 2 del artículo 16 de la Constitución, nadie podrá ser obligado a declarar sobre su ideología, religión o creencias. Cuando en relación con estos datos se proceda a recabar el consentimiento a que se refiere el apartado siguiente, se advertirá al interesado acerca de su derecho a no prestarlo. 2. Sólo con el consentimiento expreso y por escrito del afectado podrán ser objeto de tratamiento los datos de carácter personal que revelen la ideología, afiliación sindical, religión y creencias. Se exceptúan los ficheros mantenidos por los partidos políticos, sindicatos, iglesias, confesiones o comunidades religiosas y asociaciones, fundaciones y otras entidades sin ánimo de lucro, cuya finalidad sea política, filosófica, religiosa o sindical, en cuanto a los datos relativos a sus asociados o miembros, sin perjuicio de que la cesión de dichos datos precisará siempre el previo consentimiento del afectado”. Han de considerarse los elementos que integran la definición de consentimiento recogida en el artículo 3. h) de la LOPD; a saber, que sea una manifestación de voluntad libre, inequívoca, específica e informada. En resumen, se exige un consentimiento expreso que conste por escrito para el tratamiento de los datos de ideología y religión, debiendo acreditarse que se trata de una manifestación de voluntad libre, inequívoca y específica, que se presta una vez que se ha tenido conocimiento de una concreta información (artículo 5 de la LOPD). Lógicamente, la concurrencia de los extremos expuestos deberá constatarse en cada caso concreto. En este caso, considerando los objetivos del Estudio, que ha sido aportado por el Ayuntamiento (Folio 10) se indica que el análisis sociológico recogerá, entre otras C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 20/25 cuestiones: Valoración de la situación política Autoubicación ideológica Grado de identidad: valenciano-español Identidad y comportamientos religiosos Recuerdo de voto… Se deriva un tratamiento de datos de ideología y religión de las personas que cumplimentaron la encuesta, ya que las personas registradas en el fichero pueden aparecer como defensores de una determinada opción ideológica y religiosa, al menos mientras no se destruyó el fichero con datos personales. La información facilitada por el encuestado inevitablemente deberá calificarse como de naturaleza ideológica y religiosa, por cuanto refleja el modo en que éste entiende el sistema social en el que está integrado. El término “ideología” recogido en el artículo 7.2 de la LOPD se encuentra directa e inmediatamente vinculado a lo dispuesto en el artículo 7.1 de la misma que, como ya se ha indicado, remite a su vez al artículo 16.2 de la Constitución, en cuya virtud “Nadie podrá ser obligado a declarar sobre su ideología, religión o creencias”. Las comprobaciones realizadas por los Servicios de Inspección de la AEPD han constatado y acreditado la existencia de formularios en los que se recabaron datos personales de los encuestados sin que conste el consentimiento de aquéllos mediante el marcado la casilla habilitada para la aceptación del tratamiento de los datos ni su firma, siendo irrelevantes a tales efectos las alegaciones manifestadas por el Ayuntamiento de Valencia acerca de las medidas adoptadas a lo largo de la realización de la encuesta para garantizar el adecuado respeto a lo dispuesto en la LOPD. A ello debe añadir las especiales circunstancias que deben concurrir en el consentimiento para el tratamiento de datos de ideología según se recoge en la SAN de 31 de enero de 2003. Se señala que “Todos estos datos fueron tratados informáticamente, y aunque es cierto que fueron dados de forma voluntaria (….) se precisa, de acuerdo con el artículo 7.2 de la Ley 15/1999 el consentimiento “expreso y por escrito” del afectado para el tratamiento de los datos de carácter personal que releven la ideología, afiliación sindical, religión y creencia… En definitiva, no bastaba con el consentimiento tácito de los afectados, sino que estos datos a los que la Ley otorga una protección especial, precisan para su tratamiento el consentimiento expreso de la persona”. Además, se argumenta que no consta que se haya informado a los interesados inequívocamente del alcance del consentimiento. “Es así que no puede afirmarse que el consentimiento (…) se haya prestado con conocimiento cabal de su exacto alcance y finalidad, ni tan siquiera para que el tratamiento de datos se efectuara”. Es preciso así recordar que el tratamiento o el almacenamiento en un fichero de los datos de ideología en el sentido que se ha venido describiendo a lo largo de este fundamento de derecho, podría implicar la existencia de un fichero o tratamiento con una finalidad exclusivamente ideológica a los efectos previstos en el citado C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 21/25 artículo, aun cuando dicha finalidad pudiera aparentemente vincularse a otras de distinta naturaleza tales como la estadística o la de publicidad y prospección comercial o realización de perfiles. En este sentido, y en relación con las finalidades estadísticas, debe recordarse que el artículo 9.1, párrafo segundo, del RLOPD dispone que para la determinación de los fines estadísticos habrá de estarse a la legislación que en cada caso resulte aplicable y, en particular, a lo dispuesto en la Ley 12/1989, de 9 de mayo, Reguladora de la función estadística pública (…) y sus disposiciones de desarrollo, así como a la normativa autonómica en esta materia, por lo que en caso de no resultar aplicable la citada regulación no podría considerarse que un fichero o tratamiento tiene una finalidad estadística a los efectos previstos en la normativa de protección de datos. VII Alega el Ayuntamiento de Valencia que contrató con una empresa especializada para llevar a cabo la encuesta, recogiendo las obligaciones en el contrato de prestación de servicios. En el apartado 4 de la cláusula quinta se establece que debe adoptar las medidas de seguridad exigidas por la LOPD y su Reglamento de desarrollo. En la cláusula decima se concretan las obligaciones: no destinar los datos a finalidades diferentes de las previstas en el contrato; no podrá comunicarlos a terceros; confidencialidad y custodia de los datos; si incumple, pasará a considerarse responsable del tratamiento. Ninguna cláusula del contrato de prestación de servicios establece la obligación de obtener el consentimiento expreso y por escrito de los encuestados, al tratarse de datos, entre otros, de ideología y religión. El artículo 12 de la LOPD “acceso a datos por cuenta de terceros”, establece lo siguiente: “1. No se considerará comunicación de datos el acceso de un tercero a los datos cuando dicho acceso sea necesario para la prestación de un servicio al responsable del tratamiento. 2. La realización de tratamientos por cuenta de terceros deberá estar regulada en un contrato que deberá constar por escrito o en alguna otra forma que permita acreditar su celebración y contenido, estableciéndose expresamente que el encargado del tratamiento únicamente tratará los datos conforme a las instrucciones del responsable del tratamiento, que no los aplicará o utilizará con fin distinto al que figure en dicho contrato, ni los comunicará, ni siquiera para su conservación, a otras personas. En el contrato se estipularán, asimismo, las medidas de seguridad a que se refiere el artículo 9 de esta Ley que el encargado del tratamiento está obligado a implementar. 3. Una vez cumplida la prestación contractual, los datos de carácter personal deberán ser destruidos o devueltos al responsable del tratamiento, al igual que cualquier soporte o documentos en que conste algún dato de carácter personal objeto de tratamiento. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 22/25 4. En el caso de que el encargado del tratamiento destine los datos a otra finalidad, los comunique o los utilice incumpliendo las estipulaciones del contrato, será considerado, también, responsable del tratamiento, respondiendo de las infracciones en que hubiera incurrido personalmente”. El citado artículo 12.1 de la LOPD permite que el responsable del fichero habilite el acceso a datos de carácter personal por parte de la entidad que va a prestarle un servicio –encargado del tratamiento- sin que, por mandato expreso de la ley, pueda considerarse dicho acceso como una cesión de datos. La LOPD exige que el acceso a datos por cuenta de terceros figure reflejado en un contrato por escrito o en alguna otra forma que permita acreditar su celebración y contenido, y prevé unos contenidos mínimos, tales como seguir las instrucciones del responsable del tratamiento, no utilizar los datos para un fin distinto, no comunicarlos a otras personas, estipular las medidas de seguridad del artículo 9 y, cumplida la prestación, destruir los datos o proceder a su devolución al responsable del tratamiento. El artículo 12 mencionado, indica que el encargado del tratamiento únicamente tratará los datos conforme a las instrucciones del responsable del tratamiento. En este caso concreto, el Ayuntamiento de Valencia, como responsable del tratamiento, debió recoger en el contrato que previamente a la recogida de datos, el encargado del tratamiento facilitase la información que establece el artículo 5 de la LOPD y obtuviese el consentimiento por escrito, tras indicar a los encuestados que sus datos personales se recogían para la verificación de las encuestas y que estaban ligados a las respuestas facilitadas, hasta el momento en que se finalizase la verificación, momento en que se destruiría el fichero que contenía los datos identificativos y las encuestas serían anónimas. Por tanto, independientemente de quien recabó y trató los datos contenidos en la encuesta, que durante un período de tiempo estaban ligados a datos personales, el responsable del tratamiento inconsentido de datos especialmente protegidos es el Ayuntamiento de Valencia, ya que INVEST trabajaba por cuenta y en nombre de dicho consistorio. En el sentido señalado, la Audiencia Nacional en su sentencia de 14-3-2007 recuerda que “Es tal responsable del fichero a quien corresponde asegurarse que aquel a quien se solicita consentimiento, efectivamente lo da, y que esa persona que está dando el consentimiento es efectivamente el titular de estos datos personales, deben conservar la prueba del cumplimiento de la obligación a disposición de la Administración encargada de velar por el cumplimiento de la Ley”. Asimismo, y en cuanto a la ausencia de responsabilidad y culpabilidad por parte del Ayuntamiento de Valencia, cabe también reproducir parcialmente la SAN de 28 de septiembre de 2012: “Debe recordarse que la comisión de la infracción prevista en el artículo 44.3.d) puede ser tanto dolosa como culposa. Y en este sentido, si el error es muestra de una falta de diligencia, el tipo es aplicable, pues aunque en materia sancionadora rige el principio de culpabilidad, como se infiere de la simple lectura del art. 140 de la Ley 30/1992, lo cierto es que la expresión “simple inobservancia” del art. 130.1 de la Ley 30/1992, permite la imposición de la sanción, sin duda en supuestos dolosos y asimismo en supuestos culposos, bastando la inobservancia del deber de cuidado”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 23/25 Añade que la Agencia no ha seguido sus propios precedentes, ya que en el procedimiento AP/00012/2014 no se inició procedimiento sancionador a un partido político por no saber la información que estaba remitiendo a los medios de comunicación. En ese expediente se sancionó al responsable de incluir información en unos ficheros que se enviaron a numerosos destinatarios, al Grupo Municipal del Partido Socialista por el tratamiento de datos especialmente protegidos, y no se sancionó al receptor de esos datos que envió de forma automática a sus contactos. En este procedimiento se sigue el mismo precedente, se inician actuaciones sancionadoras al responsable del tratamiento: el Ayuntamiento de Valencia. Asimismo, es importante tener en consideración el expediente con referencia E/04964/2017, accesible en el enlace http://www.agpd.es/portalwebAGPD/resoluciones/archivo_actuaciones/archivo_actuaci ones_2017/common/pdfs/E-04964-2017_Resolucion-de-fecha-11-01-2017_Art-ii-culo12-7.2-LOPD.pdf, notificado al Ayuntamiento de Valencia, en fecha 15 de enero de 2018, tras una denuncia recibida en la Agencia por la realización de un barómetro municipal efectuado a 2210 ciudadanos empadronados en esa provincia, en el que había preguntas referidas a la ideología política. Finalizadas las actuaciones previas de investigación oportunas se procedió a su archivo ya que, en este caso, el Ayuntamiento sí había realizado un contrato de prestación de servicios y el encargado del tratamiento facilitaba la cláusula informativa a los ciudadanos que respondían a la encuesta informándoles de la finalidad para la que se recababan sus datos personales, que debía ser firmada por los afectados; cumpliendo con ello la normativa de protección de datos. Extremo este último, el de la información ofrecida a los encuestados y obtención de su consentimiento expreso y por escrito para obtener datos de ideología política, que no se realizó, como ya se ha venido explicando, en la encuesta que ha dado lugar a este procedimiento. VIII El Ayuntamiento de Valencia se ratifica en las alegaciones presentadas al acuerdo de inicio, añadiendo que la encuesta realizada se ha hecho de la misma forma que las realiza el CIS. Así indica que en su protocolo señalan: “…No se conserva ningún dato personal o identificador de quien ha respondido, y, una vez grabada la información que contienen, los cuestionarios son destruidos. El CIS realiza labores de supervisión e inspección del proceso de realización de las entrevistas, para garantizar así la calidad de los datos que recoge. Por este motivo, solicita el número de teléfono de las personas entrevistadas, pero este dato se utiliza exclusivamente con el fin de que el CIS pueda realizar inspecciones con objeto de comprobar si efectivamente se ha realizado una entrevista a dicha persona” Es necesario señalar que el CIS se rige por la Ley 39/1995, de 19 de diciembre, de Organización del Centro de Investigaciones Sociológicas, y que en su artículo 5 delimita los principios que rigen su actuación: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 24/25 “a) Voluntariedad de las respuestas, en especial cuando se inquiera acerca de cuestiones de tipo étnico, político, religioso o ideológico, así como de circunstancias que se refieran a la intimidad personal o familiar. b) Transparencia investigadora, informando a los encuestados respecto del organismo que realiza el estudio y la naturaleza y finalidad de éste, así como de las garantías que les asisten en relación a la protección de su identidad e intimidad. c) Especialidad, utilizando la información para las finalidades propias de la investigación y siempre dentro de los objetivos estatutarios del Centro. d) Protección de los datos personales, adoptando en cualquier fase del proceso de investigación, y con posterioridad al mismo, las medidas necesarias para garantizar el derecho a la privacidad e intimidad de individuos y familias”. Hasta aquí podríamos entender que el Ayuntamiento de Valencia ha hecho lo mismo que hace el CIS, porque han dejado libertad para responder, han informado del estudio, usan los datos para ese estudio o respetan la protección de datos, dado que no es necesario dar más que el número de teléfono que, además, se conserva separado. Sin embargo, la Ley 39/1995 añade algo más, dado que el artículo 6.1 dispone que “Las encuestas que el Centro de Investigaciones Sociológicas realice en el ejercicio de sus funciones, que en ningún caso contendrán datos que permitan la identificación personal, ingresarán en el banco de datos del Centro una vez haya concluido su proceso de elaboración técnica”. En el protocolo en el que incide el Ayuntamiento de Valencia se recoge que solicitan el número de teléfono de los encuestados para inspeccionar si han participado en una encuesta, pero no se vincula con las respuestas realizadas; en ese punto concreto es en el que difieren sus actuaciones y que hacía necesario que el Ayuntamiento de Valencia, a través del encargado del tratamiento Invest, solicitase el consentimiento por escrito para el tratamiento de datos especialmente protegidos, ya que durante un período de tiempo las respuestas y los datos personales estaban vinculados. IX El artículo 44.4.b) de la LOPD considera infracción muy grave: “Tratar o ceder los datos de carácter personal a los que se refieren los apartados 2, 3 y 5 del artículo 7 de esta Ley salvo en los supuestos en que la misma lo autoriza o violentar la prohibición contenida en el apartado 4 del artículo 7”. En este caso, el Ayuntamiento de Valencia ha cometido la infracción descrita, toda vez que tratan datos de ideología y religión de los afectados sin contar con el consentimiento expreso, escrito e informado de los mismos, lo que determina la existencia de un tratamiento de datos especialmente protegidos que no respeta lo previsto en el artículo 7.2 de la LOPD. Vistos los preceptos citados y demás de general aplicación, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 25/25 La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR que el AYUNTAMIENTO DE VALENCIA ha infringido lo dispuesto en el artículo 7.2 de la LOPD, tipificada como muy grave en el artículo 44.4.b) de la citada Ley Orgánica. SEGUNDO: NOTIFICAR la presente resolución al AYUNTAMIENTO DE VALENCIA. TERCERO: COMUNICAR la presente resolución al Defensor del Pueblo, de conformidad con lo establecido en el artículo 46.4 de la LOPD. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, se podrá interponer potestativamente recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa (en lo sucesivo LJCA), en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Sin embargo, el responsable del fichero de titularidad pública, de acuerdo con el artículo 44.1 de la LJCA, sólo podrá interponer directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la LJCA, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es