La Agencia - Agencia de Proteccin de Datos de la Comunidad de Madrid

Se recibió en la Agencia de Protección de Datos de la Comunidad de Madrid escrito de un empleado en el Ayuntamiento de Madrid, integrante del Cuerpo de Agentes de Movilidad de Madrid, denunciando, en síntesis, los siguientes hechos:

A primeros de mayo de 2006, los mandos de la unidad ordenaron a los agentes de servicio presentarse en oficina con su D.N.I., donde se entregó a cada Agente el formulario normalizado de solicitud del certificado de identificación personal de clase 2 expedido por la FNMT.
Un funcionario adscrito a la Oficina de Registro y cuya firma constaba en la solicitud del certificado, comprobó la identidad del agente y le solicitó que firmara la solicitud y le facilitara una clave de acceso para usar con el certificado. A preguntas del Agente de por qué había que firmar, se le informó que era para la firma digital y para la PDA. El agente firmó la solicitud (aporta copia, doc. 1 –numeración nuestra-).
El agente no se preocupó del asunto hasta que en junio del 2007 asistió al curso presencial de tres horas para el uso y aplicación de la PDA y la firma digital en la tramitación digital de denuncias en el ejercicio de sus funciones. El curso constaba de dos partes. En la primera, una mujer sin identificar les hizo entrega de la PDA e impresora asignada nominalmente, de una tarjeta criptográfica blanca lisa con el logotipo de la FNMT que contenía el certificado de identificación personal del agente y una nota informativa procedente del departamento de vigilancia de movilidad, donde, entre otras cosas, se indica que se hace entrega del mismo certificado almacenado en un disquete para que lo pueda usar el titular en el ámbito privado; sin embargo, dicho disquete no se entrega a ningún agente.
El servicio de asistencia técnica de la FNMT informó al Agente que su certificado de identificación personal fue dado de alta el 9 de mayo del año 2006, lo que indicaba que alguien había descargado el certificado y tomado posesión de él.
El agente ignora quién pudo hacerse con su certificado y, atendiendo a las instrucciones para obtener dicho cerificado que constan en la declaración de prácticas de certificación de la FNMT, en la gestión de su certificado se respetó, tan sólo, el paso de identificación personal del solicitante ante un funcionario adscrito a una oficina de registro, puesto que no autorizó a persona o entidad para que lo obtuviera en su nombre, lo almacenara o usara. Desde el 9 de mayo de 2006 hasta junio del 2007, en que le fue entregado su certificado almacenado en una tarjeta criptográfica, el agente desconoce quién los descargó, qué usos se le ha dado, cuantas copias se han hecho y quienes han tenido acceso a él.
Por los referidos motivos, el funcionario denunciante solicitó un nuevo certificado de identificación personal en una delegación de Hacienda el 03/12/2007, quedando anulado su certificado anterior. Sin embargo, durante dos semanas continuó pudiendo tramitar las denuncias con la PDA, hasta que el cambio fue detectado.
El 17 de diciembre de 2007 el agente entregó escrito en la Unidad para que fuera elevado a los responsables, donde se pedían explicaciones acerca de lo ocurrido y de los medios técnicos para tramitar digitalmente las denuncias pero manteniendo el exclusivo control sobre los datos de creación de firma, sin obtener respuesta.
Días mas tarde se entregó a cada agente de la Unidad un sobre nominal que contenía un CD, con el certificado de identificación personal solicitado un año antes. El de este Agente se grabó, según puede comprobarse, el 12 de mayo de 2006, quedando probado que se habían almacenado y copiado los datos de creación de firma e incumpliendo con ello el artículo 18 de la Ley 59/2003, de 19 de diciembre, de firma electrónica.
El 28 de diciembre de 2007 llegó orden del Órgano administrativo competente para que los agentes que hubieran revocado el certificado acudieran a sus dependencias para la emisión de uno del mismo tipo. El agente adquiere un lector/grabador de tarjetas criptográficas e intenta grabar el certificado solicitado el 03/12/2007, enterándose en el teléfono de asistencia de la FNMT que, por un cruce de datos con el certificado anterior, este último ha sido anulado por la FNMT, de modo que, siguiendo el procedimiento ordinario, solicita otro el 10/01/2008 (Doc. 7). El agente graba este certificado en la tarjeta facilitada al principio junto con la PDA y borra el que esta contenía, que había sido revocado, debiendo acudir reiteradamente a las oficinas del departamento de vigilancia para que funcione la PDA con el certificado. Al no conseguirlo, el agente solicita otro certificado por medio del departamento de vigilancia, en sus oficinas, el 16/01/2008.
Especialmente desde una Orden de febrero de 2008, se ha debido solicitar por los agentes un nuevo certificado de identificación personal a través del departamento, porque esta orden obligaba a los agentes a solicitar un nuevo certificado para grabarlo en una tarjeta criptográfica con identificación corporativa. Atendiendo esta Orden, el Agente solicitó otro certificado el 19/02/2008 y en el momento el funcionario encargado descargó el certificado en el ordenador asignado a tal efecto y lo grabó en una tarjeta corporativa, debiendo entregar el agente la tarjeta con el certificado anterior.
Los pasos a seguir para obtener el certificado a través del Departamento de Vigilancia de movilidad son los mismos que para hacerlo a través de cualquier otra oficina de registro, pero en el caso del Departamento de Vigilancia todos los pasos se hacen en el mismo lugar. Es decir, al presentarse el agente en el Departamento el funcionario encargado verifica mediante el DNI la identidad del agente y le entrega a firmar la solicitud del certificado; hecho esto, contacta vía Internet con la FNMT e introduce los datos personales del agente como entidad física sin hacer referencia a su número profesional ni relación con el Ayuntamiento de Madrid, para obtener un código de solicitud y, utilizando dicho código, descargar el certificado en el ordenador de la oficina asignado al efecto. A continuación, graba el certificado en un disquete, introduciendo este disquete en otro ordenador para grabarlo en una tarjeta criptográfica. Acto seguido introduce la tarjeta en una lectora/impresora y envía los datos personales del agente al servidor utilizado para recibir las denuncias tramitadas digitalmente. Durante el proceso el Agente debe introducir dos claves en el ordenador, una para la exportación del certificado al disquete y otra para acceder al mismo cuando está grabado en la tarjeta, con la única medida de privacidad al introducir dichas claves de que el funcionario encargado mira para otro lado cuando el agente introduce las claves. Se duda si el Ayuntamiento está autorizado a utilizar estos métodos, son semejante descenso del nivel de seguridad para la emisión de los certificados.
El Servidor utilizado para el sistema recibe el nombre de EYS.net (estacionamientos y servicios), apareciendo el logotipo de Fomento Construcciones y Contratas al entrar en el mismo y cuando en el Departamento de Vigilancia y Movilidad envían los datos personales del agente al servidor. En la calle (…), nº X se encuentran unas oficinas operadas por personal no funcionario, supuestamente perteneciente a Fomento Construcciones y Contratas, donde se mantiene la operatividad del Servidor y en cuyos ordenadores se encuentran los datos personales, nº de agente y fotografía de los agentes pertenecientes al cuerpo y de los empleados del servicio de estacionamiento regulado en Madrid.
En el ejercicio de sus funciones, y dada la especial naturaleza de las mismas, el agente se identifica con su nº profesional para proteger su identidad, y no duda de la capacidad de la FNMT en el año 2006 para emitir un certificado de identificación de funcionario público asociado a un nº profesional y de uso restringido al ejercicio de las funciones propias del funcionario y, muy especialmente, en el año en curso, en que la FNMT ofrece certificados para el ámbito de la empresa privada.
Por todo lo expuesto, el Agente denuncia a la Dirección General de Movilidad como órgano responsable de la regulación del Cuerpo de Agentes de Movilidad de Madrid y a la FNMT, como cómplice necesario de lo ocurrido, ya que las tarjetas criptográficas proceden de la misma y, era conocedora de que algo irregular estaba pasando con la gestión de los certificados de los Agentes por el Ayuntamiento, ya que, a consultas de varios Agentes, y por el que denuncia, que se personaron en la FNMT, y donde nadie quiso atenderles en persona, sí se le indicó telefónicamente por un empleado de la FNMT, que se negó a identificarse, que no era muy legal lo ocurrido con el certificado y su uso, e indicó donde encontrar la legislación pertinente.

Recibido en la Agencia de Protección de Datos de la Comunidad de Madrid escrito de otro empleado en el Ayuntamiento de Madrid, perteneciente al Cuerpo de Agentes de Movilidad de Madrid, denunciando idénticos hechos, con la única excepción de que refiere como fecha de entrega de la tarjeta criptográfica “septiembre u octubre de 2007” se procede a la acumulación de ambos expedientes.

La APDCM remitió a la Dirección General de Movilidad del Ayuntamiento de Madrid sendos requerimientos respecto de las denuncias presentadas, al objeto de que informara sobre los siguientes extremos:

Fecha en la que se solicitó por primera vez a la Fábrica Nacional de Moneda y Timbre los Certificados Digitales de los Agentes de Movilidad y personal del Ayuntamiento de Madrid que tramitó dicha solicitud y fecha en que se dio de alta su certificado digital.
Acreditación de la autorización dada por el Agente de Movilidad para que un funcionario municipal solicite y descargue en un ordenador del Ayuntamiento el certificado digital de los denunciantes.
Descripción del procedimiento seguido por el funcionario acreditado para la obtención de dicho certificado digital, desde que se ordenó al interesado que se personara ante el funcionario encargado de la tramitación y le proporcionara una clave de acceso para usar con el certificado, hasta la grabación y entrega a éste del correspondiente certificado digital en una tarjeta criptográfica, aclarando si el certificado queda grabado en algún ordenador y si es posible su copiado.
Qué códigos de las tarjetas criptográficas de los Agentes de Movilidad (“código PIN” ó “código de desbloqueo) se almacenan en el fichero “Tarjetas Corporativas”, y desde qué fechas se almacenan en dicho fichero.
Fecha en que se le entregó al Agente denunciante la tarjeta criptográfica con el certificado digital, junto con el “Formulario de Entrega” y el certificado en soporte disquete o, en su caso, justificación de por qué no se entregó dicho disquete cuando así se indicaba en el Formulario de Entrega.
Forma de almacenamiento, custodia, usos, y, en su caso, cesiones del certificado digital desde su primera solicitud (09/05/2006), hasta su entrega al interesado (diciembre de 2007). Motivos del tiempo transcurrido desde la solicitud y alta del certificado hasta la entrega al interesado.
Número de certificados digitales tramitados a los denunciantes.
Si el CD con el certificado de identificación personal que se entregó al Agente interesado a finales de diciembre de 2007 se elaboró exclusivamente por la FNMT o si intervino el personal de la Dirección General de Movilidad. En este caso, indicar en qué sentido se intervino y qué habilitación disponía dicho personal para ello.
Motivos para requerir a los agentes de movilidad, en febrero de 2008, otra solicitud de certificado digital para grabarlo en una tarjeta criptográfica con información corporativa. Descripción de la información que figura en ambos lados de dicha tarjeta corporativa y usos detallados de esta tarjeta corporativa.
Justificación para solicitar los certificados digitales de los agentes de movilidad del Ayuntamiento de Madrid como personas físicas, y no como empleados públicos de dicho Ayuntamiento, para el ejercicio de funciones públicas específicas atribuidas a los Agentes en el Reglamento del Cuerpo de Agentes de Movilidad de Ayuntamiento de Madrid, de 28/03/2007, en relación con el Decreto del Concejal de Gobierno de Seguridad y Servicios a la Comunidad, de 21/11/2006, sobre medios electrónicos y telemáticos en la gestión de los procedimientos sancionadores en materia de tráfico, circulación de vehículos a motor y seguridad vial.
Descripción y justificación documental de la relación jurídica que mantiene el Ayuntamiento de Madrid, en su caso, con la entidad que facilita el servidor denominado “EYS.net (estacionamientos y servicios)”, utilizado para recibir las denuncias tramitadas digitalmente por los Agentes de Movilidad a quien se le transmiten los datos personales de los agentes.

Con fecha 28/05/2008 se remitió a la Fábrica Nacional de Moneda y Timbre-Real Casa de la Moneda (en adelante, FNMT-RCM) un escrito de la Agencia de Protección de Datos de la Comunidad de Madrid solicitando respuesta a diversas cuestiones, apelando a lo previsto en los artículos 4.1 y 4.2 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y Procedimiento Administrativo Común. Las cuestiones fueron las siguientes:

Si es posible actualmente conceder un certificado digital a un empleado público que tiene expresamente asignado un número de identificación, facilitando esta persona como dato personal sólo su número de identificación, personándose en la oficina de registro designada por sus superiores, mostrando su DNI a los acreditadores autorizados y firmando el modelo de solicitud que fuera necesario, cuando dicho certificado se fuera a utilizar para el exclusivo desarrollo de las funciones públicas que tiene atribuidas.

Si es ajustado a derecho que funcionarios del Ayuntamiento de Madrid, que recibieron el curso de formación de registradores de la FNMT para ser acreditadores, realicen desde su PC corporativo todas las fases del procedimiento previsto para la obtención del certificado electrónico (Solicitud del certificado, Acreditación de la identidad y descarga del certificado) de cada uno de los Agentes de Movilidad del Ayuntamiento de Madrid, que previamente se habrían personado ante el funcionario acreditado para mostrar su DNI, firmar la solicitud del certificado y proporcionarle una clave de acceso para usar con el certificado, de forma que el funcionario almacenaría el certificado digital de un conjunto de empleados públicos en dicho PC corporativo y luego lo trasladaría a las tarjetas criptográficas que se utilizarán por los Agentes de Movilidad para desarrollar sus funciones de tramitación de denuncias.

Si la conservación por el Ayuntamiento de Madrid del código de desbloqueo de cada tarjeta entregada por la FNMT al Ayuntamiento de Madrid para que los agentes de movilidad utilicen el sistema de firma digital de denuncias, permitiría usar, copiar o comunicar el certificado digital que contiene dichas tarjetas.

Cualquier otra información, relacionada con las cuestiones anteriores, que pueda considerarse de interés por esa FNMT-RCM.

Con fecha 03/07/2008 se recibieron sendos informes de la Dirección General de Movilidad a los requerimientos hechos desde esta Agencia, respecto de las denuncias presentadas, indicando ambos informes lo siguiente:

1º) La Solicitud de registro para el acceso a servicios de certificación, emisión de certificado de identidad de persona física FNMT clase 2 CA, de los dos Agentes denunciantes fue realizado por personal adscrito de manera oficial como registradores de la FNMT, con fecha 09/05/2006.

2º) En cuanto a la autorización dada por el Agente se indica que, en esta Subdirección General de Regulación de la Movilidad no queda copia de la misma, porque tal y como establece en el procedimiento marcado por la FNMT, las tres copias generadas se destinan a: Una queda en poder del propio interesado y las otras dos son remitidas a la Dirección General de Calidad y Atención al Ciudadano, que conserva una de ellas y la otra la tramita directamente a la FNMT.

En este caso, desde la Dirección General de Calidad y Atención al Ciudadano facilitó copias de las tres emisiones de certificado de firma electrónica autorizadas por los denunciantes, que se adjuntan como Anexo I al presente informe. Se trata de impreso normalizado, utilizado para tal fin, en el que se explica el régimen jurídico de la firma electrónica, características técnicas de la misma y donde queda reflejada la firma del solicitante.

3º) Respecto al procedimiento para la obtención del certificado de firma digital, se sigue el protocolo descrito en el Convenio suscrito entre el Ayuntamiento de Madrid y la FNMT, y supervisado por la mencionada Dirección General de Calidad y Atención al Ciudadano, responsable al efecto en el Ayuntamiento de Madrid.

Se ajunta como Anexo II el convenio firmado por el Ayuntamiento de Madrid con la FNMT, el protocolo definido por la Dirección General de Calidad –que guía el proceso de la firma digital- se encuentra a su disposición en las dependencias de Subdirección General de Regulación de Movilidad.

Dicho certificado no queda grabado en ningún ordenador, se incorpora en dos soportes que quedan inmediatamente en poder del interesado: Tarjeta criptográfica corporativa y disco CD.

4º) Los códigos PIN y los códigos de desbloqueo de las tarjetas corporativas (que no se corresponden en ningún caso con los del certificado de firma digital) son facilitados por la FNMT, con independencia de que cada empleado tiene copia de ambos y puede cambiar libremente el código PIN, no así el de desbloqueo. Se custodian en el fichero de tarjetas corporativas declarado en el Registro de la Agencia de Protección de Datos de la Comunidad de Madrid, al que se le aplican las medidas de seguridad de nivel básico. La justificación de esta medida viene dada porque, ante el número de agentes de movilidad (715), es relativamente frecuente que alguno de ellos se olvide del código PIN y extravíe el código de desbloqueo y, en ese caso, si el Ayuntamiento no custodiara el código de desbloqueo de la tarjeta, no podría validarla de nuevo y tendría que expedir una nueva, con el consiguiente coste de tiempo, dinero y perjuicio para el servicio que ello supondría. En dicho fichero se almacenan desde octubre de 2007.

5º) A los denunciantes se les entregó su primera tarjeta criptográfica en junio del 2007.

Fueron acreditados en el Órgano administrativo competente para su firma digital en fecha 9 de mayo de 2006. Posteriormente, se comprobó que su firma había sido revocada y, con fecha 16/01/2008 se volvió a acreditar, solicitando un nuevo certificado. No se solicitó en ningún momento la incorporación del certificado obtenido en oficina externa. Por último, en fecha 19/02/2008 con el cambio a la nueva tarjeta criptográfica corporativa se le convoca a una nueva acreditación. En esta ocasión hubo de obtenerse un certificado nuevo por los procedimientos habituales y con consentimiento del agente (así consta en el formulario) dado que no aportó el certificado de forma que tenía en el CD corporativo.

6º) El fichero conteniendo la firma digital de los mencionados agentes ha sido custodiado temporalmente por el personal formado y acreditado para tal fin por la FNMT, en un único ordenador exclusivamente dedicado a tal función, para su posterior incorporación a una tarjeta criptográfica y un CD que son entregados al interesado. No habiendo tenido uso alguno.

(…) Han ido surgiendo incidencias de carácter técnico, entre ellas, el cambio de operador telefónico y la incompatibilidad del chip contenido en la tarjeta corporativa disponible en el año 2006 y los lectores de tarjetas del sistema ubicados en las impresoras individuales de los agentes. Estas incidencias y otras menores han obligado a dilatar los plazos de alguno de los subprocesos dentro del proyecto, de tal forma que no se ha podido mantener la sincronía entre la solicitud del certificado de cada agente, la descarga en los soportes legalmente establecidos (tarjeta criptográfica y CD individual del agente), la formación específica, entrega de material y puesta en marcha.

(…)

9º) En el primer trimestre de 2008 se habían producido principalmente dos circunstancias que hacían recomendable hacer una nueva solicitud de certificado digital para la totalidad de la plantilla:

Ya se disponía de tarjetas criptográficas corporativas de nueva generación (Versión 2.0) cuyo microchip electrónico es técnicamente compatible con el sistema de firma digital utilizada en esta Subdirección de Regulación de Movilidad y la lectora de tarjetas que cada Agente lleva incorporada en su impresora.
La proximidad temporal de la caducidad de los primeros certificados expedidos y por consiguiente necesidad de iniciar un proceso progresivo que permitiese tener renovados los certificados antes de que caducasen y de hacerlo de forma paulatina para que el servicio de circulación que se presta en la calle no se viera afectado por tener que realizar el proceso precipitadamente.

(…)

10º) Actualmente no existe posibilidad, según la FNMT, de utilizar firmas de carácter corporativo, pues sólo se encuentra desarrollada la firma personal, que es la que se viene utilizando, motivo por el que no es posible utilizar los números profesionales de los Agentes.

Por otro lado, los datos correspondientes al nombre, apellidos y DNI de los Agentes de Movilidad no aparecen en ninguno de los documentos a los que tiene acceso el posible infractor y el público en general. Se adjuntan, como Anexo V, copias de los boletines que quedan a la vista del infractor, tanto el entregado en calle como el que se muestra cuando se solicita la vista de expediente en el Órgano administrativo competente, en el que no aparece otro dato relacionado con el Agente que no sea su número profesional.

11º) Las denuncias firmadas electrónicamente por los Agentes se transmiten directa y exclusivamente vía GPRS, y se almacenan en tres servidores municipales (…) tutelados por el Organismo Autónomo Informática del Ayuntamiento de Madrid (IAM) y ubicados dentro del CPD que tiene en la (…), tal y como establece el Decreto del Concejal del Área de Gobierno de Seguridad y Servicios a la Comunidad (hoy Área de Gobierno de Seguridad y Movilidad.

No existe, por tanto, ningún servidor denominado EYS.net que reciba las mencionadas denuncias. En todo caso, EYSA@net es el nombre de la aplicación que se ejecuta en las PDA’s de los Agentes de Movilidad.

Sólo hay una persona de la empresa EYSA con acceso autorizado a dichos servidores, la cual da soporte a las aplicaciones de denuncias. Persona que está perfectamente identificada y que utiliza exclusivamente una línea de telefonía móvil dada de alta en la intranet de IAM y, por tanto, protegida por su política de seguridad. Es decir, no existe acceso directo externo a dichos servidores.

De conformidad con lo dispuesto en el informe emitido por la Subdirección General de Coordinación de la Secretaría General Técnica del Área de Gobierno de Seguridad y Movilidad, todo este sistema se ampara en el contrato administrativo que el Ayuntamiento de Madrid tiene firmado con la empresa “Estacionamientos y Servicios S.A. (EYSA) el 4 de diciembre de 2004. Los antecedentes del contrato son los siguientes:

El expediente de contratación administrativa mediante concurso se inicia el 25 de junio de 2004 con la denominación “Suministro de equipos para la captura y emisión electrónica de denuncias de tráfico con destino al Departamento de Vigilancia de la Movilidad”. El objeto del contrato incluye el mantenimiento de equipos y sistemas de tratamiento de la información, sus dispositivos y programas.
La Asesoría Jurídica del Ayuntamiento informa favorablemente los Pliegos de Cláusulas Administrativas Particulares el 12/08/2004 y la intervención el 02/09/2004.
El 09/09/2004 la Junta de Gobierno de la Ciudad de Madrid autoriza el contrato y el gasto.
El 01/10/2004 se publica el anuncio de licitación en el DOUE.
Al concurso se presentan tres ofertas. El 10/11/2004 se leen en acto público las ofertas de las tres empresas licitadoras, y el 17/11/2004 la Mesa de Contratación del Área de Gobierno de Seguridad y Servicios a la Comunidad, estudiando el informe técnico de adjudicación, y propone al órgano de contratación la adjudicación del contrato a la oferta presentada por EYSA por considerarse la más ventajosa. El 25/11/2004 se adjudicó el contrato a esta empresa.

En la oferta presentada por la empresa adjudicataria, EYSSA, figura un apartado 8 en el que se describen todos los procedimientos y medidas de seguridad referidos a la protección de datos de carácter personal. Informa el Ayuntamiento de Madrid que dicha oferta es jurídicamente vinculante y que en la página 10/17 del informe técnico de adjudicación se valoró, como mejora, la oferta en cuanto a medidas de seguridad y este fue uno de los criterios objetivos valorados para su adjudicación.

Durante el desarrollo de los trabajos se decidió albergar todos los servidores en el mencionado CPD de IAM en vez del Data Center que proponía la empresa. Se adjuntan como Anexos VII y VIII copias del contrato y capítulo 8 de la Oferta económica en la que se describen todas las medidas de seguridad ofertadas por la empresa y valoradas en el informe técnico de adjudicación.

12º) Por último, indican que el sistema de firma digital de denuncias desde terminales PDA constituye una innovación tecnológica de primer orden para cuerpos de emergencia dedicados al tráfico. Desde octubre de 2007 (fecha en la que fue posible equipar a toda la plantilla) ha supuesto:

- La reducción del consumo de papel y otros consumibles en la tramitación de denuncias de tráfico en más de un 80%.

- La seguridad jurídica de la denuncia se ha visto enormemente mejorada (garantía de firma, imposibilidad técnica de operar desde terminales que no sean las asignadas como propias, trazabilidad de la denuncia)

- Igualmente, se ha mejorado la gestión y tramitación (reducción de plazos, recuperación de hasta 6 puestos de trabajo, que son dedicados a otras funciones). Unificación de todos los procesos de tramitación de denuncias, con independencia del organismo competente, Dirección General de Tráfico o Ayuntamiento de Madrid.

- Mejoras en la Calidad de la denuncia: Eliminación de los problemas caligráficos, eliminación de los problemas generados por errores en denominación de calles, marcas de vehículos, correspondencia entre clave y precepto, artículo y cuantía.

- Mejoras en la operatividad y comodidad del Agente.

Actualmente los Agentes ya obtienen cuatro impresos del dispositivo y en breve se incorporarán al sistema otros tres. Se elimina así que tengan que cargar con documentos en carpetas, porta-talonarios, bolsillos, etc.

Se afirma que no ha habido más incidencia en la aplicación del nuevo sistema de gestión de denuncias que aquella de la que se tuvo conocimiento en octubre de 2007, a través del pasquín o panfleto colgado en los tablones de anuncios, cuya copia se adjunta como Anexo IX, y en el que se denota más una actitud de enfrentamiento y resistencia al nuevo sistema, la organización, el servicio y el Ayuntamiento que una intención de mejora de la situación.

Con fecha 13/10/2008 se recibió escrito de la Fábrica Nacional de Moneda y Timbre, informando lo siguiente:

1.- Sobre el apartado 1 de la consulta:

Es posible emitir un certificado electrónico por la Fábrica Nacional de Moneda y Timbre – Real Casa de la Moneda (FNMT, Clase 2CA) [En adelante, FNMT-RCM] a todo ciudadano (independientemente de su condición de empleado público) mediante la firma del contrato de solicitud o de las condiciones de utilización correspondientes, cumpliendo con los requisitos obligatorios de acreditación de su identidad, para lo que es necesaria la personación e identificación ante los registradores autorizados para tal fin. Actualmente, en el momento de solicitud de los certificados, la FNMT-RCM no solicita como dato necesario el número de identificación del empleado público o funcionario público, limitándose a solicitar los datos habituales de identificación de las personas (nombre, apellidos, documento de identidad, domicilio, teléfono, etc.) que se consideran mínimos para la prestación del servicio. Lo anterior no impide, en su caso, que las oficinas de registro (organismos que identifican a su personal) puedan solicitar este dato a efectos internos.

La FNMT-RCM no impide ni limita el uso de estos certificados electrónicos, por lo que pueden ser utilizados, bien únicamente para el desarrollo de las funciones públicas que pueda tener atribuidas el solicitante del certificado, bien para otros usos además del mencionado. Por consiguiente, la FNMT-RCM pone a disposición de las Administraciones Públicas (en adelante, AA.PP.) una herramienta y son los organismos y su personal los que establecen las funcionalidades a realizar.

Hay que destacar que, sin perjuicio de lo manifestado en los párrafos anteriores, con fecha 24/06/2007, entró en vigor la Ley 11/2007, de 23 de junio, de acceso electrónico de los ciudadanos a los servicios públicos. Esta Ley ha superado el vacío legislativo existente en algunos aspectos de las relaciones electrónicas entre ciudadanos y administraciones, eliminando así las barreras legales para un desarrollo completo de la Administración Electrónica, lo que determina la asignación de instrumentos electrónicos (como la firma electrónica) al personal al servicio de la AA.PP. para el cumplimiento y ejecución de las funciones encomendadas. En este nuevo instrumento de relaciones –firma electrónica del personal al servicio de las AA.PP., según la Ley 11/2007, de 23 de junio- se consignará el número de empleado junto con los datos personales esenciales relativos a su actividad pública (nombre y apellidos, DNI, órgano u organismo, cargo, domicilio profesional, teléfono profesional, e-mail corporativo, etc.).

Sobre el apartado 2 de la consulta:

No podemos expresar si la actividad realizada por los funcionarios del Ayuntamiento de Madrid es ajustada a derecho, ya que esa afirmación corresponde, en todo caso, al propio Ayuntamiento y, en última instancia, a los tribunales de justicia competentes. De nuevo hay que insistir en que la FNMT-RCM solamente pone a disposición de las AA.PP. una herramienta que es utilizada para el cumplimiento y desarrollo previsto para cada órgano y organismo y el personal adscrito al mismo en la normativa correspondiente.

La FNMT-RCM, como Prestador de Servicios de Certificación, ajusta su actividad a la Ley 59/2003, de 19 de diciembre, de firma electrónica, tanto en su actividad propia, como en la de sus oficinas de registro, de conformidad con el artículo 13.5 de esta Ley, así como al artículo 81, de la Ley 66/1997, y demás legislación aplicable.

Para una operatividad adecuada a la actividad de registro, cuando los certificados son entregados como una herramienta de trabajo para el personal al servicio de las AA.PP., sería correcto afirmar que el funcionario responsable de la oficina de registro (del Ayuntamiento, en este caso) almacena temporal y operativamente en su PC lo que posteriormente se convertirá en un certificado electrónico activo. Esto no supone almacenar la clave privada del mismo, ya que ésta se integra directamente en la tarjeta asignada al agente de movilidad (que le es entregada para realizar las funciones encomendadas). Asimismo, señalar que esta clave privada no puede ser copiada o extraída de la citada tarjeta, lo cual queda garantizado por la tecnología criptográfica empleada.

Finalmente, destacar, a los efectos de la LOPD, que la citada clave no contiene, en sí, datos personales, sino que es una secuencia numérica que aplica técnicas criptográficas para cifrar, descifrar y firmar electrónicamente documentos electrónicos. De acuerdo con esto, existe una disociación de los datos personales que impide su vinculación y/o asociación a persona alguna.

La FNMT-RCM cuenta con la colaboración de diferentes AA.PP. (ministerios, organismos públicos, comunidades autónomas, entidades locales, etc.) y el resto de Poderes Públicos (legislativo y judicial) para el desempeño de las funciones de registro y acreditación de los usuarios. La FNMT-RCM, en la implantación de las oficinas de registro independientes de tales administraciones, informa a los encargados de tales registros sobre la utilización de las medidas de seguridad acordes con la Declaración de Prácticas de Certificación de la FNMT-RCM, con la Ley 59/2003, de 19 de noviembre, citada, y con el artículo 18, antes referido, entre las que se encuentra, como se ha expresado, no almacenar claves privadas de los usuarios.

Sobre el apartado 3 de la consulta:

El código de desbloqueo de la tarjeta criptográfica FNMT tiene por finalidad reactivar el acceso a los certificados y claves criptográficas de la tarjeta cuando ésta hubiera quedado bloqueada por la introducción del PIN durante tres veces consecutivas de forma errónea. Dicho código de desbloqueo también posibilita modificar el PIN de acceso al certificado y claves criptográficas. Por tanto, y sólo en el caso de disponer de una tarjeta criptográfica que contenga algún certificado electrónico y sus claves criptográficas asociadas, y, simultáneamente, de su código de desbloqueo correspondiente, podría hacerse uso de dichas claves modificando el PIN original (haciendo uso del código de desbloqueo), y, posteriormente, introduciendo el nuevo PIN para acceder al certificado y claves criptográficas de dicha tarjeta. Lo que no es posible es realizar copias de las claves privadas asociadas a los certificados una vez que éstas están en el interior del chip de la tarjeta criptográfica, para usar dicha copia a posteriori, pues no se pueden extraer dichas claves privadas ni siquiera conociendo el PIN o el código de desbloqueo de la misma. Queda, por tanto, protegido el uso de la clave privada exclusivamente por su titular, pues el código de desbloqueo no permite acceder a las funcionalidades de uso del certificado por el hecho de utilizar el código de desbloqueo. A más abundamiento, aunque se dispusiera del PIN, pero no de la tarjeta donde se inserta la clave privada, no podría hacerse uso del certificado electrónico porque la utilización de ambas herramientas ha de hacerse simultáneamente.

Con fecha 26/02/2009 se notificó a la Dirección General de Movilidad del Ayuntamiento de Madrid Acuerdo de Inicio de Procedimiento de Infracción de Administración Pública, dictado por el Director de la Agencia de Protección de Datos de la Comunidad de Madrid el día 06/02/2009, por:

El incumplimiento de las obligaciones previstas en el artículo 4 de la LOPD, que constituiría la presunta comisión de la infracción grave prevista en el artículo 44.3.d) de la LOPD: “Tratar los datos de carácter personal o usarlos posteriormente con conculcación de los principios y garantías establecidos en la presente Ley o con incumplimiento de los preceptos de protección que impongan las disposiciones reglamentarias de desarrollo, cuando no constituye infracción muy grave”, entendiendo que se produce un tratamiento inadecuado y excesivo de datos personales, puesto que éstos se facilitaron para una gestión del certificado de firma digital del afectado que, según declara el propio Ayuntamiento, implicaba que el certificado debía no quedar grabado en ningún ordenador y sí ser inmediatamente incorporado en dos soportes (tarjeta criptográfica y disco CD) y, con la misma inmediatez, ser entregado al interesado. Sin embargo, como el propio Ayuntamiento informa, esta inmediatez no se produjo por diversas incidencias teniendo la firma digital de dicho Agente, según afirma el Ayuntamiento “custodiado temporalmente (…) en un único ordenador exclusivamente dedicado a tal función, para su posterior incorporación a una tarjeta criptográfica y un CD (…)”. Pero este lapso de tiempo entre la descarga de la firma digital y el certificado de los agentes con su clave de seguridad de nivel alto, y la entrega a dichos Agente abarcó, desde el 9 de mayo de 2006 (fecha en la que se generan) y, por un lado, junio de 2007 (se entrega la tarjeta criptográfica), y, por otro lado, diciembre de 2007 (fecha en la que se entrega el certificado digital con su clave de seguridad de nivel alto)

El incumplimiento de las obligaciones previstas en el artículo 12 de la LOPD, que constituiría la presunta comisión de la infracción grave prevista en el artículo 44.3.d) de la LOPD: “Tratar los datos de carácter personal o usarlos posteriormente con conculcación de los principios y garantías establecidos en la presente Ley o con incumplimiento de los preceptos de protección que impongan las disposiciones reglamentarias de desarrollo, cuando no constituye infracción muy grave”, respecto del contrato de servicios constituido entre el Ayuntamiento de Madrid y la empresa “Estacionamientos y Servicios S.A. (EYSA)”, esto es, el “Suministro de equipos para la captura y emisión electrónica de denuncias de tráfico con destino al Departamento de Vigilancia de la Movilidad”.

Se concedía en dicha notificación un plazo de quince días hábiles para que el interesado formulara alegaciones y presentaran los documentos que consideraran convenientes en defensa de su derecho, así como que propusieran la prueba que estimaran pertinente.

Con fecha 25/03/2009 se registró de entrada en la Agencia de Protección de Datos de la Comunidad de Madrid escrito de alegaciones del Director General de Movilidad del Ayuntamiento de Madrid, en el que se indicaba, en síntesis, lo siguiente:

PRIMERA.- Que el presente expediente trae causa en los mismos hechos por los que, mediante resoluciones de 01/12/2008 y 07/01/2009, se acordó por el Director de la Agencia el archivo de las actuaciones iniciadas mediante denuncias de sindicatos; la identidad de procedimientos que se produce requiere la resolución del presente en idénticos términos que los anteriores.

SEGUNDA.- Tras realizar un complejo proceso para implantar el proceso de tramitación de denuncias a través de terminales PDA con firma electrónica de los agentes, se consigue la primera denuncia real firmada electrónicamente en mayo de 2006. Se constituye una nueva oficina acreditadora en el Departamento de Vigilancia de Movilidad, para obtener el certificado digital para los 700 agentes de movilidad. En el primer semestre de 2006 se había conseguido “la acreditación del grueso de la plantilla”. Problemas técnicos con las tarjetas telefónicas provocaron la interrupción de todo el proceso. El proceso finaliza en diciembre de 2007, con la entrega de un CD en el que se contiene información sobre la utilización del material, normativa sobre firma electrónica y demás documentación relativa al servicio y al sistema procediendo a la destrucción y al borrado de todos los datos de la firma electrónica custodiadas en el ordenador.

Desde la Dirección General de Calidad se detecta la posible incorrección que supondría haber tenido custodiada temporalmente la firma de los agentes en un ordenador municipal.

Para evitar posibles desconfianzas de la plantilla, se decide, con el acuerdo de tres de las organizaciones sindicales (UGT, CCOO y CSIF), volver a acreditar a toda la plantilla con nueva firma e insertarla en la tarjeta corporativa compatible, ya sí, con el sistema PDA de Agentes de Movilidad. Este proceso se llevó a cabo en el mes siguiente.

Que es cierto que el ordenador del Dpto. de Vigilancia de la Movilidad dedicado a la conexión con la FNMT-RCM y con acceso restringido exclusivamente a los registradores acreditados en el Dpto. ha tenido almacenada la firma electrónica de los agentes del Cuerpo de Agentes de Movilidad. Pero de ello no se deriva la posibilidad de hacer un uso de la firma electrónica, hasta que la misma no queda incorporada a la tarjeta asignada a cada agente, según indica la FNMT-RCM y que consta en el expediente (“… el funcionario responsable de la oficina de registro almacena temporal y operativamente en su PC lo que posteriormente se convertirá en un certificado electrónico activo. Esto no supone almacenar la clave privada del mismo, ya que esta se integra directamente en la tarjeta asignada al agente de movilidad (que le es entregada para realizar las funciones encomendadas.”)

Que se ha tenido custodiada con el máximo rigor en cuanto a la seguridad y no se ha utilizado por nadie, que se ha tenido custodiada con la única intención de acreditar a los agentes, darles formación, entregarles el equipo e incorporarlos al sistema en condiciones óptimas, y que se solventó la incidencia tan pronto como se detectó.

Por todo lo expuesto, no se considera vulnerado el principio de calidad, ya que únicamente los imponderables de la técnica y un difícil procedimiento impidieron cumplir escrupulosamente un protocolo de actuación que equilibraba la prestación de un servicio y la escrupulosa defensa del uso de los datos de los agentes de movilidad, custodiados en todo momento y sin que haya sido posible su utilización fraudulenta.

TERCERA.- Respecto de la imputación de la presunta vulneración de la LOPD en los términos del contrato suscrito ente entre el Ayuntamiento de Madrid y la empresa EYSA para el “Suministro de equipos para la captura y emisión electrónica de denuncias de tráfico con destino al Departamento de Vigilancia de la Movilidad”, ya que no se contiene ninguna referencia al artículo 12 de la citada Ley, se indica, por un lado, que, a diferencia de una primera valoración en la que no se contempló la necesidad de reflejar nada relativo a la protección de datos porque no se preveía crear ningún encargado del tratamiento, a la vista de la oferta que quedó incorporada al contrato con la adjudicación del mismo y por tanto forma parte de su contenido, se vio la posibilidad de que el adjudicatario sí realizase parte del tratamiento de datos personales y para ello se le permitiese el acceso a los servidores del IAM. Por otro lado, los términos del artículo 12 sí están regulados en un contrato dado que, el RD 2/2000, de 16 de junio, por el que se aprueba el Texto Refundido de la Ley de Contratos para las Administraciones Públicas, dispone en su artículo 53 que los contratos se perfeccionan mediante la adjudicación, matizándose con reiterada jurisprudencia del TS el criterio formal de que es la adjudicación el acto formal de la aceptación administrativa por medio del cual se alcanza el concierto de voluntades; por lo tanto, hasta que no se adjudica el contrato y se perfecciona, no existe acuerdo entre las partes y por lo tanto, no existe contrato como tal, sino únicamente el expediente de contratación, formado por el conjunto de documentos que lo van integrando. Es por ello por lo que la oferta de la empresa EYSA forma inequívocamente parte del contrato, por lo que el Ayuntamiento de Madrid sí cumplió lo establecido en el artículo 12 de la LOPD.

Por la Instructora se realizó Propuesta de Resolución de Infracción de Administración Pública en el sentido de DECLARAR que la Dirección General de Movilidad del Ayuntamiento de Madrid había incurrido en:

1º.- El incumplimiento de las obligaciones previstas en el artículo 4 de la LOPD, que constituiría la comisión de la infracción grave prevista en el artículo 44.3.d) de la LOPD: “Tratar los datos de carácter personal o usarlos posteriormente con conculcación de los principios y garantías establecidos en la presente Ley o con incumplimiento de los preceptos de protección que impongan las disposiciones reglamentarias de desarrollo, cuando no constituye infracción muy grave”, en relación con el tratamiento de los datos personales de los agentes de movilidad denunciantes para la obtención de sus firmas y certificados digitales.

2º.- El incumplimiento de las obligaciones previstas en el artículo 12 de la LOPD, que constituiría la comisión de la infracción grave prevista en el artículo 44.3.d) de la LOPD: “Tratar los datos de carácter personal o usarlos posteriormente con conculcación de los principios y garantías establecidos en la presente Ley o con incumplimiento de los preceptos de protección que impongan las disposiciones reglamentarias de desarrollo, cuando no constituye infracción muy grave”, en relación con la ausencia de referencia a los términos de dicho artículo 12 en el contrato sucrito entre el Ayuntamiento y la empresa EYSA para el “Suministro de equipos para la captura y emisión electrónica de denuncias de tráfico con destino al Departamento de Vigilancia de la Movilidad”.

Con fecha 22/06/2009 tiene entrada, a través del registro de la Agencia Antidroga de la Comunidad, escrito de alegaciones presentado por la Dirección General de Movilidad del Área de Gobierno de Seguridad y Movilidad del Ayuntamiento de Madrid, habiendo finalizado el plazo de alegaciones el 19/06/09, y siendo registrado en la Agencia de Protección de Datos de la Comunidad de Madrid con fecha 26/06/2009. En el escrito de alegaciones del imputado, se pone de manifiesto lo que a continuación se resume:

PRIMERO.- Que concurre conflicto competencial: por cuanto consideramos que la Agencia de Protección de Datos de la Comunidad de Madrid es incompetente en relación a la materia de la que es objeto y ello en base a que el incumplimiento pretendido del artículo 4 de la LOPD está relacionado en la propuesta de resolución “con el tratamiento de los datos personales de los agentes de movilidad denunciantes para la obtención de sus firmas y certificados digitales”, es decir, se conceptúa como infracción grave al ponerlo en relación con la Ley 59/2003, de 19 de diciembre, de firma electrónica, lo que supone un cambio en el ámbito de competencias en la materia.

Se alega que el artículo 18 a) de la Ley 59/2003 dispone que “los prestadores de servicios de certificados electrónicos deberán cumplir las siguientes obligaciones:

a) No almacenar ni copiar los datos de creación de firma de la persona a la que hayan prestado sus servicios”.

En atención al tenor literal del anterior artículo, se alega que la infracción sólo puede ser cometida por los denominados prestadores de servicios, que son los que hacen posible el empleo de la firma electrónica. El artículo 2.2 de la Ley 59/2003 define el prestador de servicios: “Se denomina prestador de servicios de certificación la persona física o jurídica que expide certificados electrónicos o presta otros servicios en relación con la firma electrónica”. De la definición expresada se desprende que la Dirección General de Movilidad no se constituye en prestador de servicios y por tanto no puede imputársele la infracción pretendida.

El imputado sostiene que a esa misma conclusión se llega también por parte de la Secretaría de Estado de Telecomunicaciones que, actualmente estudia la posible infracción cometida por el prestador de servicios, la Fábrica Nacional de Moneda y Timbre, a través de la cual esta Dirección General de Movilidad solicitó la expedición de las firmas digitales de los agentes de movilidad denunciantes por los mismos hechos que ahora se someten a estudio.

Se alega que la posible vulneración de la LOPD no puede tener causa en lo previsto en el artículo 18 de la Ley 59/2003, por lo que habría que analizar si el almacenamiento de datos los datos de creación de firma contraviene alguna disposición propia de la LOPD. El imputado sostiene que no puede imputarse la infracción descrita en la propuesta salvo que entendamos por “inadecuados o “excesivos”, en los términos que recoge el artículo 4 de la LOPD, los almacenamientos de datos que tienen por objeto la finalidad pretendida par ala que finalmente se debieron utilizar, y que es precisamente para la que los agentes fueron informados y que, finalmente, debido a los problemas técnicos señalados en los escritos de contestación obrantes en el expediente, no pudieron utilizarse, sin que en ningún caso se hubieren producido perjuicios a ninguno de los titulares de esos datos. Los Agentes conocían la finalidad de la recogida y el uso que se daría a sus datos, por lo que el tratamiento realizado no puede ser tachado de inadecuado o excesivo. Que además, en la actualidad se están poniendo en funcionamiento los sistemas de certificación corporativa, que hasta este momento no existían, con los cuáles no se hubiera producido el problema en el que trae causa el presente procedimiento.

A la vista de lo expuesto, de confirmarse la imputación realizada se estaría incurriendo en una vulneración del principio sancionador del “non bis in idem”, ya que por la misma causa se estarían tratando dos procedimientos sancionadores, uno por la Secretaría de Estado de Telecomunicaciones contra la Fábrica Nacional de Moneda y Timbre, como prestadora de servicios de certificación, y otro de esa Agencia contra el Ayuntamiento de Madrid.

SEGUNDO.- Que en caso de no ser tenidos en cuenta los argumentos expuestos en la primera alegación se debe considerar los siguientes:

En relación con la vulneración del artículo 4 de la LOPD por tratamiento excesivo o inadecuado, debe recordarse la jurisprudencia sobre la culpabilidad, así, el Tribunal Supremo en sus sentencias de 16 y 22 de abril de 1991 dice: “existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el sujeto infractor no se comporta con la diligencia exigible. Y el grado de diligencia exigible habrá de determinarse en cada caso en atención a las circunstancias concurrentes”. Por tanto, deberán estudiarse las circunstancias concurrentes para determinar el grado de culpabilidad exigible en el supuesto planteado. Estas circunstancias fueron las ya explicadas en el procedimiento, es decir, la imposibilidad técnica que no permitió dar el destino debido a los datos, producto de un retraso del proyecto de implantación para el que se recabaron los datos personales, impidiéndose la actuación diligente que conlleva el cumplimiento de la normativa que se dice vulnerada. Por tanto, al no existir culpa, no puede ser reprochable la infracción pretendida, ya que el almacenamiento de los datos personales de los agentes se dilató en el tiempo por causas ajenas a la voluntad del imputado.

Que como hecho probado debe considerarse que no se produjo uso incorrecto de los datos porque el Ayuntamiento articuló todas las medidas de seguridad necesarias para así garantizarlo, como queda acreditado sobradamente en el expediente y como, por otra parte, atestigua el hecho de que ninguna denuncia al respecto se presentó pese a tener acreditados a más de ciento cincuenta agentes en esas fechas. No existió un uso ilegítimo de los datos personales, ya que hubieran supuesto una infracción del artículo 23 c) de la Ley 59/2003, sólo imputable al prestador de servicios. Que en los hechos probados debería recogerse que no se hizo uso alguno de los datos personales de los denunciantes, por lo que no se les ha podido producir ningún perjuicio que motivara la interposición de su denuncia. De contrario, el perjuicio se hubiera producido si se procede al borrado de los datos cuando se detectaron los problemas, ya que no se podía saber la duración de los problemas surgidos y hubiera sido necesario reiniciar nuevamente la tramitación necesaria para volver a conseguir los certificados, con el consiguiente perjuicio que para el servicio público al que las partes se deben, conllevaría dicha actuación.

El artículo 4 de la LOPD no establece un límite temporal en el tratamiento de los datos de carácter personal, siendo éste el momento en que los datos dejen de ser necesarios para la finalidad que se pretende con el tratamiento.

TERCERO.- Que en relación con la infracción por incumplimiento del artículo 12, se debe considerar lo siguiente:

- No se especifica qué apartado del artículo 12 se ha vulnerado, generando indefensión al imputado al no conocer exactamente el motivo de la infracción. Atendiendo a la literalidad del artículo 12.2, se manifiesta que éste ha sido cumplido mediante el contrato suscrito con la empresa EYSA, por cuanto su contenido figura por escrito en su oferta que formó parte del contrato, siendo parte indivisible del mismo una vez perfeccionado éste.

- En los fundamentos de desestimación de las alegaciones presentadas en el procedimiento por el imputado se dice que “no existe otro documento consensuado por ambas partes” y que “ni dicha oferta haya quedado comprometida”. Estos argumentos no pueden ser aceptados, ya que la propuesta de la Empresa ha quedado comprometida, constituyendo una obligación de las partes aceptada por ambas con pleno consentimiento.

CUARTO.- Que se insiste en la consideración de identidad sustancial entre los objetos en los que trajeron causa los expedientes archivados a este Ayuntamiento, con los que han venido a originar la propuesta de infracción a la que se alega, ya que para aplicar la doctrina de los actos propios no es necesario que se repitan todos y cada uno de los hechos, sino que la causa de fondo sea la misma.

QUINTO.- Que se reiteran los argumentos esgrimidos en los escritos de 03/07/2008 y de 25/03/2009.

En su relato de “Hechos Probados”, la Agencia declara que, según afirma la propia Dirección General de Movilidad del Ayuntamiento de Madrid, ésta almacenó en un ordenador la firma digital, junto con las claves de acceso al certificado digital, de al menos dos Agentes de Movilidad de dicho Ayuntamiento desde mayo de 2006 hasta que se incorporaron a una tarjeta criptográfica y a un CD, que fue entregado a sus titulares en diciembre de 2007, fecha en la que se borró la referido información del ordenador en cuestión.

A su vez, el Ayuntamiento de Madrid suscribió un contrato con la empresa EYSA para la prestación del servicio consistente en el “Suministro de equipos para la captura y emisión electrónica de denuncias de tráfico con destino al Departamento de Vigilancia de la Movilidad”, en el que no se hace mención a los términos del artículo 12 de la LOPD, cuando dicha empresa se constituyó en “encargada del tratamiento” al conllevar su servicio el acceso a datos personales.

(…)

Iniciada la tramitación del Procedimiento de Infracción de Administración Pública contra la Dirección General de Movilidad del Ayuntamiento de Madrid por una posible vulneración de la normativa sobre protección de datos, respecto del procedimiento seguido para la implantación de un sistema de tramitación electrónica de denuncias de tráfico a través de las PDA de los Agentes de Movilidad y sus correspondientes firmas electrónicas, por la instructora del procedimiento se realiza Propuesta de Resolución en el sentido de declarar que la Dirección General de Movilidad del Ayuntamiento de Madrid ha podido incurrir en los siguientes:

Notificada a las partes la Propuesta de Resolución, por la Dirección General de Movilidad del Ayuntamiento de Madrid se presenta escrito de alegaciones, dándose contestación a los mismos en los siguientes fundamentos.

En relación con la primera alegación referida al conflicto competencial, deben tenerse en cuenta los siguientes aspectos:

A) La materia competencial sobre la que se basa la actuación de la Agencia de Protección de Datos de la Comunidad de Madrid:

Tal como se establece en el artículo 1 de la LOPD, “La presente Ley Orgánica tiene por objeto garantizar y proteger, en lo que concierne al tratamiento de los datos personales, las libertades públicas y los derechos fundamentales de las personas físicas y especialmente de su honor e intimidad personal y familiar. Para garantizar este objetivo, las Agencias de Protección de Datos, y en este caso, la Agencia de la Comunidad de Madrid, tiene encomendadas las funciones previstas en el artículo 37 en relación con el 41 de la LOPD, desarrolladas de forma explícita en el artículo 15 de la Ley 8/2001, de 13 de julio, de Protección de Datos de Carácter Personal en la Comunidad de Madrid, que en su primer apartado establece la de “velar por el cumplimiento de la legislación sobre protección de datos y controlar su aplicación, en especial en lo relativo a los derechos de información, acceso, oposición, rectificación y cancelación de datos, así como en lo relativo a la comunicación de datos personales entre las Administraciones Públicas a que se refiere el artículo 2 de la presente Ley”.

Como normas de rango supralegal en las que se basa el sistema de protección del derecho fundamental a la protección de datos de carácter personal, debemos aludir al CONVENIO 108 del Consejo de Europa, de 28-1-1981, para la protección de las personas con respecto al tratamiento automatizado de datos de carácter personal, hecho en Estrasburgo el 28 de enero de 1981, y ratificado por España el 27 de enero de 1984, que en su artículo 1 prevé como objeto de su regulación: garantizar, en el territorio de cada Parte, a cualquier persona física sean cuales fueren su nacionalidad o su residencia, el respeto de sus derechos y libertades fundamentales, concretamente su derecho a la vida privada, con respecto al tratamiento automatizado de los datos de carácter personal correspondientes a dicha persona ("protección de datos").

E igualmente citar la Directiva 1995/46/CE, de 24 de octubre, del Parlamento y del Consejo, sobre Protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, prevé la actuación de las Autoridades de Control, considerando que la creación de una autoridad de control que ejerza sus funciones con plena independencia en cada uno de los Estados miembros constituye un elemento esencial de la protección de las personas en lo que respecta al tratamiento de datos personales (Considerando 62); y estableciendo explícitamente en su artículo 28 que:

“1. Los Estados miembros dispondrán que una o más autoridades públicas se encarguen de vigilar la aplicación en su territorio de las disposiciones adoptadas por ellos en aplicación de la presente Directiva.

Estas autoridades ejercerán las funciones que les son atribuidas con total independencia”.

Por otro lado, la Ley 59/2003, de 19 diciembre, de Normas reguladoras de firma electrónica, aludida por el imputado, establece como objeto de la misma, en su artículo 1, el de regular la firma electrónica, su eficacia jurídica y la prestación de servicios de certificación, previendo en su articulado los conceptos y procedimientos necesarios para ello.

La Ley reguladora de la firma electrónica podrá establecer los parámetros del principio de calidad en lo que respecta a las formas de recogida de los datos y la cesión de éstos, pero no puede exceptuar la actividad de la Autoridad de Control en materia de protección de datos, cuestión que la propia Ley asume en su artículo 17.1 cuando dice que: El tratamiento de los datos personales que precisen los prestadores de servicios de certificación para el desarrollo de su actividad y los órganos administrativos para el ejercicio de las funciones atribuidas por esta Ley se sujetará a lo dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal y en sus normas de desarrollo.

La referencia al artículo 18 de la Ley 59/2002 en la Propuesta de Resolución, lo es, en tanto éste establece de forma específica la temporalidad de los datos recogidos para la creación de la firma electrónica, cuestión íntimamente ligada a la finalidad de la recogida de datos prevista en el artículo 4 de la LOPD. De esta manera, si el artículo 4 prevé que los datos sólo se podrán recoger para su tratamiento, así como someterlos a dicho tratamiento cuando sean adecuados, pertinentes y no excesivos en relación con el ámbito y finalidades determinadas, explícitas y legítimas para las que se hayan obtenido, y la finalidad de la recogida de los datos para la firma electrónica establece la inmediatez del tratamiento, prohibiendo su almacenamiento, es evidente que la cuestión que se debate en el presente expediente es la vulneración del principio de calidad del artículo 4 de la LOPD y no el incumplimiento del mandato del artículo 18 de la Ley 59/2002.

B) Naturaleza y finalidad de la Autoridad de control:

Relacionado con el anterior apartado, se debe atender también a la distinta finalidad y naturaleza de las autoridades a las que se les encomienda el control del cumplimiento de la LOPD y de la Ley 59/2002. Así, mientras la finalidad de la actuación de la Agencia de Protección de Datos es la protección de un derecho fundamental, y su naturaleza tiene un carácter independiente del poder ejecutivo, la imposición de sanciones por el incumplimiento de la Ley de Firma Electrónica corresponde, en el caso de infracciones muy graves, al Ministro de Ciencia y Tecnología y en el de infracciones graves y leves, al Secretario de Estado de Telecomunicaciones y para la Sociedad de la Información, órganos dependientes del poder ejecutivo.

C) El sujeto activo de sobre el que recae la responsabilidad de las infracciones:

El artículo 43.1 de la LOPD, prevé: Los responsables de los ficheros y los encargados de los tratamientos estarán sujetos al régimen sancionador establecido en la presente Ley. Y el artículo 3 d) de la LOPD define al responsable del tratamiento como la persona física o jurídica, de naturaleza pública o privada, u órgano administrativo que decida sobre la finalidad, contenido y uso del tratamiento. Así, el presente procedimiento se sigue contra la Dirección General de Movilidad del Ayuntamiento de Madrid, en tanto órgano administrativo responsable de la recogida de datos para la gestión del certificado de la firma digital de los denunciantes, mientras, tal como se pone de manifiesto en las alegaciones presentadas por el imputado, el procedimiento seguido por la Secretaría de Estado de Telecomunicaciones, al amparo de lo dispuesto en la Ley 59/2002, lo es contra la Fábrica Nacional de Moneda y Timbre, como prestador de servicios de certificación.

Atendiendo a los anteriores, se debe concluir que no existe conflicto competencial alguno que impida la actuación de la Agencia de Protección de Datos de la Comunidad de Madrid en este caso, en orden a salvaguardar la integridad del derecho a la protección de datos de los denunciantes.

(…)

En relación con la segunda alegación, referida a la falta de intencionalidad al dilatarse el almacenamiento de los datos de los agentes, y entendiendo que no se aportan por el imputado elementos nuevos que puedan modificar las conclusiones ya expuestas por la Instructora, reproducimos a continuación la fundamentación esgrimida en la Propuesta de Resolución:

En relación con la segunda alegación, se observa, en primer lugar, que, tras detallar los múltiples problemas que surgieron en la implantación del nuevo sistema de gestión de multas, la Dirección General de Movilidad reconoce la custodia en un ordenador de los datos personales de los Agentes de Movilidad referidos a su firma y certificados digitales durante un largo periodo de tiempo; datos que, según se indica, no fueron borrados hasta diciembre del 2007, fecha en la que se graba dicha información (junto con otra informativa sobre la nueva forma de trabajo con las PDAs y las firmas digitales) en CD’s, para su entrega personalizada a cada Agente. Por otro lado, no se plantea tanto aquí la posibilidad de usar la firma digital por un tercero cuanto el prolongado almacenamiento de la misma en un ordenador, cuando tal cosa nunca debió suceder. No obstante, cabe afirmar, a diferencia de lo alegado, que sí se entiende posible la utilización por un tercero de la firma digital de los agentes almacenada en el ordenador, teniendo en cuenta, por un lado, que no se descarga la firma digital generada en mayo de 2006 a una tarjeta criptográfica hasta junio del 2007 y que el propio Ayuntamiento copia el certificado digital de los agentes en un CD que se les entrega en diciembre de 2007, para que pudieran hacer de él el uso que estimaran conveniente en gestiones privadas. Es decir, que igualmente se pudo haber usado desde el ordenador en el que estuvieron temporalmente custodiados.

(…)

En contestación a la tercera alegación relativa al posible incumplimiento del artículo 12 de la LOPD, se debe destacar el hecho planteado por el Ayuntamiento en el procedimiento, y ya rebatido en la Propuesta de Resolución, respecto a la afirmación del cumplimiento del referido artículo 12, sin que se haya aportado en ningún momento de la tramitación del presente expediente documentación alguna que acredite tal afirmación. Así, se debe estimar que la mera declaración de la Dirección General de Movilidad, en relación al cumplimiento de lo previsto en el artículo 12 de la LOPD, contenido en el contrato administrativo firmado con la empresa “Estacionamientos y Servicios S.A. (EYSA)”, para el “Suministro de equipos para la captura y emisión electrónica de denuncias de tráfico con destino al Departamento de Vigilancia de la Movilidad”, no resulta suficiente, siendo la primera exigencia del referido artículo la formalización de los extremos previstos, por escrito o cualquier otra forma que lo acredite.

En este sentido se reitera nuevamente lo expuesto en la Propuesta de Resolución, que a continuación se reproduce:

… debe tenerse presente que ni en las cláusulas del contrato ni en los pliegos de condiciones se hace referencia alguna por el contratante a la condición de encargado del tratamiento que está desempeñando la empresa EYSA en las labores que desempeña para cumplir con el contrato relativo al “Suministro de equipos para la captura y emisión electrónica de denuncias de tráfico con destino al Departamento de Vigilancia de la Movilidad”, respecto del acceso a datos personales. Según prevé el artículo 12.2 de la LOPD “La realización de tratamientos por cuenta de terceros deberá estar regulada en un contrato que deberá constar por escrito o en alguna otra forma que permita acreditar su celebración y contenido, estableciéndose expresamente que el encargado del tratamiento únicamente tratará los datos conforme a las instrucciones del responsable del tratamiento, que no los aplicará o utilizará con fin distinto al que figure en dicho contrato, ni los comunicará, ni siquiera para su conservación, a otras personas. En el contrato se estipularán, asimismo, las medidas de seguridad a que se refiere el artículo 9 de esta Ley que el encargado del tratamiento está obligado a implementar”. En el presente caso, nada se dice en el contrato ni existe otro documento consensuado por ambas partes en el que el responsable del tratamiento (el Ayuntamiento de Madrid) determine las instrucciones sobre el tratamiento de datos personales que la empresa contratada tenga que realizar. Tampoco ha quedado acreditado que la oferta que en su momento hiciera la empresa EYSA sobre las supuestas medidas que adoptaría en el tratamiento de los datos personales se ajustase a ninguna obligación o instrucción que en su momento diera el contratante, ni que dicha oferta haya quedado comprometida como contenido de las instrucciones que el responsable del tratamiento, el Ayuntamiento de Madrid, diera al encargado, la empresa EYSA.

(…)

En contestación a la cuarta alegación, a continuación se reproduce el fundamento jurídico recogido en la propuesta de resolución:

… debe aclararse que el presente expediente trae causa de los hechos denunciados, hechos que, si bien pueden parecer inicialmente similares a los tratados anteriormente en dos expedientes de la Agencia y que ésta archivó, no lo son, bastando para darse cuenta de ello con leer los términos de las denuncias presentadas por las partes involucradas en el presente expediente y compararlas con las denuncias hechas en los dos referidos anteriores expedientes. En el presente expediente se aporta en la denuncia una detallada y documentada información que nunca se dio en los anteriores y abarca muchas más cuestiones que las denunciadas por los sindicatos actuantes en los otros dos expedientes. Y, por otro lado, marca también mucho la diferencia las respuestas dadas en el presente expediente por la Dirección General de Movilidad al requerimiento de la Agencia, que es claramente distinta de las anteriores (como no podía ser de otra forma ante los nuevos hechos aportados en la denuncia), al indicar, por ejemplo (y a diferencia de lo expresado en los expedientes anteriores) que: “El fichero conteniendo la firma digital de los mencionados agentes ha sido custodiado temporalmente por el personal formado y acreditado para tal fin por la FNMT, en un único ordenador exclusivamente dedicado a tal función, para su posterior incorporación a una tarjeta criptográfica y un CD que son entregados al interesado. No habiendo tenido uso alguno.”

(…)

Teniendo en cuenta todos los Antecedentes de Hecho reflejados en el presente escrito, así como las alegaciones presentadas por la Dirección General de Movilidad a la Propuesta de Resolución de la Instructora, se debe concluir que Dirección General de Movilidad del Ayuntamiento de Madrid incurrió en una vulneración del artículo 4 de la LOPD respecto del procedimiento seguido en la obtención de las firmas digitales de, al menos, los Agentes de Movilidad denunciantes en el presente expediente, entendiendo que se produce un tratamiento inadecuado y excesivo de datos personales relacionados con las firmas digitales y los certificados de los dos denunciantes, puesto que ellos se facilitaron para una gestión del certificado de firma digital de los afectados que, según declara el propio Ayuntamiento, implicaba que dichos datos no debían quedar grabados en ningún ordenador y sí ser inmediatamente incorporado en dos soportes (tarjeta criptográfica y disco CD) y, con la misma inmediatez, ser entregados a los interesados. Sin embargo, como el propio Ayuntamiento informa, esta inmediatez no se produjo por diversas incidencias, teniendo los datos relacionados con la firma digital y el certificado de dichos Agentes, “custodiado temporalmente (…) en un único ordenador exclusivamente dedicado a tal función, para su posterior incorporación a una tarjeta criptográfica y un CD (…)”. Pero este lapso de tiempo entre la descarga de la firma digital y el certificado de los agentes con su clave de seguridad de nivel alto, y la entrega a dichos Agente abarcó, desde el 9 de mayo de 2006 (fecha en la que se generan) y, por un lado, junio de 2007 (se entrega la tarjeta criptográfica), y, por otro lado, diciembre de 2007 (fecha en la que se entrega el certificado digital con su clave de seguridad de nivel alto). Sólo en este momento, según afirma el Ayuntamiento, se borran del referido ordenador dichos datos personales. En ningún caso tuvo el Ayuntamiento por finalidad, en la labor de recogida de los datos personales de los Agentes de Movilidad para obtener sus firmas y certificados digitales, tener almacenados dichos datos durante año y medio. Nunca se informó de esta intención a los empleados cuando se les pidieron los datos personales para gestionarles la firma y certificados digitales.

Por otro lado, se estima incumplido el artículo 12 de la LOPD en los términos del contrato suscrito entre el Ayuntamiento de Madrid y la empresa EYSA para el “Suministro de equipos para la captura y emisión electrónica de denuncias de tráfico con destino al Departamento de Vigilancia de la Movilidad”, teniendo en cuenta que, como reconoce el propio Ayuntamiento en su escrito de alegaciones, la empresa contratada accede a datos personales, constituyéndose en encargado del tratamiento, sin que se haya aportado ningún documento en el que conste estipulado el compromiso, de conformidad con los términos previstos en el citado artículo 12, de que la empresa contratada se somete a las instrucciones que el órgano contratante le determine respecto del tratamiento de datos personales que vaya a realizar.

Este incumplimiento de las obligaciones establecidas en los artículos 4 y 12 de la LOPD constituye una infracción grave prevista en el artículo 44.3.d) de la LOPD: “Tratar los datos de carácter personal o usarlos posteriormente con conculcación de los principios y garantías establecidos en la presente Ley o con incumplimiento de los preceptos de protección que impongan las disposiciones reglamentarias de desarrollo, cuando no constituya infracción muy grave”.

(…)

El Decreto 67/2003, de 22 de mayo, por el que se aprueba el Reglamento de desarrollo de la Agencia de Protección de Datos de la Comunidad de Madrid de tutela de derechos y de control de ficheros de datos de carácter personal, en su artículo 16.2, referido al contenido de la Resolución del Procedimiento de Infracción de Administraciones Públicas prevé en su letra b) que en el supuesto de declaración de la existencia de la infracción, se deberán establecer las medidas que procede adoptar por el responsable del fichero para que cese o se corrija los efectos de la misma.

En este sentido, atendiendo a los hechos reflejados en los antecedentes y a los principios de la LOPD que han sido infringidos por el imputado, no ha lugar a adoptar medidas para que cese la infracción cometida, ya que la acción infractora ha finalizado. No obstante, procede recordar al Ayuntamiento la obligación de respetar el principio de calidad en todos los tratamientos de datos personales que se lleven a cabo para la consecución de las finalidades propias del desarrollo de las competencias de la Entidad local. Igualmente, se deberá introducir en todos los contratos que puedan suscribir con entidades que asuman la condición de encargado de tratamiento, una cláusula relativa al cumplimiento del artículo 12 de la LOPD, en la que conste por escrito que el encargado del tratamiento únicamente tratará los datos conforme a las instrucciones del responsable del tratamiento, que no los aplicará o utilizará con fin distinto al que figure en dicho contrato, ni los comunicará a otras personas. En el contrato se establecerán también las medidas de seguridad a las que se refiere el artículo 9 de la LOPD, desarrolladas por el Real Decreto 1720/2007, estando el encargado del tratamiento obligado a implementarlas. Terminada la relación contractual, los datos personales manejados se devolverán al responsable o se destruirán, según se haya acordado.

Vistos los preceptos citados y demás de general de aplicación, el Director de la Agencia de Protección de Datos de la Comunidad de Madrid, resolvió declarar que la Dirección General de Movilidad del Ayuntamiento de Madrid había vulnerado lo previsto en los artículos 4 y 12 de la LOPD, incurriendo en una infracción grave prevista en el artículo 44.3.d) de la LOPD: “Tratar los datos de carácter personal o usarlos posteriormente con conculcación de los principios y garantías establecidos en la presente Ley o con incumplimiento de los preceptos de protección que impongan las disposiciones reglamentarias de desarrollo, cuando no constituye infracción muy grave”, en relación con el tratamiento de los datos personales de los agentes de movilidad denunciantes para la obtención de sus firmas y certificados digitales.