La Policía de Madrid borra teléfonos personales de agentes en planes de emergencia
La Agencia Española de Protección de Datos abrió una investigación por la denuncia de un sindicato, que tuvo conocimiento de dos casos en comisarías de distrito que incluían números no corporativos
- A esa reclamación se adhirió otro reclamante.
- No aparecía en planes de otros distritos
- Se eliminaron
- Coordinación entre agentes de emergencias
- No estaba justificado
- Normativa vulnerada
La Policía Municipal de Madrid tuvo que corregir una serie de planes de emergencia establecidos en algunas de sus unidades integrales de distrito, debido a la incorrecta utilización de números de teléfono móvil personales de algunos agentes.
Confidencial Digital ha consultado una resolución de la Agencia Española de Protección de Datos, que relata que en el año 2023 el sindicato Unión de Policía Municipal (UPM) interpuso una reclamación ante la agencia para poner en su conocimiento “ciertos hechos que podrían vulnerar la legislación en materia de protección de datos”.
A esa reclamación se adhirió otro reclamante.
La Unidad Integral de Distrito de Usera de Policía Municipal de Madrid llevó a cabo un simulacro el 25 de enero de 2023. Las unidades de la Policía Municipal realizaron durante ese mes de enero una serie de simulacros de incendios con la colaboración de la empresa Abantis, Consultoría y Asesoría, S.L.
En el curso del simulacro en Usera “el personal policial tuvo que utilizar el documento denominado Plan de Emergencias que se encuentra en el cajetín rojo con el rótulo: ‘Plan de autoprotección / Medidas de emergencia / Uso exclusivo de Bomberos’”.
En ese cajetín rojo había dos documentos: uno con fecha de junio de 2019 y otro de octubre de 2022.
“En el interior de los citados Planes de Emergencias (concretamente en el denominado Anexo I. ‘Directorio de comunicación’), se comprobó que constaban los datos personales y los números de los teléfonos móviles particulares de cada uno de los funcionarios policiales, cuando estos datos telefónicos nunca habían sido aportados por los policías afectados para estos fines, ni conocían que la entidad reclamada los había facilitado a la empresa ACA para elaborar el citado Plan de Emergencias”, denunció la Unión de Policía Municipal.
No aparecía en planes de otros distritos
Ese mismo sindicato denunció que había comprobado que en otras unidades policiales el dato telefónico aportado por la misma Dirección General para todos los policías identificados correspondía al fijo de la unidad: “Es más, el propio número de teléfono que aporta el Director General [de la Policía Municipal], no es el de su número móvil particular, sino, también, el fijo de sus dependencias”.
Señaló en la reclamación que en la lista del ‘Directorio de comunicación’ de los Planes de Emergencias “algunos de los empleados policiales de la UID de Usera que se encuentran reseñados ya están jubilados, otros ya han cambiado de unidad y otros están en situación de incapacidad temporal por padecer una enfermedad”.
El sindicato presentó una queja ante la dirección de la Policía Municipal de Madrid, en la que solicitó que se revisaran los planes de emergencia para dejar de utilizar los números de móvil personal de los agentes; que se notificara la brecha de seguridad; e incluso que se bloquearan los números de los móviles particulares hasta que se comprobara que se habían utilizado en el plan de emergencias adoptando medidas organizativas que impidieran su visualización y se notificara a los afectados en el caso de que no se bloqueara los citados datos.
Como la Policía Municipal de Madrid no contestó a la queja, el sindicato llevó el asunto ante la Agencia Española de Protección de Datos.
Se eliminaron
Cuando esta agencia notificó a la Policía Municipal de Madrid que había recibido una denuncia por este caso, el cuerpo policial contestó con las medidas que había adoptado.
Solicitó “a la Subdirección General Económico-Administrativa, encargada de la contratación del servicio para que requiera a la empresa que desarrolla esos planes, al objeto de que proceda a la destrucción de los datos personales que pudieran haber sido tratados por error involuntario”.
Remitió lo acontecido “a la Comisaría General de Régimen Interior, para la apertura del correspondiente expediente informativo al objeto de determinar las posibles responsabilidades disciplinarias que hubiera lugar”, pero por el hecho de que algún agente hubiera hecho llegar el documento del plan al sindicato UPM.
La Policía Municipal también informó de que “como consecuencia de la revisión de los Planes se detecta que existe un listado de similares características en la Comisaría Integral de Distrito Centro Sur, además del existente en la Comisaría Integral de Distrito Usera”.
A ambos comisarios de esas unidades les solicitó la eliminación de los listados, y ambos cumplieron lo ordenado.
“Pese a que los datos contenidos en este documento no revisten un riesgo para las personas afectadas”, alegó la Policía Municipal de Madrid, “se ha optado por eliminar los mismos en los planes de autoprotección para evitar que se vuelva a hacer un uso indebido como en este caso, en el que se ha trasladado a la UPM un documento interno, sin que esta cuente con legitimación para su tratamiento y tampoco acredite la eliminación de los mismos, ni ofrezca información sobre el registro de actividad de tratamiento”.
Coordinación entre agentes de emergencias
Trató de explicar el origen del fallo: “Para una adecuada coordinación entre los miembros que componen ese grupo de emergencias, las Comisarías Integrales de Distrito de Usera y Centro Sur cumplimentaron motu proprio un directorio de comunicación con los datos personales de los agentes con responsabilidad en la emergencia, y por error lo incluyeron en el Plan que se remitió a [la empresa] Abantis”.
Resulta que “entre los datos que figuran se encuentra el teléfono personal de los agentes que, en los casos de mandos intermedios corresponde con el teléfono corporativo”.
La Policía Municipal de Madrid informó de que “de las 20 Comisarías Integrales de Distrito detalladas en la memoria del contrato menor, donde se realiza el servicio de actualización e implantación del Plan, además de las restantes comisarías, solo se ha detectado ese error en las dos dependencias indicadas”, por lo que, justificó, “estamos ante una situación puntual”.
Además, afirmó que la empresa Abantis remitió una declaración responsable de la destrucción de datos personales de los planes de emergencia.
Añadió que “esta Jefatura Superior no tiene conocimiento del ejercicio de derechos personales realizado por ningún componente de la Comisaría Integral de Distrito de Usera en relación con el Plan, en contraposición a las quejas de los/as policías manifestada por la UPM en el punto 5 de su exposición, que de otra parte, contrasta con el carácter voluntario del personal que conforma el grupo de emergencias en las dependencias policiales”.
Pero la Policía Municipal de Madrid también trató de defenderse
indicando que la Ley 17/2015, de 9 de julio, del Sistema Nacional de Protección Civil obliga a que los titulares de los centros, establecimientos y dependencias, públicos, que generen riesgo de emergencia adopten medidas de autoprotección.
Por eso cada unidad integral de distrito habían adoptado planes de emergencia, un documento esencial para dar respuesta a las posibles situaciones de emergencia en esta materia que se puedan producir en las diferentes dependencias policiales y que para su implantación se requiere la gestión de los datos personales entre los que se incluye los telefónicos que posteriormente se reflejan en el “Directorio de Comunicación”, que requiere ese dato en su apartado “Teléfonos del Personal de emergencia”.
No estaba justificado
La directora de la Agencia Española de Protección de Datos decidió incoar un procedimiento sancionador para depurar responsabilidades en este caso, “por la presunta infracción del artículo 6.1 del Reglamento General de Protección de Datos, tipificada en el artículo 83.5.a) del citado RGPD”.
Aceptó que “el teléfono se considera un canal de comunicación necesario en determinadas circunstancias conforme al principio de coordinación establecido en la ley y el R.D. de desarrollo”, pero puntualizó que “en ningún caso figura y se recoge que el dato telefónico deba ser el número del móvil particular del agente”.
Así que “no puede ser aceptado que el tratamiento del dato del teléfono móvil particular de los agentes se encuentre legitimado por ser necesario para dar cumplimiento a una obligación legal exigible al responsable del tratamiento, además, del cumplimiento de una misión realizada en interés público, porque ninguna norma lo recoge ni el interés público lo suscita”.
Para la Agencia Española de Protección de Datos, “el número de teléfono móvil es un dato más de carácter personal del agente y debe ser tratado con la misma confidencialidad que el resto de sus datos de carácter personal”.
Utilizó otro argumento: “A mayor abundamiento, si tan importante es dicho dato particular del agente, ¿cómo es posible que en unos planes de emergencia figure y en otros no? ¿A qué es debido el privilegio o bien la agravante?”.
Tuvo en cuenta especialmente que “lo que es muy importante para el Plan de Emergencia Unidad Integral Distrito de Usera y Centro Sur, Anexo I, apartado A.I.1 Teléfono de Personal de Emergencias figuran los teléfonos móviles de los agentes que aparecen relacionados en el listado, no suscitando ese interés en el Plan de Emergencia Unidad Integral Distrito de Vallecas, de contenido similar al elaborado para el distrito de Usera y Centro Sur, en cuyo Anexo I, apartado A.I.1 Teléfono de Personal de Emergencias figuran al contrario que en los anteriores, los teléfonos corporativos y no los móviles particulares de los agentes que aparecen relacionados en el listado”.
Normativa vulnerada
La agencia concluyó que los teléfonos móviles se había incluido sin consentimiento de los afectados, ni tampoco ningún otro motivo que legitimara esa actuación.
Declaró que la Policía Municipal de Madrid sí vulneró la normativa de protección de datos personales, si bien también consideró que “en el presente caso, no procede imponer la adopción de medidas al haberse eliminado los datos incluidos en los Planes de Emergencia Unidad Integral de los Distritos afectados, objeto de las actuaciones e investigaciones de este procedimiento, tanto por el Ayuntamiento como por la empresa adjudicataria del servicio”.
