La denuncia de tráfico fue depositada en el exterior del vehículo con datos personales visibles, una forma de notificación que no respetó las exigencias de protección de datos al permitir que terceros pudieran acceder a información identificativa del afectado
Por Luis Ferrer Abogado
Una multa de tráfico puede contener datos personales necesarios para tramitar un procedimiento sancionador. Lo que no significa que esos datos puedan quedar expuestos a cualquiera que pase junto al vehículo.
El Ayuntamiento de Santander ha sido sancionado por una actuación aparentemente cotidiana: colocar en el parabrisas de un coche una denuncia de tráfico en la que figuraban el nombre y el DNI del afectado.
El problema no estaba en que la Administración pudiera tratar esos datos para tramitar la infracción. La cuestión era diferente: la forma en que quedaron expuestos en un lugar accesible a terceros.
La actuación policial convirtió información personal incorporada a un procedimiento administrativo en datos potencialmente visibles para cualquier persona que se acercara al vehículo.
El caso ofrece una importante enseñanza sobre protección de datos: una Administración puede estar perfectamente legitimada para conocer y utilizar determinada información y, sin embargo, infringir la normativa por la manera en que la comunica, muestra o custodia.
El problema no era la multa, sino dejar los datos personales expuestos
Conviene distinguir desde el principio ambas cuestiones.
La sanción en materia de protección de datos no significa que el Ayuntamiento careciera de facultades para denunciar una infracción de tráfico.
Tampoco supone que la Policía no pueda utilizar determinados datos identificativos cuando sean necesarios para ejercer sus funciones.
El conflicto aparece cuando una denuncia que contiene información personal se coloca en el exterior del vehículo de forma que personas ajenas al procedimiento puedan acceder a ella.
Nombre y DNI permiten identificar directamente a una persona.
Por ello, no deberían quedar innecesariamente expuestos a terceros.
Un parabrisas es un espacio visible para cualquiera
Dejar un documento en el parabrisas de un automóvil tiene una característica evidente: el vehículo puede encontrarse estacionado durante horas en un espacio público.
Por delante de él pueden pasar vecinos, peatones, otros conductores o cualquier persona.
Si el documento contiene datos identificativos visibles, existe la posibilidad de que sean conocidos por personas que no tienen ninguna relación con el procedimiento sancionador.
Y ahí se encuentra la diferencia entre notificar al interesado y exponer información del interesado.
El nombre y el DNI son datos personales
La normativa de protección de datos no se limita a información especialmente íntima, como datos médicos.
También protege información identificativa ordinaria.
El nombre y apellidos de una persona son datos personales.
El DNI lo es igualmente y tiene una especial capacidad identificativa.
Que estos datos aparezcan habitualmente en documentos administrativos no significa que puedan difundirse libremente.
La Administración necesita utilizarlos en multitud de procedimientos, pero debe hacerlo respetando los principios y garantías de la normativa de protección de datos.
Tener derecho a tratar un dato no significa tener derecho a hacerlo público
Este es uno de los aspectos más importantes del caso.
Una Administración pública puede tener una base jurídica perfectamente válida para tratar los datos de un ciudadano.
Por ejemplo, puede necesitar su identidad para tramitar una sanción, gestionar un impuesto o resolver una solicitud.
Pero esa habilitación no autoriza cualquier forma de tratamiento.
Una cosa es incorporar nombre y DNI al expediente administrativo.
Otra, dejarlos visibles en la vía pública.
La legitimidad para tratar información no equivale a una autorización para exponerla indiscriminadamente.
El principio de minimización de datos
Uno de los principios fundamentales del Reglamento General de Protección de Datos es la minimización.
En términos sencillos, los datos utilizados deben ser adecuados, pertinentes y limitados a lo necesario para la finalidad perseguida.
Este principio obliga a formular una pregunta muy práctica:
¿era necesario que el nombre y el DNI quedaran visibles en el documento colocado en el parabrisas para cumplir la finalidad perseguida?
Cuando una finalidad puede alcanzarse sin exponer determinados datos personales a terceros, mantenerlos visibles puede resultar difícil de justificar.
La confidencialidad también obliga a las Administraciones
Los responsables del tratamiento deben adoptar medidas para evitar accesos o divulgaciones no autorizadas.
Esto afecta tanto a empresas privadas como a organismos públicos.
Una Administración maneja enormes cantidades de información personal precisamente porque desarrolla funciones públicas.
Esa circunstancia no reduce sus obligaciones.
Al contrario, exige procedimientos que permitan evitar que información obtenida legítimamente termine siendo conocida por quien no debe conocerla.
No hace falta publicar los datos en Internet para que exista un problema
Cuando se habla de difusión de datos personales solemos imaginar una página web o una red social.
Pero una exposición física también puede resultar jurídicamente relevante.
Un documento dejado a la vista en un tablón, una ventanilla, una puerta o el parabrisas de un vehículo puede permitir el acceso de terceros.
La protección de datos no depende de que la información sea digital.
Lo importante es qué información se revela, a quién y con qué justificación.
¿Es necesario demostrar que alguien leyó efectivamente la multa?
Este tipo de casos plantea una cuestión interesante.
La valoración de una práctica inadecuada de protección de datos no debería confundirse necesariamente con la necesidad de identificar a cada tercero que efectivamente llegó a leer la información.
El hecho de colocar datos personales en condiciones que permiten un acceso injustificado ya puede resultar relevante desde la perspectiva de las obligaciones de seguridad y confidencialidad.
Otra cuestión será determinar, en cada procedimiento, el alcance concreto de la infracción y sus consecuencias.
Una multa no debería convertirse en una fuente pública de información personal
Imaginemos las consecuencias prácticas.
Un vecino podría conocer quién es el titular o afectado por una denuncia.
Un tercero podría fotografiar el documento.
La información podría circular posteriormente por mensajería o redes sociales.
Y un dato como el DNI podría quedar innecesariamente asociado al nombre de la persona.
Todo ello sería ajeno a la finalidad esencial de una denuncia de tráfico.
La Administración necesita tramitar la infracción, no informar a los transeúntes sobre la identidad del ciudadano afectado.
La actuación de un agente también compromete a la Administración
Otro aspecto importante es que la normativa de protección de datos no se aplica únicamente a las grandes bases de datos municipales.
También alcanza a las actuaciones cotidianas de los empleados y agentes que tratan información en el ejercicio de sus funciones.
Una práctica aparentemente rutinaria puede generar una incidencia si el procedimiento utilizado no protege suficientemente los datos.
Por ello, las Administraciones deben acompañar sus sistemas informáticos de protocolos, instrucciones y formación adecuada para el personal.
El diseño de los formularios también importa
Este asunto plantea una cuestión organizativa muy práctica.
Si determinados documentos están destinados a ser colocados en el exterior de un vehículo, su diseño debería tener en cuenta desde el principio la protección de datos.
Por ejemplo, puede resultar necesario separar la información que debe incorporarse al expediente de aquella que realmente necesita aparecer en el documento visible.
La privacidad no debería depender únicamente de que cada agente recuerde ocultar manualmente determinada información.
Un buen sistema debe reducir estructuralmente el riesgo.
Protección de datos desde el diseño
Esta idea conecta con un principio cada vez más importante: la protección de datos desde el diseño y por defecto.
No se trata únicamente de reaccionar después de que se produzca una exposición.
Los procedimientos deberían configurarse de forma que utilicen y muestren únicamente la información necesaria.
En el ámbito de las multas de tráfico esto puede traducirse en formularios, aplicaciones y protocolos que eviten generar documentos destinados al exterior con datos personales innecesariamente visibles.
¿Significa esto que nunca puede dejarse una denuncia en un vehículo?
No.
La enseñanza del caso no debe exagerarse.
El problema señalado no es simplemente la existencia de un documento en el parabrisas, sino el contenido personal que quedó expuesto y la forma en que se produjo esa exposición.
Las actuaciones en materia de tráfico deben ajustarse a su normativa específica y, simultáneamente, respetar las obligaciones en materia de protección de datos.
Ambos ámbitos jurídicos deben convivir.
La protección de datos no anula las competencias policiales
Tampoco puede interpretarse esta resolución como un obstáculo general para que los agentes identifiquen a los ciudadanos o tramiten denuncias.
La Policía necesita tratar información personal para desarrollar numerosas funciones.
La cuestión consiste en limitar el tratamiento y la comunicación de esos datos a lo que resulte necesario.
Es decir, proteger la información sin impedir el ejercicio legítimo de las potestades públicas.
La diferencia entre identificar y exhibir
Puede resumirse el problema mediante una distinción sencilla.
La Administración puede necesitar identificar a una persona.
Eso no significa que necesite exhibir su identidad ante terceros.
Esta diferencia es aplicable a muchos otros procedimientos administrativos.
El expediente puede requerir datos completos mientras que el documento que se muestra públicamente puede necesitar mecanismos de anonimización, ocultación o minimización.
El DNI merece una especial cautela práctica
El número del documento de identidad es utilizado en multitud de trámites y tiene una importante capacidad de identificación.
Por eso su exposición innecesaria genera riesgos evidentes.
Las Administraciones y empresas deberían evitar la práctica de mostrar números completos de DNI cuando no resulte necesario para la finalidad perseguida.
La utilización de fórmulas de ocultación parcial puede ser adecuada en determinados contextos, aunque siempre habrá que atender a la regulación específica de cada procedimiento.
No todas las infracciones de protección de datos producen automáticamente una indemnización
Conviene realizar otra precisión.
Que una autoridad determine que una actuación ha infringido la normativa de protección de datos no significa que cualquier afectado reciba automáticamente una determinada cantidad económica.
La responsabilidad administrativa en materia de protección de datos y una eventual reclamación indemnizatoria son cuestiones distintas.
Para reclamar daños y perjuicios deberán concurrir los requisitos legalmente exigibles y acreditarse el perjuicio correspondiente.
La condición de Administración pública también tiene particularidades
El régimen aplicable a las Administraciones públicas presenta particularidades respecto del de las empresas privadas.
Por eso no debe trasladarse automáticamente a un Ayuntamiento el mismo esquema sancionador económico aplicable a cualquier sociedad mercantil.
Lo verdaderamente importante en este caso es la constatación de que la actuación municipal no respetó las exigencias de protección de datos personales y que las Administraciones también están sometidas a estas obligaciones.
¿Qué puede hacer un ciudadano si encuentra sus datos expuestos?
Cuando una persona detecta que una Administración o empresa ha dejado datos personales visibles de forma aparentemente injustificada, resulta conveniente conservar prueba de lo sucedido.
Una fotografía del documento y de la forma en que estaba expuesto puede resultar útil, procurando evitar a su vez una difusión innecesaria de los datos.
También puede solicitar información al responsable del tratamiento y ejercer, cuando proceda, los derechos reconocidos por la normativa.
En determinados supuestos podrá plantearse una reclamación ante la autoridad competente en materia de protección de datos.
Una fotografía puede ser fundamental para acreditar cómo estaban visibles los datos
En este tipo de controversias no basta siempre con demostrar que el documento contenía determinada información.
Puede ser igualmente importante acreditar cómo estaba colocado.
No es lo mismo un dato incluido en el interior de un sobre cerrado que un nombre y un DNI perfectamente legibles desde el exterior.
Por ello, la forma concreta de exposición constituye parte esencial del problema.
La formación de los empleados públicos es una medida preventiva
Muchas incidencias de protección de datos no proceden de sofisticados ataques informáticos.
Surgen de actuaciones cotidianas:
un correo enviado al destinatario equivocado,
un documento dejado a la vista,
una copia entregada a quien no corresponde,
una pantalla visible para terceros,
o un formulario con más información de la necesaria.
La formación del personal puede evitar una parte importante de estas situaciones.
Reflexión jurídica
El caso del Ayuntamiento de Santander demuestra que la protección de datos no es únicamente una cuestión tecnológica.
No hacen falta hackers, filtraciones masivas ni bases de datos publicadas en Internet para que aparezca un problema jurídico.
A veces basta con un papel colocado en un parabrisas.
La Administración podía necesitar los datos del ciudadano para tramitar la denuncia. Pero esa necesidad administrativa no justificaba necesariamente que nombre y DNI quedaran expuestos en el exterior del vehículo y accesibles a terceros.
La enseñanza puede resumirse en un principio básico: los datos personales deben utilizarse para la finalidad que justifica su tratamiento y con la mínima exposición necesaria.
Conclusión
El Ayuntamiento de Santander ha sido sancionado después de que una denuncia de tráfico colocada en el parabrisas de un vehículo mostrara el nombre y el DNI del afectado, al considerarse que esa forma de actuación no respetaba las exigencias de protección de datos personales.
El caso no cuestiona la potestad municipal para tramitar infracciones de tráfico.
Cuestiona algo diferente: la exposición innecesaria de información identificativa a personas ajenas al procedimiento.
La Administración puede conocer la identidad del ciudadano cuando la necesita para ejercer sus competencias, pero debe protegerla frente a terceros.
Y esta resolución recuerda algo especialmente importante en una época en la que asociamos privacidad casi exclusivamente con Internet: una vulneración de datos personales también puede producirse mediante un simple documento de papel dejado a la vista en la calle.
La protección de datos empieza precisamente ahí: utilizando solo la información necesaria y evitando que llegue a quienes no tienen ninguna razón legítima para conocerla.
Luis Ferrer Abogado
Asesoramiento y defensa jurídica en protección de datos personales, privacidad, procedimientos administrativos, responsabilidad de las Administraciones públicas y reclamaciones frente a actuaciones administrativas.