AI-00429-2022

1/6  Expediente N.º: EXP202213294 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: A.A.A. (en adelante, la parte reclamante) con fecha 19/09/2022 interpuso reclamación ante la Agencia Española de Protección de Datos contra tres agentes de la Guardia Civil, que se identifican en la citada reclamación. Los motivos en que basa la reclamación son los siguientes: Reclama por el acceso a sus datos personales registrados en la aplicación Sistema Integrado de Gestión Operativa, Análisis y Seguridad Ciudadana (SIGO), de la Dirección General de la Guardia Civil, realizado por tres agentes sin causa justificada, así como por la revelación de tales datos a terceros. Considera la parte reclamante que el acceso a los datos sin justificación vulnera lo establecido en los artículos 6 y 11 de la Ley Orgánica 7/2021, de 26 de mayo, de protección de datos personales tratados para fines de prevención, detección, investigación y enjuiciamiento de infracciones penales y de ejecución de sanciones penales. Advierte, asimismo, sobre las medidas de seguridad que deben cumplir los ficheros que contengan datos recabados para fines policiales, según el artículo 4.3 del Real Decreto 994/1999, de 11 de junio, por el que se aprueba el Reglamento de medidas de seguridad de los ficheros automatizados que contengan datos de carácter personal, en cuanto al establecimiento de mecanismos para la identificación y autenticación del acceso, la realización de auditorías periódicas y la necesidad de llevar registros de incidencias y de accesos. Y considera que la revelación de datos puede ser constitutiva de delito regulado en los artículos 197 y siguientes del Código Penal, indicando que existe causa abierta en el Juzgado de Violencia sobre la Mujer ***LOCALIDAD.1 respecto de uno de los agentes señalados en la reclamación. Considerando este proceso penal, entiende que las posibles infracciones administrativas no habrían prescrito por virtud de lo establecido en los artículos 63 de la citada Ley Orgánica 07/2021, según el cual se interrumpe la prescripción como consecuencia de la apertura de un procedimiento judicial penal, hasta que la autoridad judicial comunique al órgano administrativo su finalización; y artículo 65 de la misma Ley Orgánica, referido al carácter subsidiario del procedimiento administrativo sancionador respecto del penal. Añade que la documentación que aporta acredita los accesos a la información por C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/6 parte de los reclamados y que hicieron pública la misma. En base a lo expuesto, solicita que se inicie expediente sancionador contra los agentes en cuestión, dejando en suspenso el correspondiente a aquel que se encuentra incurso en la causa penal mencionada. Con su reclamación aporta los documentos siguientes: . Dos oficios remitidos al Juzgado de Violencia Sobre la Mujer ***LOCALIDAD.1 por la Dirección General de la Guardia Civil, de fechas 20/11/2020 y 16/12/2020, en los que se reconoce la existencia de accesos indebidos por parte de los agentes mencionados en la reclamación. . Una auditoria, de fecha 05/11/2021, remitida al mismo juzgado, en la que se detallan las bases de datos consultadas de forma injustificada por los agentes. Consta que se accedió a la ficha de la parte reclamante en las fechas 29/09/2013, 22/12/2017, 21/08/2018, 30/05/2019, 25/06/2019, 13/07/2019 y 13/01/2020. . Transcripción de una conversación de la aplicación de mensajería instantánea WhatsApp mantenida con un tercero en fecha 03/11/2019, con la que se pretende acreditar la posible revelación a dicho tercero de los datos personales obtenidos a través de la aplicación SIGO. SEGUNDO: Con fecha 05/10/2022, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con las funciones que el artículo 57.1 a),

1. f)y
2. h)del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) confiere a cada autoridad de control y según lo dispuesto en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para dictar la presente resolución la Directora de la Agencia Española de Protección de Datos. II Marco normativo Con carácter previo, conviene precisar que la normativa invocada por la parte reclamante para fundamentar su pretensión no es aplicable a los hechos puestos de manifiesto en la reclamación. Considera la parte reclamante que dichos hechos vulneran lo dispuesto en (
3. i)la Ley Orgánica 7/2021, de 26 de mayo, de protección de datos personales tratados para C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/6 fines de prevención, detección, investigación y enjuiciamiento de infracciones penales y de ejecución de sanciones penales, que entró en vigor el 16/06/2021, cuando los hechos ya se habían producido; y (
4. ii)lo dispuesto en el Real Decreto 994/1999, de 11 de junio, por el que se aprueba el Reglamento de medidas de seguridad de los ficheros automatizados que contengan datos de carácter personal, que fue derogado con anterioridad a los hechos por el Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal. En la actualidad, la protección de datos personales se encuentra regulada por el Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD) y la LOPDGDD. Tratándose de accesos a la aplicación SIGO, que recoge información de interés policial, se tiene en cuenta lo establecido por la LOPDGDD en su disposición transitoria cuarta: “Los tratamientos sometidos a la Directiva UE 2016/680 del Parlamento Europeo y del Consejo, de 27/04/2016, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales por parte de las autoridades competentes para fines de prevención, investigación, detección o enjuiciamiento de infracciones penales o de ejecución de sanciones penales, y a la libre circulación de dichos datos y por la que se deroga la Decisión Marco 2008/977/JAI del Consejo, continuarán rigiéndose por la Ley Orgánica 15/1999, de 13/12 , y en particular el artículo veintidós, y sus disposiciones de desarrollo, en tanto no entre en vigor la norma que trasponga al Derecho español lo dispuesto en la citada directiva”. Por tanto, el presente caso debe analizarse conforme a las previsiones de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), y su Reglamento de desarrollo, aprobado por Real Decreto 1720/2007, de 21 de diciembre, en cuanto no se oponga a la normativa vigente. II Posibles infracciones. Tipificación y calificación Según lo dispuesto en el artículo 43 de la LOPD, están sujetos al régimen sancionador que establece esta norma los responsables de los ficheros y los encargados de los tratamientos. Ello sin perjuicio de las acciones disciplinarias que pudieran proceder cuando las infracciones fuesen cometidas en ficheros de titularidad pública o en relación con tratamientos cuyos responsables lo serían de ficheros de dicha naturaleza (artículo 46 de la misma LOPD). En este caso, la entidad responsable de sistema de información SIGO y, por tanto, la sometida al régimen de infracciones y sanciones de la LOPD, es la Dirección General de la Guardia Civil. Atendiendo a los hechos que son objeto de la reclamación formulada ante esta Agencia, procedería analizar si la Dirección General de la Guardia Civil ha cumplido, en relación con el sistema SIGO, con la obligación de establecer medidas de seguridad adecuadas para impedir los accesos indebidos a los datos personales registrados en dicho sistema, así como el cumplimiento del deber de secreto, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/6 conforme a lo previsto en los artículos 9 y 10 de la LOPD, respectivamente: “Artículo 9. Seguridad de los datos. 1. El responsable del fichero, y, en su caso, el encargado del tratamiento deberán adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten su alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural. 2. No se registrarán datos de carácter personal en ficheros que no reúnan las condiciones que se determinen por vía reglamentaria con respecto a su integridad y seguridad y a las de los centros de tratamiento, locales, equipos, sistemas y programas. 3. Reglamentariamente se establecerán los requisitos y condiciones que deban reunir los ficheros y las personas que intervengan en el tratamiento de los datos a que se refiere el artículo 7 de esta Ley”. “Artículo 10. Deber de secreto. El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo”. El incumplimiento de lo establecido en el artículo 9 de la LOPD se califica como infracción grave en el artículo 44.3.
5. h)de la misma Ley Orgánica en los términos siguientes: “
6. h)Mantener los ficheros, locales, programas o equipos que contengan datos de carácter personal sin las debidas condiciones de seguridad que por vía reglamentaria se determinen” . El incumplimiento del deber de secreto se califica igualmente como infracción grave en la letra
7. d)del mismo artículo anterior: “
8. d)La vulneración del deber de guardar secreto acerca del tratamiento de los datos de carácter personal al que se refiere el artículo 10 de la presente Ley” . III Prescripción de las posibles infracciones El artículo 47 de la LOPD, bajo el epígrafe “Prescripción”, establece en sus apartados 1 a 3 lo siguiente: “1. Las infracciones muy graves prescribirán a los tres años, las graves a los dos años y las leves al año. 2. El plazo de prescripción comenzará a contarse desde el día en que la infracción se hubiera cometido. 3. Interrumpirá la prescripción la iniciación, con conocimiento del interesado, del procedimiento sancionador, reanudándose el plazo de prescripción si el expediente sancionador estuviere paralizado durante más de seis meses por causas no imputables al presunto infractor”. Por otra parte, el artículo 30.2 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público, establece lo siguiente: “2. El plazo de prescripción de las infracciones comenzará a contarse desde el día en que la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/6 infracción se hubiera cometido. En el caso de infracciones continuadas o permanentes, el plazo comenzará a correr desde que finalizó la conducta infractora. Interrumpirá la prescripción la iniciación, con conocimiento del interesado, de un procedimiento administrativo de naturaleza sancionadora, reiniciándose el plazo de prescripción si el expediente sancionador estuviera paralizado durante más de un mes por causa no imputable al presunto responsable”. Según consta en la reclamación presentada y la documentación que se adjunta a la misma, los hechos valorados en las presentes actuaciones, relacionados con varios accesos indebidos a la base de datos SIGO realizados por agentes de la Guardia Civil, se remontan al 13/01/2020, el más reciente de ellos, habiendo tenido esta Agencia conocimiento de los mismos por virtud de la citada reclamación, registrada de entrada en fecha 19/09/2022. En cuanto al incumplimiento del deber de secreto, la parte reclamante aporta la transcripción de una conversación mantenida con un tercero en fecha 03/11/2019 a través de una aplicación de mensajería, con la que pretende acreditar la posible revelación a dicho tercero de los datos personales obtenidos a través de la aplicación SIGO. Así, considerando que el plazo de prescripción comienza a contarse el día en que se cometió la presunta infracción, en el presente caso el “dies a quo” del cómputo prescriptivo debe fijarse en el día 13/01/2020 para los accesos injustificados y anterior al 03/11/2019 para la revelación de datos, resultando que las posibles infracciones de los artículos 9 y 10 de la LOPD, calificadas como graves, de confirmarse, han prescrito de conformidad con lo dispuesto en el mencionado artículo 47.1 de la LOPD, que establece un plazo de prescripción de dos años para tales infracciones graves, ya transcurrido cuando la reclamación respectiva tuvo entrada en esta Agencia Española de Protección de Datos. Teniendo en cuenta, además, que de conformidad con lo dispuesto en el apartado 3 del precepto antes citado, así como en el artículo 30.2 de la citada Ley 40/2015, el único modo de interrumpir el computo del plazo de prescripción es la iniciación, con conocimiento del interesado, del oportuno procedimiento sancionador, y en el presente caso, al no haber tenido conocimiento de los hechos con anterioridad, no ha sido posible formalizar dicha incoación dentro de plazo establecido, procede declarar la prescripción de las presuntas infracciones con archivo de las actuaciones. IV Conclusión Por lo tanto, en base a lo indicado en los párrafos anteriores, no se han encontrado evidencias que acrediten la existencia de infracción en el ámbito competencial de la Agencia Española de Protección de Datos. Así pues, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/6 SEGUNDO: NOTIFICAR la presente resolución a A.A.A.. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
9. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 940-091222 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es