1/4 14/04/2021 Procedimiento Nº: E/04850/2020 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: La reclamación interpuesta por ASOCIACIÓN REDE DE MULLERES VECIÑAIS CONTRA OS MALOS TRATOS DE ***LOCALIDAD.1 (en adelante, el reclamante) tiene entrada con fecha 20 de noviembre de 2019 en la Agencia Española de Protección de Datos. La reclamación se dirige contra CONSEJERÍA DE PRESIDENCIA, ADMINISTRACIONES PÚBLICAS Y JUSTICIA DE LA JUNTA DE GALICIA, con CIF S1511001H (en adelante, el reclamado). La asociación reclamante manifiesta que un hombre entró violentamente en la sede del Juzgado de Violencia sobre la Mujer N.º 1 de ***LOCALIDAD.1 y rompió el mobiliario y documentación que afecta a expedientes relacionados con casos de violencia de género. La entidad reclamante considera que no se adoptan las medidas de seguridad adecuadas ya que cualquier persona puede ocasionar fácilmente daños como los descritos en su reclamación. Se denuncia la falta de medidas de seguridad en la custodia de la documentación con datos personales por parte de la Consejería de Presidencia, Administraciones Públicas y Justicia de la Junta de Galicia. Fecha en la que tuvieron lugar los hechos reclamados: ***FECHA.1 Junto a la reclamación aporta un reportaje fotográfico de diferentes dependencias del Juzgado de Violencia sobre la Mujer N.º 1 de ***LOCALIDAD.1 tras los sucesos. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación al reclamado, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. Con fecha de 7 de febrero de 2020 se recibe en esta Agencia, escrito del reclamado en el que manifiesta que se ha procedido a reparar los daños materiales ocasionados por el intruso (esencialmente reparación de la puerta exterior de acceso al edificio y de la puerta interior que da acceso al juzgado de violencia de género), reforzándose las medidas anti intrusión y, en espacial, con un nuevo sistema de CCTV, tecnológicamente más moderno y eficiente respecto al que se disponía en aquel momento en el edificio judicial. No se informa, sin embargo, de las medidas de seguridad existentes y de las adoptadas, tras el incidente en el Juzgado, en la custodia de la documentación con datos personales. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/4 TERCERO: Con fecha 8 de junio de 2020, la Directora de la Agencia Española de Protección de Datos acordó admitir a trámite la reclamación presentada por el reclamante. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos objeto de la reclamación. El día 1 de febrero de 2021 se emite el informe de actuaciones previas de investigación en el que se pone de relieve lo siguiente: “Solicitada información sobre las medidas de seguridad existentes para la custodia de la documentación con datos personales al Juzgado de Violencia sobre la Mujer nº 1 de ***LOCALIDAD.1, con fecha de 3 de julio de 2020 se recibe en esta Agencia, con número de registro 023300/2020, escrito de contestación informando, entre otros aspectos, lo siguiente: - No se destruyó ni desapareció, ningún expediente ni documentación alguna relativa a los mismos, limitándose los daños exclusivamente al mobiliario, ordenadores, sillas, armario, e impresora que aparecieron tirados en el suelo junto con algún expediente. - Ese juzgado cumple con las medidas que ordena el Consejo General del Poder Judicial respecto a custodia de expedientes, custodiándolos en los armarios cerrados que hay en el juzgado y que les proporciona la Xunta de Galicia (Dirección Xeral de Xustiza), organismo competente en materia de medios materiales y personales en Galicia. - El incidente reclamado fue puesto en conocimiento del Servicio de Inspección del Consejo General del Poder Judicial, mediante informe remitido con motivo de la visita de inspección presencial ordinaria del juzgado, celebrada el 21 de noviembre de 2019.” FUNDAMENTOS DE DERECHO I De acuerdo con los poderes de investigación y correctivos que el artículo 58 del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) otorga a cada autoridad de control, y según lo dispuesto en el artículo 47 de la LOPDGDD, es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. II Las presentes actuaciones tienen su origen en la reclamación presentada acerca de la falta de adopción de medidas de seguridad en el Juzgado de Violencia sobre la Mujer nº1 de ***LOCALIDAD.1 que se habría puesto de manifiesto tras la entrada en las dependencias, el día ***FECHA.1, de un intruso que habría causado diversos destrozos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/4 El artículo 5.1.
- f)del RGPD establece el principio de integridad y confidencialidad en el tratamiento de datos personales, al señalar que los datos personales serán “tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»)” y para conseguir dar cumplimiento a este principio, el artículo 32 del mismo texto legal dispone que el responsable y el tratamiento del encargado implementarán una serie de medidas de carácter técnico y organizativo que asegure la confidencialidad, integridad y disponibilidad de los datos. La responsabilidad que recae así en el responsable responde al también principio de responsabilidad proactiva enunciado en el artículo 5.2, que implica no sólo el deber de observar y aplicar las medidas de seguridad, sino de demostrar que se ha cumplido con las obligaciones. El artículo 32.1 enumera las circunstancias en función de las cuales deberán determinarse las medidas de seguridad, a la vez que propone la categoría de medidas que, entre otras, deberán aplicarse. El artículo 32.2 señala asimismo los riesgos que deberán tenerse en cuenta: “1. Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, que en su caso incluya, entre otros:
- a)a seudonimización y el cifrado de datos personales;
- b)la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento;
- c)la capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente físico o técnico;
- d)un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento. 2. Al evaluar la adecuación del nivel de seguridad se tendrán particularmente en cuenta los riesgos que presente el tratamiento de datos, en particular como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos. […]” Teniendo en cuenta lo anterior, en el análisis del supuesto de hecho concreto objeto de las presentes actuaciones, de conformidad con los datos obrantes en el expediente de investigación, puede señalarse, en primer lugar, que el incidente acaecido el día 9 de noviembre de 2019 únicamente causó daños materiales a los bienes y a las instalaciones, sin que estos daños conllevaran la pérdida o destrucción de documentos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/4 En segundo lugar, el Juzgado de Violencia sobre la Mujer N.º 1 de ***LOCALIDAD.1 declara que cumple con las medidas de seguridad que ha establecido el Consejo General del Poder Judicial (en adelante, CGPJ) respecto a la custodia de expedientes con los medios que les proporciona la Xunta de Galicia (Dirección General de Justicia), administración competente en esa Comunidad Autónoma materia de recursos humanos y materiales. También informa que los hechos acaecidos se pusieron en conocimiento del Servicio de Inspección del CGPJ el día 21 de noviembre de 2019. A este respecto, se señala que el artículo 236 nonies de la Ley Orgánica 6/1985, de 1 de julio, del Poder Judicial distingue entre tratamientos de datos efectuados con fines jurisdiccionales y aquellos que no responden a estos fines, siendo el CGPJ la autoridad de control competente para los primeros. Por último, se señala que el Director General de Justicia de la Xunta de Galicia informó el 7 de diciembre de 2020 que se había procedido a reforzar las medidas de seguridad del edificio judicial mediante la instalación de un nuevo sistema de videovigilancia III En base a lo señalado en el Fundamento Jurídico anterior, se considera que la actuación del reclamado ha sido acorde con la normativa sobre protección de datos personales analizada en los párrafos anteriores. Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución al reclamante y reclamado. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
- c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 940-0419 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es