1/4 Procedimiento Nº: E/10246/2019 940-0419 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: La reclamación interpuesta por A.A.A. (en adelante, el reclamante) tiene entrada con fecha 3 de abril de 2019 en la Agencia Española de Protección de Datos. La reclamación se dirige contra el AYUNTAMIENTO DE ALGUAZAS (en adelante, el reclamado). Los motivos en que basa la reclamación son los siguientes: «Que como ***CARGO.1 pongo en conocimiento que desde el año 2014 trabajamos con la plataforma electrónica GESTIONA, https://gestiona02.espublico.com , en cuya plataforma todos los policías locales introducen en expedientes datos personales, privados y sensibles de personas de las distintas y diversas actuaciones que realizamos , a dichos expedientes y a sus datos tienen acceso para entrar y ver no sólo los policías locales , si no también personal del ayuntamiento que NO son policías locales. Que he solicitado en varias ocasiones la adquisición de una aplicación o herramienta exclusiva para policía local en la que introducir estos datos privados y sensible de las personas con las que intervenimos, para tener así nuestra propia base de datos, sólo accesible a los miembros de la policía local, con resultado negativo. Que pongo estos hechos en conocimiento para evitar incurrir en alguna responsabilidad sobre protección de datos de carácter personal.» No aporta documentación. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), con número de referencia E/05044/2019, se dio traslado de dicha reclamación al reclamado, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El mencionado traslado y su reiteración fueron notificados el 22/05/2019 y el 02/09/2019, respectivamente. No se recibió contestación al traslado efectuado. TERCERO: Con fecha 22 de octubre de 2019, la Directora de la Agencia Española de Protección de Datos acordó admitir a trámite la reclamación presentada por el reclamante. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/4 SEGUNDO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos objeto de la reclamación, efectuando un requerimiento de información al reclamado (con fecha de notificación de 12/07/2020) acerca del aplicativo GESTIONA y concediéndole un plazo de 10 días hábiles para remitir la contestación. El requerimiento no ha sido atendido. FUNDAMENTOS DE DERECHO I De acuerdo con los poderes de investigación y correctivos que el artículo 58 del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) otorga a cada autoridad de control, y según lo dispuesto en el artículo 47 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. II El artículo 5 del RGPD, cuya rúbrica lleva por título “Principios relativos al tratamiento” establece en la letra
- f)de su apartado 1 que los datos personales serán «tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas (“integridad y confidencialidad”). En relación con ello, y en virtud del artículo 25 del mismo texto legal, el responsable del tratamiento de datos está obligado a adoptar, tanto en el momento de determinación de los medios como en el curso del propio tratamiento en sí, una serie de medidas técnicas y organizativas dirigidas a posibilitar el cumplimiento de los principios del tratamiento de datos y de las garantías que dispone el RGPD. Por lo que se refiere a la seguridad del tratamiento, el artículo 32 del RGPD dispone que «1. Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, que en su caso incluya, entre otros:
- a)la seudonimización y el cifrado de datos personales; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/4
- b)la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento;
- c)la capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente físico o técnico;
- d)un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento. 2. Al evaluar la adecuación del nivel de seguridad se tendrán particularmente en cuenta los riesgos que presente el tratamiento de datos, en particular como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos. 3. La adhesión a un código de conducta aprobado a tenor del artículo 40 o a un mecanismo de certificación aprobado a tenor del artículo 42 podrá servir de elemento para demostrar el cumplimiento de los requisitos establecidos en el apartado 1 del presente artículo. 4. El responsable y el encargado del tratamiento tomarán medidas para garantizar que cualquier persona que actúe bajo la autoridad del responsable o del encargado y tenga acceso a datos personales solo pueda tratar dichos datos siguiendo instrucciones del responsable, salvo que esté obligada a ello en virtud del Derecho de la Unión o de los Estados miembros.» Sobre esta misma cuestión incide el Considerando 83, al señalar que “A fin de mantener la seguridad y evitar que el tratamiento infrinja lo dispuesto en el presente Reglamento, el responsable o el encargado deben evaluar los riesgos inherentes al tratamiento y aplicar medidas para mitigarlos, como el cifrado. Estas medidas deben garantizar un nivel de seguridad adecuado, incluida la confidencialidad, teniendo en cuenta el estado de la técnica y el coste de su aplicación con respecto a los riesgos y la naturaleza de los datos personales que deban protegerse. Al evaluar el riesgo en relación con la seguridad de los datos, se deben tener en cuenta los riesgos que se derivan del tratamiento de los datos personales, como la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos, susceptibles en particular de ocasionar daños y perjuicios físicos, materiales o inmateriales”. III En lo que respecta al presente caso, y de acuerdo con lo señalado en el Fundamento Jurídico anterior, la cuestión determinante es que corresponderá al Ayuntamiento de Alguazas, como responsable del tratamiento de datos que se deriva del uso de la plataforma GESTIONA, establecer las medidas técnicas y organizativas apropiadas que garanticen la seguridad, la integridad y la confidencialidad del mencionado tratamiento. Dentro de esas medidas, se encontrará la determinación de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/4 los perfiles que, por razón de su puesto de trabajo, hayan sido autorizados para acceder al aplicativo en cuestión —con independencia de ostenten la condición de policías locales o no—, así como la adopción de soluciones técnicas encaminadas a garantizar una autenticación fiable y segura de acceso al sistema. De conformidad con las evidencias de las que se dispone en el presente caso, de la reclamación presentada no se despenden que permita inferir un presunto incumplimiento, por parte del reclamado, en lo relativo a la adopción de medidas técnicas y organizativas a que se ha hecho referencia. Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución al reclamante y reclamado. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
- c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es