← España

PS-00003-2022

1/16 Expediente N.º: PS/00003/2022 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 15 de febrero de 2021, la Subdirección General de Inspección de Datos recibió para su valoración un escrito de notificación de brecha de seguridad de los datos personales remitido por la DIRECCIÓN GENERAL DE LA POLICÍA con NIF S2816015H (en adelante, LA POLICIA), recibido en fecha 5 de febrero de 2021, en el que informa a la Agencia Española de Protección de Datos de un incidente de seguridad relacionado con una posible fuga de información de datos del fichero DNI. Junto a la notificación se aporta Informe de análisis de descargas masivas del DNI. SEGUNDO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de los poderes de investigación otorgados a las autoridades de control en el artículo 57.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: Respecto de la cronología de los hechos. (,,,). Cronología: (…). Respecto a las acciones tomadas con objeto de minimizar los efectos adversos. 14/01/2021: (…). 15/01/2021: (…). 26-01-2021: (…). 09/02/2021: (…). 12/02/2021: (…). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/16 23/02/2021: (…). Respecto a las medidas adoptadas para su resolución final. Las acciones realizadas para la resolución final de la brecha de seguridad han sido las siguientes: (…). Respecto de las causas que hicieron posible la brecha. (…). Respecto de los datos afectados. (…). Posibles consecuencias: (…). Respecto a la comunicación de los datos a los afectados: (…). Respecto de las medidas de seguridad implantadas. (…). Respecto a las políticas de seguridad. (…). Información sobre la recurrencia de estos hechos y número de eventos análogos acontecidos en el tiempo. Analizada la brecha de seguridad, no existe recurrencia de estos hechos acontecidos en el tiempo. CUARTO: Con fecha 10 de febrero de 2022, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, por la presunta infracción del artículo 5.1

  1. f)del RGPD tipificada en el artículo 83.5 RGPD, y por la presunta infracción de los artículos 32 y 34 del RGPD, tipificadas en el artículo 83.4 del RGPD. QUINTO: Notificado el citado acuerdo de inicio conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), la parte reclamada presentó escrito de alegaciones en relación con los artículos imputados: “PRIMERO: Artículo 5.1.
  2. f)del RGPD C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/16 “
  3. f)tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»).” La AEPD argumenta lo siguiente: “En el presente caso, consta que los datos que figuran en los documentos nacionales de identidad, a los que se ha accedido con credenciales válidas de Policía Municipal, obrantes en la base de datos de LA POLICÍA, fueron indebidamente accedidos al menos por un tercero (el menor detenido), vulnerándose el principio de confidencialidad. Además, la propia POLICÍA califica la brecha como de “confidencialidad”, Confidencialidad de la información: acceso a través de la red confiable SARA, con credenciales válidas de Policía Municipal. De conformidad con las evidencias de las que se dispone en este acuerdo de iniciación del procedimiento sancionador, y sin perjuicio de lo que resulte de la instrucción, se considera que los hechos conocidos podrían ser constitutivos de una infracción, imputable a LA POLICÍA, por vulneración del artículo 5.1.
  4. f)del RGPD.” Seguridad TIC manifiesta que el acceso por un tercero (menor detenido) a los sistemas de información de Policía Nacional se produce de la siguiente forma: • Obtención de credenciales de autenticación para acceder a w6.policia.es o Primera: para acceder remotamente a la infraestructura de Policía Local de Granada. o Segunda: credenciales de usuario de Policía Local de Granada válidas para acceder al sistema de Policía W6.policia.es • Utilización de las credenciales anteriores para acceder a w6.policia.es desde la LAN de Policía Local de Granada (IP 10.128.128.30). Las credenciales anteriores se obtienen desde un sistema comprometido no perteneciente a Policía Nacional. Cuando Policía Nacional identifica un uso sospechoso el 02/02/2021 procede a eliminar la sesión de los usuarios de Policía Local de Granada y exigir el cambio de contraseña de todos los usuarios de Policía Local de Granada. Por tanto, Seguridad TIC entiende que la vulneración de la confidencialidad de los sistemas de Policía Nacional por un acceso con credenciales de autenticación lícitas y a través de una red confiable no es imputable a Policía Nacional…” En contestación a la anterior alegación, por la AEPD se resaltó que los datos que figuran en los documentos nacionales de identidad, a los que se ha accedido con credenciales válidas de Policía Municipal, obrantes en la base de datos de LA POLICÍA, fueron indebidamente difundidos y a los mismos se accedieron, al menos, por un tercero (el menor detenido), vulnerándose el principio de confidencialidad. En ningún caso, se ha garantizado una seguridad adecuada de los datos personales, permitiéndose un tratamiento no autorizado o ilícito de los mismos y así se constata C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/16 por LA POLICÍA al manifestar que se detectó en un portal web en internet y en la Deep Web una publicación de un usuario particular indicando la venta de DNI españoles, así como en la Deep Web de diversas publicaciones indicando la venta de DNI españoles. En consecuencia, es evidente que se ha producido un tratamiento no autorizado o ilícito de los datos que figuran en los documentos nacionales de identidad, vulnerándose el principio de confidencialidad, con independencia del lugar o el modo de acceso a esos datos personales. “SEGUNDO: Artículo 32 del RGPD El artículo 32 del RGPD en su apartado 1 establece: “1. Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, que en su caso incluya, entre otros: (…)
  5. b)la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento;” En el comunicado de La AEPD se argumenta lo siguiente: “En el presente caso, en el momento de producirse la brecha, no consta que LA POLICIA dispusiese de medidas de seguridad razonables en función de los posibles riesgos estimados. La brecha de seguridad, categorizada de integridad, se produce por una vulnerabilidad en el control de la lógica de negocio de la aplicación que permitía mediante modificación de parámetros en la url de consulta, realizar acciones no permitidas para el nivel del usuario que realizaba la consulta” Por parte de Seguridad TIC se manifiesta que, si bien las medidas de seguridad resultaron insuficientes, la vulnerabilidad fue descubierta y corregida por Policía Nacional. Así mismo, la detención de un tercero junto con la incautación del dispositivo en el que se almacenaron los datos de los sistemas de Policía Nacional accedidos, hacen que el riesgo por la brecha de seguridad para los interesados sea bajo o inexistente. La justificación de que el riesgo es bajo o inexistente se fundamenta en el informe de la operación daimon de la Sección de Seguridad Lógica de la Unidad Central de Ciberdelincuencia (UCC) de Policía Nacional, en la que se produce la detención del menor, destacando: • Que durante el registro, el menor, en conversación mantenida con los funcionarios policiales actuantes, manifestó espontáneamente que no había compartido la información extraída de las bases policiales con ninguna otra persona o entidad; de hecho, dicha información se encontró en un equipo portátil en desuso y sin conexión a internet. • Que del análisis de la información extraída de los dispositivos informáticos, la unidad encargada de la investigación no pudo encontrar ningún indicio que C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/16 apuntara a que la información extraída de bases de datos policiales hubiera sido compartida con, o facilitada a, tercera parte alguna. • Que el Grupo de Ciberataques de esta sección, en su actividad investigadora, tanto en internet abierta como en la darknet, no ha encontrado ningún indicio que lleve a pensar en la publicación de la información extraída de bases de datos policiales. En el mismo sentido, no se ha recibido ninguna comunicación de organismos externos de cibervigilancia en relación con ninguna publicación de la información procedente de las repetidas bases…” En contestación a dicha alegación, la AEPD consideró que LA POLICÍA, como responsable del tratamiento de datos, está obligada a aplicar las medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo que presente el tratamiento de datos. Por parte de la propia Seguridad TIC se admite que las medidas de seguridad resultaron insuficientes. Descubierta la vulnerabilidad fue corregida por Policía Nacional, procediéndose a minimizar los riesgos de la brecha de seguridad sufrida. La brecha de seguridad, categorizada de integridad, se produce por una vulnerabilidad en el control de la lógica de negocio de la aplicación que permitía mediante modificación de parámetros en la url de consulta, realizar acciones no permitidas para el nivel del usuario que realizaba la consulta. Así y con el objeto de minimizar los efectos adversos de la misma, se corrige el código de la aplicación. El artículo 32 del RGPD no establece un listado de las medidas de seguridad que sean de aplicación de acuerdo con los datos que son objeto de tratamiento, sino que establece que el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas que sean adecuadas al riesgo que conlleve el tratamiento, teniendo en cuenta el estado de la técnica, los costes de aplicación, la naturaleza, alcance, contexto y finalidades del tratamiento, los riesgos de probabilidad y gravedad para los derechos y libertades de las personas interesadas. Asimismo, las medidas de seguridad deben resultar adecuadas y proporcionadas al riesgo detectado, señalando que la determinación de las medidas técnicas y organizativas deberá realizarse teniendo en cuenta: la seudonimización y el cifrado, la capacidad para garantizar la confidencialidad, integridad, disponibilidad y resiliencia, la capacidad para restaurar la disponibilidad y acceso a datos tras un incidente, proceso de verificación (que no auditoría), evaluación y valoración de la eficacia de las medidas. En cualquier caso, la falta de indicios de que la información extraída de bases de datos policiales haya sido compartida con terceras personas ni publicada, alegada por LA POLCÍA, no desvirtúan el hecho de que las medidas de seguridad implantadas eran insuficientes, máxime cuando se tiene constancia de que los datos fueron indebidamente difundidos y a los mismos se accedieron, al menos, por un tercero (el menor detenido). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/16 “TERCERO: Artículo 33 del RGPD El artículo 33 del RGPD recoge la notificación de una violación de la seguridad de los datos personales a la autoridad de control. La AEPD recoge que “LA POLICÍA notificó la brecha de seguridad en el plazo establecido en el RGPD a tal efecto, con las informaciones establecidas en el artículo 33 del RGP”. Seguridad TIC no tiene nada que alegar...” La AEPD no ha imputado la infracción de este precepto en el acuerdo de inicio; en consecuencia, no tenía nada que considerar en este sentido. “CUARTO: Artículo 34 del RGPD El artículo 34 del RGPD especifica la comunicación de una violación de la seguridad de los datos personales al interesado, recogiendo en el punto 3.b las condiciones que eximen de la citada comunicación: “El responsable del tratamiento ha tomado medidas ulteriores que garanticen que ya no exista la probabilidad de que se concretice el alto riesgo para los derechos y libertades del interesado a que se refiere el apartado 1”. De las investigaciones realizadas tanto por la Sección de Seguridad Lógica de la Unidad Central de Ciberdelincuencia (UCC), como por el Servicio de Seguridad TIC de la Unidad de Informática y Comunicaciones se deduce que el riesgo para los derechos y libertades de los interesados es bajo o inexistente, según se argumenta en el apartado 2.3 de este documento...” En contestación a dicha alegación, la AEPD insistió en que la brecha entrañaba un alto riesgo para los derechos y libertades de las personas físicas (afectaba a los datos identificativos que han sido objeto de más de 2 millones de consultas, incluyendo identidad, DNI, incluso datos de vehículos). Dicho alto riesgo para los derechos y libertades de las personas físicas se desprende de las siguientes consideraciones: - (…). - Se afirma que (…). - Entre las posibles consecuencias de la brecha de seguridad se indica (…). Si bien, aunque se adoptó como medida ulterior la de monitorizar la Deep web, dicha medida no garantiza que exista la probabilidad de que se concretice el alto riesgo para los derechos y libertades de las personas físicas; puesto que, esta no impide el acceso de terceros o la compra por terceros de DNI. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/16 En consecuencia y conforme a todo lo expuesto, la AEPD desestimó las alegaciones presentadas por la POLICÍA. SEXTO: Con fecha 4 de julio de 2022 se formuló propuesta de resolución, proponiendo una sanción de APERCIBIMIENTO para cada una de las infracciones de los artículos 5.1.
  6. f)del RGPD y, 32 y 34 del RGPD, tipificadas en los artículos 83.5 y 83.4 del RGPD. SÉPTIMO: Notificada la propuesta de resolución conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), la parte reclamada, en fecha 15 de julio, presentó escrito manifestando que NO se formulan alegaciones a la propuesta de resolución mencionada. A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes, HECHOS PROBADOS PRIMERO: Consta acreditado que la POLICÍA ha sufrido un incidente de seguridad relacionado con la fuga de información de datos del fichero DNI. SEGUNDO: Consta acreditado en el expediente que la POLICIA ha sufrido una brecha de seguridad categorizada como de integridad de la información, al haberse producido la modificación de datos en las aplicaciones del sistema de PERSONAS a través de una vulnerabilidad existente en las comunicaciones entre las aplicaciones ARGOS, OBJETOS y PERSONAS. TERCERO: Consta acreditado en el expediente que la POLICIA ha sufrido una brecha de seguridad categorizada como de confidencialidad de la información; ya que, el acceso a la información se llevó a cabo a través de la red confiable SARA, con credenciales válidas de Policía Municipal. CUARTO: Consta acreditado en el expediente que la brecha de seguridad categorizada como de integridad se produce por una vulnerabilidad en el control de la lógica de negocio de la aplicación que permitía mediante modificación de parámetros en la url de consulta, realizar acciones no permitidas para el nivel del usuario que realizaba la consulta. QUINTO: Consta acreditado que la brecha de seguridad categorizada como de confidencialidad se produce a través de una vulnerabilidad en las dependencias de Policía Municipal de Granada que permite el acceso con credenciales de autenticación lícitas, a través de la red privada confiable SARA, consiguiendo el acceso a sistemas de información de Policía Nacional. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/16 SEXTO: Consta acreditado un elevado número de accesos a sistemas de información de Policía Nacional, en concreto 20.000, con un usuario lícito, así como las publicaciones en un portal web en internet y en la Deep Web de un usuario particular indicando la venta de DNI españoles. FUNDAMENTOS DE DERECHO I De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos.” II Se imputa a la POLICÍA la comisión de una infracción por vulneración del artículo 5.1
  7. f)del RGPD. El artículo 5.1.
  8. f)“Principios relativos al tratamiento” del RGPD establece: “1. Los datos personales serán: (…)
  9. f)tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»).” En el presente caso, consta la modificación de datos en las aplicaciones del sistema de PERSONAS de LA POLICÍA; a través de una vulnerabilidad existente en las comunicaciones entre las aplicaciones ARGOS, OBJETOS y PERSONAS, así como que los datos que figuran en los documentos nacionales de identidad, a los que se ha accedido con credenciales válidas de Policía Municipal, obrantes en la base de datos de LA POLICÍA, fueron indebidamente accedidos al menos por un tercero (el menor detenido), vulnerándose el principio de confidencialidad. En el primer caso, la propia POLICÍA califica la brecha como de “integridad”. Integridad de la información: modificación de datos en las aplicaciones del sistema de PERSONAS a través de una vulnerabilidad existente en las comunicaciones entre las aplicaciones ARGOS, OBJETOS y PERSONAS. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/16 Además, la propia POLICÍA califica la brecha como de “confidencialidad”, Confidencialidad de la información: acceso a través de la red confiable SARA, con credenciales válidas de Policía Municipal. En este mismo sentido, debe resaltarse que (…). III Tipificación de la infracción del artículo 5.1.
  10. f)del RGPD La citada infracción del artículo 5.1.
  11. f)del RGPD figura referenciada en el artículo 83.5 del RGPD que bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
  12. a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9; (…)” A este respecto, la LOPDGDD, en su artículo 71 “Infracciones” establece que: “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A efectos del plazo de prescripción, el artículo 72 “Infracciones consideradas muy graves” de la LOPDGDD indica: “1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
  13. a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679. (…)” IV Se imputa a LA POLICÍA la comisión de una infracción por vulneración del artículo 32 del RGPD. El Artículo 32 del RGPD establece: “Seguridad del tratamiento C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/16 1. Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, que en su caso incluya, entre otros:
  14. a)la seudonimización y el cifrado de datos personales;
  15. b)la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento; c)la capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente físico o técnico; d)un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento. 2. Al evaluar la adecuación del nivel de seguridad se tendrán particularmente en cuenta los riesgos que presente el tratamiento de datos, en particular como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos. 3. La adhesión a un código de conducta aprobado a tenor del artículo 40 o a un mecanismo de certificación aprobado a tenor del artículo 42 podrá servir de elemento para demostrar el cumplimiento de los requisitos establecidos en el apartado 1 del presente artículo. 4. El responsable y el encargado del tratamiento tomarán medidas para garantizar que cualquier persona que actúe bajo la autoridad del responsable o del encargado y tenga acceso a datos personales solo pueda tratar dichos datos siguiendo instrucciones del responsable, salvo que esté obligada a ello en virtud del Derecho de la Unión o de los Estados miembros”. Consta que LA POLICIA no disponía de medidas de seguridad razonables en función de los posibles riesgos estimados. La brecha de seguridad, categorizada de integridad se produce por una vulnerabilidad en el control de la lógica de negocio de la aplicación que permitía mediante modificación de parámetros en la url de consulta, realizar acciones no permitidas para el nivel del usuario que realizaba la consulta. Así y con el objeto de minimizar los efectos adversos de la misma, se corrige el código de la aplicación. En relación con la brecha de seguridad, categorizada de confidencialidad se sigue procedimiento judicial declarado secreto, desprendiéndose de las primeras investigaciones realizadas por la Unidad Central de Ciberdelincuencia de la Policía Nacional, que la causa puede ser un acceso externo a la infraestructura de Policía Municipal de Granada y desde esta acceder a Policía Nacional utilizando la red SARA y credenciales lícitas. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/16 Si bien es cierto que, se ha procedido a la modificación del protocolo de acceso a las aplicaciones policiales por parte de Federación Española de Municipios y Provincias. Entendiéndose, en todo momento, que con independencia de que el acceso no autorizado se produjera desde las dependencias de la Policía Local de Granada, el responsable del tratamiento, LA POLICIA, es el responsable del mantenimiento de las medidas de seguridad en los accesos a sus sistemas de información. V Tipificación de la infracción del artículo 32 del RGPD La infracción del artículo 32 del RGPD se encuentra tipificada en el artículo 83.4 del RGPD que bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 10 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 2 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
  16. a)las obligaciones del responsable y del encargado a tenor de los artículos 8, 11, 25 a 39, 42 y 43; (…)” A este respecto, la LOPDGDD, en su artículo 71 “Infracciones” establece que “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A efectos del plazo de prescripción, el artículo 73 “Infracciones consideradas graves” de la LOPDGDD indica: “En función de lo que establece el artículo 83.4 del Reglamento (UE) 2016/679 se consideran graves y prescribirán a los dos años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes: (…)
  17. f)La falta de adopción de aquellas medidas técnicas y organizativas que resulten apropiadas para garantizar un nivel de seguridad adecuado al riesgo del tratamiento, en los términos exigidos por el artículo 32.1 del Reglamento (UE) 2016/679. VI Se imputa a la POLICÍA la comisión de una infracción por vulneración del artículo 34 del RGPD. El artículo 34 “Comunicación de una violación de la seguridad de los datos personales al interesado” del RGPD establece: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/16 “1. Cuando sea probable que la violación de la seguridad de los datos personales entrañe un alto riesgo para los derechos y libertades de las personas físicas, el responsable del tratamiento la comunicará al interesado sin dilación indebida. 2. La comunicación al interesado contemplada en el apartado 1 del presente artículo describirá en un lenguaje claro y sencillo la naturaleza de la violación de la seguridad de los datos personales y contendrá como mínimo la información y las medidas a que se refiere el artículo 33, apartado 3, letras b),
  18. c)y d). 3. La comunicación al interesado a que se refiere el apartado 1 no será necesaria si se cumple alguna de las condiciones siguientes:
  19. a)el responsable del tratamiento ha adoptado medidas de protección técnicas y organizativas apropiadas y estas medidas se han aplicado a los datos personales afectados por la violación de la seguridad de los datos personales, en particular aquellas que hagan ininteligibles los datos personales para cualquier persona que no esté autorizada a acceder a ellos, como el cifrado;
  20. b)el responsable del tratamiento ha tomado medidas ulteriores que garanticen que ya no exista la probabilidad de que se concretice el alto riesgo para los derechos y libertades del interesado a que se refiere el apartado 1;
  21. c)suponga un esfuerzo desproporcionado. En este caso, se optará en su lugar por una comunicación pública o una medida semejante por la que se informe de manera igualmente efectiva a los interesados. 4. Cuando el responsable todavía no haya comunicado al interesado la violación de la seguridad de los datos personales, la autoridad de control, una vez considerada la probabilidad de que tal violación entrañe un alto riesgo, podrá exigirle que lo haga o podrá decidir que se cumple alguna de las condiciones mencionadas en el apartado 3”. En el presente caso, se declara por la POLICÍA que la notificación se realizará atendiendo según lo detallado en el artículo 34 “Comunicación de una violación de la seguridad de los datos personales al interesado” del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016 relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos; si bien, no consta que se haya llevado a cabo dicha notificación. La brecha entrañaba un alto riesgo para los derechos y libertades de las personas físicas (afectaba a los datos identificativos que han sido objeto de más de 2 millones de consultas, incluyendo identidad, DNI, incluso datos de vehículos). En relación con esta obligación de comunicar a los afectados, se invoca por LA POLICIA la concurrencia de una de las causas de exención de esta obligación; al declararse que (…). No obstante, existen informaciones contenidas en la propia notificación de la brecha de seguridad a la AEPD de las que se desprenden que dichas medidas no impidieron el riesgo para los derechos y libertades de los afectados. Entre ellas: - (…). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/16 - Se afirma que (…). - Entre las posibles consecuencias de la brecha de seguridad se indica (…). VII Tipificación de la infracción del artículo 34 del RGPD La citada infracción del artículo 34 del RGPD se encuentra referenciada en el artículo 83.4 del RGPD que bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 10 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 2 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
  22. a)las obligaciones del responsable y del encargado a tenor de los artículos 8, 11, 25 a 39, 42 y 43; (…)” A este respecto, la LOPDGDD, en su artículo 71 “Infracciones” establece que “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A efectos del plazo de prescripción, el artículo 72 “Infracciones consideradas leves” de la LOPDGDD indica: “Se consideran leves y prescribirán al año las restantes infracciones de carácter meramente formal de los artículos mencionados en los apartados 4 y 5 del artículo 83 del Reglamento (UE) 2016/679 y, en particular, las siguientes: “(…) ñ) El incumplimiento del deber de comunicación al afectado de una violación de la seguridad de los datos que entrañe un alto riesgo para los derechos y libertades de los afectados, conforme a lo exigido por el artículo 34 del Reglamento (UE) 2016/679, salvo que resulte de aplicación lo previsto en el artículo 73
  23. s)de esta ley orgánica. (…)” VIII Sin perjuicio de lo dispuesto en el artículo 83 del RGPD, el citado Reglamento dispone en el apartado 2.
  24. b)del artículo 58 “Poderes” lo siguiente: “Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación: (…) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/16
  25. b)dirigir a todo responsable o encargado del tratamiento un apercibimiento cuando las operaciones de tratamiento hayan infringido lo dispuesto en el presente Reglamento; (…)” Asimismo, el artículo 77 “Régimen aplicable a determinadas categorías de responsables o encargados del tratamiento” de la LOPDGDD dispone lo siguiente: “1. El régimen establecido en este artículo será de aplicación a los tratamientos de los que sean responsables o encargados:
  26. c)La Administración General del Estado, las Administraciones de las comunidades autónomas y las entidades que integran la Administración Local. 2. Cuando los responsables o encargados enumerados en el apartado 1 cometiesen alguna de las infracciones a las que se refieren los artículos 72 a 74 de esta ley orgánica, la autoridad de protección de datos que resulte competente dictará resolución sancionando a las mismas con apercibimiento. La resolución establecerá asimismo las medidas que proceda adoptar para que cese la conducta o se corrijan los efectos de la infracción que se hubiese cometido… 3. Sin perjuicio de lo establecido en el apartado anterior, la autoridad de protección de datos propondrá también la iniciación de actuaciones disciplinarias cuando existan indicios suficientes para ello. En este caso, el procedimiento y las sanciones a aplicar serán las establecidas en la legislación sobre régimen disciplinario o sancionador que resulte de aplicación. Asimismo, cuando las infracciones sean imputables a autoridades y directivos, y se acredite la existencia de informes técnicos o recomendaciones para el tratamiento que no hubieran sido debidamente atendidos, en la resolución en la que se imponga la sanción se incluirá una amonestación con denominación del cargo responsable y se ordenará la publicación en el Boletín Oficial del Estado o autonómico que corresponda. (…) 5. Se comunicarán al Defensor del Pueblo o, en su caso, a las instituciones análogas de las comunidades autónomas las actuaciones realizadas y las resoluciones dictadas al amparo de este artículo. (…)” IX Sin perjuicio de lo establecido en el artículo 83.5, apartados
  27. a)y b), del RGPD, en su art. 58.2
  28. b)dispone la posibilidad de sancionar con apercibimiento, en relación con lo señalado en el Considerando 148: "En caso de infracción leve, o si la multa que probablemente se impusiera constituyese una carga desproporcionada para una persona física, en lugar de sanción mediante multa puede imponerse un apercibimiento. Debe no obstante prestarse especial atención a la naturaleza, gravedad y duración de la infracción, a su carácter intencional, a las medidas tomadas para paliar los daños y perjuicios sufridos, al grado de responsabilidad o a cualquier infracción anterior pertinente, a la forma en que la autoridad de control haya tenido conocimiento de la infracción, al cumplimiento de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/16 medidas ordenadas contra el responsable o encargado, a la adhesión a códigos de conducta y a cualquier otra circunstancia agravante o atenuante." X En el texto de la resolución se establecen cuáles han sido las infracciones cometidas y los hechos que han dado lugar a la vulneración de la normativa de protección de datos, de lo que se infiere con claridad cuáles son las medidas a adoptar, sin perjuicio de que el tipo de procedimientos, mecanismos o instrumentos concretos para implementarlas corresponda a la parte sancionada, pues es el responsable del tratamiento quien conoce plenamente su organización y ha de decidir, en base a la responsabilidad proactiva y en enfoque de riesgos, cómo cumplir con el RGPD y la LOPDGDD. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la DIRECCIÓN GENERAL DE LA POLICÍA, con NIF S2816015H, por una infracción del artículo 5.1
  29. f)del RGPD tipificada en el Artículo 83.5 del RGPD, una sanción de apercibimiento. IMPONER a la DIRECCIÓN GENERAL DE LA POLICÍA, con NIF S2816015H, por una infracción del artículo 32 del RGPD tipificada en el Artículo 83.4 del RGPD, una sanción de apercibimiento. IMPONER a la DIRECCIÓN GENERAL DE LA POLICÍA, con NIF S2816015H, por una infracción del Artículo 34 del RGPD tipificada en el Artículo 83.4 del RGPD, una sanción de apercibimiento. SEGUNDO: NOTIFICAR la presente resolución a la DIRECCIÓN GENERAL DE LA POLICÍA. TERCERO: COMUNICAR la presente resolución al Defensor del Pueblo, de conformidad con lo establecido en el artículo 77.5 de la LOPDGDD. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/16 Finalmente, se señala que conforme a lo previsto en el art. 90.3
  30. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-120722 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.