PS-00017-2025

1/43  Expediente N.º: EXP202301278 ÍNDICE ANTECEDENTES..........................................................................................................3 PRIMERO: Hechos conocidos...................................................................................3 SEGUNDO: Actuaciones previas de investigación.....................................................3 TERCERO: Caducidad de las actuaciones previas de investigación y apertura de nuevas actuaciones previas de investigación.............................................................9 CUARTO: Acuerdo de inicio de procedimiento sancionador.....................................10 QUINTO: Alegaciones al acuerdo de inicio de procedimiento sancionador..............11 SEXTO: Propuesta de Resolución............................................................................11 SÉPTIMO: Alegaciones a la Propuesta de Resolución.............................................11 HECHOS PROBADOS................................................................................................12 PRIMERO: Tratamiento de datos personales por el INSS para la gestión del IMV. .12 SEGUNDO: Actividad de tratamiento IMV en el IAT del INSS..................................12 TERCERO: IAT de la GISS......................................................................................13 CUARTO: Responsable y encargado del tratamiento del IMV.................................13 QUINTO: Inexistencia de contrato de encargado del tratamiento.............................13 SEXTO: Información sobre tratamiento de datos personales en el Simulador IMV. .13 SÉPTIMO: Nuevo enlace de información sobre protección de datos......................14 OCTAVO: EIPD y Análisis de riesgos del IMV..........................................................14 NOVENO: Verificación de las medidas de seguridad...............................................14 DÉCIMO: Informe de la GISS de 2 de noviembre de 2025 de verificación de las medidas técnicas y organizativas de seguridad.......................................................15 FUNDAMENTOS DE DERECHO.................................................................................15 I Competencia.......................................................................................................... 15 II Cuestiones previas................................................................................................15 III Contestación a las alegaciones presentadas al acuerdo de inicio........................17 IV Contestación a las alegaciones aducidas a la propuesta de Resolución.............19 V Obligación incumplida. Encargado del tratamiento: Artículo 28.3 del RGPD.........21 VI Tipificación de la infracción del artículo 28.3 del RGPD y calificación a efectos de prescripción.............................................................................................................. 24 VII Adopción de medidas correctivas. Artículo 28.3 del RGPD.................................25 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/43 VIII Obligación incumplida. Información que deberá facilitarse cuando los datos personales se obtengan del interesado: Artículo 13 del RGPD................................25 IX Tipificación de la infracción del artículo 13 del RGPD y calificación a efectos de prescripción.............................................................................................................. 27 X Obligación incumplida. Seguridad del tratamiento: Artículo 32 del RGPD.............28 XI Tipificación de la infracción del artículo 32 del RGPD y calificación a efectos de prescripción.............................................................................................................. 38 XII Adopción de medidas correctivas. Artículo 32 del RGPD....................................39 XIII Declaración de infracción por incumplimiento de los artículos 28.3, 13 y 32 del RGPD....................................................................................................................... 40 XIV Conclusiones.....................................................................................................41 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/43 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos (en adelante, AEPD) y en base a los siguientes ANTECEDENTES PRIMERO: Hechos conocidos La AEPD ha tenido conocimiento de ciertos hechos que podrían constituir una posible infracción imputable al INSTITUTO NACIONAL DE LA SEGURIDAD SOCIAL con NIF Q2827002C (en adelante, INSS). Esta Autoridad tuvo conocimiento de la contratación por la Gerencia de Informática de la Seguridad Social (GISS) de los servicios en nube del ingreso mínimo vital (IMV), consistentes en servicios profesionales de desarrollo, despliegue y mantenimiento de aplicaciones que forman parte del actual sistema telemático de información para la solicitud, registro y comunicación de la prestación del IMV, su simulador web y el asistente virtual, los servicios de infraestructuras, plataformas y software sobre las que se ejecutan los anteriores desarrollos y aplicaciones, siguiendo un modelo de multi proveedor en la nube (MultiCloud) y los servicios profesionales de administración y mantenimiento de las anteriores infraestructuras, plataformas y software de los proveedores en la nube. En particular, en la nube se habilitaron las siguientes funcionalidades/aplicaciones para el IMV: - Simulador del IMV que permite a los solicitantes evaluar su situación según los requisitos establecidos para optar a esta prestación. - Formulario web para la presentación de solicitudes del IMV: Para facilitar a los ciudadanos la presentación de la solicitud, así como facilitar su posterior envío, tratamiento e incorporación a los sistemas de Protección Familiar. Este formulario permite aportaciones sucesivas de documentación requerida. Estos servicios se han dispuesto para dos entornos: desarrollo y producción en proveedores de servicios en la nube de Google y Amazon. SEGUNDO: Actuaciones previas de investigación Como consecuencia de los hechos conocidos, el 6 de febrero de 2023 la Directora de la AEPD instó a la Subdirección General de Inspección de Datos (SGID) a iniciar las actuaciones previas de investigación a las que se refiere el artículo 67 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), con el fin de analizar las implicaciones, en materia de protección de datos personal, de los servicios en la nube del IMV. La SGID procedió a la realización de actuaciones previas de investigación AI/00027/2023 a la GISS y al INSS para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VIII de la LOPDGDD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/43 Se ha incorporado la siguiente documentación publicada en la plataforma de contratación del sector público del expediente de contratación 2020/7108 del GISS:  Memoria justificativa del contrato “Ingreso Mínimo Vital: Servicios en nube”, firmada el 28 de abril de 2021.  Pliego de cláusulas administrativas particulares (PCAP) para la contratación de los servicios en nube del ingreso mínimo vital, firmado el 5 de mayo de 2021, que contiene dos cláusulas que refieren la protección de datos personales (sexta y vigésimo segunda). La vigésimo segunda lista las condiciones de acuerdo de encargo de tratamiento que regirán la relación siempre y cuando la “HojaResumen” haga constar que “(…) los trabajos relativos al objeto del contrato supone el tratamiento de datos de carácter personal, de personas identificadas o identificables, por parte del contratista y del personal a su servicio”.  Hoja resumen del PCAP para la contratación de los servicios en nube del IMV, firmada el 5 de mayo de 2021, que incluye un apartado relativo al tratamiento por el contratista de datos personales por cuenta del responsable del tratamiento, indicando como responsable del tratamiento al INSS, como encargado la GISS y la empresa adjudicataria subencargado del tratamiento: “[…] 16. OBLIGACIONES DEL CONTRATISTA […] 16.4. La ejecución del contrato requiere el tratamiento por el contratista de datos personales por cuenta del responsable del tratamiento. La ejecución del presente contrato requiere el tratamiento de datos personales cuya finalidad es la remisión al ciudadano sobre procedimientos realizados o en trámite con la Seguridad Social. Este tratamiento debe realizarse teniendo en cuenta criterios establecidos en el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de esos datos (RGPD). La empresa adjudicataria tendrá la consideración de subencargado del tratamiento de los datos personales a los que tenga acceso, siendo el responsable del tratamiento el Instituto Nacional de la Seguridad Social y el encargado del tratamiento la Gerencia de Informática de la Seguridad Social. Dentro de este marco de responsabilidades, la empresa adjudicataria deberá someterse en todo caso a la normativa nacional y de la Unión Europea en materia de protección de datos, sin perjuicio de lo establecido en el último párrafo del apartado 1 del Art. 202 de la LCSP teniendo la obligación expresa de:

1. a)Mantener en todo momento la finalidad para la cual traten los datos personales para los que tenga acceso. La finalidad para la que se ceden los datos es la remisión al ciudadano de la información sobre procedimientos realizados o en trámite con la Seguridad Social que afectan de forma personal a estos ciudadanos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/43
2. b)Antes de la formalización del contrato, presentar una declaración en la que se ponga de manifiesto dónde van a estar ubicados los servidores y desde dónde va a prestar los servicios asociados a los mismos. Así mismo, comunicar cualquier cambio que se produzca, a lo largo de la vida del contrato, de la información facilitada en su declaración. La ubicación debe respetar los requerimientos establecidos en el anexo A2.
3. c)Indicar en su oferta, si tiene previsto subcontratar los servidores o los servicios asociados a los mismos, el nombre o el perfil empresarial, definido por referencia a las condiciones de solvencia profesional o técnica, de los subcontratistas a los que vaya a encomendar su realización. […]
4. h)Al finalizar la relación que ha motivado el presente acuerdo, los datos de carácter personal deberán ser devueltos al responsable del tratamiento, siendo eliminada cualquier copia de la información que pueda haber quedado almacenada en los sistemas informáticos del subencargado del tratamiento.
5. i)Someterse a la normativa nacional de desarrollo del RGPD y a las directrices de interpretación del Comité Europeo de Protección de Datos. […] La efectividad de la adjudicación queda condicionada a la presentación de la declaración a la que se refiere la letra
6. b)por parte del adjudicatario, sin que pueda comenzar la ejecución del contrato hasta que el organismo interesado haya constatado el correcto cumplimiento de dicha obligación. […] 16.5. Cesión de datos al contratista. No procede en atención a la naturaleza de la prestación. […] ANEXO A2. CLAÚSULAS DE SEGURIDAD Y AUDITORÍA. […] 4. ACCESIBILIDAD Y SEGURIDAD DE LOS DATOS El adjudicatario se compromete a que toda la información de los servicios debe almacenarse en un entorno seguro, tanto física como lógicamente, que la proteja contra el acceso no autorizado, modificación, robo, uso indebido y la destrucción. Además de las normas generales establecidas anteriormente, el adjudicatario mantendrá un nivel adecuado de controles de seguridad física sobre sus instalaciones. Además, el adjudicatario mantendrá un nivel adecuado de controles de seguridad de datos. Concretamente, se deberán cubrir los siguientes controles de seguridad, con independencia de que se desarrollen algunos apartados en las presentes cláusulas: Medidas técnicas y organizativas que garanticen la confidencialidad, integridad, autenticidad, trazabilidad y disponibilidad de la información. Estas medidas serán tanto físicas como lógicas. Gestión de activos: el adjudicatario se compromete a mantener un inventario actualizado de los activos de información, entre ellos los componentes de la arquitectura descrita anteriormente. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/43 […] El adjudicatario comunicará a la GISS la política de seguridad de los sistemas de información que haya establecido y le informará de los cambios en dicha política. […] 5. FINALIZACIÓN DEL SERVICIO Al vencimiento del contrato, o en caso de rescisión anticipada por cualquier motivo, el adjudicatario devolverá sin demora a la GISS una copia de todos los datos en el mismo formato que el utilizado por la GISS para comunicarlos al adjudicatario o, en su defecto, en un formato estructurado y de amplio uso. Esta restitución se determinará mediante un informe fechado y firmado por las partes. Una vez realizada la restitución, el adjudicatario destruirá las copias de los datos en cualquier formato en un plazo razonable y proporcionará pruebas de ello a la GISS en un plazo razonable tras la firma del informe de restitución. […] 8. AUDITORÍAS DE CUMPLIMIENTO La GISS se reserva el derecho de realizar las comprobaciones que considere oportunas, por sí mismo o por un tercero designado por él, para comprobar el cumplimiento de las obligaciones contractuales por parte del adjudicatario o sus subcontratistas si los hubiere, y en particular aquellas derivadas del Reglamento Europeo de Protección de Datos. 9. AUDITORÍAS TÉCNICAS DE SEGURIDAD Durante el plazo del contrato, la GISS o su tercero designado puede realizar auditorías del entorno del adjudicatario, incluyendo pruebas de penetración y seguridad sin previo aviso, en lo que se refiere a la recepción, mantenimiento, uso o retención de la información del servicio. El adjudicatario acuerda cumplir con todas las recomendaciones que resulten de dichas inspecciones, pruebas y auditorías dentro de un plazo razonable. 10. CONFIDENCIALIDAD El adjudicatario se compromete a no revelar a ningún tercero y mantener como confidencial, cualquier tipo de información, oral o escrita, que reciba con motivo de la prestación del servicio contratado por la GISS (incluyendo cualquier tipo de informe, artículo o documento preparado por las mismas). […] 11. REVISIÓN PERIÓDICA DE LOS ACCESOS La GISS o un tercero designado por ella, en cualquier momento o de forma periódica, podrá realizar revisiones sobre los accesos a la información almacenada por el adjudicatario o sus subcontratistas si los hubiere garantizando los compromisos alcanzados en materia de accesos, establecidos en este contrato.”  Pliego de prescripciones técnicas (PPT) para la contratación de los servicios en nube del ingreso mínimo vital, firmado el 5 de mayo de 2021.  Contrato administrativo de los servicios en nube del IMV, con destino a la GISS (Expediente 2020/7108), adjudicado a ***EMPRESA.1 (en adelante, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/43 ***EMPRESA.1), firmado el 10 de septiembre de 2021. El Contrato consigna en su clausulado el siguiente objeto: “PRIMERA.- El presente contrato de carácter administrativo tiene por objeto los servicios en nube del Ingreso Mínimo Vital con destino a la Gerencia de Informática de la Seguridad Social, de conformidad con las condiciones establecidas en el pliego de cláusulas administrativas particulares, su hoja resumen, y el pliego de prescripciones técnicas por los que se rige la presente contratación, y conforme a la oferta definitiva presentada por la empresa adjudicataria, siempre que no se oponga a los referidos pliegos.”  Modificación del contrato relativo al expediente 7108/20, firmado el 25 de mayo de 2022, de prórroga del contrato hasta el 10 de septiembre de 2023. También se incorporó la siguiente información, disponible en la sede electrónica de la Seguridad Social:  Inventario de Actividades de Tratamiento (en adelante, IAT) del INSS, que incluye la actividad de tratamiento “Ingreso Mínimo Vital”, con la siguiente información: “FINES: Actuaciones administrativas necesarias para el reconocimiento, mantenimiento, extinción, control y supervisión del derecho a la prestación del Ingreso Mínimo Vital. BASE JURÍDICA RGPD.- Artículo 6.1.
7. c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento. RGPD.- Artículo 6.1.
8. e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento. RGPD.- Artículo 89. Garantías y excepciones aplicables al tratamiento con fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos Real Decreto-ley 20/2020, de 29 de mayo, por el que se establece el ingreso mínimo vital, y el Real Decreto Legislativo 8/2015, de 30 de octubre, por el que se aprueba el texto refundido de la Ley General de la Seguridad Social. Real Decreto 1708/2011, de 18 de noviembre, por el que se establece el Sistema Español de Archivos y se regula el Sistema de Archivos de la Administración General del Estado y de sus Organismos Públicos y su régimen de acceso. DATOS PERSONALES: Datos de identificación del interesado y, en su caso, de su representante legal; Datos relativos al estado civil, nacionalidad y vecindad: Domicilio; Datos de contacto; Datos relativos a la unidad de convivencia/unidad familiar; Datos relativos a la situación laboral; Datos económicos, patrimoniales y fiscales; Datos de prestaciones económicas de carácter social; Datos relativos a la salud (incapacidad y discapacidad); Datos relativos a la condición de víctima (violencia de género, trata de seres humanos o explotación sexual). CATEGORÍAS DESTINATARIOS: Organismos Tributarios de la AGE, CC.AA, y EE.LL; Organismos y/o Unidades de la AGE, CC.AA, o EE.LL. con competencias C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/43 en materia de asistencia social; Entidades financieras; Otras administraciones públicas con habilitación legal para acceder a los datos. […] PLAZOS DE CONSERVACIÓN: Se conservarán durante el tiempo necesario para cumplir con la finalidad para la que se recabaron y para determinar las posibles responsabilidades que se pudieran derivar de dicha finalidad y del tratamiento de los datos. Será de aplicación lo dispuesto en la normativa de archivos y documentación. MEDIDAS DE SEGURIDAD: Las medidas de seguridad implantadas se corresponden con las previstas en el Anexo II (Medidas de seguridad) del Real Decreto 311/2022, de 3 de mayo, por el que se regula el Esquema Nacional de Seguridad. RESPONSABLE TRATAMIENTO: S. G. de Gestión de Incapacidad Temporal, Prestaciones Económicas del Sistema de la Seguridad Social en Su Modalidad No Contributiva y Otras Prestaciones a Corto Plazo”.  IAT de la GISS, que no contiene información que refiera de forma concreta la actividad de tratamiento “Ingreso Mínimo Vital”. Por la AEPD se requirió información al INSS el 2 de octubre de 2023, reiterándose el 13 de noviembre, y a la GISS el 13 de noviembre de 2023, contestando ambos el 13 de diciembre de 2023, remitiéndose la GISS a lo que indicara el INSS como responsable del tratamiento, y completando su contestación el INSS el 14 de diciembre de 2023. En la información aportada se indica que, de acuerdo con el Real Decreto-ley 20/2020, de 29 de mayo, por el que se aprueba y establece la prestación económica del IMV (en adelante, RD-ley 20/2020), la competencia para la gestión de la prestación del IMV corresponde al INSS, estando vinculado el uso de los datos personales por el INSS con las funciones de gestión administrativa que tiene atribuidas conforme al Real Decreto 2583/1996, de 13 de diciembre, de estructura orgánica y funciones del INS y de modificación parcial de la Tesorería General de la Seguridad Social (en adelante, RD 2583/1996), cuyo artículo 1 establece que “Al Instituto Nacional de la Seguridad Social, entidad gestora de la Seguridad Social, dotada de personalidad jurídica, se encomienda la gestión y administración de las prestaciones económicas del sistema de la Seguridad Social, con excepción de aquellas cuya gestión esté atribuida al Instituto de Mayores y Servicios Sociales o Servicios competentes de las comunidades autónomas”. Así pues, el INSS administra la prestación del IMV desde el 15 de junio de 2020 y, como responsable de tratamiento, requirió a la GISS, en calidad de encargado de tratamiento, la implantación de un sistema telemático del IMV que diera cobertura a la solicitud, registro y comunicación con el solicitante de dicha prestación. El diseño de la arquitectura, desarrollo de la solicitud e implantación se realizó con carácter de urgencia dada la emergencia social generada y el cierre de la atención presencial en las oficinas de la Seguridad Social por la situación de COVID-19. El INSS ha facilitado información aclaratoria sobre el tratamiento de datos personales realizado en la gestión del IMV, en concreto, información descriptiva de los tratamientos, el contenido del Registro de Actividades del Tratamiento (RAT), la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/43 especificación de las categorías de datos personales objeto de tratamiento, la determinación de las excepciones aplicables a la prohibición general de tratar categorías especiales de datos personales, el documento “Ingreso Mínimo Vital. Análisis de Seguridad”, de 19 de mayo de 2021 y la Evaluación de Impacto de Protección de Datos (EIPD) del tratamiento de datos personales relativo al IMV, de 10 de junio de 2020, sin firmar. No constan entre los sistemas de información analizados los servicios en la nube objeto del Contrato (Asistente virtual, Simulador del IMV, formulario web, Proceso de extracción de información del formulario PDF). La citada EIPD fue actualizada el 11 de enero de 2022 (también sin firmar), debido a la expansión de la acción protectora del IMV provocada por la aprobación de la Ley 19/2021, de 20 de diciembre, por la que se establece el IMV, y la actualización del sistema informático de soporte, con la firma el 10 de septiembre de 2021 de la GISS con ***EMPRESA.1 del contrato “Ingreso Mínimo Vital: Servicios en nube”, prorrogado hasta el 10 de septiembre de 2023. En esta actualización, que se incorporó como anexo de la EIPD del IMV realizada en junio de 2020, además de señalarse igualmente como encargado del tratamiento a la GISS, se indica también como encargado del tratamiento a ***EMPRESA.2 (en adelante, ***EMPRESA.2), empresa privada contratada para dar servicio a las funcionalidades de almacenamiento y archivo en la nube digital de la información y datos obtenidos en los formularios y tramitación de los expedientes. En ambos casos, se indicada en el citado documento, que “(…) en su calidad de encargado/subencargado de tratamiento, se encuentran vinculados al INSS, por el correspondiente contrato u otro acto o negocio jurídico en el que se establecen el objeto, la duración, la naturaleza y la finalidad del tratamiento, el tipo de datos personales y categorías de interesados, las obligaciones y derechos del responsable (INSS) y demás aspectos establecidos en el artículo 28 del Reglamento (UE) 2016/679, General de Protección de Datos”. El INSS ha manifestado que ***EMPRESA.1 subcontrató el servicio en la solución en nube de ***EMPRESA.2 para la gestión del servicio de solicitud del IMV y respecto de la autorización cursada a ***EMPRESA.1 para realizar este subencargo de tratamiento y el acuerdo suscrito, el INSS se remite a las cláusulas administrativas de los pliegos de la contratación del proyecto IMV, no habiéndose elaborado documentos adicionales. Respecto de la utilización de los servicios de almacenamiento en la nube digital de ***EMPRESA.2, la actualización de la EIPD señala una serie de medidas que deben de exigirse a ***EMPRESA.2 como proveedor del servicio en la nuble (Cloud Service Provider – CSP) y subencargado de tratamiento, de forma previa a la utilización del mismo, no habiendo facilitado el INSS evidencias de tal imposición. Respecto de la posible ejecución de decisiones individuales automatizadas, el INSS indica que no forman parte de los tratamientos que ejecuta en relación con el IMV y niega utilizar componentes que incorporen Inteligencia Artificial. Y en cuanto a la funcionalidad de extracción de información mediante PDFs, manifiesta que nunca llegó a ponerse en entornos productivos de la Seguridad Social porque, finalmente, se determinó que lo mejor para el ciudadano era la solución de un formulario web. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 10/43 TERCERO: Caducidad de las actuaciones previas de investigación y apertura de nuevas actuaciones previas de investigación Con fecha 22 de febrero de 2024 la Directora de la AEPD declaró la caducidad de las anteriores actuaciones previas de investigación al haber transcurrido más de doce meses desde su inicio, abriéndose a continuación unas nuevas actuaciones previas de investigación, AI/00098/2024, al objeto de recabar más información sobre determinados aspectos relativos al contrato “Ingreso Mínimo Vital: Servicios en nube”: - Categorías de datos personales tratadas en los sistemas de información de ***EMPRESA.2. - (Sub)encargo de tratamiento a ***EMPRESA.2: acuerdo, autorización concedida a ***EMPRESA.1 para proceder al subencargo y comunicaciones de ***EMPRESA.1 a GISS/INSS. - Servicios de asistente virtual y simulador del IMV que se apoyan en la tecnología de “Motor Conversacional e Inteligencia Artificial (IA)” de ***EMPRESA.2 y garantías establecidas para el cumplimiento de los principios de exactitud y limitación de la finalidad. - Detalle del análisis de impacto en el derecho de protección de datos personales motivado por los cambios tecnológicos derivados de introducción de los sistemas en nube. - Cumplimiento de las medidas prescritas tras la realización del análisis de impacto de protección de datos. - Detalle de las auditorías, pruebas de cumplimiento y revisiones de accesos realizadas. Se volvió a requerir información al INSS el 23 de febrero y el 12 de diciembre de 2024 y por la SGID se hicieron pruebas de uso del simulador del IMV, del asistente virtual (ISSA) y del formulario, tanto a través del canal con identificación como sin identificación, y se incorporó documentación relativa a los términos y condiciones de uso, de tratamiento de datos personales de los clientes y certificación de seguridad de ***EMPRESA.2 y de la tecnología Dialogflow. Todas las actuaciones de investigación realizadas se han incorporado a la documentación obrante en el presente procedimiento. CUARTO: Acuerdo de inicio de procedimiento sancionador Con fecha 18 de julio de 2025 la Presidencia de la AEPD acordó iniciar procedimiento sancionador al INSS, con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por la presunta infracción de los artículos 13, 28 y 32 del RGPD, tipificadas en los artículos 83.4 y 83.5.
9. b)del RGPD: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 11/43  el INSS, como responsable del tratamiento, no ha formalizado ningún contrato u otro acto jurídico escrito con el contenido exigido en el artículo 28.3 del RGPD con el encargado del tratamiento, la GISS;  el INSS no aporta información sobre el tratamiento de los datos personales, exigido en el artículo 13 del RGPD, cuando se usa el Simulador del IMV para comprobar si se cumple con los requisitos para recibir la prestación del IMV a través del canal sin identificación, y se advierten deficiencias en la adopción por el INSS, como responsable del tratamiento, de medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, como dispone el artículo 32 del RGPD. QUINTO: Alegaciones al acuerdo de inicio de procedimiento sancionador  Notificado el citado acuerdo de inicio conforme a las normas establecidas en la LPACAP, el INSS presentó escrito de alegaciones en el que, en síntesis, manifiesta lo siguiente: 1. Respecto de la infracción del artículo 28.3 del RGPD, se remite al Informe 0333/2012 de la AEPD, declarando que la GISS tiene la consideración de encargada del tratamiento y que no es exigible un contrato entre la GISS y las entidades gestorías y servicios comunes para actual como tal encargada del tratamiento, tras analizar la AEPD la Disposición Adicional Segunda del entonces vigentes Real Decreto 343/2012, de 10 de febrero, por el que se desarrolla la estructura orgánica básica del Ministerio de Empleo y Seguridad Social, de acuerdo con lo dispuesto en el artículo 12 de la entonces vigente Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (LOPD) y los artículos 20 y 22 del también entonces vigente Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD, solicitando el archivo del procedimiento sancionador en relación con esta infracción. 2. Respecto de la infracción del artículo 13 del RGPD, el INSS indica que ha subsanado las deficiencias señaladas en el acuerdo de inicio, incorporado un enlace denominado “información sobre protección de datos” en el Simulador a través del canal sin identificación y al inicio de la solicitud y antes de firmarla (https://www.seg-social.es/wps/portal/wss/internet/HerramientasWeb/d5f5659b7f86-4a30-8b3c-0dfd45f91e1f), solicitando el archivo del procedimiento sancionador en relación con esta infracción, tras dar cumplimiento a lo establecido en el artículo 13 del RGPD. 3. Respecto de la infracción del artículo 32 del RGPD, el INSS manifiesta que solicitó informe a la GISS de verificación de las medidas de seguridad, concluyendo ésta en su informe que sí se han implantado las medidas técnicas y organizativas de seguridad apropiadas para garantizar un nivel de seguridad adecuado al riesgo, solicitándose igualmente el archivo de este procedimiento sancionador en relación con esta infracción. SEXTO: Propuesta de Resolución C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 12/43 Con fecha 29 de octubre de 2025 se formuló propuesta de resolución, proponiendo que se declare que el INSS ha infringido: - El artículo 28.3 del RGPD, tipificado en el artículo 83.4 del RGPD. - El artículo 13 del RGPD, tipificado en el artículo 83.5 del RGPD. - El artículo 32 del RGPD, tipificado en el artículo 83.4. del RGPD SÉPTIMO: Alegaciones a la Propuesta de Resolución Notificada la propuesta de resolución conforme a las normas establecidas en la LPACAP, el INSS presentó alegaciones el 24 de noviembre de 2025, solicitando el archivo del presente procedimiento, justificado, en síntesis, por lo siguiente: 1. Respecto de la infracción del artículo 28.3 del RGPD, además de remitirse al ya indicado Informe 0333/2012 de la AEPD, el INSS alude a la información disponible en la página web de la AEPD, disponible en Consultas más relevantes atendidas a través del Canal del DPD | AEPD, en concreto la relativa a la cuestión “Un departamento de Informática de una Administración Pública que presta servicios TIC a otros departamentos, ¿sería encargado o responsable del tratamiento?”, para reiterar que la GISS tiene la consideración de encargada del tratamiento y que existe un acto jurídico que da cumplimiento formal y material a lo dispuesto al efecto en el RGPD. No obstante, si la AEPD entiendo que el acto jurídico es insuficiente, considera que lo más adecuado sería que lo indicara a efectos de que se lleve a cabo, pero sin que ello dé lugar a la imposición de una sanción. 2. Respecto de la infracción del artículo 13 del RGPD, señala que ha subsanado diligentemente las deficiencias indicadas en el acuerdo de inicio, incorporado el enlace denominado “información sobre protección de datos” en el Simulador a través del canal sin identificación y al inicio de la solicitud y antes de firmarla (https://www.seg-social.es/wps/portal/wss/internet/HerramientasWeb/d5f5659b7f86-4a30-8b3c-0dfd45f91e1f), dando así cumplimiento a lo establecido en el artículo 13 del RGPD. 3. Respecto de la infracción del artículo 32 del RGPD, el INSS reitera que solicitó informe a la GISS de verificación de las medidas de seguridad, concluyendo ésta en su informe que se han implantado las medidas técnicas y organizativas de seguridad apropiadas para garantizar un nivel de seguridad adecuado al riesgo, detallándose y clarificándose en el nuevo informe de la GISS fechado a 24 de noviembre de 2025 y firmado por el Subdelegado de Protección de Datos de la GISS. Con fecha 2 de diciembre de 2025 el INSS completó las alegaciones presentadas, aportando las versiones firmadas de la EIPD del IMV de 2020 y 2022. Se hace constar que no consta la fecha en la firma electrónica de la versión de 2020. De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 13/43 HECHOS PROBADOS PRIMERO: Tratamiento de datos personales por el INSS para la gestión del IMV De acuerdo con la información obrante en este expediente, consta la realización de un tratamiento de datos personales por el INSS, recabando datos personales de personas físicas, necesarios para la gestión de la prestación del IMV. El INSS realiza esta actividad en su condición de responsable del tratamiento, dado que es quien determina los fines y medios del tratamiento, en virtud del artículo 4.7 del RGPD. SEGUNDO: Actividad de tratamiento IMV en el IAT del INSS El IAT del INSS, disponible en la sede electrónica de la Seguridad Social, incluye la actividad de tratamiento “Ingreso Mínimo Vital”, identificando los datos personales objeto de tratamiento, así como el responsable del tratamiento, indicando lo siguiente: “DATOS PERSONALES: Datos de identificación del interesado y, en su caso, de su representante legal; Datos relativos al estado civil, nacionalidad y vecindad: Domicilio; Datos de contacto; Datos relativos a la unidad de convivencia/unidad familiar; Datos relativos a la situación laboral; Datos económicos, patrimoniales y fiscales; Datos de prestaciones económicas de carácter social; Datos relativos a la salud (incapacidad y discapacidad); Datos relativos a la condición de víctima (violencia de género, trata de seres humanos o explotación sexual). (…) RESPONSABLE TRATAMIENTO: S. G. de Gestión de Incapacidad Temporal, Prestaciones Económicas del Sistema de la Seguridad Social en Su Modalidad No Contributiva y Otras Prestaciones a Corto Plazo”. TERCERO: IAT de la GISS Por el contrario, el IAT de la GISS no contiene información que se refiera de forma concreta a la actividad de tratamiento “Ingreso Mínimo Vital”. CUARTO: Responsable y encargado del tratamiento del IMV En la documentación publicada en la plataforma de contratación del sector público del expediente de contratación 2020/7108 del GISS, consta en la Hoja resumen del PCAP para la contratación de los servicios en nube del IMV, firmada el 5 de mayo de 2021, el INSS como responsable del tratamiento, la GISS como encargado y la empresa adjudicataria subencargado del tratamiento. QUINTO: Inexistencia de contrato de encargado del tratamiento No consta un contrato u otro acto jurídico que vincule a la GISS, como encargado del tratamiento, y al INSS, como responsable del tratamiento, con el contenido mínimo exigido en el artículo 28.3 del RGPD (objeto, la duración, la naturaleza y la finalidad del tratamiento, el tipo de datos personales y categorías de interesados, y las obligaciones y derechos del responsable) en relación con el tratamiento de datos relativo a la gestión de la prestación del IMV. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 14/43 En contestación a los requerimientos de información realizados por esta Agencia, el INSS no ha remitido contrato de encargo alguno, remitiéndose a la Disposición Adicional Segunda del Real Decreto 497/2020, de 28 de abril, por el que se desarrolla la estructura orgánica básica del Ministerio de Inclusión, Seguridad Social y Migraciones (en adelante, RD 497/2020), para la determinación de la GISS como encargado de tratamiento. La citada disposición establece las funciones de la GISS como servicio común de la Seguridad Social, sin referencia alguna a su condición de encargado del tratamiento del INSS y al contenido mínimo exigido en el artículo 28.3 del RGPD. SEXTO: Información sobre tratamiento de datos personales en el Simulador IMV Por la AEPD se accedió a la sede electrónica de la Seguridad Social, tanto por (
10. i)el canal con identificación, como por (
11. ii)el canal sin identificación. Ambos canales incluían una sección (“Acerca de este trámite”) en la que se proveía información sobre el proceso de solicitud del IMV (“A quién va dirigido”, “Qué permite realizar”, “Qué necesita para realizarlo”, “A tener en cuenta” y “Próximos pasos”). Igualmente ambos canales refieren la posibilidad de usar el Simulador del IMV para comprobar si cumple los requisitos para recibir la prestación del IMV y se realizó también por la AEPD pruebas del uso de este simulador a través de ambos canales. El canal sin identificación no incluía formulario que facilitara información sobre el tratamiento de datos personales, así, al pulsar el botón “Solicitar” redirigía a la dirección https://imv.seg-social.es/, que permitía pulsar el botón “Simular y Solicitar” y, tras pulsarlo, se iniciaba un camino de varios pasos en el que de forma acumulativa se iba solicitando del usuario datos personales, sin facilitar la información prevista en el artículo 13 del RGPD sobre el tratamiento de datos personales del usuario. SÉPTIMO: Nuevo enlace de información sobre protección de datos En las alegaciones presentadas al acuerdo de inicio de este procedimiento sanción, el INSS ha informado que ha incorporado el enlace “información sobre protección de datos” al Simulador a través del canal sin identificación y al inicio de la solicitud y antes de firmarla, facilitando información sobre el tratamiento de los datos personales, de acuerdo con lo exigido en el artículo 13 del RGPD. OCTAVO: EIPD y Análisis de riesgos del IMV A solicitud del INSS, el Área de Políticas y Auditorías de Seguridad (en adelante, APAS) de la GISS elaboró el 19 de mayo de 2021 el documento “Ingreso Mínimo Vital. Análisis de Seguridad”, un análisis de riesgos específicos de la nube para adjuntar a la EIPD elaborada por el INSS. El objetivo de dicho documento era “conocer y cuantificar los riesgos asociados al uso de los servicios de ***EMPRESA.2, en el contexto del desarrollo de la plataforma del IMV, y detallar las medidas de seguridad o salvaguardas necesarias para mitigar dichos riesgos”. En ese documento se identificaron los riesgos de la arquitectura basada en ***EMPRESA.2 para el tratamiento de datos personales del IMV y prescribe las salvaguardas a aplicar, concluyendo que, aunque ***EMPRESA.2 cuenta con la certificación de categoría alta de Esquema Nacional de Seguridad (ENS) y certificaciones de conformidad con ISO/IEC 27001:2013, 27017:2015 y 27018:2019: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 15/43 “(…) 3. Cabe destacar que es posible que el proveedor no pueda garantizar la implantación de medidas contempladas en las salvaguardas, de esta forma deberá documentarlo y proponer medidas compensatorias a las aquí expuestas, que serán analizadas por la GISS, emitiendo ésta una resolución indicando si las acepta. Es importante matizar que habrá salvaguardas que el proveedor ya cumpla por lo que simplemente será necesario documentar ese requisito, tal como se ha hecho en este documento para aquellas salvaguardas implementadas o en proceso de implementación de las que tiene conocimiento APAS.” NOVENO: Verificación de las medidas de seguridad En contestación al requerimiento realizado por esta Agencia al INSS respecto de la verificación de dichas medidas, el INSS indicó lo siguiente: “El INSS, como responsable del tratamiento realizó una EIPD del tratamiento del IMV y no ha considerado necesario realizar medidas de verificación que el proveedor cumplió con las medidas señaladas en la EIPD, siendo suficientes las cláusulas de seguridad indicadas en el Pliego de Contratación. La GISS realizó un análisis de riesgos sobre el tratamiento en la nube, a solicitud del responsable del tratamiento. Este análisis fue entregado al responsable del tratamiento con las correspondientes medidas de seguridad que derivaron del análisis. La GISS no ha considerado necesario llevar a cabo medidas tendentes a verificar que el proveedor cumplió con las medidas señaladas en el análisis de riesgos.” Por tanto, el INSS no verificó las medidas de seguridad prescritas en el documento “Ingreso Mínimo Vital. Análisis de Seguridad” y en la actualización de la EIPD del tratamiento de datos personal del IMV de 11 de enero de 2022 -sin firmar, al igual que la previa de 20 de junio de 2020- exigibles a ***EMPRESA.2 como proveedor del servicio en la nube y subencargado de tratamiento, de forma previa a la utilización del mismo, estableciendo el artículo 32 del RGPD la adopción de medidas técnicas y organizativas de seguridad apropiadas para garantizar un nivel de seguridad adecuado al riesgo. DÉCIMO: Informe de la GISS de 2 de noviembre de 2025 de verificación de las medidas técnicas y organizativas de seguridad En las alegaciones presentadas a la propuesta de Resolución de este procedimiento sanción, el INSS ha aportado informe solicitado a la GISS de verificación de las medidas técnicas y organizativas de seguridad apropiadas para garantizar un nivel de seguridad adecuado al riesgo, fechado a 24 de noviembre de 2025 y firmado por el Subdelegado de Protección de Datos de la GISS, así como versiones firmadas de la EIPD del IMV de 2020 y 2022. Se hace constar que en la versión de 2020 no consta la fecha en la firma electrónica. FUNDAMENTOS DE DERECHO C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 16/43 I Competencia De acuerdo con los poderes que el artículo 58.2 del RGPD otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la LOPDGDD, es competente para resolver este procedimiento la Presidencia de la AEPD. Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos.” II Cuestiones previas El artículo 4.1) del RGPD define «dato personal» como: “toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona”. El artículo 4.2) del RGPD define «tratamiento» como: “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción.” El artículo 4.7) del RGPD, define al «responsable del tratamiento» o «responsable» como: “la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros”. El artículo 4.8) del RGPD determina al «encargado del tratamiento» o «encargado» como la persona física o jurídica, autoridad pública, servicio u otro organismo que trate datos personales por cuenta del responsable del tratamiento. En este caso, de acuerdo con el Real Decreto-ley 20/2020, la competencia para la gestión de dicha prestación corresponde al INSS, estando vinculado el uso de los datos personales con las funciones de gestión administrativa que tiene atribuidas el INSS conforme al mencionado RD 2583/1996. Por tanto, de acuerdo con los apartados 1 y 2 del artículo 4 del RGPD, consta la realización de un tratamiento de datos personales por el INSS, recabando los siguientes datos personales de personas físicas para la gestión de la prestación del IMV, que ya se indicaban en el HECHO PROBADO SEGUNDO: 1. Datos personales de categoría general: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 17/43 - Datos de identificación: nombre, apellidos, DNI-NIE, Nº de la de la Seguridad Social, sexo, fecha de nacimiento. - Datos relativos al estado civil, nacionalidad y vecindad: estado civil, nacionalidad, tipo residencia legal en España, domicilio habitual. - Datos de contacto: domicilio postal, teléfono fijo, teléfono móvil, correo electrónico. - Datos relativos a la representación legal. - Datos relativos al alojamiento. - Datos relativos a la unidad de convivencia: datos de los progenitores, datos de los descendientes, datos de separación/divorcio. - Datos relativos a la situación laboral: trabajador cuenta propia o ajena, desempleado, prestación de desempleo, perceptor de subsidio de desempleo. - Datos de patrimonio: propiedades, cuentas bancarias, activos financieros. - Datos de carácter tributario: declaración de la renta. - Datos de prestaciones económicas no contributivas solicitadas con carácter previo a la petición del IMV. 2. Datos personales de categoría especial: - Datos relativos a la salud: tipo de incapacidad laboral, grado de discapacidad reconocido, grado de dependencia. - Datos relativos a la orientación sexual: estado civil, parentesco. - Datos relativos a la condición de víctima de violencia de género, trata de seres humanos o explotación sexual. El INSS realiza esta actividad en su condición de responsable del tratamiento, dado que es quien determina los fines y medios del tratamiento, en virtud del artículo 4.7 del RGPD, siendo el INSS el competente para la gestión del IMV. Y la GISS realiza las funciones de encargado del tratamiento, de acuerdo con lo indicado en el artículo 4.8) del RGPD, tratando los citados datos personales de personas físicas para la gestión de la prestación del IMV, por cuenta del INSS. III Contestación a las alegaciones presentadas al acuerdo de inicio En relación con las alegaciones presentadas por la entidad reclamada al acuerdo de inicio, en la propuesta de Resolución la AEPD procedió a dar respuesta a las mismas, recordando respecto de la infracción del artículo 28.3 del RGPD y el Informe 0333/2012 de la AEPD, que en el momento de emitirse dicho Informe estaba vigente la LOPD, cuyo artículo 12.2 establecía lo siguiente: “2. La realización de tratamientos por cuenta de terceros deberá estar regulada en un contrato que deberá constar por escrito o en alguna otra forma que permita acreditar su celebración y contenido, estableciéndose expresamente que el encargado del tratamiento únicamente tratará los datos conforme a las instrucciones del responsable del tratamiento, que no los aplicará o utilizará con fin distinto al que figure en dicho contrato, ni los comunicará, ni siquiera para su conservación, a otras personas. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 18/43 En el contrato se estipularán, asimismo, las medidas de seguridad a que se refiere el artículo 9 de esta Ley que el encargado del tratamiento está obligado a implementar”. La LOPD fue derogada en 2018 por la actual LOPDGDD, tras aprobarse el RGPD, aplicable desde el 25 de mayo de 2018, remitiéndose específicamente el artículo 33.5 de la LOPDGDD al contenido exigido por el artículo 28.3 del RGPD, en el ámbito del sector público, en los siguientes términos: “5. En el ámbito del sector público podrán atribuirse las competencias propias de un encargado del tratamiento a un determinado órgano de la Administración General del Estado, la Administración de las comunidades autónomas, las Entidades que integran la Administración Local o a los Organismos vinculados o dependientes de las mismas mediante la adopción de una norma reguladora de dichas competencias, que deberá incorporar el contenido exigido por el artículo 28.3 del Reglamento (UE) 2016/679”. Dicho Informe se remitía a la normativa aplicable en ese momento, posteriormente derogada y, por tanto, no aplicable en la actualidad, siendo necesario en aplicación de los artículos 28.3 del RGPD y 33 de la LOPDGDD la existencia de un acto jurídico que vincule al encargado respecto del responsable y establezca el objeto, duración, naturaleza y finalidad del tratamiento, tipo de datos personales y categorías de interesados, y obligaciones y derechos del responsable. Y lo cierto es que no existe ningún acto jurídico entre el INSS y la GISS que dé cumplimiento formal y material a lo dispuesto en dicha normativa. La Disposición Adicional Segunda del entonces vigente RD 497/2020 y la actual Disposición Adicional Segunda del Real Decreto 501/2024, de 21 de mayo, por el que se desarrolla la estructura orgánica básica del Ministerio de Inclusión, Seguridad Social y Migraciones (en lo sucesivo, Real Decreto 501/2024), establecen las funciones de la GISS como servicio común de la Seguridad Social, sin referencia alguna a su condición de encargado del tratamiento del INSS y al contenido mínimo exigido en el artículo 28.3 del RGPD. En consecuencia, se desestimó esta alegación. Respecto de la infracción del artículo 13 del RGPD, la AEPD comprobó que tras la notificación del acuerdo de inicio el INSS había incorporado en su página web el enlace “información sobre protección de datos” al Simulador a través del canal sin identificación y al inicio de la solicitud y antes de firmarla, siguiendo la medida propuesta en el acuerdo de inicio, incluyendo información ampliada sobre el responsable del tratamiento, de contacto con el Delegado de Protección de Datos, finalidad, legitimación, destinatarios, derechos -citando la posibilidad de presentar reclamación ante la AEPD- y procedencia. No obstante, aunque la AEPD valora de forma positiva la medida implantada, en su contestación a esta alegación se señaló que ello no desvirtuaba la vulneración del artículo 13 del RGPD por los hechos constatados hasta la incorporación de dicha información en el citado enlace, si bien ya no era necesario adoptar las medidas que se planteaban en el acuerdo de inicio de este procedimiento sancionador tras haber procedido el INSS a la implementación de los citados desarrollos informáticos. Por último, respecto del informe solicitado por el INSS a la GISS de verificación de las medidas técnicas y organizativas de seguridad apropiadas para garantizar un nivel de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 19/43 seguridad adecuado al riesgo, como dispone el artículo 32 del RGPD, en el que se concluye que estas medidas se han implantado, la AEPD señaló que no se aportaba el citado informe, desconociéndose su fecha y firma y cuándo se habían implantado dichas medidas y que conforme al artículo 4.7 del RGPD, la responsabilidad del tratamiento recae sobre el responsable, el INSS, siendo éste el responsable de la adopción de medidas técnicas y organizativas de seguridad apropiadas para garantizar un nivel de seguridad adecuado al riesgo y eficazmente la confidencialidad, integridad y disponibilidad de todos los datos personales de los cuales es responsable. Además, el vigente RGPD se basa en el principio de responsabilidad proactiva y en el enfoque de riesgos, esto es, y en cuanto a las medidas de seguridad en los términos del artículo 32 del RGPD, en el establecimiento e implementación de las medidas técnicas y organizativas que sean apropiadas en función del nivel de riesgos apreciados inherentes a un determinado tratamiento, que no dependen por tanto únicamente de la tipología de datos personales, sino que han de ser apropiadas a cada tratamiento de datos personales, a su nivel de riesgos, así como revisadas de forma continua. Así pues, no basta con establecer medidas técnicas y organizativas adecuadas, sino que además es preceptiva su correcta implantación, así como su revisión y actualización periódica. Por todo ello, esta Agencia reiteró, una vez revisadas las alegaciones formuladas por el INSS al acuerdo de inicio y la documentación obrante en el expediente, que éste no acreditaba que contara con las medidas técnicas y organizativas de seguridad apropiadas para garantizar un nivel de seguridad adecuado al riesgo en el tratamiento de los datos personales, de acuerdo con el artículo 32 del RGPD. En consecuencia, esta alegación también se desestimó. IV Contestación a las alegaciones aducidas a la propuesta de Resolución Respecto de la infracción del artículo 28.3 del RGPD, además de remitirse al ya citado Informe 0333/2012 de la AEPD, el INSS alude a la información disponible en la página web de la AEPD, disponible en Consultas más relevantes atendidas a través del Canal del DPD | AEPD, relativa a la cuestión “Un departamento de Informática de una Administración Pública que presta servicios TIC a otros departamentos, ¿sería encargado o responsable del tratamiento?”, para reiterar que la GISS tiene la consideración de encargada del tratamiento y que existe un acto jurídico que da cumplimiento formal y material a lo dispuesto al efecto en el RGPD. Discrepa esta AEPD con lo indicado por el INSS, sin que en ningún caso lo indicado en la página web de la AEPD permita la interpretación realizada por el INSS de la condición de la GISS como encargada. Así, respecto de unidades TIC que realizan actividades de tratamiento de datos personales y no tiene dependencia orgánica del responsable, en aplicación de lo dispuesto en el artículo 33.5 de la LOPDGDD, expresamente se indica que “(…) en el ámbito del sector público la designación de encargado del tratamiento podrá derivar de una norma que determine las competencias de un determinado órgano u organismo que preste sus servicios en un ámbito concreto; en estos casos, la propia norma reguladora del órgano u organismo podrá servir para atribuir la condición de encargado del tratamiento e incorporar los contenidos que resulten necesarios para delimitar su ámbito de actuación, siempre que cumpla con los requisitos previstos en el artículo 28.3 del RGPD”. Es decir, se contempla dicha posibilidad, actuando como encargado del tratamiento dicha unidad TIC sin dependencia orgánica del responsable del tratamiento, siempre C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 20/43 que se adecue a lo dispuesto en el artículo 28.3 del RGPD, contemplando el artículo 33.5 de la LOPDGDD en el ámbito del sector público que no sea necesario la celebración de un contrato específico de encargado del tratamiento si existe una norma reguladora de dicha competencia, incorporando el contenido exigido en el citado artículo 28.3 del RGPD. Sin embargo, como se ha puesto de manifiesto en el HECHO PROBADO QUINTO de esta Resolución, el INSS no ha aportado contrato de encargo alguno y, respecto a ese posible acto jurídico que pudiera determinar a la GISS como encargado de tratamiento, se ha remitido a la Disposición Adicional Segunda del Real Decreto 497/2020. En esta disposición, en la que se establecían las funciones de la GISS como servicio común de la Seguridad Social, no había referencia alguna a su condición de encargado del tratamiento del INSS ni al contenido mínimo exigido en el artículo 28.3 del RGPD en relación con el tratamiento de datos relativo a la gestión de la prestación del IMV (objeto, duración, naturaleza y finalidad del tratamiento, tipo de datos personales y categorías de interesados, y las obligaciones y derechos del responsable), como tampoco en el anteriormente citado Real Decreto 501/2024, vigente en la actualidad, con el mismo contenido que el Real Decreto 497/2020, sin referencia alguna a la condición de encargado del tratamiento de la GISS y al contenido mínimo exigido en el artículo 28.3 del RGPD. Por tanto, se reitera que no existe ningún acto jurídico entre el INSS y la GISS que dé cumplimiento formal y material a lo dispuesto en la citada normativa. En consecuencia, se desestima esta alegación. Respecto de la infracción del artículo 13 del RGPD, esta Agencia reitera que el INSS ha subsanado la información contenida en su página web en el enlace “información sobre protección de datos” en el Simulador de la prestación del IMV, incluyendo información ampliada sobre el responsable del tratamiento, de contacto con el Delegado de Protección de Datos, finalidad, legitimación, destinatarios, derechos y procedencia. Y que como ya se indicó en la propuesta de Resolución, esta Agencia valora de forma positiva la medida implantada, no siendo ya necesario adoptar las medidas que se planteaban en el acuerdo de inicio de este procedimiento sancionador tras haber procedido el INSS a la implementación de los citados desarrollos informáticos. Sin embargo, ello no desvirtúa la vulneración del artículo 13 del RGPD por los hechos constatados hasta la incorporación de la citada información al Simulador de la prestación del IMV a través del canal sin identificación, al inicio de la solicitud y antes de firmarla. Por último, respecto de la infracción del artículo 32 del RGPD, adjunta el INSS a las alegaciones presentadas a la propuesta de Resolución el informe fechado a 24 de noviembre de 2025 y firmado por el Subdelegado de Protección de Datos de la GISS, de verificación de las medidas de seguridad, concluyendo ésta que se han implantado las medidas técnicas y organizativas de seguridad apropiadas para garantizar un nivel de seguridad adecuado al riesgo. Las citadas medidas de seguridad eran las prescritas en el documento “Ingreso Mínimo Vital. Análisis de Seguridad” de 19 de mayo de 2021 y en la actualización de la EIPD del tratamiento de datos personal del IMV de 11 de enero de 2022, que también se ha adjuntado firmado a las alegaciones a la propuesta de Resolución. Dichas medidas eran las exigibles a ***EMPRESA.2 como proveedor del servicio en la nube y subencargado de tratamiento, de forma previa a la utilización del mismo, habiendo manifestado el INSS, en contestación al requerimiento realizado por la AEPD, que no C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 21/43 consideró necesario verificar que ***EMPRESA.2 hubiera cumplido dichas medidas, siendo suficientes las cláusulas de seguridad indicadas en el Pliego de Contratación, así como que tampoco la GISS había considerado necesario llevar a cabo medidas tendentes a verificar que ***EMPRESA.2 había cumplido con las medidas señaladas en el análisis de riesgos. Así pues, una vez revisadas las alegaciones formuladas por el INSS y la documentación obrante en el expediente, esta Agencia considera que ello no desvirtúa que el INSS no contara con las medidas técnicas y organizativas de seguridad apropiadas para garantizar un nivel de seguridad adecuado al riesgo en el tratamiento de los datos personales relativos a la prestación del IMV, de acuerdo con lo establecido en el artículo 32 del RGPD. En consecuencia, esta alegación debe ser desestimada. Por otra parte, una vez analizado el informe de la GISS de 24 de noviembre de 2025, en el que se considera acreditado el cumplimiento de las medidas técnicas y organizativas de seguridad aplicadas, indicando, en algunos casos, la medida compensatoria adoptada en lugar de la medida principal aplicable a ***EMPRESA.2, que se analizará con más detalle en el Fundamento de Derecho X de esta Resolución, esta Agencia valora de forma positiva las medidas implantadas, sin que ello desvirtúe la vulneración del citado artículo 32 del RGPD por los hechos constatados en los párrafos anteriores, así como la necesidad de adoptar y/o acreditar algunas de las medidas de seguridad prescritas en el documento “Ingreso Mínimo Vital. Análisis de Seguridad” de 19 de mayo de 2021 y en la actualización de la EIPD del tratamiento de datos personal del IMV de 11 de enero de 2022. V Obligación incumplida. Encargado del tratamiento: Artículo 28.3 del RGPD Consta por el INSS la realización de un tratamiento de datos personales en su condición de responsable del tratamiento, de conformidad con el artículo 4.7 del RGPD, pues determina los fines y medios del tratamiento de datos personales de los solicitantes del IMV, de acuerdo con el Real Decreto-ley 20/2020, determinando la competencia del INSS para la gestión de dicha prestación, estando vinculado el uso de los datos personales por el INSS con las funciones de gestión administrativa que tiene atribuidas dicho organismo conforme al citado RD 2583/1996. Y como órgano administrativo competente para formalizar la encomienda de encargado de tratamiento en el marco de la normativa de protección de datos debe adecuarse a lo dispuesto en el artículo 33.5 de la LOPDGDD, que se remite al artículo 28.3 del RGPD que estipula lo siguiente: "(…) 3. El tratamiento por el encargado se regirá por un contrato u otro acto jurídico con arreglo al Derecho de la Unión o de los Estados miembros, que vincule al encargado respecto del responsable y establezca el objeto, la duración, la naturaleza y la finalidad del tratamiento, el tipo de datos personales y categorías de interesados, y las obligaciones y derechos del responsable. Dicho contrato o acto jurídico estipulará, en particular, que el encargado:
12. a)tratará los datos personales únicamente siguiendo instrucciones documentadas del responsable, inclusive con respecto a las transferencias de datos personales a un tercer país o una organización internacional, salvo que esté obligado a ello en virtud del Derecho de la Unión o de los Estados miembros que se aplique al encargado; en tal caso, el encargado informará al responsable de esa exigencia legal previa al C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 22/43 tratamiento, salvo que tal Derecho lo prohíba por razones importantes de interés público;
13. b)garantizará que las personas autorizadas para tratar datos personales se hayan comprometido a respetar la confidencialidad o estén sujetas a una obligación de confidencialidad de naturaleza legal;
14. c)tomará todas las medidas necesarias de conformidad con el artículo 32;
15. d)respetará las condiciones indicadas en los apartados 2 y 4 para recurrir a otro encargado del tratamiento;
16. e)asistirá al responsable, teniendo en cuenta la naturaleza del tratamiento, a través de medidas técnicas y organizativas apropiadas, siempre que sea posible, para que este pueda cumplir con su obligación de responder a las solicitudes que tengan por objeto el ejercicio de los derechos de los interesados establecidos en el capítulo III;
17. f)ayudará al responsable a garantizar el cumplimiento de las obligaciones establecidas en los artículos 32 a 36, teniendo en cuenta la naturaleza del tratamiento y la información a disposición del encargado;
18. g)a elección del responsable, suprimirá o devolverá todos los datos personales una vez finalice la prestación de los servicios de tratamiento, y suprimirá las copias existentes a menos que se requiera la conservación de los datos personales en virtud del Derecho de la Unión o de los Estados miembros;
19. h)pondrá a disposición del responsable toda la información necesaria para demostrar el cumplimiento de las obligaciones establecidas en el presente artículo, así como para permitir y contribuir a la realización de auditorías, incluidas inspecciones, por parte del responsable o de otro auditor autorizado por dicho responsable. En relación con lo dispuesto en la letra
20. h)del párrafo primero, el encargado informará inmediatamente al responsable si, en su opinión, una instrucción infringe el presente Reglamento u otras disposiciones en materia de protección de datos de la Unión o de los Estados miembros (…)”. Así pues, el artículo 28.3 del RGPD impone la obligación a la entidad que vaya a realizar un tratamiento de datos personales en nombre y por cuenta del responsable del tratamiento, de celebrar un contrato u otro acto jurídico que vincule al encargado respecto del responsable y establezca, como contenido mínimo de dicho contrato (“el objeto, la duración, la naturaleza y la finalidad del tratamiento, el tipo de datos personales y categorías de interesados, y las obligaciones y derechos del responsable”). La finalidad de ello es garantizar que el hecho de que materialmente el tratamiento de datos personales sea realizado por una entidad distinta del responsable del tratamiento, pero por encargo o encomienda de éste, no suponga un menoscabo en los derechos y libertades de las personas físicas, así como el cumplimiento de las obligaciones en cuanto al tratamiento de dichos datos que establece el RGPD para los responsables del tratamiento. El apartado 101 de las Directrices 07/2000, del Comité Europeo de protección de datos, sobre los conceptos de «responsable del tratamiento» y «encargado del tratamiento» en el RGPD, en relación con las formalidades en la celebración de dicho contrato, especifica que: “