← España

PS-00024-2025

1/43  Expediente N.º: EXP202314314 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES Contenido ANTECEDENTES.......................................................................................................... 1 PRIMERO Denuncia de la AUGC............................................................................... 3 SEGUNDO Inicio de actuaciones previas de investigación........................................ 4 TERCERO Informe de la SGID.................................................................................. 4 1. Causa por la que se ha dotado a la Guardia Civil de pistolas eléctricas incapacitantes (en adelante, PEI) también denominadas (...). Función de las videocámaras con las que están dotadas dichas armas:........................................ 5 2. Implantación y despliegue de las PEI o (...):....................................................... 5 3. Legitimación para la grabación que realiza la cámara de la PEI:........................5 4. Finalidad del tratamiento y medios técnicos autorizados:................................... 6 5. Guía elaborada por la AEPD y marco normativo relativo a las cámaras de vídeo con las que se dotan las pistolas eléctricas incapacitantes (PEI):.......................... 6 6. Acuerdo de Encargo de Tratamiento con ***EMPRESA.1:................................. 8 7. Comunicación de la realización de una grabación al Delegado o Subdelegado del Gobierno:.......................................................................................................... 9 8. Características de las cámaras de vídeo de las pistolas eléctricas incapacitantes (PEI) o (...):................................................................................... 10 9. Funcionamiento de las cámaras de vídeo de las pistolas eléctricas incapacitantes (PEI).............................................................................................. 11 10. Identificación de los datos que figuran en una grabación de la videocámara asociada a la PEI:................................................................................................. 13 11. (…).................................................................................................................. 14 12. Periodo de conservación de las grabaciones.................................................. 14 13. (…).................................................................................................................. 16 14. Extracción y comunicación de imágenes........................................................ 19 15. Confidencialidad de la información................................................................. 20 16. Información facilitada a los interesados.......................................................... 21 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/43 17. Información facilitada a los agentes................................................................ 22 18. Medidas de seguridad..................................................................................... 23 19. No consta la realización de una Evaluación de Impacto de la Protección de Datos (EIPD) o de un análisis de riesgos por parte de la DGGC:......................... 27 20. Actividad del Tratamiento PEI reflejada en el RAT del Ministerio del Interior:..28 21. Formación e información al personal de la Guardia Civil relativo a las PEI:....30 22. Hechos ocurridos en la ***ORGANISMO.1..................................................... 31 CUARTO: Inicio del procedimiento sancionador....................................................... 36 QUINTO: Alegaciones de la DGGC al acuerdo de inicio y envío de nueva versión del RAT:.......................................................................................................................... 36 SEXTO: Propuesta de Resolución........................................................................... 38 SÉPTIMO: Escrito de la DGGC................................................................................ 39 HECHOS PROBADOS................................................................................................ 39 PRIMERO:............................................................................................................... 39 SEGUNDO:.............................................................................................................. 40 TERCERO:............................................................................................................... 40 CUARTO:................................................................................................................. 41 QUINTO:.................................................................................................................. 41 SEXTO:.................................................................................................................... 42 SÉPTIMO:................................................................................................................ 42 OCTAVO:.................................................................................................................. 44 FUNDAMENTOS DE DERECHO................................................................................. 45 I Competencia.......................................................................................................... 45 II Cuestiones previas................................................................................................ 46 III Alegaciones al acuerdo de inicio y escrito de la DGGC tras la propuesta de resolución................................................................................................................. 48 1. Alegaciones de la DGGC al acuerdo de inicio respecto a una presunta infracción del artículo 35 de la LO 7/2021:............................................................ 48 2. Importancia de la EIPD:.................................................................................... 49 3. Lista elaborada por la AEPD de tipos de tratamientos de datos que requieren EIPD:.................................................................................................................... 52 4. Contestación a las alegaciones de la DGGC al acuerdo de inicio relativas a la infracción del artículo 35 de la LO 7/2021:............................................................ 54 5. Alegaciones de la DGGC al acuerdo de inicio respecto a una presunta infracción del artículo 32 de la LO 7/2021:............................................................ 56 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/43 6. Contestación a las alegaciones de la DGGC relativas a la infracción del artículo 32 de la LO 7/2021:.............................................................................................. 57 7. Escrito de la DGGC tras la propuesta de resolución:........................................ 58 IV Obligación incumplida del artículo 35 de la LO 7/2021........................................ 59 V Tipificación de la infracción del artículo 35 de la LO 7/2021 y calificación a efectos de prescripción......................................................................................................... 62 VI Obligación incumplida del artículo 32 de la LO 7/2021........................................ 63 VII Tipificación de la infracción del artículo 32 de la LO 7/2021 y calificación a efectos de prescripción............................................................................................. 65 VIII Declaración de infracción................................................................................... 66 RESUELVE:................................................................................................................. 68 PRIMERO Denuncia de la AUGC La Agencia Española de Protección de Datos ha tenido conocimiento de ciertos hechos que podrían constituir una posible infracción imputable a D.G. DE LA GUARDIA CIVIL con NIF S2816003D (en adelante, la DGGC o la parte denunciada). Hechos que se ponen en conocimiento de esta autoridad: La Asociación Unificada de Guardias Civiles (en adelante, AUGC) en fecha 28 de septiembre de 2023 presentó denuncia ante la Agencia Española de Protección de Datos (AEPD) en la que ponía de manifiesto la existencia de una posible vulneración de la normativa de protección de datos en relación con el uso de pistolas eléctricas incapacitantes (PEI), dotadas de cámaras de vídeo unipersonales. La AUGC expone que tuvo conocimiento en una conferencia de Europol de que la D.G. de la Guardia Civil pretendía dotar a sus efectivos con unas pistolas eléctricas incapacitantes que estarían dotadas con cámaras de vídeo unipersonales y que dicha Dirección General ya había convocado un curso para la instrucción en el uso de dichas pistolas y en la formación del tratamiento de los datos personales captados con la videocámara. El proyecto, según la parte denunciante, tenía la aprobación del Delegado de Protección de Datos y se había publicado en el registro de las actividades de tratamiento (RAT) del Ministerio del Interior como Tratamiento PEI. La AUGC formulaba consulta sobre la base de legitimación de dicho tratamiento de datos. Junto con el escrito de denuncia, la AUGC aportaba el RAT del Ministerio del Interior relativo al tratamiento PEI, cuya finalidad era la gestión de las grabaciones de imágenes y sonidos obtenidos mediante cámaras asociadas a las pistolas eléctricas incapacitantes (PEI), así como los datos asociados a las mismas. En fecha 2 de octubre de 2023 tuvo entrada en el Registro General de la AEPD una ampliación de la denuncia presentada el 28 de septiembre de 2023. Se remitía un mensaje enviado por el (…) cámaras de videovigilancia asociadas a las PEI. La AUGC destacaba que, (…). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/43 Acompañaban al escrito de denuncia tres capturas de pantalla relativas al contenido de dicho mensaje. Con fecha 23 de febrero de 2024 la AUGC remitió nueva documentación relacionada con la denuncia de 28 de septiembre de 2023, que tuvo entrada en el Registro Electrónico de la AEPD el día 26 de febrero. En la tercera ampliación de la denuncia dicha Asociación destacaba que en el formulario que se entregaba a los guardias civiles a modo de información, una vez realizado el curso de capacitación para el uso de la PEI, se indicaba (…), lo que contradecía las explicaciones que se habían ofrecido a dicha Asociación. Asimismo, se señalaba que la base de legitimación del tratamiento era la LO 7/2021. Sin embargo, en el RAT del Ministerio del Interior publicado, cuya copia se acompañaba, no se menciona la normativa de protección de datos personales. Enviaban una imagen de un documento titulado “***DOCUMENTO.1”. El día 10 de mayo de 2024 la AUGC presentó una nueva ampliación de la denuncia 28 de septiembre de 2023, que tuvo entrada en la Registro Electrónico de la AEPD el día 13 de mayo. En la misma, se narraban hechos relativos a la grabación con una de las cámaras asociadas a la pistola eléctrica incapacitante (PEI) ocurridos en ***ORGANISMO.1. Junto con el escrito de ampliación de la denuncia, se aportaba la ***DOCUMENTO.1. SEGUNDO Inicio de actuaciones previas de investigación Como consecuencia de los hechos conocidos, con fecha 18 de octubre 2023, la Directora de la Agencia Española de Protección de Datos instó a la Subdirección General de Inspección de Datos (en adelante, SGID) a iniciar las actuaciones previas de investigación a las que se refiere el artículo 67 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD). TERCERO Informe de la SGID La SGID procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VIII, de la LOPDGDD. A continuación, se reflejan los aspectos más relevantes de la información obtenida por la SGID en el marco de las actuaciones previas de investigación: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/43 1. Causa por la que se ha dotado a la Guardia Civil de pistolas eléctricas incapacitantes (en adelante, PEI) también denominadas (...). Función de las videocámaras con las que están dotadas dichas armas: El informe de actuaciones previas de investigación reproduce información facilitada por la DGGC en su escrito de 19 de febrero de 2024, elaborado en contestación a un requerimiento de información formulado por la SGID: “Mediante la asignación de pistolas eléctricas incapacitantes (...)a los agentes del Cuerpo, se persigue dotarles de un medio capaz de facilitar la contención y reducción física de personas que en el transcurso de una intervención policial adopten una actitud hostil y agresiva, permitiendo su detención, evitando así tener que recurrir a las armas de fuego y reduciendo, por tanto, el nivel de fuerza lesiva que se aplica sobre las personas.” (el subrayado es nuestro). “La función esencial de las videocámaras es documentar el uso de las (...) tal y como reclaman autoridades como el Defensor del Pueblo y otras Organizaciones de Derechos Humanos.” (el subrayado es nuestro). 2. Implantación y despliegue de las PEI o (...): En relación con esta cuestión, el informe de actuaciones previas de investigación indica: “En escrito fechado el 19 de febrero de 2024, el Adjunto DPD de la DGGC manifiesta: (…). 3. Legitimación para la grabación que realiza la cámara de la PEI: A este respecto, el informe de actuaciones previas de investigación reproduce información facilitada por la DGGC en su escrito de 19 de febrero de 2024, elaborado en contestación a un requerimiento de información formulado por la SGID: “La legitimación para la grabación se obtiene en base al artículo 17.3 de la Ley Orgánica 7/2021, (…)” (el subrayado es nuestro). 4. Finalidad del tratamiento y medios técnicos autorizados: El informe de actuaciones previas de investigación destaca la finalidad del tratamiento, tal y como la misma aparece reflejada en la ***DOCUMENTO.2: “(…)” 5. Guía elaborada por la AEPD y marco normativo relativo a las cámaras de vídeo con las que se dotan las pistolas eléctricas incapacitantes (PEI): El informe de actuaciones previas de investigación de 19 de diciembre de 2024, partiendo de la información facilitada por la DGGC en contestación a los distintos requerimientos de información formulados por la AEPD, cita la Guía sobre el uso de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/43 videocámaras para seguridad y otras finalidades, publicada por la AEPD, asimismo, hace referencia al marco normativo relativo a la videovigilancia por parte de las Fuerzas y Cuerpos de Seguridad: “ - Guía sobre el uso de videocámaras para seguridad y otras finalidades publicada por la AEPD, donde se recoge: La instalación de videocámaras en lugares públicos, tanto fijas como móviles, es competencia exclusiva de las Fuerzas y Cuerpos de Seguridad, rigiéndose el tratamiento de dichas imágenes por su legislación específica, contenida en la Ley Orgánica 4/1997, de 4 de agosto, y su Reglamento de desarrollo, sin perjuicio de que les sea aplicable, en su caso, lo especialmente previsto en el RGPD, en aspectos como la adopción de las medidas de seguridad que resulten de la realización del análisis de riesgos, así como el registro de actividades de tratamientos. - Ley Orgánica 7/2021, de 26 de mayo, de protección de datos personales tratados para fines de prevención, detección, investigación y enjuiciamiento de infracciones penales y de ejecución de sanciones penales. Capítulo II, Sección 2ª Tratamiento de datos personales en el ámbito de la videovigilancia por Fuerzas y Cuerpos de Seguridad. En el artículo 17 se aborda el uso de dispositivos móviles. - ***DOCUMENTO.2 (…)” El informe de actuaciones previas de investigación indica el motivo por el que se ha dictado la ***DOCUMENTO.2 (en adelante, ***DOCUMENTO.2), así como la finalidad del tratamiento y los (…). “[…] (…) […]” (el subrayado es nuestro). El informe de actuaciones previas de investigación de 19 de diciembre de 2024 también señala: “La AUGC en la ampliación de la denuncia que remite a esta Agencia en fecha 10 de mayo de 2024 aporta la ***DOCUMENTO.1. Se comparan ambas, ***DOCUMENTO.1 e ***DOCUMENTO.2, y se constatan las siguientes modificaciones: o En la ***DOCUMENTO.2 se describe con más detalle la catalogación de las grabaciones (…) o En la ***DOCUMENTO.2 se amplía la explicación de los pasos a seguir en los apartados 6.1 Puesta a disposición de la autoridad judicial y 6.2 Puesta a disposición de la autoridad administrativa: “(…)” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/43 6. Acuerdo de Encargo de Tratamiento con ***EMPRESA.1: En relación con esta cuestión, el informe de actuaciones previas de investigación hace referencia al documento ***DOCUMENTO.3 (elaborado por la DGGC en contestación al requerimiento de información por parte de la SGID), en el que se indica: “2.8 Contratos de prestación de servicios suscritos. o Mediante contrato con la empresa ***EMPRESA.1, por el que se hace el Encargo del Tratamiento de datos recogidos por ***PLATAFORMA.1 (…). o Dicho contrato fue suscrito en ***FECHA.1.” Asimismo, en relación con dicho acuerdo de encargo de tratamiento, el informe de actuaciones previas de investigación también señala: “(...)” 7. Comunicación de la realización de una grabación al Delegado o Subdelegado del Gobierno: El informe de actuaciones previas de investigación reproduce información facilitada por la DGGC en su escrito de 19 de febrero de 2024, elaborado en contestación a un requerimiento de información formulado por la SGID, señalando: “(…)”. 8. Características de las cámaras de vídeo de las pistolas eléctricas incapacitantes (PEI) o (...): El informe de actuaciones previas de investigación indica que las pistolas eléctricas incapacitantes (PEI) tienen las siguientes características: (…) 9. Funcionamiento de las cámaras de vídeo de las pistolas eléctricas incapacitantes (PEI) En relación con el funcionamiento de las cámaras de vídeo de las PEI, el informe de actuaciones previas de investigación señala: “(…)” (el subrayado es nuestro). El informe de actuaciones previas de investigación hace referencia al documento ***DOCUMENTO.3 (elaborado por la DGGC en contestación al requerimiento de información por parte de la SGID), en el que se indica: “(…)” 10. Identificación de los datos que figuran en una grabación de la videocámara asociada a la PEI: El informe de actuaciones previas de investigación hace referencia al documento de la DGGC de fecha 19 de febrero de 2024, elaborado en contestación a un requerimiento de información de la SGID, en el que se indica: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/43 “2.9 Identificación de todos los datos asociados a una grabación de una videocámara. o (…) En relación con (…), el informe de actuaciones previas de investigación destaca: “(…)”. (el subrayado es nuestro). 11. (…) El informe de actuaciones previas de investigación reproduce parcialmente el contenido de la ***DOCUMENTO.2 de la DGGC: “(…)” (el subrayado es nuestro). 12. Periodo de conservación de las grabaciones El informe de actuaciones previas de investigación reproduce parcialmente el contenido del informe de la DGGC de 19 de febrero de 2024, elaborado en contestación a un requerimiento de información de la SGID e indica: “2.10 Período de conservación definido Se han definido diferentes períodos de conservación en función de la catalogación de las imágenes recogidas: (…)” En relación con esta cuestión, el informe de actuaciones previas de investigación también señala: “(…)” (Subrayado de la DGGC). En relación con las medidas (…), el informe de actuaciones previas de investigación indica: “(…).” 13. (…) El informe de actuaciones previas de investigación reproduce parcialmente el contenido de la ***DOCUMENTO.2 de la DGCC, señalando: “(…)” Asimismo, en relación con esta cuestión, el informe de actuaciones previas de investigación indica: “(…)” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/43 Asimismo, en relación con la gestión de las imágenes, el informe de actuaciones previas de investigación señala: “(…)” 14. Extracción y comunicación de imágenes El informe de actuaciones previas de investigación, hace referencia al contenido de la ***DOCUMENTO.2 de la DGGC, señalando: “(…)” 15. Confidencialidad de la información El informe de actuaciones previas de investigación reproduce parcialmente el contenido de la ***DOCUMENTO.2 de la DGGC: (…) […]” (el subrayado es de la DGGC) 16. Información facilitada a los interesados El informe de actuaciones previas de investigación, al hacer referencia al contenido de la ***DOCUMENTO.2 de la DGGC, indica: “(…)” 17. Información facilitada a los agentes En relación con la información relativa a las videocámaras asociadas a la PEI, el informe de actuaciones previas de investigación destaca: “Se aporta como D4 del ***DOCUMENTO.4 (…) la ***DOCUMENTO.1. La DGGC señala que el documento denominado ***DOCUMENTO.5, es un documento que deben firmar los agentes que reciben la formación sobre el arma(...)que les habilita para su uso. (…) Asimismo, el informe de actuaciones previas de investigación hace referencia al informe elaborado por la DGGC con fecha 19 de febrero de 2024, en contestación a un requerimiento de información formulado por la SGID: (…) o  Este documento se encuentra en el ***DOCUMENTO.2 (…). El Anexo 2 referido es la ***DOCUMENTO.1.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 10/43 18. Medidas de seguridad (…), el informe de actuaciones previas de investigación indica: “(…)” (el subrayado es nuestro). Asimismo, en lo que a las medidas de seguridad se refiere, el informe de actuaciones previas de investigación también señala: “Las medidas de seguridad que se describen en el informe técnico del fabricante (…) son las siguientes: o (…) o (…) Finalmente, al hacer referencia a la ***DOCUMENTO.2 (…), el informe de actuaciones previas de investigación señala: “(…).” 19. No consta la realización de una Evaluación de Impacto de la Protección de Datos (EIPD) o de un análisis de riesgos por parte de la DGGC: En cuanto a la ausencia de elaboración de una EIPD o de un análisis de riesgos, el informe de actuaciones previas de investigación hace referencia al informe de la DGGC de fecha 19 de febrero de 2024, elaborado en contestación a un requerimiento de información por parte de la SGID, señalando: “En el escrito de respuesta del Adjunto del DPD, (…), se recoge: En relación con la Evaluación de Impacto en Protección de Datos, se ha entendido que no era necesario realizar la misma puesto que la misma se lleva a efecto en base al cumplimiento de una obligación legal. Así, la Ley Orgánica 2/1986, de 13 de marzo, de Fuerzas y Cuerpos de Seguridad, en su capítulo II (principios básicos de actuación) concretamente en su artículo 5.2 (relaciones con la comunidad) establece obligaciones para los agentes que conllevan un uso adecuado y proporcional de los medios que se ponen a sus disposición, en base a los principios de congruencia, oportunidad y proporcionalidad; cuestión la anterior que como hemos dicho ha dado lugar a que por el Defensor del Pueblo y diversas organizaciones no gubernamentales, se entienda que la utilización de (...) debe estar acompañada ineludiblemente de la utilización de una cámara que recoja cada uso que se realice de la misma. Asimismo, en el marco de las actuaciones de investigación se solicita: Análisis de riesgos realizado para dar cumplimiento al ENS, así como también el realizado para dar cumplimiento a lo especificado en el artículo 32 del RGPD (en caso de ser distinto), con objeto de garantizar los derechos y libertades de las personas que aparecen en las grabaciones de las videocámaras y de los agentes que portan las videocámaras. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 11/43 La DGGC aporta como D7 del documento ***DOCUMENTO.6 (…) el certificado de conformidad con el ENS, con fecha de certificación de conformidad inicial el ***FECHA.2.” (el subrayado es nuestro). 20. Actividad del Tratamiento PEI reflejada en el RAT del Ministerio del Interior: El informe de actuaciones previas de investigación hace referencia a cómo aparece reflejada la Actividad de Tratamiento PEI en el RAT del Ministerio del Interior: “(…)” 21. Formación e información al personal de la Guardia Civil relativo a las PEI: En relación con la formación impartida al personal de la Guardia Civil relativo a las PEI, el informe de actuaciones previas de investigación indica: “(…)” Asimismo, el informe de actuaciones previas de investigación reproduce parcialmente el informe de la DGGC de 19 de febrero de 2024, elaborado en contestación a un requerimiento de la SGID, en el que se señala: “2. 16 Información/formación relativa a la protección de datos facilitada al personal usuario de PEI y a personal con acceso a las grabaciones de las videocámaras. Formación: o  Al personal de la Guardia Civil que va a tener acceso por razón de sus cometidos (***PLATAFORMA.1), por el RT se les imparte durante su formación, (…).  Con respecto a las anteriores jornadas formativas, hasta la fecha del presente (escrito fechado el 31/10/2024) el RT ha impartido cinco formaciones que incluyen un módulo específico en protección de datos, en los días que a continuación se citan:  (…)  Se adjunta en el Anexo III, acreditación de los Programas de acción formativa impartidas por el RT sobre (…) ***EMPRESA.1 (…), referenciadas en el apartado anterior.  Cabe destacar que, de forma periódica, el RT dirige instrucciones complementarias a las Unidades al objeto de corregir posibles disfuncionalidades  RT. Se adjunta en el Anexo III (…) .la última circular enviada (…) por el Se aporta el correo electrónico.  Por otro lado, en la formación impartida por el (…)” o Información relativa a la protección de datos: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 12/43  (...).” 22. Hechos ocurridos en la ***ORGANISMO.1 En relación con los hechos narrados en la ampliación de la denuncia presentada por la AUGC en fecha 10 de mayo de 2024, el informe de actuaciones previas de investigación, reproduce la respuesta elaborada por la DGGC, en contestación al requerimiento de información de la SGID formulado con fecha19 de junio de 2024: “En fecha 8 de julio de 2024 tiene entrada en la sede electrónica de la AEPD la respuesta del DPD de la DGGC, (…). Una vez revisada esta respuesta, en fecha 23 de septiembre de 2024 se solicita a la DGGC aclaración de aspectos pendientes y en fecha 31 de octubre de 2024 tiene entrada en la sede electrónica de esta Agencia su respuesta, entrada con n.º de registro ***DOCUMENTO.7, donde manifiesta: Teniendo en cuenta que, con la información que se le había trasladado inicialmente, este DPD desconocía la fecha exacta y las grabaciones relativas a los hechos ocurridos, para dar contestación a este punto se han realizado las siguientes acciones, en base a las cuales se informa sobre las cuestiones solicitadas: o Solicitud de informe al Responsable de Tratamiento sobre los hechos ocurridos. o Solicitud de informe al Jefe de la Unidad afectada sobre los hechos ocurridos. o Auditoría realizada por este DPD sobre la duración, estado y acceso a las grabaciones. - Duración de la grabación o Según informa el Jefe de la Unidad afectada, siendo esta ***ORGANISMO.2, se traslada a este DPD que (...) se realizaron dos grabaciones (…), se accedió a las mismas comprobando que no se observaba ninguna imagen de interés, (…). o De la Auditoría realizada por este DPD, (que se adjunta en el Anexo IV), en el documento 1, se refleja como las dos grabaciones reseñadas en el apartado anterior, se encuentran eliminadas de la plataforma: (…) - Motivo de la grabación y no detención de la misma. (…) Solicitud de eliminación de la grabación al DPD y actuaciones llevadas a cabo por el mismo. o A fecha del presente (fecha del escrito 31/10/2024), este DPD no tiene constancia de ninguna solicitud de eliminación de las referidas grabaciones, (…) Motivación del acceso del ***PUESTO.1 de la Compañía de ***LOCALIDAD.1, perfil y finalidad del acceso. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 13/43 (…) Acreditación documental de las medidas adoptadas a raíz de los hechos acaecidos en la ***ORGANISMO.1. o (…) Valoración del DPD relativa a los hechos acaecidos en la ***ORGANISMO.1 A la vista de cuanto se ha expuesto en el presente escrito, en relación con las grabaciones que se realizaron de forma accidental en la ***ORGANISMO.2, este DPD considera que las actuaciones realizadas por el RT y (...), se han realizado acorde a la ***DOCUMENTO.2 (…), en lo relativo al procedimiento a seguir en caso de que se produzcan grabaciones (…). De igual forma, este DPD considera que este sistema, en su conjunto, fue concebido con el propósito de garantizar la protección de los derechos tanto de los ciudadanos como de los propios usuarios. (…)” CUARTO: Inicio del procedimiento sancionador Con fecha 15 de abril de 2025, la Presidencia de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por la presunta infracción: - Del Artículo 35 de la LO 7/2021, tipificada en el Artículo 59

  1. l)de dicha Ley orgánica. - Del Artículo 32 de la LO 7/2021, tipificada en el Artículo 59
  2. h)de dicha Ley orgánica. QUINTO: Alegaciones de la DGGC al acuerdo de inicio y envío de nueva versión del RAT: Notificado el citado acuerdo de inicio conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), la DGGC presentó escrito de alegaciones en el que señalaba lo siguiente: 1. En relación con la presunta infracción del artículo 35 de la LO 7/2021, la Dirección General de la Guardia Civil (DGGC) destaca el contenido de la última frase que figura en el artículo 59
  3. l)de la LO 7/2021. En opinión de la DGGC, no consta que se hayan derivado perjuicios o riesgos de carácter grave para ningún interesado. En el escrito de alegaciones al acuerdo de inicio, la DGGC señala que podría estar exenta de realizar una EIPD por los siguientes motivos:  En la “Lista orientativa de tipos de tratamientos que no requieren evaluación de impacto relativa a la protección de datos”, publicada por la AEPD (en adelante, lista orientativa de tratamientos que no requieren EIPD), se señala que, dado C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 14/43     que la realización de la EIPD es un proceso costoso, resulta necesario aplicar un principio de economía de medios. Se trataría de un supuesto incluido en la lista de tratamientos eximidos de la realización de la EIPD, al tratarse de un tratamiento necesario para el cumplimiento de una obligación legal y cumplimiento de una misión realizada en interés público. El responsable del tratamiento analizó en su día la necesidad de elaborar una EIPD, obteniendo resultado negativo. La DGGC considera que el tratamiento no entraña un alto riesgo y, por lo tanto, no es necesaria una EIPD. Asimismo, existen diferentes recomendaciones a nivel internacional y nacional (Naciones Unidas, Amnistía Internacional, Defensor del Pueblo) para utilizar cámaras con el empleo de armas no letales o incapacitantes, que acompañan como documentos anexos al escrito de alegaciones al acuerdo de inicio. La Dirección General de la Guardia Civil señala que al implementar el uso de (...) en la Guardia Civil han seguido dichas recomendaciones nacionales e internacionales. Asimismo, han elaborado unos procedimientos internos que garantizan, entre otros aspectos, la protección de datos de los ciudadanos. Concluyen indicando que no fue necesario elaborar una EIPD puesto que, en su opinión, no se encontraba entre los supuestos que establecían la normativa y las directrices. Consideran que la exigencia de elaborar una EIPD en este caso es un tema cuestionable y complejo, no pudiéndose imputar a la DGGC la comisión de la infracción descrita en el artículo 59
  4. l)de la LO 7/2021. Por este motivo, solicitan el archivo del expediente sancionador. En su opinión, lo más que se habría cometido sería un error administrativo fácilmente subsanable. La DGGC está pendiente de la decisión que adopte la AEPD, comprometiéndose, en su caso, a asumir el compromiso de realizar una EIPD en el plazo que señale la Agencia. Junto con el escrito de alegaciones al acuerdo de inicio, la DGGC aporta el comunicado del Defensor del Pueblo de 14 de abril de 2021 por el que reclama una regulación estatal “exhaustiva y detallada” de las PEI, el “Manual de referencia sobre el uso de la fuerza y las armas de fuego por agentes del orden público de las Naciones Unidas” y las “Orientaciones de las Naciones Unidas sobre el empleo de armas menos letales en el mantenimiento del orden” y el Informe de Amnistía Internacional titulado “Uso de la fuerza. Directrices para la aplicación de los principios básicos sobre el empleo de la fuerza y de armas de fuego por los funcionarios encargados de hacer cumplir la ley”. 2. En cuanto a la presunta infracción del artículo 32 de la LO 7/2021, tipificada en el artículo 59
  5. h)de dicha Ley Orgánica, la DGGC destaca la última frase que figura en el artículo 59
  6. h)de dicha Ley Orgánica. La mencionada Dirección General considera que no consta que se hayan derivado perjuicios de carácter grave para ningún interesado. De hecho, afirma que no habría derivado ningún tipo de perjuicio. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 15/43 La DGGC indica que mediante la ***DOCUMENTO.2 (…)” se habría estado cumpliendo la obligación de llevanza del RAT. Asimismo, señala que, si bien en el RAT sólo se ha declarado un único plazo de supresión de un mes, ello se ha debido a que se ha dado por supuesto que la obligación de declarar dicho plazo sólo afectaba a aquellas categorías de imágenes que no venían recogidas en la LO 7/2021, dado que el artículo 18.3 de la LO 7/2021 regula expresamente el tratamiento y conservación de las imágenes. A pesar de que dicho precepto (artículo 18.3 de la LO 7/2021) permite un plazo máximo de conservación de 3 meses, la DGGC ha optado por un plazo mucho más restrictivo (1 mes). Como anexo al escrito de alegaciones, remiten un documento que contiene las evidencias obtenidas mediante PEI, eliminadas durante el año 2024. En el mismo se refleja que los (…). Consideran que dicho documento acredita que la DGGC ha estado cumpliendo con la obligación de llevanza de los registros de actividades de tratamiento o del registro de operaciones del tratamiento, en los términos de la LO 7/2021. En opinión de la DGGC en el peor de los casos se habría cometido un error administrativo fácilmente subsanable. Vuelven a señalar que están pendientes de la decisión que adopte la AEDP en relación con la realización de una EIPD, destacando que se comprometen a realizarla en el plazo que señale la AEPD. Finalmente, la DGGC destaca que las Pistolas Eléctricas Incapacitantes (PEI) se emplean por diferentes cuerpos policiales; estatales, autonómicos y locales. Consideran que el único Cuerpo que ha tratado de implantar dicho tipo de pistolas conforme a la normativa de protección de datos es la Guardia Civil. En su opinión, la AEPD debería actuar de oficio y comprobando que dichos dispositivos cumplen con la normativa en vigor, valorando positivamente el esfuerzo regulador que ha realizado la Guardia Civil, al tratarse de algo totalmente novedoso, sin ningún modelo de buenas prácticas previo de referencia. Con fecha 27 de junio de 2025 la DGGC ha presentado un escrito en el que indica lo siguiente: “En relación con las medidas correctivas que se reflejan en el EXP202314314, el Responsable de Tratamiento ha realizado los cambios oportunos y se ha procedido a incluir los mismos en el Registro de Actividades de Tratamiento PEI, asimismo se van a realizar las publicaciones del RAT en las páginas web de intranet e internet de la Guardia Civil, y del Ministerio del Interior. Adjunto mismo RAT que será subido a los distintos portales.” Acompañan a dicho escrito los documentos denominados “RAT PEI” y “RAT PEI AMPLIADO”. SEXTO: Propuesta de Resolución Con fecha 1 de julio de 2025 se formuló propuesta de resolución, proponiendo: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 16/43 “PRIMERO: Que por la Presidencia de la Agencia Española de Protección de Datos se declare que D.G. DE LA GUARDIA CIVIL, con NIF S2816003D, ha infringido: - Lo dispuesto en el artículo 35 de la LO 7/2021, infracción tipificada en el artículo 59
  7. l)de dicha Ley orgánica. - Lo dispuesto en el artículo 32 de la LO 7/2021, infracción tipificada en el artículo 59
  8. h)de dicha Ley orgánica. SEGUNDO: Que por la Presidencia de la Agencia Española de Protección de Datos se ordene a D.G. DE LA GUARDIA CIVIL, con NIF S2816003D, que en virtud del artículo 58.2.
  9. d)del RGPD, acredite haber procedido al cumplimiento de la siguiente medida: 1. En el plazo máximo de 6 meses, a contar desde la fecha de ejecutividad de la resolución finalizadora de este procedimiento, adopte las siguientes medidas: -Acreditar la realización de la correspondiente evaluación de impacto relativa a la protección de datos (EIPD) en relación con el Tratamiento PEI (Pistolas Eléctricas Incapacitantes). 2. En el plazo máximo de 1 mes, a contar desde la fecha de ejecutividad de la resolución finalizadora de este procedimiento, adopte la siguiente medida: -Reflejar en el RAT del Ministerio del Interior, en el apartado relativo al Tratamiento PEI, los distintos plazos de conservación de las grabaciones obtenidas con las videocámaras asociadas a las pistolas eléctricas incapacitantes (PEI).” SÉPTIMO: Escrito de la DGGC El 10 de julio de 2025 la DGGC presentó en la AEPD un escrito, con fecha de registro de 14 de julio siguiente. En el mismo se indicaba que dicha Dirección General no formulaba alegaciones a la propuesta de resolución. Asimismo, se señalaba: “1.- Se va a proceder a realizar, dentro del plazo máximo de seis meses tal y como indica la propia AEPD, la correspondiente Evaluación de Impacto relativa a la Protección de Datos (EIPD), en relación con el Tratamiento PEI (Pistolas Eléctricas Incapacitantes). 2.- En relación al Registro de Actividades de Tratamiento PEI (RAT) se ha actualizado, en concreto, se le ha dado una nueva redacción en función del tipo de grabaciones al apartado plazo de supresión, reflejándose los distintos plazos de conservación en función del tipo de grabaciones obtenidas con las videocámaras asociadas a las pistolas eléctricas incapacitantes (PEI). Dicho documento (versión básica y ampliada) se ha enviado, a través del Delegado de Protección de Datos de la Dirección General de la Guardia Civil, al Ministerio del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 17/43 Interior para su inclusión y publicación en la página web de dicho Departamento Ministerial.” HECHOS PROBADOS PRIMERO: La Guardia Civil ha dotado a sus agentes de pistolas eléctricas incapacitantes (en adelante, PEI) con el fin de facilitar la contención de aquellas personas, que en el transcurso de una intervención adopten una actitud hostil y agresiva, permitiendo su detención, sin recurrir al uso de armas de fuego. En este sentido, el informe de actuaciones previas de investigación reproduce información facilitada por la DGGC en su escrito de 19 de febrero de 2024, elaborado en contestación a un requerimiento de información formulado por la SGID: “Mediante la asignación de pistolas eléctricas incapacitantes (...)a los agentes del Cuerpo, se persigue dotarles de un medio capaz de facilitar la contención y reducción física de personas que en el transcurso de una intervención policial adopten una actitud hostil y agresiva, permitiendo su detención, evitando así tener que recurrir a las armas de fuego y reduciendo, por tanto, el nivel de fuerza lesiva que se aplica sobre las personas.” (el subrayado es nuestro). SEGUNDO: A través de las PEI se realiza un tratamiento de datos de carácter personal, y ello por cuanto están dotadas con una cámara (…). En relación con esta cuestión, el informe de actuaciones previas de investigación indica: “  (…) (…) La función esencial de las videocámaras es documentar el uso de las (…) tal y como reclaman autoridades como el Defensor del Pueblo y otras Organizaciones de Derechos Humanos.” (el subrayado es nuestro). TERCERO: El Tratamiento de datos personales PEI, del que es responsable la Dirección General de la Guardia Civil, tiene por finalidad la gestión de las grabaciones de imágenes y sonidos obtenidos mediante las videocámaras asociadas a las PEI, así como los datos personales asociados a las mismas. Así se refleja en el RAT del Ministerio del Interior, publicado en la página web de dicho Ministerio, reproducido en la “Diligencia RAT” de la SGID de fecha 31 de enero de 2024, que forma parte del expediente. Asimismo, se indica en el informe de actuaciones previas de investigación, que destaca la finalidad del tratamiento, tal y como la misma aparece reflejada en la ***DOCUMENTO.2: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 18/43 “(…). Constituye la finalidad del tratamiento PEI la gestión de las grabaciones de imágenes y sonidos obtenidos mediante las cámaras asociadas a las pistolas eléctricas incapacitantes en adelante PEI, así como los datos asociados a las mismas. CUARTO: El Tratamiento PEI comprende grabaciones obtenidas por unidades de la Guardia Civil ubicadas en las distintas provincias del territorio nacional. Junto con el escrito de alegaciones al acuerdo de inicio la Dirección General de la Guardia Civil ha aportado un informe (…) que refleja las evidencias, obtenidas mediante el uso de PEI y que fueron eliminadas en el periodo comprendido entre el 1 de enero y el 31 de diciembre de 2024. En dicho informe, (…), refleja la unidad de la Guardia Civil que obtuvo la evidencia eliminada. Como puede observarse, figuran unidades situadas en las distintas provincias del territorio nacional. QUINTO: Tras un requerimiento de información de la SGID de la AEPD, la DGGC ha aportado un certificado de conformidad con el ENS (…), pero no un análisis de riesgos del Tratamiento PEI, sin que conste la realización de dicho análisis de riesgos. En el primer requerimiento de información a la DGGC, formulado por la SGID en fecha 2 de febrero de 2024, se indicaba: - En relación con el Esquema Nacional de Seguridad (ENS), se solicita: (…) o Análisis de riesgos realizado para dar cumplimiento al ENS, así como también el realizado para dar cumplimiento a lo especificado en el artículo 32 del RGPD (en caso de ser distinto), con objeto de garantizar los derechos y libertades de las personas que aparecen en las grabaciones de las videocámaras y de los agentes que portan las videocámaras.” El informe de actuaciones previas de investigación de 19 de diciembre de 2024 refleja la documentación obtenida en contestación a dicho requerimiento. “La DGGC aporta como D7 del ***DOCUMENTO.6 de la entrada con n.º de registro ***DOCUMENTO.8 el certificado de conformidad con el ENS, con fecha de certificación de conformidad inicial el ***FECHA.2.” SEXTO: La Dirección General de la Guardia Civil no ha elaborado una Evaluación de Impacto en Protección de Datos (EIPD) en relación con el Tratamiento PEI. En este sentido, el informe de actuaciones previas de investigación de 19 de diciembre de 2024 señala: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 19/43 “Evaluación de Impacto de la Protección de Datos, EIPD En el escrito de respuesta del Adjunto del DPD, entrada con n.º de registro ***DOCUMENTO.9, se recoge: En relación con la Evaluación de Impacto en Protección de Datos, se ha entendido que no era necesario realizar la misma puesto que la misma se lleva a efecto en base al cumplimiento de una obligación legal. Así, la Ley Orgánica 2/1986, de 13 de marzo, de Fuerzas y Cuerpos de Seguridad, en su capítulo II (principios básicos de actuación) concretamente en su artículo 5.2 (relaciones con la comunidad) establece obligaciones para los agentes que conllevan un uso adecuado y proporcional de los medios que se ponen a sus disposición, en base a los principios de congruencia, oportunidad y proporcionalidad; cuestión la anterior que como hemos dicho ha dado lugar a que por el Defensor del Pueblo y diversas organizaciones no gubernamentales, se entienda que la utilización de (…) debe estar acompañada ineludiblemente de la utilización de una cámara que recoja cada uso que se realice de la misma.” (subrayado nuestro) Asimismo, la Dirección General de la Guardia Civil en su escrito de alegaciones al acuerdo de inicio confirma que no ha realizado una EIPD en relación con el tratamiento PEI: “2.- En relación al incumplimiento de la Evaluación de Impacto, es de señalar que la misma no se ha realizado a día de la fecha como reiteradamente se ha manifestado en diversos escritos a la propia Agencia Española de Protección de Datos (AEPD), al entenderse que pudiéramos estar exentos de la realización de la misma (…)” (subrayado nuestro). SÉPTIMO: El informe de actuaciones previas de investigación de 19 de diciembre de 2024 refleja que las grabaciones del Tratamiento PEI pueden ser catalogadas como (…). Dicha catalogación determina el periodo de la conservación de las mismas en cada caso, tal y como refleja la siguiente tabla: (…) Así se indica en el informe de actuaciones previas de investigación: “***DOCUMENTO.2 (…) ***DOCUMENTO.7. (...) 4.2 Catalogación de imágenes y períodos de conservación. Las grabaciones serán catalogadas como (…), determinando dicha catalogación el período de conservación de cada una de las categorías. Las de (…) serán destruidas, automáticamente por el sistema, en el plazo máximo de un mes desde su captación. (…) OCTAVO: Examinado el contenido del RAT del Ministerio del Interior, reflejado en la Diligencia RAT de la SGID de 31 de enero de 2024 y en el informe de actuaciones previas de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 20/43 investigación, el plazo de conservación consignado en el mismo no se corresponde con el señalado respecto de las grabaciones del Tratamiento PEI y que pueden ser catalogadas como (…), tal y como se señala en el hecho probado precedente. Así se observa que en el apartado relativo al plazo de supresión del Tratamiento PEI se indica: “El plazo de conservación de las mismas será de un mes.” En relación con esta cuestión, el informe de actuaciones previas de investigación se indica: “Asimismo, en la página web del Ministerio del Interior está publicado su RAT que se incluye en la Diligencia RAT. En relación con el Tratamiento PEI se recoge: - Responsable: DGGC - Fines: Gestión de las grabaciones de imágenes y sonidos obtenidos mediante las videocámaras asociadas a las pistolas eléctricas incapacitantes, así como los datos asociados a las mismas. - Base legal (legitimación): En cumplimiento de una obligación legal: o Artículo 8 de la Directiva (UE) 2016/680. o Artículo 1 de la LO 7/2021. o Artículo 4.1.a de la LO 7/2021 LO 2/1986 de Fuerzas y Cuerpos de Seguridad. LO 10/1995 del Código Penal. LO 12/1995 de reprensión del contrabando. LO 4/2015 de protección de la seguridad ciudadana. RD de 14/09/1882 por el que se aprueba la Ley de Enjuiciamiento Criminal. RD Legislativo 6/2015 por el que se aprueba la Ley sobre Tráfico, Circulación de Vehículos a Motor y Seguridad Vial. - Categorías de interesados: Personas que aparecen en las imágenes/audio. - Categorías de datos personales: imágenes, sonidos, datos asociados a las videocámaras y pistola eléctrica incapacitante, así como datos de gestores y personal habilitado a través del documento de política de privacidad (Empleo, nombre y apellidos, DNI, TIP, n.º de teléfono, correo electrónico, datos de contacto) - Categorías de destinatarios: Autoridades Judiciales y Administrativas, Delegación y Subdelegación de Gobierno, Régimen Disciplinario y Unidades Intervinientes. - Transferencias internacionales. - Plazo de supresión: El plazo de conservación de las mismas será de un mes. C/ Jorge Juan, 6 28001 – Madrid internacionales: No están previstas transferencias www.aepd.es sedeaepd.gob.es 21/43 Medidas de seguridad y organizativas: Las medidas de seguridad implantadas se corresponden con las previstas en el anexo II (medidas de seguridad) del Real Decreto 311/2022, de 3 de mayo, por el que se regula el Esquema Nacional de Seguridad y que se encuentran descritos en los documentos que conforman la Política de protección de datos y seguridad de la Información de la Guardia Civil.” (el subrayado es nuestro) A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes, II FUNDAMENTOS DE DERECHO I Competencia De acuerdo con las funciones que el artículo 49 de la Ley Orgánica 7/2021, de 26 de mayo, de protección de datos personales tratados para fines de prevención, detección, investigación y enjuiciamiento de infracciones penales y de ejecución de sanciones penales (en lo sucesivo, LO 7/2021), atribuye a las autoridades de protección de datos, conforme a lo establecido en el artículo 48 de la citada LO 7/2021 y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." De la misma forma, según la disposición adicional cuarta de la LOPDGDD: “Disposición adicional cuarta. Procedimiento en relación con las competencias atribuidas a la Agencia Española de Protección de Datos por otras leyes. Lo dispuesto en el Título VIII y en sus normas de desarrollo será de aplicación a los procedimientos que la Agencia Española de Protección de Datos hubiera C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 22/43 de tramitar en ejercicio de las competencias que le fueran atribuidas por otras leyes.” Por último, el artículo 52 de la LO 7/2021 "Régimen aplicable a los procedimientos tramitados ante las autoridades de protección de datos" establece: "1. En el caso de que los interesados aprecien que el tratamiento de los datos personales haya infringido las disposiciones de esta Ley Orgánica o no haya sido atendida su solicitud de ejercicio de los derechos reconocidos en los artículos 21, 22 y 23 tendrán derecho a presentar una reclamación ante la autoridad de protección de datos. 2. Dichas reclamaciones serán tramitadas por la autoridad de protección de datos competente con sujeción al procedimiento establecido en el título VIII de la Ley Orgánica 3/2018, de 5 de diciembre, y, en su caso, a la legislación de las Comunidades Autónomas que resulte de aplicación. Tendrán carácter subsidiario las normas generales sobre los procedimientos administrativos y el régimen jurídico del sector público." II Cuestiones previas El artículo 5.
  10. a)de la LO 7/2021, define «datos personales» como: “toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable a toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, unos datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona;” El artículo 5.
  11. b)de la LO 7/2021, define «tratamiento» como: “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción;” El artículo 5.
  12. g)de la LO 7/2021, define al «responsable del tratamiento» o «responsable» como: “la autoridad competente que sola o conjuntamente con otras, determine los fines y medios del tratamiento de datos personales; en caso de que los fines y medios del tratamiento estén determinados por el Derecho de la Unión Europea o por la legislación española, dichas normas podrán designar al responsable del tratamiento, o bien los criterios para su nombramiento.” En el presente caso, de acuerdo con lo establecido en el artículo 5.
  13. a)y 5.
  14. b)de la LO 7/2021, consta la realización de un tratamiento de datos personales, toda vez que DGGC realiza, entre otros tratamientos, la recogida, registro, organización, estructuración, conservación, extracción, consulta, utilización, comunicación por transmisión, etc de datos personales de personas físicas. Tal y como se ha señalado en el apartado 10 del antecedente tercero, el informe de actuaciones previas de investigación identifica los datos asociados a la grabación C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 23/43 efectuada por la videocámara con las que están dotadas las pistolas eléctricas incapacitantes (PEI). “2.9 Identificación de todos los datos asociados a una grabación de una videocámara. o (…) En el informe de actuaciones previas de investigación, también se señala: “(…)” Entre los datos de carácter personal que son tratados y figuran en la grabación contendida en la PEI, destacan la imagen y la voz de las siguientes personas físicas:  La persona física a la que los agentes de la Guardia Civil pretendían contener y reducir físicamente, utilizando para ello la PEI.  Los agentes de la Guardia Civil que participaban en la intervención en la que se ha hecho uso de la PEI.  Ciudadanos que se encontraban en la calle en el momento en el que los agentes de la guardia civil hicieron uso de la PEI, cuya imagen o imagen acompañada por la voz aparece en la grabación (terceros). III Alegaciones al acuerdo de inicio y escrito de la DGGC tras la propuesta de resolución 1. Alegaciones de la DGGC al acuerdo de inicio respecto a una presunta infracción del artículo 35 de la LO 7/2021: En relación con la presunta infracción del artículo 35 de la LO 7/2021, la Dirección General de la Guardia Civil (DGGC) destaca el contenido de la última frase que figura en el artículo 59
  15. l)de la LO 7/2021. “
  16. l)El incumplimiento de la evaluación de impacto en la protección de los datos de carácter personal, si se derivan perjuicios o riesgos de carácter grave para los interesados.” En opinión de la DGGC, no consta que se hayan derivado perjuicios o riesgos de carácter grave para ningún interesado. En el escrito de alegaciones al acuerdo de inicio, la DGGC señala que podría estar exenta de realizar una EIPD por los siguientes motivos:   En la “Lista orientativa de tipos de tratamientos que no requieren evaluación de impacto relativa a la protección de datos”, publicada por la AEPD, se señala que, dado que la realización de la EIPD es un proceso costoso, resulta necesario aplicar un principio de economía de medios. Se trataría de un supuesto incluido en la lista de tratamientos eximidos de la realización de la EIPD, al tratarse de un tratamiento necesario para el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 24/43    cumplimiento de una obligación legal y cumplimiento de una misión realizada en interés público. El responsable del tratamiento analizó en su día la necesidad de elaborar una EIPD, obteniendo resultado negativo. La DGGC considera que el tratamiento no entraña un algo riesgo y, por lo tanto, no es necesaria una EIPD. Asimismo, existen diferentes recomendaciones a nivel internacional y nacional (Naciones Unidas, Amnistía Internacional, Defensor del Pueblo) para utilizar cámaras con el empleo de armas no letales o incapacitantes, que acompañan como documentos anexos. La Dirección General de la Guardia Civil señala que al implementar el uso de (...) en la Guardia Civil han seguido dichas recomendaciones nacionales e internacionales. Asimismo, han elaborado unos procedimientos internos que garantizan, entre otros aspectos, la protección de datos de los ciudadanos. Concluyen las alegaciones indicando que no fue necesario elaborar una EIPD puesto que, en su opinión, no se encontraba entre los supuestos que establecían la normativa y las directrices. Consideran que la exigencia de elaborar una EIPD en este caso es un tema cuestionable y complejo, no pudiéndose imputar a la DGGC la comisión de la infracción descrita en el artículo 59
  17. l)de la LO 7/2021. Por este motivo, solicitan el archivo del expediente sancionador. En su opinión, lo más que se habría cometido sería un error administrativo fácilmente subsanable. La DGGC está pendiente de la decisión que adopte la AEPD, comprometiéndose, en su caso, a asumir el compromiso de realizar una EIPD en el plazo que señale la Agencia. Con carácter previo a dar respuesta a las alegaciones planteadas por la DGGC, resulta necesario examinar: 1. Qué es la EIPD y qué finalidades persigue 2. Los casos en los que es necesario realizar una EIPD, de acuerdo con las Directrices del Grupo de Trabajo del Artículo 29 (WP 248 rev.01). 3. La lista de tipos de tratamiento que requieren EIPD, elaborada por la AEPD. 2. Importancia de la EIPD: 2.1. Introducción de un enfoque basado en el riesgo: La normativa europea vigente en materia de protección de datos personales se caracteriza por un enfoque basado en el riesgo. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 25/43 Tanto el RGPD como la Directiva (UE) 2016/680 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales por parte de las autoridades competentes para fines de prevención, detección, investigación y enjuiciamiento de infracciones penales o de ejecución de sanciones penales, y a la libre circulación de dichos datos y por la que se deroga la Decisión Marco 2008/977/JAI del Consejo, incorporada al ordenamiento jurídico español por la LO 7/2021, regulan la evaluación de impacto relativa a la protección de datos (EIPD), a la que conceden una especial relevancia. 2.2. Objetivos de las Directrices del Grupo de Trabajo del Artículo 29 (WP 248 rev.01): Dada la trascendencia que la normativa europea concede a un enfoque basado en la gestión del riesgo, el Grupo de Trabajo del Art 29 adoptó las “Directrices sobre la evaluación de impacto relativa a la protección de datos (EIPD) y para determinar si el tratamiento «entraña probablemente un alto riesgo» a efectos del Reglamento (UE) 2016/679”, revisadas y adoptadas el 4 de octubre de 2017 (en adelante, WP 248 rev.01). Dichas Directrices, persiguen un doble objetivo:  Aclarar cuándo un tratamiento de datos personales entraña un alto riesgo para los derechos y libertades de las personas físicas, en cuyo caso, se ha de realizar una EIPD (artículo 35 del RGPD y 27 de la Directiva (UE) 2016/680 del Parlamento Europeo y del Consejo, de 27 de abril de 2016).  Ofrecer criterios para las listas que debían adoptar las autoridades de protección de datos. 2.3. Qué es la EIPD y finalidades de la misma: A continuación, se reproducen algunos párrafos de dichas Directrices que aclaran qué es y porqué es importante realizar una EIPD: 2.3.1. Introducción del concepto de EIPD: “I. Introducción El Reglamento (UE) 2016/6791 (RGPD) se aplicará a partir del 25 de mayo de 2018. El artículo 35 del RGPD introduce el concepto de evaluación de impacto relativa a la protección de datos (EIPD), al igual que la Directiva (UE) 2016/6803” (el subrayado es nuestro) 2.3.2 Necesidad de EIPD según la Directiva (UE) 2016/680 si es probable que el tratamiento entrañe un alto riesgo para los derechos y libertades de las personas físicas: “El artículo 27 de la Directiva (UE) 2016/680 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales por parte de las autoridades competentes para fines de prevención, investigación, detección o C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 26/43 enjuiciamiento de infracciones penales o de ejecución de sanciones penales, y a la libre circulación de dichos datos, también establece que se llevará a cabo una evaluación de impacto relativa a la intimidad cuando sea probable que el tratamiento «entrañe un alto riesgo para los derechos y libertades de las personas físicas.” (el subrayado es nuestro). 2.3.3. La EIPD es un proceso que persigue varias finalidades: “Una EIPD es un proceso concebido para describir el tratamiento, evaluar su necesidad y proporcionalidad y ayudar a gestionar los riesgos para los derechos y libertades de las personas físicas derivados del tratamiento de datos personales evaluándolos y determinando las medidas para abordarlos.” (el subrayado es nuestro). 2.3.4. La EIPD examina sistemáticamente nuevas situaciones que puedan comportar riesgos elevados para los derechos y libertades de las personas: “(…) las EIPD pretenden examinar sistemáticamente nuevas situaciones que puedan comportar riesgos elevados para los derechos y libertades de las personas físicas,” (el subrayado es nuestro). 2.3.5. La EIPD ayuda a identificar los riesgos, partiendo de un enfoque centrado en los interesados y sus derechos, así como a adoptar medidas para abordarlos: “Nota: La EIPD con arreglo al RGPD es un instrumento destinado a gestionar riesgos para los derechos de los interesados y, por tanto, asume sus perspectivas como es el caso en determinados ámbitos (p. ej., seguridad de la sociedad). En cambio, la gestión del riesgo en otros ámbitos (p. ej., seguridad de la información) se centra en la organización.” “(…) sin importar su forma, una EIPD debe representar una auténtica evaluación de los riesgos que permita a los responsables tomar medidas para abordarlos.” “La EIPD debe percibirse como un instrumento de ayuda en la toma de decisiones relativas al tratamiento.” “La EIPD representa una parte fundamental del cumplimiento del Reglamento cuando se planifican o realizan operaciones de tratamiento de alto riesgo.” “(…) la revisión de una EIPD no resulta útil solo para la mejora continua, sino que también es fundamental para mantener el nivel de protección de datos en un entorno que evoluciona con el tiempo.” (el subrayado es nuestro). 2.4: Supuestos en los que se exige realizar una EIPD: Las Directrices (WP 248 rev.01) señalan en qué casos se exige una EIPD: (el subrayado es nuestro). 2.4.1. Operaciones de tratamiento que probablemente entrañen alto riesgo para derechos y libertades de personas (especialmente nueva tecnología): C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 27/43 “B. ¿Qué operaciones de tratamiento deben someterse a una EIPD? Salvo excepciones, todas aquellas que «probablemente entrañen alto riesgo». “La realización de una EIPD es únicamente obligatoria cuando el tratamiento «entrañe probablemente un alto riesgo para los derechos y libertades de las personas físicas» (artículo 35, apartado 1, ilustrado en el artículo 35, apartado 3 y complementado por el artículo 35, apartado 4). Es especialmente pertinente cuando se introduce una nueva tecnología de tratamiento de datos.” “Además, podría requerirse una EIPD después de que se produzca un cambio de los riesgos a causa de las operaciones de tratamiento, por ejemplo debido a la puesta en marcha de una nueva tecnología o a que los datos personales se usan para un fin distinto. Las operaciones de tratamiento de datos pueden evolucionar rápidamente y pueden surgir nuevas vulnerabilidades. Por tanto, cabe señalar que la revisión de una EIPD no resulta útil solo para la mejora continua, sino que también es fundamental para mantener el nivel de protección de datos en un entorno que evoluciona con el tiempo.” 2.4.2. La EIPD deberá realizarse antes del tratamiento: Las referidas Directrices también señalan en qué momento ha de realizarse una EIPD: “La EIPD debe realizarse «antes del tratamiento» (artículo 35, apartados 1 y 10, considerandos 90 y 93)23. Esto es coherente con los principios de protección de datos desde el diseño y por defecto (artículo 25 y considerando 78). La EIPD debe percibirse como un instrumento de ayuda en la toma de decisiones relativas al tratamiento.” A modo de síntesis, 1. La EIPD es un instrumento que permite al responsable del tratamiento:  Examinar sistemáticamente el tratamiento de datos personales que pretende llevar a cabo.  Dicho examen, tiene por objetivo identificar los riesgos partiendo de una perspectiva concreta: la valoración del riesgo está centrada en el impacto que producen el tratamiento de datos personales sobre los derechos y libertades de las personas físicas, a diferencia de otros ámbitos de gestión del riesgo, que se limitan a detectar riesgos, partiendo de un enfoque centrado en la propia organización. 2. En segundo lugar, la EIPD ayuda al responsable en la toma de decisiones relativas al tratamiento de datos de carácter personal: Una vez detectados los riesgos, permite adoptar medidas destinadas a abordarlos. 3. En tercer lugar, supone una parte fundamental del cumplimiento (compliance), en aquellos casos en los que se planifican o realizan tratamientos de alto riesgo. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 28/43 4. En cuarto lugar, la revisión de la EIPD resulta fundamental para mantener el nivel de protección de datos de carácter personal en un entorno que evoluciona con el tiempo. 5. La EIPD es obligatoria cuando el tratamiento entrañe probablemente un alto riesgo para los derechos y libertades de las personas físicas, especialmente como consecuencia de la puesta en marcha de una nueva tecnología. 6. La EIPD ha de realizarse antes del tratamiento. 3. Lista elaborada por la AEPD de tipos de tratamientos de datos que requieren EIPD: Basándose en los criterios establecidos por las Directrices WP 248 rev.01 del Grupo de Trabajo del Artículo 29, la AEPD ha elaborado y publicado “LISTAS DE TIPOS DE TRATAMIENTOS DE DATOS QUE REQUIEREN EVALUACIÓN DE IMPACTO RELATIVA A PROTECCIÓN DE DATOS (art 35.4)” (en adelante, lista de tipos de tratamientos que requieren EIPD). En dicha lista se indica: (el subrayado es nuestro) “Para facilitar a los responsables de los tratamientos la identificación de aquellos tratamientos que requieren una EIPD, el RGPD dispone que las autoridades de control deberán publicar una lista con los tratamientos que requieran de una EIPD. Dicha lista deberá ser comunicada al Comité Europeo de Protección de Datos (CEPD). (…) En el momento de analizar tratamientos de datos será necesario realizar una EIPD en la mayoría de los casos en los que dicho tratamiento cumpla con dos o más criterios de la lista expuesta a continuación, salvo que el tratamiento se encuentre en la lista de tratamientos que no requieren EIPD a la que se refiere en artículo 35.5 del RGPD. Cuantos más criterios reúna el tratamiento en cuestión, mayor será el riesgo que entrañe dicho tratamiento y mayor será la certeza de la necesidad de realizar una EIPD. Esta lista se basa en los criterios establecidas por el Grupo de Trabajo del Artículo 29 en la guía WP248 “Directrices sobre la evaluación de impacto relativa a la protección de datos (EIPD) y para determinar si el tratamiento «entraña probablemente un alto riesgo» a efectos del RGPD”, los complementa y debe entenderse como una lista no exhaustiva” 1.Tratamientos que impliquen perfilado o valoración de sujetos, incluida la recogida de datos del sujeto en múltiples ámbitos de su vida (desempeño en el trabajo, personalidad y comportamiento), que cubran varios aspectos de su personalidad o sobre sobre sus hábitos. 2. Tratamientos que impliquen la toma de decisiones automatizadas o que contribuyan en gran medida a la toma de tales decisiones, incluyendo cualquier tipo de decisión que impida a un interesado el ejercicio de un derecho o el acceso a un bien o un servicio o formar parte de un contrato. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 29/43 3. Tratamientos que impliquen la observación, monitorización, supervisión, geolocalización o control del interesado de forma sistemática y exhaustiva, incluida la recogida de datos y metadatos a través de redes, aplicaciones o en zonas de acceso público, así como el procesamiento de identificadores únicos que permitan la identificación de usuarios de servicios de la sociedad de la información como pueden ser los servicios web, TV interactiva, aplicaciones móviles, etc. 4. Tratamientos que impliquen el uso de categorías especiales de datos a las que se refiere el artículo 9.1 del RGPD, datos relativos a condenas o infracciones penales a los que se refiere el artículo 10 del RGPD o datos que permitan determinar la situación financiera o de solvencia patrimonial o deducir información sobre las personas relacionada con categorías especiales de datos. 5.Tratamientos que impliquen el uso de datos biométricos con el propósito de identificar de manera única a una persona física. 6. Tratamientos que impliquen el uso de datos genéticos para cualquier fin. 7. Tratamientos que impliquen el uso de datos a gran escala. Para determinar si un tratamiento se puede considerar a gran escala se considerarán los criterios establecidos en la guía WP243 “Directrices sobre los delegados de protección de datos (DPD)” del Grupo de Trabajo del Artículo 29. 8. Tratamientos que impliquen la asociación, combinación o enlace de registros de bases de datos de dos o más tratamientos con finalidades diferentes o por responsables distintos. 9. Tratamientos de datos de sujetos vulnerables o en riesgo de exclusión social, incluyendo datos de menores de 14 años, mayores con algún grado de discapacidad, discapacitados, personas que acceden a servicios sociales y víctimas de violencia de género, así como sus descendientes y personas que estén bajo su guardia y custodia.” 4. Contestación a las alegaciones de la DGGC al acuerdo de inicio relativas a la infracción del artículo 35 de la LO 7/2021: A pesar de que la DGGC haya analizado la necesidad de realizar una EIPD en relación con el Tratamiento PEI, obteniendo un resultado negativo, esta Agencia considera necesario realizar una EIPD en relación con dicho tratamiento de datos personales, por los motivos que se exponen en los fundamentos de derecho de esta propuesta de resolución. Aunque la “Lista orientativa de tipos de tratamientos que no requieren una evaluación de impacto relativa a la protección de datos según el artículo 35.5 del RGPD”, elaborada por la AEPD, (en adelante, lista orientativa de tratamientos que no requieren EIPD) señale que la EIPD “es un proceso costoso” y que “es necesario aplicar un principio de economía de medios”, dicha afirmación no justifica que no se realice una C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 30/43 EIPD en aquellos casos, como el presente, en los que resulta necesario llevarla a cabo. Esta Agencia no considera que el Tratamiento PEI, que está llevando a cabo la DGGC se encuentre en ninguno de los supuestos contemplados en la lista orientativa de tratamientos que no requieren EIPD. En particular, en relación a los dos supuestos mencionados en las alegaciones de la DGGC (tratamiento necesario para el cumplimiento de una obligación legal y cumplimiento de una misión realizada en interés público), el punto 3 de la lista orientativa de tratamientos que no requieren EIPD, señala: “3. Tratamientos que sean necesarios para el cumplimiento de una obligación legal, cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable, siempre que en el mismo mandato legal no se obligue a realizar una EIPD, y siempre y cuando ya se haya realizado una EIPD completa.” (el subrayado es nuestro) Como puede observarse, la lista orientativa de tratamientos que no requieren EIPD exige una condición: haber realizado una EIPD completa, que no se cumple en este caso. Tal y como indica el hecho probado sexto de esta propuesta de resolución, no consta la realización de una EIPD por parte de la DGGC en relación con el Tratamiento PEI. La existencia de diferentes recomendaciones a nivel internacional y nacional (Naciones Unidas, Amnistía Internacional y Defensor del Pueblo) favorables al uso de cámaras con el empleo de armas no letales o incapacitantes puede ser relevante a la hora de examinar la necesidad del tratamiento PEI. Sin embargo, la existencia de dichas recomendaciones internacionales y nacionales, no determina que no sea necesario realizar una EIPD. Antes, al contrario, como se verá posteriormente, el contenido de dichas recomendaciones refleja la existencia de elementos con potencial alto riesgo en el mencionado tratamiento, reforzando la necesidad de realizar una EIPD. El hecho de que el sistema utilizado venga avalado, en este caso, por recomendaciones dictadas por diversos Organismos, no es óbice para que la implementación de dicho sistema cumpla con la normativa que sea de aplicación, en este caso, la normativa en materia de protección de datos personales. En este sentido, la elaboración de la EIPD es una garantía para que la implementación de herramientas o dispositivos, cuya utilidad haya sido avalada o su uso recomendado, cumplan con todas las salvaguardas requeridas. En este mismo sentido, el hecho de que la DGGC haya seguido las recomendaciones nacionales e internacionales a la hora de implementar el uso de (...) en la Guardia Civil y de que haya elaborado unos procedimientos internos para el uso de dichas armas, no supone que no sea necesario realizar una EIPD en relación con el Tratamiento PEI. Son aspectos que reflejan la voluntad de la DGGC de cumplir la normativa en materia de protección de datos personales, pero no suponen, en modo alguno, que no sea necesario realizar una EIPD. En cuanto a la referencia a la última frase del artículo 59
  18. l)de la LO 7/2021, tal y como se ha examinado, la EIPD es concebida como un instrumento que pretende asistir al responsable del tratamiento. Le permite realizar un análisis sistemático del tratamiento partiendo de un punto de vista concreto: valoración del riesgo centrada en el impacto C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 31/43 que produce el tratamiento de datos personales sobre los derechos y libertades de las personas físicas. De ahí, la importancia de no omitir la EIPD en aquellos tratamientos que entrañen probablemente un alto riesgo para los derechos y libertades de las personas físicas, como es el caso del Tratamiento PEI. Tal y como se ha analizado, la EIPD está concebida un instrumento fundamentalmente preventivo, que pretende evitar que el tratamiento produzca perjuicios en los derechos y libertades de las personas físicas cuyos datos van a ser tratados (materialización del riesgo). No resulta coherente con dicha finalidad indiscutible de la EIPD, que tenga que acreditarse la existencia efectiva de perjuicios o riesgos de carácter grave para los interesados, cuando la EIPD tiene por objetivo evitar que dichos prejuicios o riesgos lleguen a producirse (partiendo de un enfoque destinado a garantizar el mayor nivel de protección posible de los derechos y libertades de los interesados). En cuanto a la existencia de un alto riesgo para los derechos y libertades, esta Agencia se remite al análisis relativo al caso particular, que figura en el fundamento de derecho IV de esta propuesta “Obligación incumplida del artículo 35 de la LO 7/2021”. 5. Alegaciones de la DGGC al acuerdo de inicio respecto a una presunta infracción del artículo 32 de la LO 7/2021: En cuanto a la presunta infracción del artículo 32 de la LO 7/2021, tipificada en el artículo 59
  19. h)de dicha Ley Orgánica, la DGGC destaca la última frase que figura en el artículo 59
  20. h)de dicha Ley Orgánica: “
  21. h)El incumplimiento de la obligación de llevanza de los registros de actividades de tratamiento o del registro de operaciones de tratamiento, si se causan perjuicios de carácter grave a los interesados.” (el subrayado es nuestro). La Dirección General considera que no consta que se hayan derivado perjuicios de carácter grave para ningún interesado. De hecho, afirma que no habría derivado ningún tipo de perjuicio. La DGGC indica que mediante la ***DOCUMENTO.2 (…)” se habría estado cumpliendo la obligación de llevanza del RAT. Asimismo, señala que, si bien en el RAT sólo se ha declarado un único plazo de supresión de un mes, ello se ha debido a que se ha dado por supuesto que la obligación de declarar dicho plazo sólo afectaba a aquellas categorías de imágenes que no venían recogidas en la LO 7/2021, dado que el artículo 18.3 de la LO 7/2021 regula expresamente el tratamiento y conservación de las imágenes. A pesar de que dicho precepto (artículo 18.3 de la LO 7/2021) permite un plazo máximo de conservación de 3 meses, la DGGC ha optado por un plazo mucho más restrictivo (1 mes). Como anexo, remiten un documento que contiene las evidencias obtenidas mediante PEI, eliminadas durante el año 2024. En el mismo se refleja que los (…). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 32/43 Consideran que dicho documento acredita que la DGGC ha estado cumpliendo con la obligación de llevanza de los registros de actividades de tratamiento o del registro de operaciones del tratamiento, en los términos de la LO 7/2021. En opinión de la DGGC en el peor de los casos se habría cometido un error administrativo fácilmente subsanable. Vuelven a señalar que están pendientes de la decisión que adopte la AEDP en relación con la realización de una EIPD, destacando que se comprometen a realizarla en el plazo que señale la AEPD. Finalmente, la DGGC destaca que las PEI se emplean por diferentes cuerpos policiales; estatales, autonómicos y locales. Consideran que el único Cuerpo que ha tratado de implantar dicho tipo de pistolas conforme a la normativa de protección de datos es la Guardia Civil. En su opinión, la AEPD debería actuar de oficio y comprobando que dichos dispositivos cumplen con la normativa en vigor, valorando positivamente el esfuerzo regulador que ha realizado la Guardia Civil, al tratarse de algo totalmente novedoso, sin ningún modelo de buenas prácticas previo de referencia. 6. Contestación a las alegaciones de la DGGC relativas a la infracción del artículo 32 de la LO 7/2021: El hecho probado séptimo muestra que las grabaciones relativas al Tratamiento PEI pueden ser catalogadas (…):  (…) Dicha catalogación, determina el periodo de conservación de las grabaciones, tal y como refleja la siguiente tabla: (…) Asimismo, el hecho probado octavo, refleja que RAT del Ministerio del Interior, en el apartado relativo al plazo de supresión del Tratamiento PEI, indicaba: “El plazo de conservación de las mismas será de un mes.” (“Diligencia RAT” de la SGID de 31 de enero de 2024) Por tanto, el RAT del Ministerio del Interior, al hacer referencia al Tratamiento PEI, contemplaba un único plazo de conservación de un mes, a pesar de que existían otros tres supuestos (…), en los que el plazo de conservación era claramente superior a un mes. El RAT no hacía referencia a los plazos de conservación en dichos supuestos. El hecho de que las personas cuyos datos personales figuren en grabaciones (…) no sean conscientes de que sus datos personales continúan siendo tratados por la DGGC, más allá del plazo del mes que indica el RAT, supone una pérdida de control sobre sus datos de carácter personal. Asimismo, resulta necesario destacar la importancia que tiene la información que proporciona el RAT para que los interesados, cuyos datos son tratados, dispongan de la información necesaria para poder ejercer de manera efectiva otros derechos que les reconoce la LO 7/2021. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 33/43 Con fecha 27 de junio de 2025 la DGGC ha presentado un escrito, cuyo contenido ha sido reproducido en el antecedente quinto, al que acompañan dos documentos denominados “RAT PEI” y “RAT PEI AMPLIADO”. En dichos escritos en el apartado denominado “Plazo de supresión” se señala: “Grabaciones involuntarias: Se conservarán por un periodo máximo de 30 días, pudiendo suprimirse antes del periodo de conservación, siempre que la persona afectada lo participe por procedimiento reglamentario. Grabaciones por actuaciones: Se conservarán por un periodo máximo de 30 días, salvo que estén relacionadas y sujetas a una investigación policial en curso o con un procedimiento judicial o administrativo abierto (art. 18.3 de la LO. 7/2021).” La nueva versión, pendiente de publicación en el momento de firma de la propuesta de resolución, ya no contemplaba un único plazo de conservación de un mes, sino que distinguía distintos supuestos relativos al plazo de conservación de las grabaciones relativas al Tratamiento PEI. 7. Escrito de la DGGC tras la propuesta de resolución: Tal y como se ha señalado en el antecedente séptimo, la DGGC ha comunicado a la AEPD que no formula alegaciones a la propuesta de resolución. Dicha Dirección General indica que realizará, dentro del plazo máximo de seis meses previsto por la AEPD, la EIPD en relación con el Tratamiento PEI (Pistolas Eléctricas Incapacitantes). Asimismo, destaca que ha actualizado el RAT, ha dado una nueva redacción al apartado relativo al plazo de supresión, reflejando en el mismo los distintos plazos de conservación, en función del tipo de grabaciones obtenidas de las videocámaras asociadas a las PEI. Dicho documento ha sido enviado al Ministerio del Interior para su publicación en la página web del Ministerio. IV Obligación incumplida del artículo 35 de la LO 7/2021 El artículo 35 de la LO 7/2021, que regula la Evaluación de impacto relativa a la protección de datos (en adelante EIPD), dispone: “Artículo 35. Evaluación de impacto relativa a la protección de datos. 1. Cuando sea probable que un tipo de tratamiento, en particular si utiliza nuevas tecnologías, suponga por su naturaleza, alcance, contexto o fines, un alto riesgo para los derechos y libertades de las personas físicas, el responsable del tratamiento realizará, con carácter previo, una evaluación del impacto de las operaciones de tratamiento previstas en la protección de datos personales. 2. La evaluación incluirá, como mínimo, una descripción general de las operaciones de tratamiento previstas, una evaluación de riesgos para los C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 34/43 derechos y libertades de los interesados, las medidas contempladas para hacer frente a estos peligros, así como las medidas de seguridad y mecanismos destinados a garantizar la protección de los datos personales y a demostrar su conformidad con esta Ley Orgánica. Esta evaluación tendrá en cuenta los derechos e intereses legítimos de los interesados y de las demás personas afectadas. 3. Las autoridades de protección de datos podrán establecer una lista de tratamientos que estén sujetos a la realización de una evaluación de impacto con arreglo a lo dispuesto en el apartado anterior y, del mismo modo, podrán establecer una lista de tratamientos que no estén sujetos a esta obligación. Ambas listas tendrán un carácter meramente orientativo.” 1. Análisis del caso particular (Tratamiento PEI de la DGGC): Tal y como reflejan los hechos probados quinto y sexto, no consta que la DGGC haya realizado ni un análisis de riesgos ni una EIPD en relación con el Tratamiento PEI. 1.2. Circunstancias que aconsejan realizar una EIPD en relación con el Tratamiento PEI: En el presente caso, concurren varias circunstancias que aconsejan la realización de una EIPD (varias de ellas reflejadas en la lista de tratamientos que requieren EIPD). 1.Utilización de una nueva tecnología: El punto 10 de la lista de tratamientos que requieren EIPD indica lo siguiente: “10. Tratamientos que impliquen la utilización de nuevas tecnologías o un uso innovador de tecnologías consolidadas, incluyendo la utilización de tecnologías a una nueva escala, con un nuevo objetivo o combinadas con otras, de forma que suponga nuevas formas de recogida y utilización de datos con riesgo para los derechos y libertades de las personas.” (el subrayado es nuestro). La DGGC, tras diversas recomendaciones nacionales e internacionales (Naciones Unidas, Amnistía Internacional, Defensor del Pueblo), ha comenzado a utilizar una nueva tecnología, la pistola eléctrica incapacitantes (PEI), dotada de videocámara. El uso de esta nueva tecnología, ha supuesto que la DGGC comience a realizar un nuevo tratamiento de datos de carácter personal, denominado “Tratamiento PEI”. Según destaca la DGCC, una de sus funciones esenciales de dichas videocámaras, es documentar el uso de las PEI, tal y como han reclamado el Defensor del Pueblo y Organizaciones de Derechos Humanos. 2.Tratamiento de datos relativos a infracciones penales: El punto 4 de la lista de tratamientos que requieren EIPD indica lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 35/43 “4. Tratamientos que impliquen el uso de categorías especiales de datos a las que se refiere el artículo 9.1 del RGPD, datos relativos a condenas o infracciones penales a los que se refiere el artículo 10 del RGPD o datos que permitan determinar la situación financiera o de solvencia patrimonial o deducir información sobre las personas relacionada con categorías especiales de datos.” (el subrayado es nuestro). En el Tratamiento PEI, la DGGC está tratando datos personales (imagen y voz de personas físicas), con fines claramente identificativos, al objeto de obtener unas evidencias que puedan ser utilizadas en sede judicial, en el ámbito sancionador administrativo o en el ámbito disciplinario. Las grabaciones obtenidas pueden estar vinculadas a infracciones penales o administrativas graves o muy graves en materia de seguridad pública, que están siendo investigadas por la Guardia Civil o en relación con las cuales exista un procedimiento judicial penal o administrativo. Las grabaciones se van a realizar en la calle. En las mismas quedan registradas, no solo las imágenes y la voz de los agentes de la Guardia Civil y de la persona o personas con las cuales han utilizado las PEI, sino también las de terceros que se encontraban en la vía pública en ese momento (esas personas podrían ser citadas como testigos en el juicio). Así, el hecho de que los datos personales obtenidos puedan ser utilizados en el marco de una investigación judicial o administrativa, teniendo en cuenta especialmente el contexto en el que las PEI son utilizadas, implica una situación de alto riesgo para los derechos y libertades de las personas físicas. 3. Tratamiento de datos de salud: El punto 4 de la lista de tratamientos que requieren EIPD, reproducida en el apartado anterior también comprende el tratamiento de datos de salud: Tal y como reflejan el comunicado del Defensor del Pueblo por el que reclama una regulación estatal “exhaustiva y detallada” de PEI, el “Manual de referencia sobre el uso de la fuerza y las armas de fuego por agentes del orden público de Naciones Unidas” y las “Orientaciones de Naciones Unidas sobre el empleo de armas menos letales en el mantenimiento del orden” el uso de la PEI con del fin inmovilizar a una persona física, provoca la pérdida temporal del control muscular voluntario por parte de dicha persona, con posible caída al suelo. Del uso de la PEI pueden derivarse lesiones y, en casos puntuales, la muerte. En relación con el uso de las PEI, se han identificado como personas de riesgo aquellas que padezcan una afección médica preexistente (por ejemplo, una enfermedad cardíaca), niños, mujeres embarazadas, personas mayores, personas de baja estatura, personas de constitución delgada, así como personas que se encuentra bajo los efectos de drogas, alcohol o ambos. En los casos mencionados, la grabación obtenida por la Guardia Civil podría contener datos relativos a la salud relevantes. 4.Tratamiento que implica el uso de datos a gran escala: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 36/43 El punto 7 de la lista de tratamientos que requieren EIPD establece: “7. Tratamientos que impliquen el uso de datos a gran escala. Para determinar si un tratamiento se puede considerar a gran escala se considerarán los criterios establecidos en la guía WP243 “Directrices sobre los delegados de protección de datos (DPD)” del Grupo de Trabajo del Artículo 29.” (el subrayado es nuestro). Las Directrices del Grupo de Trabajo del artículo 29 sobre los delegados de protección de datos (DPD), revisadas por última vez y adoptadas el 5 de abril de 2017 (WP 243 rev.01) analizan qué se entiende por tratamiento a gran escala, señalando: “(…). El RGPD no define qué se entiende por tratamiento a gran escala, aunque el considerando 91 ofrece alguna orientación. De hecho, no es posible dar una cifra exacta, ya sea con relación a la cantidad de datos procesados o al número de personas afectadas, que pudiera aplicarse en todas las situaciones. No obstante, esto no excluye la posibilidad de que, con el tiempo, se desarrolle un método estándar para identificar en términos más específicos o cuantitativos qué constituye «a gran escala» con respecto a determinados tipos de actividades de tratamiento comunes. El Grupo de Trabajo del artículo 29 también prevé contribuir a este desarrollo compartiendo y publicando ejemplos de los umbrales pertinentes para la designación de un DPD. En cualquier caso, el Grupo de Trabajo recomienda que se tengan en cuenta los siguientes factores, en particular, a la hora de determinar si el tratamiento se realiza a gran escala:  el número de interesados afectados, bien como cifra concreta o como proporción de la población correspondiente;  el volumen de datos o la variedad de elementos de datos que son objeto de tratamiento;  la duración, o permanencia, de la actividad de tratamiento de datos;  el alcance geográfico de la actividad de tratamiento.” En este caso el Tratamiento PEI concentra todas las grabaciones realizadas con las videocámaras con las que están dotadas las PEI, que realicen los efectivos de la Guardia Civil en el territorio nacional. En este sentido, el hecho probado cuarto muestra que dicho tratamiento comprende grabaciones obtenidas por unidades de la Guardia Civil ubicadas en las distintas provincias del territorio nacional. Por su parte, el hecho probado séptimo refleja el amplio periodo de conservación de dichas imágenes, en el supuesto de que las mismas sean catalogadas como “(…)”. Por tanto, considerando las distintas variables (número de interesados que pueden ser afectados por el mismo, volumen de datos personales que se pueden llegar a tratar, duración o permanencia del tratamiento en el supuesto de que las evidencias (…) y alcance geográfico del tratamiento), nos encontramos ante un tratamiento a gran escala. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 37/43 El Tratamiento PEI también puede conllevar la grabación y conservación de grabaciones en las que queden registradas las imágenes o la voz de personas físicas que sean sujetos vulnerables o en riesgo de exclusión social, menores de 14 años, mayores con algún grado de discapacidad, discapacitados, víctimas de violencia de género, así como sus descendientes y personas que estén bajo de guardia y custodia (punto 9 de la lista de tratamientos que requieren EIPD). De hecho, las “Orientaciones de Naciones Unidas sobre el empleo de armas menos letales en el mantenimiento del orden” indican, en relación con las personas vulnerables, que los comportamientos agresivos por parte de las mismas, que lleven a utilizar las PEI por parte de los agentes del orden, pueden estar causados por problemas de salud mental, barreras lingüísticas, trastornos auditivos, deficiencia visual, trastornos del desarrollo o del comportamiento neurológicos o dificultades de aprendizaje. En conclusión, en el Tratamiento PEI, que realiza como responsable la DGGC, concurren varios criterios que figuran en la lista de tratamientos de datos que requieren EIPD. Sin embargo, dicha evaluación no se ha realizado. Por los motivos expuestos, se considera que los hechos conocidos son constitutivos de una infracción, imputable a la DGGC, por vulneración del artículo 35 de la LO 7/2021. V Tipificación de la infracción del artículo 35 de la LO 7/2021 y calificación a efectos de prescripción La LO 7/2021 contempla un cuadro de infracciones y sanciones en el caso de incumplimiento de las obligaciones previstas en su articulado, clasificándolas en leves, graves y muy graves. El artículo 59, apartado
  22. l)califica como infracción grave: “
  23. l)El incumplimiento de la evaluación de impacto en la protección de los datos de carácter personal, si se derivan perjuicios o riesgos de carácter grave para los interesados.” A efectos del plazo de prescripción, la infracción imputada prescribe a los dos años, conforme a lo dispuesto en el artículo 63 LO 7/2021, que determina dicho plazo para aquellas infracciones tipificadas como graves, como ocurre en el presente caso. VI Obligación incumplida del artículo 32 de la LO 7/2021 El artículo 32 de la LO 7/2021, que regula los Registros de las actividades de tratamiento (RAT), dispone: “Artículo 32. Registros de las actividades de tratamiento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 38/43 1 Cada responsable debe conservar un registro de todas las actividades de tratamiento de datos personales efectuadas bajo su responsabilidad. Dicho registro deberá contener la información siguiente:
  24. a)La identificación del responsable del tratamiento y sus datos de contacto, así como, en su caso, del corresponsable y del delegado de protección de datos.
  25. b)Los fines del tratamiento.
  26. c)Las categorías de destinatarios a quienes se hayan comunicado o vayan a comunicarse los datos personales, incluidos los destinatarios en Estados que no sean miembros de la Unión Europea u organizaciones internacionales.
  27. d)La descripción de las categorías de interesados y de las categorías de datos personales.
  28. e)El recurso a la elaboración de perfiles, en su caso.
  29. f)Las categorías de transferencias de datos personales a un Estado que no sea miembro de la Unión Europea o a una organización internacional, en su caso.
  30. g)La indicación de la base jurídica del tratamiento, así como, en su caso, las transferencias internacionales de las que van a ser objeto los datos personales.
  31. h)Los plazos previstos para la supresión de las diferentes categorías de datos personales, cuando sea posible. i)La descripción general de las medidas técnicas y organizativas de seguridad a las que se refiere el artículo 37.1, cuando sea posible. 2. Cada encargado del tratamiento llevará un registro de todas las actividades de tratamiento de datos personales efectuadas en nombre de un responsable. Este registro contendrá la información siguiente:
  32. a)El nombre y los datos de contacto del encargado o encargados del tratamiento, de cada responsable del tratamiento en cuyo nombre actúe el encargado y, en su caso, del delegado de protección de datos.
  33. b)Las categorías de tratamientos efectuados en nombre de cada responsable.
  34. c)Las transferencias de datos personales a un Estado que no sea miembro de la Unión Europea o a una organización internacional, en su caso, incluida la identificación de dicho Estado o de dicha organización internacional cuando el responsable del tratamiento así lo ordene explícitamente. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 39/43
  35. d)La descripción general de las medidas técnicas y organizativas de seguridad a las que se refiere el artículo 37.1, cuando sea posible. 3. Los registros referidos en este artículo se establecerán y llevarán por escrito, incluida la posibilidad del formato electrónico. Estos registros estarán a disposición de la autoridad de protección de datos competente, a solicitud de esta, de conformidad con lo dispuesto legalmente. 4. Los responsables de los tratamientos harán público el registro de sus actividades de tratamiento, accesible por medios electrónicos, en el que constará la información a la que se refiere el apartado 1.” Examinado el contenido del RAT del Ministerio del Interior, reflejado en la Diligencia de la SGID de 31 de enero de 2024, se observa que en el apartado relativo al plazo de supresión del Tratamiento PEI se indica: “El plazo de conservación de las mismas será de un mes.” Tal y como refleja el hecho probado séptimo la catalogación de las grabaciones como (…), determina el periodo de conservación de las mismas (así como de los datos personales que contienen), tal y como refleja la siguiente tabla: (…) La DGGC ha elaborado un RAT, publicado en la página web del Ministerio del Interior y reflejado en la Diligencia de la SGID de 31 de enero de 2024, en el que se contempla un único caso. Esta circunstancia que lleva a pensar a las personas físicas, que figuran en grabaciones y que consultan el contenido de dicho RAT, que el plazo de conservación de las imágenes es de un mes en todos los casos, cuando realmente no es así, en la mayoría de los casos dicho plazo es muy superior. Las personas físicas han de disponer de información que les permita conocer si sus datos personales están siendo tratados por la DGGC (Si dichos interesados creen que sus datos personales han sido suprimidos, cuando no es así, están perdiendo el control sobre sus datos de carácter personal. Por otra parte, no van a ejercer sus derechos respecto de unos datos personales que creen que no están siendo tratados). Por tanto, la publicación del RAT en la página web del Ministerio del Interior, tal y como refleja en la Diligencia de la SGID de 31 de enero de 2024, ha constituido una infracción, imputable a la DGGC, por vulneración del artículo 32 de la LO 7/2021. VII Tipificación de la infracción del artículo 32 de la LO 7/2021 y calificación a efectos de prescripción La LO 7/2021 contempla un cuadro de infracciones y sanciones en el caso de incumplimiento de las obligaciones previstas en su articulado, clasificándolas en leves, graves y muy graves. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 40/43 El artículo 59, apartado
  36. h)califica como infracción grave: “
  37. h)El incumplimiento de la obligación de llevanza de los registros de actividades de tratamiento o del registro de operaciones de tratamiento, si se causan perjuicios de carácter grave a los interesados.” A efectos del plazo de prescripción, la infracción imputada prescribe a los dos años, conforme a lo dispuesto en el artículo 63 LO 7/2021, que determina dicho plazo para aquellas infracciones tipificadas como graves, como ocurre en el presente caso. VIII Declaración de infracción El apartado primero del artículo 62 de la LO 7/2021 relativo a las sanciones, dispone lo siguiente: “En caso de que el sujeto responsable sea algunos de los enumerados en el artículo 77.1 de la Ley Orgánica 3/2018, de 5 de diciembre, se impondrán las sanciones y se adoptarán las medidas establecidas en dicho artículo.” El artículo 77 “Régimen aplicable a determinadas categorías de responsables o encargados del tratamiento” de la LOPDGDD dispone lo siguiente: “1. El régimen establecido en este artículo será de aplicación a los tratamientos de los que sean responsables o encargados:
  38. a)Los órganos constitucionales o con relevancia constitucional y las instituciones de las comunidades autónomas análogas a los mismos.
  39. b)Los órganos jurisdiccionales.
  40. c)La Administración General del Estado, las Administraciones de las comunidades autónomas y las entidades que integran la Administración Local.
  41. d)Los organismos públicos y entidades de Derecho público vinculadas o dependientes de las Administraciones Públicas.
  42. e)Las autoridades administrativas independientes.
  43. f)El Banco de España.
  44. g)Las corporaciones de Derecho público cuando las finalidades del tratamiento se relacionen con el ejercicio de potestades de derecho público.
  45. h)Las fundaciones del sector público.
  46. i)Las Universidades Públicas.
  47. j)Los consorcios.
  48. k)Los grupos parlamentarios de las Cortes Generales y las Asambleas Legislativas autonómicas, así como los grupos políticos de las Corporaciones Locales. 2. Cuando los responsables o encargados enumerados en el apartado 1 cometiesen alguna de las infracciones a las que se refieren los artículos 72 a 74 de esta ley orgánica, la autoridad de protección de datos que resulte competente dictará resolución declarando la infracción y estableciendo, en su caso, las medidas que proceda adoptar para que cese la conducta o se corrijan los efectos de la infracción que se hubiese cometido, con excepción de la prevista en el artículo 58.2.i del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 41/43 La resolución se notificará al responsable o encargado del tratamiento, al órgano del que dependa jerárquicamente, en su caso, y a los afectados que tuvieran la condición de interesado, en su caso. 3. Sin perjuicio de lo establecido en el apartado anterior, la autoridad de protección de datos propondrá también la iniciación de actuaciones disciplinarias cuando existan indicios suficientes para ello. En este caso, el procedimiento y las sanciones a aplicar serán las establecidas en la legislación sobre régimen disciplinario o sancionador que resulte de aplicación. Asimismo, cuando las infracciones sean imputables a autoridades y directivos, y se acredite la existencia de informes técnicos o recomendaciones para el tratamiento que no hubieran sido debidamente atendidos, en la resolución en la que se imponga la sanción se incluirá una amonestación con denominación del cargo responsable y se ordenará la publicación en el Boletín Oficial del Estado o autonómico que corresponda. 4. Se deberán comunicar a la autoridad de protección de datos las resoluciones que recaigan en relación con las medidas y actuaciones a que se refieren los apartados anteriores. 5. Se comunicarán al Defensor del Pueblo o, en su caso, a las instituciones análogas de las comunidades autónomas las actuaciones realizadas y las resoluciones dictadas al amparo de este artículo. 6. Cuando la autoridad competente sea la Agencia Española de Protección de Datos, esta publicará en su página web con la debida separación las resoluciones referidas a las entidades del apartado 1 de este artículo, con expresa indicación de la identidad del responsable o encargado del tratamiento que hubiera cometido la infracción. Cuando la competencia corresponda a una autoridad autonómica de protección de datos se estará, en cuanto a la publicidad de estas resoluciones, a lo que disponga su normativa específica.” Este precepto establece que los procedimientos que tengan causa en infracciones en materia de protección de datos personales cometidas por las categorías de responsables o encargados del tratamiento enumerados en su apartado 1 se resolverán, en todo caso, declarando la infracción. A tenor de los hechos expuestos, se considera que corresponde imputar a la parte reclamada: Una sanción por la vulneración artículo 35 de la LO 7/2021, tipificada en el artículo 59
  49. l)de dicha Ley orgánica. Una sanción por la vulneración artículo 32 de la LO 7/2021, tipificada en el artículo 59
  50. h)de dicha Ley orgánica. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 42/43 La sanción que corresponde imponer en ambos casos es la declaración de infracción. IV Adopción de medidas Se advierte que no atender la orden de adopción de medidas impuestas por este organismo en la resolución sancionadora podrá ser considerado como una infracción administrativa conforme a lo dispuesto en el RGPD, tipificada como infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la apertura de un ulterior procedimiento administrativo sancionador. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Presidencia de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR que D.G. DE LA GUARDIA CIVIL, con NIF S2816003D, ha infringido: - Lo dispuesto en el artículo 35 de la LO 7/2021, infracción tipificada en el artículo 59
  51. l)de dicha Ley orgánica. - Lo dispuesto en el artículo 32 de la LO 7/2021, infracción tipificada en el artículo 59
  52. h)de dicha Ley orgánica. SEGUNDO: ORDENAR a D.G. DE LA GUARDIA CIVIL, con NIF S2816003D, que en virtud del artículo 58.2.
  53. d)del RGPD, acredite haber procedido al cumplimiento de la siguiente medida: En el plazo máximo de 6 meses, a contar desde la fecha de ejecutividad de la resolución finalizadora de este procedimiento, adopte la siguiente medida: -Realizar la correspondiente evaluación de impacto relativa a la protección de datos (EIPD) en relación con el Tratamiento PEI (Pistolas Eléctricas Incapacitantes). TERCERO: NOTIFICAR la presente resolución a D.G. DE LA GUARDIA CIVIL. CUARTO: COMUNICAR la presente resolución al Defensor del Pueblo, de conformidad con lo establecido en el artículo 77.5 de la LOPDGDD. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez sea firme en vía administrativa. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 43/43 contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
  54. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeaepd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-080725 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.