1/20 Expediente N.º: EXP202312039 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 31 de marzo de 2023, se notificó a esta Agencia una brecha de datos personales de la DIRECCIÓN GENERAL DE LA POLICÍA, con NIF S2816015H (en adelante, DGP). Los hechos que se pusieron en conocimiento de esta autoridad fueron los siguientes: El incidente de seguridad se detectó, con fecha 30/03/2023, en el registro automatizado para generar ***DOCUMENTO.1 en la plataforma ***PLATAFORMA.1, implantada en la DGP, lo que podría comprometer datos de carácter personal relativos al DNI, necesarios para la autenticación de éstos. La parte reclamada indicaba, en el formulario de notificación, que la brecha afectaba a la confidencialidad y disponibilidad de datos básicos (Ej: nombre, apellidos, fecha de nacimiento), DNI, NIE, pasaporte y/o cualquier otro documento identificativo de 10 personas. SEGUNDO: Con fecha 28 de abril de 2023, la DGP realizó una notificación adicional de la brecha de datos personales en la que se manifestaba: “El día 21/03/2023, se decide limitar el acceso al dominio ***DOMINIO.
- en el cortafuegos sin realizar una parada del sistema para evaluar el día 22/03/2023 el posible impacto en los sistemas afectados. Del análisis de riesgo realizado se evalúa la posibilidad de que el mensaje sea falso, con la finalidad de provocar una autodenegación de servicio. El día 22/03/2023, se realiza una parada de los servidores físicos al constatar que la versión de ***SISTEMA.1 es vulnerable. Análisis de Riesgo: Puede que la información de explotación de la vulnerabilidad sea cierta. Puede producirse un movimiento lateral en la vlan que lo contiene. La evidencia de explotación de la vulnerabilidad se obtiene el 30 de marzo de 2023 14:24 al encontrar los ficheros denominados webshell en uno de los servidores de la plataforma de ***PLATAFORMA.1”. En el formulario de notificación de brechas la DGP indicaba que la brecha afectaba a los datos personales ya mencionados en la notificación inicial de 1 cliente/ciudadano y que los afectados serían informados mediante comunicado público o publicación en web corporativa. La notificación adicional se acompañaba de Informe del Servicio de Seguridad TIC de la Unidad de Informática y Comunicaciones de la Subdirección General de Logística e Innovación de la DGP en el que se ponía de manifiesto, entre otras cosas, lo siguiente: “Indicar que el proceso de investigación aún se mantiene activo y del cual es necesario reseñar los siguientes apartados: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/20 - Evidencias de filtración de datos: o (…) Reverse Proxy corporativo: Se tienen identificadas las URL de creación de las webshell encontradas en el servidor ***PLATAFORMA.1, a través de las cuales se habría podido llevar a cabo una posible exfiltración de datos. - Duración del incidente: o Los intentos de explotación de la vulnerabilidad del servidor ***PLATAFORMA.1 identificados van desde 28/08/2022 hasta 21/03/
- - La no disponibilidad del sistema fue provocada como medida de mitigación desde el día 21/03/2023 hasta el 04/04/2023, tiempo mínimo e indispensable para poder migrar la infraestructura tanto software como hardware. - Los datos de carácter personal que han podido verse afectados, se detallan a continuación: o o o o o o o o o Nombre Apellidos DNI/NIE Fecha de nacimiento Número de soporte Fecha emisión Fecha de validez Número de teléfono Nacionalidad - Número de usuarios afectados: o Se está realizando el estudio del listado de usuarios del sistema afectado por la vulnerabilidad. (…) Fecha y hora del incidente: 21/03/2023 20:59 Fecha y hora de detección del incidente: 30 de marzo de 2023 14:24”. En posteriores notificaciones a esta Agencia, de fechas 13/06/2023 y 11/07/2023, el responsable manifiesta que el sistema comprometido se encuentra en fase de análisis forense y que se está a la espera del informe definitivo por parte del ***PUESTO.
- Por último, el 31 de julio de 2023, la DGP aportó un Informe técnico de la empresa ***EMPRESA.1 que describe el posible impacto en el acceso a datos personales de los ciudadanos y la posible suplantación de identidad como consecuencia del ciberincidente. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/20 TERCERO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VIII, de la LOPDGDD. Para ello, con fechas 5 de diciembre de 2023, 29 de abril de 2024 y 30 de mayo de 2024 se solicita a la DGP ampliación y/o aclaración de la información aportada y con fechas 19 de enero de 2024, 17 de mayo de 2024 y 28 de junio de 2024 tienen entrada las respectivas respuestas. Como consecuencia de las actuaciones realizadas, se tuvo conocimiento de los siguientes extremos: La sucesión de los hechos relativos a este incidente fue la siguiente: El 21 de marzo de 2023 se detecta por parte de la Comisaría General de Información la venta de consola web remota a la sede electrónica de Policía Nacional. Se aporta evidencia de la publicación en foros de la dark web. El 21 de marzo de 2023 a las 20:10 (…), después de la evaluación de los datos aportados por la CGI (Comisaría General de Información) y ante el estado de la versión vulnerable del servidor de aplicaciones [del subsistema ***PLATAFORMA.1 (en adelante, ***PLATAFORMA.1)], decide aplicar la medida de seguridad consistente en la interrupción del servicio afectado. Se aporta copia del correo en el que se autoriza el cierre de los accesos. El 29 de marzo de 2023 el responsable recibe informe de la empresa ***EMPRESA.
- Según manifiesta, el objeto de este documento es describir el posible impacto en el acceso a datos personales de los ciudadanos y evaluar si puede realizarse una suplantación de identidad sin conocimiento del ciudadano, en los distintos casos de uso definidos. Se aporta copia de este documento El 30 de marzo de 2023, como resultado de las investigaciones sobre el servidor afectado, se detecta la instalación de tres webshells (código que contiene un conjunto de comandos a ejecutar en un servidor, que le permite a un atacante tomar el control de éste). Este hecho, según manifiesta el responsable “indica que se han explotado vulnerabilidades existentes en el servidor de aplicaciones”. Se aporta copia del análisis sobre las webshells detectadas, así como volumetría de tráfico cursado. El conjunto del servicio atacado es complejo y abarca diferentes subsistemas. El responsable desglosa el alcance: o (…) Según la documentación aportada, las funciones de este subsistema son: “(…)” Por otra parte, en base a la volumetría del tráfico, el inicio de la explotación de la brecha sería mucho más amplio, comenzando en agosto de
- Según C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/20 manifestaciones: “Los intentos de explotación de la vulnerabilidad del servidor ***PLATAFORMA.1 identificados van desde 28/08/2022 hasta 21/03/2023”. La DGP explica el origen de la explotación en agosto de 2022: “Se procede a buscar las conexiones cuyas peticiones contienen en la uri la cadena “(...)”, en la ventana de tiempo del 23 de agosto de 2022 al 23 de marzo de
- En este periodo se detecta como primer resultado positivo el 28 de agosto de 2022 desde la IP ***IP.1”. El responsable aporta las IP desde las que se realizaron peticiones. Se señala también que esta búsqueda temporal se encontraba acotada en el tiempo por limitaciones de la herramienta: “El periodo analizado en nuestro ***SISTEMA.2 DE EMPRESA.2, disponía de 6 meses de capacidad de almacenamiento en ese momento, por lo que no se podría descartar de forma concluyente un inicio anterior”. 1.
- Acciones tomadas con objeto de minimizar los efectos adversos y medidas adoptadas para su resolución final. (…) El responsable manifiesta los cambios realizados: “(…)”. 1.
- Respecto de las causas que hicieron posible la brecha. (…)”. La DGP expone lo siguiente al respecto: “(…) 1.
- Impacto de la brecha. Posibles consecuencias para los afectados. En base a la información disponible y las manifestaciones aportadas por la DGP, si bien no ha sido posible confirmar el acceso a datos personales ni su exfiltración, tampoco ha sido posible descartarlo. Es por ello por lo que la DGP ha elaborado un informe, del que se aporta copia, en el que se analizan los escenarios factibles y el potencial impacto sufrido en ellos. El informe parte de unas premisas y supuestos, entre las que se destacan: (…) Según aporta el responsable en dicho informe, el potencial impacto de la brecha es: (…) o o o o o o C/ Jorge Juan, 6 28001 – Madrid Nombre y apellidos. Teléfono. Fecha nacimiento. Fecha de expedición. Fecha de expiración. Numero de soporte. www.aepd.es sedeaepd.gob.es 5/20 o o o Código de país. Certificado p. Publica digital permanente base
- Certificado p. Publica digital firma base
- (…) El responsable confirma en aclaraciones adicionales el potencial impacto ante el peor escenario: “(…)”. . La DGP manifiesta: “No tenemos evidencias de que el servicio haya sido afectado, en el hipotético caso de que el servicio hubiera sido afectado y en el peor escenario con acceso a la (...), todos los datos de los usuarios activos en ***PLATAFORMA.1 en las fechas en cuestión podrían haber quedado expuestos; los datos son los siguientes: Nombre y apellidos DNI/NIE fecha nacimiento fecha de caducidad fecha de expedición número de soporte número de teléfono Fecha de nacimiento Nacionalidad Parte pública de certificados: la información de los datos de certificado no añade ninguna información personal sobre el resto de los datos personales.” Adicionalmente, en el informe se aporta la revisión de los logs de accesos, valorando la situación: “Tras la revisión de los diferentes logs disponibles en la (...) no se observan accesos no autorizados.”. La valoración del responsable es, en consecuencia, de que no se disponen de evidencias sobre una fuga de información. Sobre el compromiso de la contraseña entre los datos expuestos, se ha solicitado confirmación al responsable de este hecho. La DGP manifiesta a este respecto: “No se ha descartado dicho compromiso (…): “(…)” Esta pérdida de confidencialidad de la contraseña de usuario de ***PLATAFORMA.1, que viajan en claro en algunos elementos internos del sistema, permitiría la suplantación en operaciones de autenticación (por ejemplo, acceso de los ciudadanos a Sedes Electrónicas). (…). No se considera posible la suplantación en operaciones de firma (…). Por otra parte, el incidente afectó a la disponibilidad del sistema. El responsable manifiesta: “La indisponibilidad del servicio se produjo desde el 21 de marzo hasta el 3 de abril de 2023”. Se aporta copia de los correos enviados para la parada y restablecimiento del servicio. “La pérdida de servicio ha afectado a las siguientes acciones (…): C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/20 (…)
- Comunicación a los afectados. De acuerdo con las notificaciones recibidas, no hay constancia de que el responsable haya comunicado la brecha de confidencialidad a los interesados afectados conforme al art. 34 del RGPD. Adicionalmente, se confirma este hecho: “Hasta la fecha no se ha realizado ninguna comunicación ya que no se ha podido determinar que haya usuarios afectados en la brecha de seguridad.” 3.- Respecto de las medidas de seguridad implantadas. 3.
- Medidas de seguridad implantadas con anterioridad a la brecha en los tratamientos de datos donde se ha producido. A instancias de esta Agencia, la DGP ha facilitado información respecto a los distintos procedimientos que disponía previamente: “(…)” La DGP no ha facilitado copias completas de dichos procedimientos. Manifiesta al respecto “Por seguridad para los documentos aportados, se muestra portada del documento e índice de los documentos, así como pequeñas capturas de pantalla. Si es necesario mostrar todo el contenido, sería conveniente que dicho contenido se mostrase de manera presencial”. En relación con la política de actualización de servidores, manifiesta: “Anteriormente a la fecha del incidente, las actualizaciones del servidor de aplicaciones afectado por la vulnerabilidad son responsabilidad de Policía Nacional.” Sobre la operativa de trabajo seguida, se indica: “En el Departamento de Sistemas del CPD de El Escorial existe un “protocolo de actualización” para la actualización de los sistemas, pero dicho protocolo no se encuentra documentado por escrito”. 3.
- Motivo por el cual las medidas de seguridad implantadas no han impedido el incidente. Como aspecto principal de la explotación de esta brecha, se encuentra (…). El responsable directamente confirma la insuficiencia de las medidas de seguridad: “(…)”. A este respecto, como se ha señalado anteriormente, (…)” Respecto a las herramientas de monitorización disponibles, el responsable aporta las siguientes manifestaciones: “(…)” 3.
- Medidas técnicas y organizativas adoptadas para evitar, en lo posible, incidentes como el sucedido. Respecto a las medidas técnicas, la DGP manifiesta las siguientes acciones tomadas en el nuevo entorno: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/20 “(…)” Por otra parte, (…).” A nivel organizativo, el responsable aporta la siguiente información sobre la corrección proactiva de vulnerabilidades: En relación con el “Plan de Verificación de Vulnerabilidades”, se indica “el análisis de vulnerabilidades del 26 de junio de 2023, posterior al incidente, sí tenía programado el activo afectado.” El responsable manifiesta que ha adoptado un plan de acción haciendo especial hincapié en mantener actualizado el inventario de activos. Dentro de dicho proyecto se encuentran los siguientes hitos: o “(…)”
- Cumplimiento normativo. 4.
- Normativa relativa al tratamiento afectado. La DGP ha facilitado extractos del análisis de riesgos anterior al incidente de seguridad, aprobado el 11 de noviembre de
- El análisis fue realizado mediante la herramienta ***HERRAMIENTA.
- Posteriormente, según lo indicado, “se actualiza el análisis de riesgos con la inclusión del ***SISTEMA.3, (…) y se aprueba en el acta del 28-02-2023”. (…). La DGP, también, ha facilitado extracto de la siguiente información sobre la última auditoría llevada a cabo de conformidad con las previsiones del Esquema Nacional de Seguridad (en adelante, ENS). La auditoría fue realizada el 13 de enero de 2023 y con relación a la misma se manifiesta: “(…)”. En particular, se aporta copia de una observación en la que se resalta: “(…)”. No se concreta para el caso específico del ***PLATAFORMA.
- 4.
- Contrato de encargo de tratamiento. No existe ningún encargo de tratamiento. No hay ningún contrato de mantenimiento con terceros de los Sistemas de Información afectados por la brecha de seguridad. 5.- Otros aspectos. 5.
- Publicación de los datos exfiltrados en Internet. La DGT aporta, entre otras, una evidencia en la que se recoge lo siguiente: “En el marco de las competencias atribuidas a la Comisaría General de Información, esta Unidad tiene conocimiento de la venta de una consola web remota a la sede electrónica de la Policía Nacional en los foros underground (…). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/20 En fecha 19/03/2023 el usuario de nombre ***USUARIO.1, el cual tiene la condición de miembro de ambos foros, publicó en un hilo nombrado «[Sell] Spanish Police» el siguiente mensaje en idioma inglés: «(...)».” Se aporta captura sobre ello, donde el usuario ofrece un presunto extracto de ejemplo, constando como subdominio afectado el siguiente: “***DOMINIO.1”. Pese a ello, el responsable manifiesta: “Hasta la fecha no se tiene conocimiento de la utilización por terceros de los datos personales obtenidos a través de la brecha”. Se matiza a este respecto, por la información aportada, que a priori la venta correspondería al acceso al servidor vulnerado mediante webshell y no propiamente a los datos. Nuevamente, al no disponer de evidencias que acrediten el grado de posible exfiltración, no se puede determinar a qué datos afectaría. Según manifiesta el responsable “en uno de los escenarios se describe el peor de los casos en el que los datos expuestos serían los siguientes: Nombre y apellidos. DNI/NIE. Fecha nacimiento. Fecha de caducidad. Fecha de expedición. Número de soporte. Número de teléfono. Fecha de nacimiento. Nacionalidad.” 5.
- Información sobre la recurrencia de estos hechos y número de eventos análogos acontecidos en el tiempo La DGP manifiesta a este respecto: “No tenemos evidencia de ningún otro incidente de estas características: explotación de una vulnerabilidad mitigable mediante la actualización del sistema, que se haya producido en los Sistemas de Información de Policía Nacional”. CUARTO: Con fecha 17 de febrero de 2025, la Presidencia de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por la presunta infracción del artículo 32 del RGPD, tipificada en el artículo 83.4.a) del RGPD. QUINTO: Notificado el citado acuerdo de inicio conforme a las normas establecidas en la LPACAP, con fecha 27 de febrero de 2025, tuvo entrada en esta Agencia oficio del Delegado de Protección de Datos de la DGP por el que se remitía informe técnico de alegaciones (“INF-6.10.015-N3-DGP-AEPD EXP202312039_v1.0”). En el citado informe, firmado el 26/02/2025 por el ***PUESTO.1, se manifestaba, en síntesis, lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/20 (…) La AEPD manifiesta en dicho expediente que se podrá requerir a la DGP para que, en el plazo de 6 meses, a contar desde la fecha de ejecutividad de la resolución finalizadora de este procedimiento, adopte las medidas siguientes: (…) Como medidas de mejora implementadas para garantizar el cumplimiento del Esquema Nacional de Seguridad por parte de la DGP, se establecieron las siguientes acciones a ejecutar de manera recurrente sobre el sistema afectado por el incidente de seguridad: • (…) A continuación, se recogen evidencias documentales de las acciones llevadas a cabo por el Servicio de Seguridad TIC de la DGP recogidas en informes mensuales cuya carátula se muestra en el Anexo de este informe. (…) SEXTO: Con fecha 18 de julio de 2025 se formuló propuesta de resolución, proponiendo que por la Presidencia de la Agencia Española de Protección de Datos se declare que la DIRECCIÓN GENERAL DE LA POLICÍA, con NIF S2816015H, ha infringido lo dispuesto en el artículo 32 del RGPD, infracción tipificada en el artículo 83.4.a) del RGPD. Asimismo, se formulaba propuesta de resolución proponiendo que por la Presidencia de la Agencia Española de Protección de Datos se ordene a la DIRECCIÓN GENERAL DE LA POLICÍA que, en virtud del artículo 58.2.d) del RGPD, en el plazo de 6 meses, acredite haber procedido al cumplimiento de las medidas siguientes: (…) SÉPTIMO: Notificada la citada propuesta de resolución conforme a las normas establecidas en la LPACAP, la parte reclamada, con fecha 30 de julio de 2025 presentó alegaciones, las cuales se articulan en cuatro documentos, cuyo contenido es el siguiente:
- Documento “Informe a AEPD EXP202312039 remitiendo actuaciones”: Oficio de 30 de julio de 2025 de la Oficina Central Nacional de Protección de Datos de la Policía Nacional por el que se dan traslado a esta Agencia de los informes de alegaciones emitidos por el Área de Informática dependiente de la Subdirección General de Logística e Innovación y por la División de Documentación.
- Documento “2025 07 30
(3)Oficio contest OCNPD (brecha seg ***PLATAFORMA.1)”: Oficio de 29 de julio de 2025 dirigido por el Área de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 10/20 Documentación de la DGP a la Oficina Central Nacional de Protección de Datos en el que, en síntesis, se manifiesta lo siguiente: «(…) Al objeto de dar debida respuesta a lo solicitado en el requerimiento de la AEPD, y dado que el contenido de lo requerido tiene un carácter técnico, y que, por tal motivo, es necesario requerir (…).(…) es por lo que se adjunta informe sobre la información de la Unidad de Informática y Comunicaciones de la Subdirección General de Logística e Innovación, por ser la unidad competente para ello. En dicho informe se han analizado las medidas de seguridad requeridas en la propuesta de la AEPD (…): Así, pues, reiterando lo indicado en el escrito de la propuesta, /… Se concluye, por tanto, que las medidas presentadas por el reclamado cubren parcialmente las exigencias del artículo 32 del RGPD. No obstante, se identifican carencias (…)…/ no se puede aceptar el incumplimiento de dicho artículo en su totalidad en la propuesta de resolución, y, por tanto, su tipificación en el artículo 83.4.a) del RGPD. Para poder determinar la infracción de dicho precepto, no se ha valorado de forma contundente si las medidas técnicas y organizativas eran las adecuadas al nivel de riesgo predeterminado, así como la diligencia en la reacción ante una brecha de seguridad y, en su caso, las medidas adoptadas para evitar que en el futuro pueda repetirse una incidencia de similares características que pueda comprometer los derechos y libertades de los interesados. De los informes aportados y alegaciones de inicio por parte de la DGP en calidad de responsable del tratamiento, disponía de medidas técnicas y organizativas preventivas a fin de evitar este tipo de incidencia, a excepción de (…), expuesto como hecho probado por la AEPD, pero, sin embargo, se aporta un nuevo informe técnico con las nuevas medidas de seguridad implantadas. Asimismo, la DGP disponía de protocolos de actuación para afrontar el incidente, lo que ha permitido la identificación, análisis y clasificación de la brecha de seguridad de datos personales así como la diligente reacción ante la misma (…). Por último, no se tiene constancia de evidencias sobre la fuga de información (…). En consecuencia, se debe concluir que la DGP disponía de medidas técnicas y organizativas razonables a los medios disponibles y proporcionales al nivel del riesgo para evitar este tipo de incidencia y que al resultar insuficientes han sido actualizadas de forma diligente y proactiva, mediante la realización de una auditoría a efectos de comprobar la seguridad y la iniciación de un plan de acción para llevar a cabo las medidas técnicas necesarias. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 11/20 Por tanto, se debe estimar que la actuación de la DGP, como entidad responsable del tratamiento, ha sido acorde con la normativa sobre protección de datos personales para que se acuerde el archivo del expediente.»
- Documento “Alegaciones a Propuesta de Resolución EXP202312039”: Informe elaborado por el Servicio de Seguridad TIC de la DG de Policía en el que se recogen las alegaciones a la propuesta de resolución de procedimiento sancionador del Expediente N.º: EXP202312039 de esta Agencia. «(…) En la PROPUESTA DE RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR de la Agencia Española de Protección de Datos (AEPD) se enumeran una serie de medidas de seguridad que no han quedado suficientemente acreditadas. No obstante, estamos en condiciones de justificar su cumplimiento (…). (…) 5 Medidas que se vienen aplicando 5.1 (…) En la página 16 de la Propuesta de Resolución del Procedimiento Sancionador se destaca, con relación (…), “no se menciona explícitamente la existencia de un inventario actualizado y documentado”. A este respecto hay que indicar que Firma Centralizada se encuentra dentro de la (...) de la Dirección General de la Policía. (…) (…) Se aporta un ejemplo de solicitud de parcheo de vulnerabilidades a las partes interesadas. (…) 5.3 (…) 5.4 Medidas reactivas, minimizar el impacto de un incidente sin demora En DGP, (…). En este proceso de mejora continua se han aplicado mejoras como es la (…). Esto ha permitido que los incidentes de seguridad sean tratados de manera temprana, evitando que la calidad de los servicios se vea C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 12/20 afectada lo menor posible, mitigando el impacto y en todo caso evitar la falta de disponibilidad. (…) 6 Conclusiones (…) (…)
- (…). El documento ha sido elaborado por el Servicio de Seguridad TIC, siendo su última versión la versión 8.0 de 20/03/2025 que fue aprobada por el ***PUESTO.
- (…). El documento ha sido elaborado por el Servicio de Seguridad TIC, siendo su última versión la versión 1.0 de 11/06/2025 que fue aprobada por el ***PUESTO.
- La norma “***NORMA.1” mencionada por la DGP en el documento “Alegaciones a Propuesta de Resolución EXP202312039” en relación con (...), no consta aportada al expediente. OCTAVO: Con fecha 23/10/2025 se envía a la DGP requerimiento de subsanación a fin de que aportara la norma “***NORMA.1” mencionada por la DGP en el documento “Alegaciones a Propuesta de Resolución EXP202312039”. Con fecha 31/10/2025, la DGP aportó la documentación requerida. El documento “***NORMA.1”, que describe el procedimiento a seguir para (…), forman parte del marco normativo de seguridad de la información dentro de la DGP. Asimismo, el documento ha sido elaborado por el Servicio de Seguridad TIC, siendo su última versión la versión 9.0 de 20/03/
- De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS PRIMERO: Con fecha 21/03/2023 se detectó, por parte de la Comisaría General de Información de la DGP, un incidente de seguridad en (…) ***PLATAFORMA.1, implantada en la DGP, a partir de una publicación en la dark web en la que se anunciaba la venta de una consola web remota a la sede electrónica de Policía Nacional. Para la mitigación del incidente, con esa misma fecha, (…). SEGUNDO: Con fecha 29/03/2023 la DGP recibió Informe técnico de la empresa ***EMPRESA.1 en el que se describía el posible impacto en el acceso a datos personales de los ciudadanos y la posible suplantación de identidad como consecuencia del ciberincidente. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 13/20 TERCERO: Con fecha 30/03/2023, se detectó (…). El conjunto del servicio atacado alcanzó a los siguientes subsistemas: (…) CUARTO: Con fecha 31/03/2023, se notificó a esta Agencia la brecha de datos personales de la DGP. En el formulario de notificación de brechas la DGP indicaba que la brecha afectaba a datos de carácter personal relativos al DNI, necesarios para la autenticación de éstos. En particular, datos básicos (Ej. nombre, apellidos, fecha de nacimiento o número de teléfono), DNI, NIE, pasaporte y/o cualquier otro documento identificativo de 10 personas. QUINTO: Con fecha 28/04/2023, la DGP realizó una notificación adicional de la brecha de datos personales en la que manifestaba: “(…)”. En el formulario de notificación de brechas la DGP indicaba que la brecha afectaba a los datos personales ya mencionados en la notificación inicial de 1 cliente/ciudadano y que los afectados serían informados mediante comunicado público o publicación en web corporativa. En el marco de las actuaciones previas de investigación, en su escrito de respuesta a requerimiento de información de esta Agencia, de fecha 19/01/2024, la DGP manifestaba que no se había realizado ninguna comunicación ya que no se había podido determinar que hubiera usuarios afectados por la brecha de datos personales. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Contestación a las alegaciones presentadas al acuerdo de inicio del procedimiento C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 14/20 En respuesta a las alegaciones presentadas por la entidad reclamada se debe señalar lo siguiente. En su escrito de alegaciones la DGP se limita a exponer las medidas de mejora implementadas para garantizar el cumplimiento del Esquema Nacional de Seguridad con relación a las medidas correctivas indicadas en el Fundamento de Derecho VII del acuerdo de inicio de este procedimiento sancionador. A este respecto, la DGP describe una serie de acciones llevadas a cabo por su Servicio de Seguridad TIC, de manera recurrente, sobre los componentes del sistema afectado por el incidente de seguridad y que se documentan, periódicamente, en informes mensuales de seguridad del sistema. Para determinar si las medidas aportadas por la DGP son suficientes es necesario evaluarlas en relación con las medidas correctivas propuestas en el acuerdo de inicio. ─ (…) Se concluye, por tanto, que las medidas presentadas por el reclamado cubren parcialmente las exigencias del artículo 32 del RGPD. No obstante, se identifican carencias en (…). III Contestación a las alegaciones presentadas a la propuesta de resolución del procedimiento En respuesta a las alegaciones presentadas por la DGP resulta oportuno efectuar las siguientes precisiones. En el documento “2025 07 30
(3)Oficio contest OCNPD (brecha seg ***PLATAFORMA.1)” la DGP manifiesta que no se puede aceptar el incumplimiento del artículo 32 del RGPD en su totalidad señalando que para poder determinar la infracción de dicho precepto, no se ha valorado de forma contundente ni la adecuación de las medidas de seguridad implementadas en relación con el nivel de riesgo existente, ni la diligencia demostrada en su actuación y respuesta ante una brecha de seguridad, ni las medidas adoptadas para evitar que en el futuro pueda repetirse una incidencia de similares características. Al respecto, debe señalarse que el cumplimiento del artículo 32 del RGPD no se satisface de forma fraccionada ni puede modularse en grados de observancia, puesto que el propio precepto exige la aplicación efectiva y continua de medidas técnicas y organizativas que aseguren la seguridad de los datos personales frente a cualquier riesgo razonablemente previsible. En consecuencia, la afirmación de la reclamada de que no puede aceptarse un incumplimiento total del artículo 32 del RGPD resulta contradictoria, contradicción que se hace visible al indicar, posteriormente, que “disponía de medidas técnicas y organizativas preventivas a fin de evitar este tipo de incidencia, a excepción de (…), expuesto como hecho probado por la AEPD, pero, sin embargo, se aporta un nuevo informe técnico con las nuevas medidas de seguridad implantadas”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 15/20 Igualmente contradictoria resulta la afirmación subsiguiente, en la que, tras concluir que “disponía de medidas técnicas y organizativas razonables a los medios disponibles y proporcionales al nivel del riesgo para evitar este tipo de incidencia”, reconoce que al resultar tales medidas insuficientes han sido actualizadas de forma diligente y proactiva. Como se indicó en el Fundamento de Derecho III de la propuesta de resolución de este procedimiento, en el caso que nos ocupa, (…). Además, en relación con las medidas de seguridad previas, la propia DGP reconoce que fueron insuficientes en su escrito de respuesta a requerimiento de esta Agencia, con nº de registro de entrada ***REFERENCIA.1. Así las cosas, las medidas de seguridad implementadas no resultaron adecuadas al nivel de riesgo existente, lo que pone de manifiesto un déficit en la evaluación previa de riesgos y en la adopción de mecanismos preventivos eficaces. Asimismo, el principio de responsabilidad proactiva (arts. 5.2 y 24 del RGPD) exige que el responsable acredite que las medidas adoptadas eran efectivamente adecuadas al riesgo, no bastando con afirmar su razonabilidad o proporcionalidad. La insuficiencia detectada y la necesidad de adoptar medidas adicionales tras la incidencia son indicios de que las medidas iniciales no alcanzaban el nivel de seguridad exigido por la normativa. A la luz de lo expuesto, tanto en la propuesta de resolución como en la presente contestación, ni las evidencias aportadas ni las argumentaciones presentadas resultan suficientes para demostrar que el responsable del tratamiento aplicó las medidas adecuadas y proporcionadas en el contexto específico en el que operaba a fin de garantizar la conformidad del tratamiento con la normativa en materia de protección de datos. En cuanto a los documentos “Alegaciones a Propuesta de Resolución EXP202312039”, “(…)”, aportados por la DGP, se centran en justificar el cumplimiento de las medidas de seguridad propuestas, en virtud del artículo 58.2.
- d)del RGPD, como medidas correctivas propuestas tanto en el acuerdo de inicio como en la propuesta de resolución de este procedimiento. (…) Por último, la DGP destaca que se ha mejorado el proceso de gestión de incidentes para reducir los tiempos de respuesta y minimizar el impacto (…). Esta Agencia valora positivamente que la parte reclamada haya adoptado medidas orientadas a corregir las deficiencias advertidas, adecuando las medidas técnicas y organizativas de seguridad a lo dispuesto en la normativa de Protección de Datos. Sin embargo, el hecho de que las medidas hayan sido reforzadas con posterioridad al incidente no exime de responsabilidad, puesto que el cumplimiento del art. 32 del RGPD debe valorarse ex ante, es decir, atendiendo a la suficiencia de las medidas vigentes en el momento en que se produjo la brecha de datos personales. No obstante, las medidas de cuya adopción se informa son tenidas en cuenta a la hora de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 16/20 no indicar medidas correctivas añadidas a adoptar a resultas de la finalización del presente procedimiento sancionador. Por todo lo expuesto, procede desestimar las alegaciones presentadas, con excepción de aquellas que se estiman parcialmente por su vinculación con las medidas correctivas contempladas en la propuesta de resolución de este procedimiento. IV Obligación incumplida. Seguridad del tratamiento El artículo 32 del RGPD estipula lo siguiente: "1. Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, que en su caso incluya, entre otros:
- a)la seudonimización y el cifrado de datos personales;
- b)la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento;
- c)la capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente físico o técnico;
- d)un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento. 2. Al evaluar la adecuación del nivel de seguridad se tendrán particularmente en cuenta los riesgos que presente el tratamiento de datos, en particular como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos. 3. La adhesión a un código de conducta aprobado a tenor del artículo 40 o a un mecanismo de certificación aprobado a tenor del artículo 42 podrá servir de elemento para demostrar el cumplimiento de los requisitos establecidos en el apartado 1 del presente artículo. 4. El responsable y el encargado del tratamiento tomarán medidas para garantizar que cualquier persona que actúe bajo la autoridad del responsable o del encargado y tenga acceso a datos personales solo pueda tratar dichos datos siguiendo instrucciones del responsable, salvo que esté obligada a ello en virtud del Derecho de la Unión o de los Estados miembros." Este precepto exige a los responsables del tratamiento la adopción de las correspondientes medidas de seguridad de índole técnica y organizativa adecuadas al riesgo de modo que se garantice que el tratamiento es conforme a la normativa vigente. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 17/20 En el presente caso, consta una brecha de datos personales en el sistema ***PLATAFORMA.1 gestionado por la Dirección General de la Policía. (…). El responsable confirma que la brecha de datos personales obedece a (…). Según consta en la documentación que obra en el expediente, el incidente comienza en agosto de 2022, fecha en la que se detectan los primeros indicios de accesos sospechosos al sistema. Sin embargo, no es hasta el 21 de marzo de 2023 cuando el responsable detectó la brecha a partir de una publicación en la dark web en la que se anunciaba la venta de una consola web remota a la sede electrónica de Policía Nacional. Para la mitigación del incidente, (…). Finalmente, como resultado de las investigaciones sobre el servidor afectado, (…). Como se expuso anteriormente, el principio de seguridad exige que los responsables del tratamiento implementen medidas de seguridad apropiadas en función de los riesgos conocidos. En el caso que nos ocupa, la DGP (…) y el hecho de que no la hubiera mitigado con medidas de seguridad previas pone en entredicho la diligencia empleada en la protección de los datos personales. En relación con las medidas de seguridad previas, la propia DGP reconoce que fueron insuficientes en su escrito de respuesta a requerimiento de esta Agencia, con nº de registro de entrada ***REFERENCIA.1: “No se implantaron las medidas necesarias (…)”. Por otro lado, el hecho de que la entidad tuviera conocimiento de la brecha sólo después de una publicación en la dark web indica que su capacidad de detección y respuesta fue deficiente. Así lo evidencia la DGP al manifestar, (…)”. Además, de la presencia de tres webshells en el servidor de aplicaciones de (…) ***PLATAFORMA.1 se desprende que los atacantes pudieron comprometer el sistema y mantener acceso remoto sin ser detectados por la DGP. Esta demora en la detección de la brecha, sumada a la posible exposición de datos personales de un gran número de ciudadanos, agrava la responsabilidad de la reclamada. Del análisis precedente se infiere que la DGP no tenía implementadas medidas de seguridad adecuadas (…). Por otro lado, en su escrito de alegaciones al acuerdo de inicio del presente procedimiento, la DGP no se pronuncia sobre la infracción imputada, limitándose a referirse a las medidas correctivas propuestas en el Fundamento de Derecho VII del acuerdo de inicio y no aportando elementos que desvirtúen su responsabilidad. De igual modo, en las alegaciones formuladas a la propuesta de resolución, centra nuevamente sus manifestaciones en las medidas correctivas, sin incorporar C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 18/20 argumentos a pruebas que modifiquen la valoración efectuada respecto de la infracción. Por tanto, se concluye que los hechos conocidos son constitutivos de una infracción, imputable a DGP, por vulneración del artículo 32 del RGPD transcrito anteriormente. V Tipificación de la infracción del artículo 32 del RGPD y calificación a efectos de prescripción La vulneración del artículo 32 del RGPD se encuentra tipificada en el artículo 83.4.
- a)del citado RGPD en los siguientes términos: “4. Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 10 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 2 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
- a)las obligaciones del responsable y del encargado a tenor de los artículos 8, 11, 25 a 39, 42 y 43. (…)” Por su parte, la LOPDGDD en su artículo 71, Infracciones, señala que: “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A los solos efectos del plazo de prescripción, el artículo 73 de la LOPDGDD establece lo siguiente: "En función de lo que establece el artículo 83.4 del Reglamento (UE) 2016/679 se consideran graves y prescribirán a los dos años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
- f)La falta de adopción de aquellas medidas técnicas y organizativas que resulten apropiadas para garantizar un nivel de seguridad adecuado al riesgo del tratamiento, en los términos exigidos por el artículo 32.1 del Reglamento (UE) 2016/679." VI Declaración de infracción El artículo 83 “Condiciones generales para la imposición de multas administrativas” del RGPD, en su apartado 7, establece: “Sin perjuicio de los poderes correctivos de las autoridades de control en virtud del artículo 58, apartado 2, cada Estado miembro podrá establecer normas sobre si se C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 19/20 puede, y en qué medida, imponer multas administrativas a autoridades y organismos públicos establecidos en dicho Estado miembro.” El artículo 77 “Régimen aplicable a determinadas categorías de responsables o encargados del tratamiento” de la LOPDGDD dispone lo siguiente: “1. El régimen establecido en este artículo será de aplicación a los tratamientos de los que sean responsables o encargados: (…)
- c)La Administración General del Estado, las Administraciones de las comunidades autónomas y las entidades que integran la Administración Local. (…) 2. Cuando los responsables o encargados enumerados en el apartado 1 cometiesen alguna de las infracciones a las que se refieren los artículos 72 a 74 de esta ley orgánica, la autoridad de protección de datos que resulte competente dictará resolución declarando la infracción y estableciendo, en su caso, las medidas que proceda adoptar para que cese la conducta o se corrijan los efectos de la infracción que se hubiese cometido, con excepción de la prevista en el artículo 58.2.i del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016. La resolución se notificará al responsable o encargado del tratamiento, al órgano del que dependa jerárquicamente, en su caso, y a los afectados que tuvieran la condición de interesado, en su caso. (…) 5. Se comunicarán al Defensor del Pueblo o, en su caso, a las instituciones análogas de las comunidades autónomas las actuaciones realizadas y las resoluciones dictadas al amparo de este artículo. 6. Cuando la autoridad competente sea la Agencia Española de Protección de Datos, esta publicará en su página web con la debida separación las resoluciones referidas a las entidades del apartado 1 de este artículo, con expresa indicación de la identidad del responsable o encargado del tratamiento que hubiera cometido la infracción. Cuando la competencia corresponda a una autoridad autonómica de protección de datos se estará, en cuanto a la publicidad de estas resoluciones, a lo que disponga su normativa específica.” Este precepto establece que los procedimientos que tengan causa en infracciones en materia de protección de datos personales cometidas por las categorías de responsables o encargados del tratamiento enumerados en su apartado 1 se resolverán, en todo caso, declarando la infracción. Por consiguiente, toda vez que el responsable del tratamiento integra la Administración General del Estado y, por tanto, se encuentra encuadrada en el apartado
- c)del artículo 77.1. de la LOPDGDD, la resolución sancionadora declarará la infracción del artículo 32 del RGPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 20/20 Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Presidencia de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR que la DIRECCIÓN GENERAL DE LA POLICÍA, con NIF S2816015H, ha infringido lo dispuesto en el artículo 32 del RGPD, infracción tipificada en el artículo 83.4.
- a)del RGPD. SEGUNDO: NOTIFICAR la presente resolución a la DIRECCIÓN GENERAL DE LA POLICÍA. TERCERO: COMUNICAR la presente resolución al Defensor del Pueblo, de conformidad con lo establecido en el artículo 77.5 de la LOPDGDD. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública. La publicación se realizará una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
- a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeaepd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-101025 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es