PS-00178-2025

1/33  Expediente N.º: EXP202314076 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: La Agencia Española de Protección de Datos ha tenido conocimiento mediante escrito de entrada el 25/04/2023 de ciertos hechos que podrían constituir una posible infracción imputable a D.G. DE LA GUARDIA CIVIL con NIF S2816003D (en adelante, GUARDIA CIVIL o parte reclamada). Mediante los hechos denunciados se pone de manifiesto la existencia de una posible vulneración de la normativa de protección de datos en relación con el uso de la aplicación de mensajería móvil “***APP.1” por parte de la GUARDIA CIVIL. Se señala que la cuenta de cliente de la GUARDIA CIVIL en dicha aplicación permite, según la parte reclamante, que todos los usuarios del mismo cliente conozcan el nombre, apellidos y unidad de destino del resto de usuarios, por el hecho de formar parte del mismo grupo corporativo. Por otro lado, en la reclamación se señala que la aplicación la están descargando los usuarios en sus dispositivos móviles personales al carecer la GUARDIA CIVIL de suficientes teléfonos móviles corporativos, en relación con el número de licencias adquiridas para el uso de la aplicación. Los hechos descritos se acompañan de la siguiente documentación: - Comunicación fechada el 24/11/2023 por la que el delegado de protección de datos de la D.G de la Guardia Civil acusa recibo de la recepción de una solicitud de información cursada. Asimismo, se señala que el plazo para resolver la misma, de acuerdo con el artículo 37 de la Ley Orgánica 3/2018, de 5 de diciembre, de protección de datos personales y garantía de derechos digitales es de dos meses. Ha de señalarse que, según información adjunta, la solicitud de información fue presentada en registro el ***FECHA.1 En el escrito dirigido a esta AEPD se significa que dicha solicitud de información no ha sido respondida. - Política de privacidad de ***APP.1 (en inglés) - Correo electrónico de 23/11/2021 remitido por GC.CMD.PALMASGRANCANARIA-GATI a múltiples destinatarios con el tema CDO. IMPNANTACION DE NUEVA APLICACIÓN ***APP.1 y el siguiente contenido. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/33 Siguiendo instrucciones del Servicio de Telecomunicaciones, se informa que ya está disponible para su instalación en los dispositivos móviles y equipos PCs, el nuevo sistema de Mensajería ***APP.1 que sustituye la antigua aplicación ***APP.2 Según dicho servicio, no se procederá a realizar altas en la aplicación hasta que el proceso de migración a la nueva plataforma finalice. No obstante, aquellos usuarios dados de alta podrán hacer uso de la nueva aplicación, siendo su manejo similar a la aplicación antigua y manteniéndose las mismas credenciales de usuario y contraseña. • Usuarios de apliación en teléfono móvil: Cada usuario se tendrá que descargar del play store o Apple store, según corresponda, la aplicación ***APP.1. • Usuarios de aplicación en PC: Solicitar la instalación al GATI. Se ha verificado que de momento es posible instalar la nueva versión y mantener la antigua, lo que permite verificar que la migración se ha realizado correctamente y se encuentran operativos los posibles grupos de trabajo previamente creados. Se adjunta manual para uso. - Oficio del Gabinete Técnico de la Guardia Civil, de 23/06/2022 con el asunto Uso aplicación Whatsapp versus “***APP.1”. Se viene observando en estos últimos años el incremento de comunicaciones al Consejo de la Guardia Civil sobre el uso de aplicaciones de mensajería móvil, principalmente Whatsapp, para cuestiones relativas al servicio, lo que pudiera plantear desde el punto de vista de la seguridad de la información, ciertas dudas razonables. En su día, la Jefatura de Servicios Técnicos informaba sobre la aplicación de Whatsapp en los siguientes términos. Se trata de una aplicación de uso general por parte de los ciudadanos a nivel mundial, en la que toda la información transferida entre usuarios pasa por los servidores centrales, ubicados en territorio extracomunitario que, posiblemente, la almacenan y tratan con objetivos desconocidos para nuestra Institución. Además de ello, no se dispone de ningún tipo de control sobre la trazabilidad del servicio, la disponibilidad del mismo o cualquier tipo de cumplimiento normativo aplicable al servicio. Y seguía informando que, aun siendo indudables los beneficios operativos, se desaconsejaba el uso para actividades oficiales y, menos aún, operativas, pues supondría por parte de todo aquel personal que haga uso de este tipo de aplicaciones en actividades de carácter oficial, un incumplimiento normativo grave, tanto interno como externo, en todo lo referido a la Seguridad de la información. En el mismo sentido, dicha jefatura recientemente ha informado que la aplicación “***APP.1”, por el contrario, si bien no dispone de las mismas funcionalidades de Whatsapp, sí cumple con los requisitos para ser utilizada de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/33 forma masiva por el personal del Cuerpo. Dicha aplicación está desplegada en servidores ubicados en la DGGC y además está acreditada por el CNI como ENS de nivel Alto, lo que le proporciona una seguridad notablemente superior a las aplicaciones gratuitas que se pueden descargar libremente, como es el caso de Whatsapp. Actualmente hay 70.000 licencias, por lo que está dimensionado en número de licencias para dar servicio a todo el personal del Cuerpo. Se significa que aunque se trata de una aplicación de uso oficial en la Guardia Civil, su instalación puede realizarse en cualquier dispositivo, pues tan solo se requiere como usuario un correo oficial del dominio …@guardiacivil.es y una contraseña de acceso. Por todo ello, se procede a dar traslado de la información obrante en esta Unidad, por si se estima conveniente dar instrucciones para impulsar el uso de la aplicación “***APP.1” frente al uso de la aplicación Whatsapp. - Captura de pantalla de una aplicación de mensajería instantánea de un grupo denominado Área Prevenció.. en el que los usuarios están identificados, aunque algunos parcialmente debido a la configuración de la pantalla de la que dicha conversación se extrae. (…) El contenido de los mensajes es de muy diversa naturaleza; a título de ejemplo, se señalan los siguientes: “ Buenos días. Victima VG A.A.A., ya NO es de riesgo ALTO” “Buenas, alguien con el cuadrante de mañana, que no me sale…gracias. “ “El asunto del aire acondicionado y las luces viene causado por el temporal de la semana pasada. (…)” “Tenemos otra víctima en Riesgo Alto. En total 2 a día de hoy. Se deja documentos en las bandejas de puertas” SEGUNDO: Con fecha 12/05/2023 tiene entrada nuevo escrito en el que señala, en relación con la solicitud de información a la que se hace referida en el antecedente anterior que En el día de hoy 11 de mayo de 2023, se ha recibió carta remitida por el Delegado de Protección de Datos de la Dirección General de la Guardia Civil, que una vez leída, la misma está fechada el pasado día 25 de abril de 2023 Se adjunta la respuesta recibida, en la que se indica lo siguiente: (…) En primer lugar, la utilización por parte de la Guardia Civil de la aplicación ***APP.1 se realiza en modalidad “on premise”, de esta manera, el servidor y toda la información que se recoge se encuentra almacenada en servidores situados en dependencias de la Guardia Civil, por ello algunas de las cuestiones que acertadamente plantea decaen puesto que carecen de sentido de acuerdo con lo anterior. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/33 En relación con la instalación y uso de dicha aplicación a través de smartphones particulares, señalarle que dicha acción no está permitida, puesto que tanto dicha aplicación como especialmente cualquier información (documentos, fotos, etc. ) que se maneje a través de ella debe hallarse en medios oficiales que permitan su rastreo o borrado en remoto en caso de pérdida o sustracción, tal y como se señala en la política de privacidad de uso de medios digitales que ha dictado el responsable del tratamiento MATELECO. (…) TERCERO: Con fecha 28/07/2023 tiene entrada nuevo escrito ante esta AEPD en el que se denuncia que la D.G. de la Guardia Civil ignora la figura del Delegado de Protección de Datos y reitera los argumentos ya incluidos en el primer escrito. CUARTO: Como consecuencia de los hechos conocidos, con fecha 16 de octubre de 2023, la Directora de la Agencia Española de Protección de Datos instó a la Subdirección General de Inspección de Datos (SGID) a iniciar las actuaciones previas de investigación a las que se refiere el artículo 67 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD). QUINTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VIII, de la LOPDGDD. Como consecuencia de las actuaciones realizadas, se ha tenido conocimiento de los siguientes extremos: La aplicación ***APP.1 se emplea como herramienta corporativa de mensajería interna entre los miembros de la Guardia Civil. Según la descripción que figura para su descarga en Google Play: “***APP.1 ofrece servicios de comunicaciones seguras para fuerzas y cuerpos de seguridad del estado, agencias gubernamentales y fuerzas armadas. ***APP.1 ofrece una solución integral de mensajería instantánea, llamadas de voz / video, almacenamiento en la nube y servicios de movilidad que, cumpliendo con el GDPR, está diseñada para impulsar y mejorar la comunicación y colaboración entre los equipos de trabajo”. La aplicación se encuentra desarrollada y mantenida por una entidad externa, ***EMPRESA.1, canalizado a través de la contratación centralizada para las comunicaciones de la GUARDIA CIVIL. La parte reclamada señala que desde finales del año 2021 se sustituyó la aplicación ***APP.2 por la actual ***APP.1. La motivación del cambio según manifiestan es la siguiente: “mediante el cambio referido se pasaba a disponer de una aplicación de mensajería con mayores niveles de seguridad, cifrado de extremo a extremo y servidores instalados en las propias instalaciones de la Guardia Civil; además permite realizar llamadas de voz y videoconferencias, pudiendo además ser utilizado tanto en dispositivos móviles como en ordenadores de sobremesa”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/33 El uso de la aplicación requiere de un registro previo. Para este caso, los usuarios de la GUARDIA CIVIL se generan mediante el correo electrónico corporativo del dominio “@guardiacivil.es”. Por otra parte, la parte reclamada manifiesta: “la instalación de la app es voluntaria, incluir una fotografía propia también (se puede poner el escudo de la Unidad, otra imagen o nada) y los datos de contacto son el correo profesional y el número de teléfono (que debe ser el corporativo)”. Según manifiesta la parte reclamada, la infraestructura tecnológica que soporta la aplicación se encuentra en modalidad “on premise”, es decir, gestionada por la propia GUARDIA CIVIL en sus servidores. A este respecto detallan: “el servidor y toda la información que se recoge se encuentra almacenada en servidores situados en dependencias de la Guardia Civil”. En cuanto a la gestión de roles y permisos, la parte reclamada confirma la posibilidad de que los usuarios consulten información de otros miembros dados de alta: “en relación con la posibilidad de que un usuario consulte datos de toros usuarios, debe entenderse que la propia aplicación genera un directorio profesional, dónde, efectivamente, un guardia civil puede buscar no solo por su nombre a una persona, sino también se pueden buscar Unidades concretas y así quien forma parte de ellas, en cuanto a la información que se obtiene es el empleo, nombre Unidad de destino, teléfono y correo electrónico, así como la fotografía que el usuario pueda haber incorporado a su perfil”. Sobre estas consultas, la parte reclamada argumenta que el funcionamiento es análogo al de un directorio y que de esa manera se puede gestionar una comunicación fluida entre unidades. El número de usuarios es de ***CANTIDAD.1, según manifiesta la parte reclamada. Respecto a los roles disponibles, la parte reclamada confirma que únicamente existe un solo rol, compartiendo, por tanto, todos los usuarios el mismo tipo de permisos independiente de su puesto en la organización. La parte reclamada manifiesta que la aplicación ***APP.1 emplea los siguientes datos: nombre, apellidos y correo electrónico. El uso de número de teléfono y de fotografía es opcional. Adicionalmente, según consta en la política de privacidad, también puede recopilar y usar datos de ubicación del dispositivo si el usuario está utilizando funciones relacionadas con ello. La parte reclamada señala: “el medio está configurado para que a los treinta días elimine automáticamente los archivos y conversaciones con el ánimo de garantizar en la mayor medida posible la confidencialidad de la información”. Se aporta certificado sobre la política de borrado de mensajes, en él se señala: “los mensajes enviados a través de ***APP.1 en el sistema instalado en la DGGC son C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/33 borrados del servidor en un plazo máximo de 24h una vez entregados a todos los canales del usuario al que fueron dirigidos”. En lo que respecta a las medidas de seguridad, (…). En lo referido al empleo de dicha aplicación en dispositivos personales, como se ha indicado, esta aplicación puede emplearse en teléfonos y ordenadores. La parte reclamada a este respecto manifiesta: “los medios sobre los que debe utilizarse esta aplicación es bien a través de los ordenadores de sobremesa o portátiles facilitados por la Guardia Civil, o de los teléfonos móviles oficiales”. Ante la cuestión planteada sobre la posibilidad de los usuarios empleen sus dispositivos particulares, la parte reclamada confirma que es posible emplearlos, no disponiendo de ninguna restricción técnica que limite su empleo. No obstante, manifiesta que esta actuación podría implicar una brecha de seguridad: “debido a los problemas de seguridad para la información que se transmitiese a través de ella, podrían derivarse de la instalación de dicha aplicación en teléfonos particulares no se autorizaba la misma hasta que no se confeccionas políticas de uso o instrucción al respecto”. En todo caso, no se concreta que los usuarios dispongan de terminal móvil corporativo para su uso, ni la forma en que están accediendo: “no se dispone de datos relativos a los usuarios que disponen de terminal móvil inteligente“. Se menciona en otra de las comunicaciones que “en la actualidad se está estudiando la viabilidad de dotar de terminarles de telefonía, a todos los efectivos del Cuerpo que se encuentre en regímenes de prestación del servicio susceptibles de ganar en eficacia y eficiencia con su asignación”, por lo que se puede presuponer que, como señalaba la parte reclamante, el número de teléfonos corporativos era inferior al de usuarios. Se aporta copia del escrito remitido en fecha 23 de abril de 2024 donde se hace hincapié en la limitación del uso de la aplicación en teléfonos personales. En dicho escrito se indica: “en lugar de prohibir, o no permitir, la instalación y uso de dicho software, no se recomienda su uso en teléfonos personales”. Se menciona en dicho comunicado que, pese a que los servidores se encuentran en la modalidad on premise bajo control de la GUARDIA CIVIL, la información contenida en el dispositivo quedaría fuera de control por parte de la organización, y únicamente puede ser borrada si se trata de un dispositivo corporativo enrolado en el sistema MDM (Mobile Device Management). El 9 de septiembre de 2024 se remitió otro escrito sobre esta materia para el traslado al personal. De dicho comunicado se destacan los siguientes extractos sobre el procedimiento trasladado: “Aun no siendo recomendable el uso de la aplicación ***APP.1 en teléfonos no oficiales, quedará supeditada a la responsabilidad del usuario del terminal en el que se utilice” y “la participación en grupos de ***APP.1 que se utilicen para compartir información que contenga datos de carácter personal, como puede ser el cuadrante o detalles del servicio de una Unidad, que afecte a los miembros de dicho grupo, debe, necesariamente, contar con el consentimiento expreso de todos los integrantes del mismo”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/33 Complementariamente, se ha realizado la comprobación de que la aplicación ***APP.1 se encuentra publicada en la Play Store de Android de forma análoga a una aplicación estándar, siendo accesible para cualquier persona, pertenezca o no a la GUARDIA CIVIL, por lo que podría ser instalada en un teléfono convencional. Se hace notar que para su posterior funcionamiento se debería disponer de cuenta corporativa, requiriendo un proceso de registro específico para la GUARDIA CIVIL. La aplicación consta como ofrecida por el proveedor ***EMPRESA.1. La parte reclamada aporta extracto del Registro de Actividades de Tratamiento. En él consta el tratamiento “MATELECO”, cuya finalidad es “gestión y control del uso de los medios de comunicación móvil asignados por el Servicio de Telecomunicaciones para el desempeño de tareas profesionales en la Guardia Civil”. Como responsable consta la DIRECCIÓN GENERAL DE LA GUARDIA CIVIL – JEFE DEL SERVICIO DE TELECOMUNICACIONES y la base de legitimación indicada es “cumplimiento de una obligación legal. Artículo 6.1.

1. c)del RGPD”. No se hace mención específica en dicho tratamiento a la aplicación ***APP.1. Relativo al análisis de riesgos y las medidas que pudieran haber derivado de él, la parte reclamada traslada dicha acción a los adjudicatarios del contrato bajo el que se licitó esta aplicación: “el servicio de mensajería ofrecido por la aplicación ***APP.1 está incluido dentro de los servicios del Lote 3 del Contrato Unificado de Comunicaciones para las Direcciones Generales de la Policía y de la Guardia Civil (…) Este contrato dentro de la gestión de riesgos incluye en su requisito PRO57, que exige a los adjudicatarios realizar anualmente un análisis de riesgos general de sus sistemas e infraestructuras empleadas”. Se aporta copia de dicho análisis de riesgos. Se encuentra fechado a 16 de enero de 2023. Se trata de un análisis de riesgo genérico, sin mención específica a la aplicación. En todo caso, se señala: “no se han identificado riesgos de nivel ALTO”. En la política de privacidad de la aplicación se recoge la siguiente información sobre el tratamiento: “***EMPRESA.1 no accede a la información incluida en los mensajes ni proporcionada en las comunicaciones entre usuarios. Los datos que ***EMPRESA.1 pueda procesar para el propósito de este servicio estarán basados en proporcionar un servicio o cumplir con un contrato. Estos datos se mantendrán mientras se preste el servicio y, en cualquier caso, de acuerdo con las regulaciones aplicables a la seguridad de la información y las comunicaciones electrónicas. ***EMPRESA.1 no compartirá esta información con ninguna otra entidad. Para los servicios de ***APP.1 en modo nube, se utilizarán los servicios de AMAZON en Europa-IRLANDA. Cuando el servicio no se preste en modo nube sino que se implemente ON PREMISE, toda la información se gestionará en las instalaciones físicas de la entidad en la que se incorpore el usuario. ***EMPRESA.1 colaborará en todo momento con el Responsable del Tratamiento y mantendrá actualizada la información relacionada con la seguridad.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/33 Dicha política está accesible en el enlace: ***URL.1 . Se destaca que el nombre del dominio a priori corresponde al de la aplicación antigua ***APP.2 que fue sustituida por ***APP.1. Entre la documentación facilitada, consta el escrito del adjunto del Delegado de Protección de Datos dirigido a la parte reclamante, a fecha de 25 de abril de 2023. En él se señala lo siguiente sobre el uso de la aplicación y la protección de datos personales: “En relación con la instalación y uso de dicha aplicación a través de Smartphone particulares, señalarle que dicha acción no está permitida, puesto que tanto dicha aplicación, como especialmente cualquier información (documentos, fotos, etc.) que se maneje a través de ella debe hallarse en medios oficiales que permitan su rastreo o borrado en remoto en caso de pérdida o sustracción, tal y como se señala en la política de privacidad de uso de medios digitales que ha dictado el responsable del tratamiento MATELECO.” La parte reclamada matizó posteriormente esa conclusión, rebajando la prohibición de teléfonos particulares. En diversas ocasiones la parte reclamada manifiesta la creación de grupos de trabajo para el estudio del uso de la aplicación y sus implicaciones en materia de protección de datos. Se aporta un informe jurídico elaborado por la parte reclamada el 21 de noviembre de 2023, donde se concluye la necesidad de abordar de esta manera la cuestión, con la participación del Delegado de Protección de Datos, para elaborar una política de uso “donde se determinen las actuaciones que pueden o no llevarse a efecto y esta sea trasladada de forma fehaciente a todos los usuarios”. En la última información aportada se matiza: “en la actualidad no existe formalmente como tal constituido un grupo de trabajo, si bien se han realizado reuniones de trabajo para abordar la problemática que motiva este informe”. En lo que respecta a la formación a los usuarios, la parte reclamada aporta manual distribuido a los usuarios con las funcionalidades destacadas de la aplicación. Dicho manual informa del proceso de alta en la aplicación y señala nuevas funcionalidades disponibles para teléfonos con sistema operativo Android, tales como escáner, editor de imágenes, etc. No se localiza información sobre buenas prácticas o medidas de seguridad en dicho documento. Tampoco se localiza referencia a qué tipo de dispositivos se encuentran autorizados para su utilización. De carácter general, la parte reclamada manifiesta que a lo largo del año 2023 hubo formaciones en materia de protección de datos y ciberseguridad para 4.260 efectivos del cuerpo. CUARTO: Con fecha 15 de abril de 2025, la Presidencia de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, por la presunta infracción del artículo 37 de la LO 7/2021, tipificada en el artículo 59.
2. f)de la LO 7/2021. QUINTO: Con fecha 6 de agosto de 2025 se formuló propuesta de resolución, en los siguientes términos: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/33 Que por la Presidencia de la Agencia Española de Protección de Datos se declare que D.G. DE LA GUARDIA CIVIL, con NIF S2816003D, ha infringido lo dispuesto en el artículo 37 de la LO 7/2021, tipificada en el artículo 59.
3. f)de la LO 7/2021. Que por la Presidencia de la Agencia Española de Protección de Datos se ordene a D.G. DE LA GUARDIA CIVIL, con NIF S2816003D, que en virtud del artículo 58.2.
4. d)del RGPD, en el plazo de máximo de SEIS MESES a contar desde la fecha de ejecutividad de la resolución finalizadora de este procedimiento, acredite haber procedido a la adopción de: - Las medidas de seguridad de carácter técnico y organizativo necesarias en atención al nivel de riesgos derivado de los datos objeto de tratamiento. En su virtud se le notifica cuanto antecede, y se le pone de manifiesto el procedimiento a fin de que en el plazo de DIEZ DÍAS pueda alegar cuanto considere en su defensa y presentar los documentos e informaciones que considere pertinentes, de acuerdo con el artículo 89.2 de la LPACAP. SEXTO: Notificada la propuesta de resolución conforme a las normas establecidas en la LPACAP, con fecha 18 de agosto de 2025 tuvo entrada escrito de alegaciones en el que se señala lo siguiente: En relación con el hecho probado cuarto, la parte reclamada señala que cuando se desaconsejó el uso de ***APP.1 no estaba disponible una nueva funcionalidad actualmente desarrollada de borrado remoto en terminales particulares. Por tanto, actualmente, con esta funcionalidad, se considera que sería seguro el uso de la aplicación en terminales particulares. Pese a ello no se ha variado la instrucción dada respecto a la instalación en terminales particulares hasta tanto no se elabora una instrucción técnica de obligado cumplimiento sobre el uso de la aplicación. Esta medida de seguridad, que incluye el borrado remoto de la aplicación y su información asociada, se considera suficiente y adecuada para proteger el dato, y en la citada norma técnica se declarará que es responsabilidad del usuario no compartir dentro de su dispositivo la información de la aplicación ***APP.1 a través de otras aplicaciones o medios, dado que no existe ninguna herramienta técnica capaz de evitar esas exfiltraciones. · Respeto del mismo hecho probado cuatro se indica que el proceso de alta está regulado, siendo necesario que personal técnico de Guardia Civil, del GATI (Grupo de Apoyo a las Tecnologías de la Información), solicite el alta de los usuarios. Además, es necesario remarcar, que tanto en con la aplicación ***APP.1 inicial, como con la actual aplicación, ***APP.1, el alta de cada nuevo usuario ha sido siempre validado por un responsable de la Guardia Civil. Respecto del hecho probado quinto, Se aclara que la información dentro del terminal está cifrada, puesto que la base de datos de ***APP.1 en dispositivos móviles se cifra con el protocolo de cifrado AES256 utilizando la librería SQLCipher. Respecto del hecho probado noveno, y en lo relativo a la afirmación de que existe un único rol para todos los usuarios de la aplicación se señala que como aplicación de mensajería instantánea, está desarrollada como una aplicación de envío de mensajes C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 10/33 de manera bidireccional privada o a grupos, igualmente de manera privada dentro de ese grupo. Es por esto que todos los usuarios tienen el mismo rol como en las aplicaciones comerciales. El escrito de alegaciones insiste en que la Guardia Civil tiene una seguridad perimetral integral formada por diferentes barreras de seguridad, con equipos cortafuegos, proxies, sondas de intrusión, etc., de diferentes fabricantes. Determinándose distintos entornos de seguridad, donde se exige el cumplimiento de Esquema Nacional de Seguridad nivel alto, que da protección a todos los sistemas de la Guardia Civil incluido ***APP.1. Con relación a la recomendación sobre la no instalación en medios particulares relacionada con criterios técnicos de seguridad del dato, que ha sido entendida en la propuesta de resolución como que, en última instancia, desvela que la instalación en medios particulares afecta a la seguridad del dato indican que cuando se hizo esa recomendación no se disponía de la funcionalidad de borrado remoto de la aplicación y sus datos asociados. Esta medida de seguridad de borrado remoto de la aplicación y su información asociada, se considera suficiente y adecuada para proteger el dato. Referido al control sobre la trazabilidad del servicio señalan que ***APP.1 cuenta con trazabilidad total de los archivos enviados. Cada archivo queda asignado a un propietario, y el sistema permite identificar en qué grupos se ha compartido y quiénes lo han descargado, ya sea en dispositivos personales o corporativos Finalmente, como conclusión, en relación a la seguridad de los datos transmitidos por la aplicación ***APP.1, se relacionan las medidas de seguridad adoptadas para garantizar la seguridad del dato:           Se han comprado servidores “on premise” de modo que la información está alojada dentro de las instalaciones de Guardia Civil (Centro de Proceso de Datos propio). La transmisión del dato se realiza de forma cifrada. El almacenamiento del dato dentro del dispositivo se realiza de forma cifrada. Se puede borrar la aplicación y su información asociada de forma remota. Los mensajes se borran de los servidores a las 24 horas. Cuando se instala la aplicación en un nuevo dispositivo se pide doble factor de autenticación. Para dar de alta un usuario siempre se exige la validación de un Guardia Civil. El sistema está acreditado con ENS nivel alto. Los servidores están protegidos por sistemas de seguridad incluidos en el anillo de seguridad perimetral con exigencia de cumplimiento de ENS nivel alto. Existe trazabilidad del dato A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 11/33 HECHOS PROBADOS PRIMERO: La GUARDIA CIVIL ha implementado entre su plantilla el uso de un sistema de mensajería instantánea denominado ***APP.1. Desde desde finales del año 2021 se sustituyó la aplicación inicialmente utilizada, ***APP.2, por la actual ***APP.1. La utilización de dicha aplicación se explicó, inicialmente, debido a las dudas razonables que, desde el punto de vista de la seguridad de la información se derivarían del uso de otras aplicaciones de mensajería que estaban proliferando. Por ello, la implementación de la aplicación ***APP.1, en contraposición con otros servicios de mensajería móvil vino motivada por un aumento de las garantías de seguridad en cuanto a la transmisión de la información, para lo que se apuntaba la posibilidad de ser usada de forma masiva por el personal del Cuerpo con una seguridad notablemente superior a las aplicaciones gratuitas que se pueden descargar libremente. SEGUNDO: La aplicación se encuentra desarrollada y mantenida por una entidad externa, ***EMPRESA.1, y su uso por la reclamada se ha canalizado a través de la contratación centralizada para las comunicaciones de la GUARDIA CIVIL. La aplicación se encuentra disponible para su descarga en Play store o Apple store, de forma análoga a una aplicación estándar. TERCERO: ***APP.1 puede ser utilizada tanto en ordenadores como en dispositivos móviles, y el alta como usuario se produciría, bien utilizando las credenciales de acceso de las que ya se dispusieran para utilizar ***APP.2 o bien, en caso de que sea necesario dar de alta a un nuevo usuario, previa solicitud al GATI – Guardia Civil especialista en tecnologías de la Información) de su unidad. Para completar el alta como usuario es necesario proporcionar una cuenta corporativa de la GUARDIA CIVIL y una contraseña de acceso. CUARTO: El uso de la aplicación por personal de la GUARDIA CIVIL no está restringido a teléfonos oficiales o corporativos. Si bien se desaconseja su uso en teléfonos particulares, no existe ninguna instrucción directa de carácter obligatorio o limitación técnica para su descarga y uso en teléfonos particulares. Así, no existe limitación en cuanto a la tipología del dispositivo en el proceso de alta como usuario, ni en el proceso creación del usuario ni en la comprobación mediante el doble factor de autenticación – contraseña remitida vía email o SMS- instalado. QUINTO: La infraestructura tecnológica que soporta la aplicación se encuentra en modalidad “on premise”, es decir, gestionada por la propia GUARDIA CIVIL en sus servidores. Las comunicaciones son cifradas de extremo a extremo. Los mensajes enviados a través de la aplicación son borrados del servidor en el plazo máximo de 24 horas. No obstante, esta opción no es posible respecto de los documentos o información que, habiendo sido enviados a través de la aplicación, pudieran haber sido descargados por los usuarios en sus dispositivos móviles particulares. SEXTO: Según consta en el expediente, las comunicaciones que son transmitidas utilizando dicha aplicación son de muy variada tipología, incluyendo información que afecta al ámbito funcional de la parte reclamada. De acuerdo con el documento C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 12/33 denominado Novedades ***APP.1, dicha aplicación ha de ser utilizada para comunicar casos de los que tuviera conocimiento la parte reclamada en el marco del ejercicio de sus competencias en el ámbito de la prevención, investigación y sanción de hechos delictivos. SÉPTIMO: Si bien la parte reclamada apunta a que el objetivo es que la mencionada aplicación sea utilizada de forma masiva por el personal del Cuerpo, su uso no ha sido restringido en función de la disponibilidad de móviles corporativos. OCTAVO: En lo relativo a medidas de seguridad adoptadas en relación con el acceso mediante usuario, consta la posibilidad de emplear un segundo factor de autenticación para el acceso a la herramienta, pero sólo cuando se intente acceder a través de un nuevo dispositivo. NOVENO: Existe un único rol para todos los usuarios de la aplicación, por lo que todos los usuarios comparten los mismos permisos. No existe una segmentación de perfiles que permita determinar qué tipo de información pueda ser compartida y por qué usuarios atendiendo a las funciones que tienen encomendadas y no se diferencian medidas de seguridad en función del tipo de información que es transmitida ni el usuario. DÉCIMO: No constan actuaciones concretas relacionadas con el seguimiento del uso de la aplicación ***APP.1 en lo relativo a su afectación al derecho fundamental a la protección de datos personales o actividades formativas específicas dirigidas al personal en relación con las salvaguardas y garantías que hayan de adoptarse en el uso de la mencionada aplicación. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con las funciones que el artículo 49 de la Ley Orgánica 7/2021, de 26 de mayo, de protección de datos personales tratados para fines de prevención, detección, investigación y enjuiciamiento de infracciones penales y de ejecución de sanciones penales (en lo sucesivo, LO 7/2021), atribuye a las autoridades de protección de datos, conforme a lo establecido en el artículo 48 de la citada LO 7/2021 y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 13/33 Por último, el artículo 52 "Régimen aplicable a los procedimientos tramitados ante las autoridades de protección de datos" de la LO 7/2021 establece que: "1. En el caso de que los interesados aprecien que el tratamiento de los datos personales haya infringido las disposiciones de esta Ley Orgánica o no haya sido atendida su solicitud de ejercicio de los derechos reconocidos en los artículos 21, 22 y 23 tendrán derecho a presentar una reclamación ante la autoridad de protección de datos. 2. Dichas reclamaciones serán tramitadas por la autoridad de protección de datos competente con sujeción al procedimiento establecido en el título VIII de la Ley Orgánica 3/2018, de 5 de diciembre, y, en su caso, a la legislación de las Comunidades Autónomas que resulte de aplicación. Tendrán carácter subsidiario las normas generales sobre los procedimientos administrativos y el régimen jurídico del sector público." II Alegaciones al acuerdo de inicio En respuesta a las alegaciones presentadas por la entidad reclamada se debe señalar, en primer lugar y respecto de la distinción que parece realizar entre los datos personales objeto de tratamiento a través de la aplicación (registro de usuario y perfil de usuario) que, además de los datos personales correspondientes a los usuarios, a través de la aplicación se tratan datos personales contenidos en las comunicaciones que se realizan haciendo uso de ***APP.1. Así, tal y como se desprende de la documentación obrante en el expediente, la aplicación se utiliza para la transmisión de mensajes algunos de los cuales contienen datos de carácter personal referidos a la actuación o hecho del que se informa y que, incluso, puede ser categoría especial de datos- como, por ejemplo, el mensaje referido a una víctima de violencia de género que consta en el expediente-. Continua la parte reclamada realizando una serie de alegaciones acerca de las condiciones de alta en la aplicación- para lo que es necesario ser miembro del Cuerpo-, que(…) una persona ajena al Cuerpo (y que por lo tanto no esté dado de alta en ***APP.1 de Guardia Civil) no puede logarse en la aplicación y por lo tanto no puede acceder a datos de esta institución y continúa señalando: el proceso para el alta de los usuarios en la aplicación, el plazo de conservación de los datos en los servidores (reducido a 24 horas) y la posibilidad de acceso remoto- que no es posible para el caso de información que, transmitida a través de la aplicación, hubiera sido descargada en los teléfonos móviles particulares-. Al respecto debemos recordar que lo que se analiza en el presente procedimiento son las medidas de seguridad adoptadas para salvaguardar los datos personales que son tratados a través de la aplicación ***APP.1, utilizada por la reclamada y que, como decimos, afectaría a datos personales de personas físicas objeto de las actuaciones desarrolladas por la parte reclamada en el marco de las funciones que tiene encomendadas. Una seguridad de los datos personales que, a juicio de esta AEPD no se encuentra garantizada por el simple hecho de que una persona ajena a la Guardia Civil no pueda logarse en la aplicación y, por lo tanto, acceder a la información transmitida por la misma, ya que se trata de una afirmación que parece obviar las posibilidades de acceso ilegítimo a sistemas o infraestructuras que pueden resultar C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 14/33 exitosas siempre dependiendo de las medidas de seguridad adoptadas. Unas medidas de seguridad de las que en ningún momento informa la parte reclamada. La afirmación de que la intervención del GATI en el proceso de alta viene a reafirmar que la aplicación se instala en medios oficiales del Cuerpo no se compadece con lo que el propio escrito, posteriormente, señala en el sentido de que no es posible la intervención remota respecto de la información que haya sido descargada por el usuario en su dispositivo fuera de ***APP.1, motivo por el que se ha desaconsejado el empleo de esta herramienta en equipos no oficiales. Respecto del uso de la aplicación ***APP.1 en teléfonos particulares alega que no existe
5. i)base legal para obligar a los miembros de la Guardia Civil a instalar una aplicación en sus dispositivos oficiales
6. ii)para impedir que los miembros de la Guardia Civil descarguen una aplicación disponible en los diferentes market de Android o IoS para concluir que El Servicio de Telecomunicaciones solo puede trasladar una recomendación sobre la no instalación en medios particulares basándose en criterios técnicos de seguridad del dato (…) A nuestro juicio, nos encontramos ante una herramienta que es puesta a disposición de los miembros de la GUARDIA CIVIL para la comunicación de información en cumplimiento de sus funciones. Así, en lo que a esta AEPD interesa, estas comunicaciones abarcarían información sobre actuaciones desarrolladas o a desarrollar, además de cuestiones de carácter no operativo. En este sentido, y al tratarse de una herramienta puesta a disposición de los miembros del Cuerpo, como empleados del mismo, ha de garantizarse que su uso- y no sólo su habilitación como usuario que, como consta en el expediente sí es controlada por la parte reclamada, al ser una Unidad propia la que proporciona las altas- se corresponde con la finalidad para la que ha sido concebida y, sobre todo, en términos de protección de datos personales, que se garantiza una seguridad adecuada al riesgo en el tratamiento de datos personales que se realiza. Llama la atención que se haga una referencia a una recomendación sobre la no instalación en medios particulares relacionada con criterios técnicos de seguridad del dato; afirmación que, en última instancia, desvela que la instalación en medios particulares afecta a la seguridad del dato. En este punto, recordemos que corresponde al responsable del tratamiento adoptar todas las medidas necesarias para garantizar la seguridad de los datos que son tratados, no bastando, a nuestro juicio, unas recomendaciones que, en definitiva, no garantizan la seguridad de la que, como decimos, es responsable la parte reclamada. Significativo es que también afirman que se puede actuar sobre los servidores de la aplicación para borrar de forma remota la aplicación ***APP.1 y los mensajes asociados en los teléfonos particulares en caso de pérdida del terminal, pero no la información que haya sido descargada por el usuario en su dispositivo fuera de ***APP.1, motivo por el que se ha desaconsejado el empleo de esta herramienta en equipos no oficiales (el subrayado es nuestro). Es decir, puede entenderse que el hecho de “desaconsejar”- que no prohibir o evitar que pueda producirse, estableciendo medios técnicos para ello- deriva, al menos en parte, de las limitaciones en cuanto a la necesaria protección de la información que se transmite haciendo uso de la aplicación y, más en concreto, a la posibilidad de borrado remoto de información que haya podido C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 15/33 ser descargada y que se mantengan en los teléfonos particulares a través de los que se use la aplicación. Estas afirmaciones denotan, de igual forma, que no se ha implementado ninguna medida de seguridad para evitar que sea descargada la información cuando ***APP.1 se use mediante terminales particulares. Señala también la reclamada que se tiene previsto redactar y elevar al responsable de Seguridad de la Información de la Guardia Civil un procedimiento de uso y seguridad de la información correspondiente al empleo de la herramienta ***APP.1. Sin perjuicio de que no se dan detalles que permitan valorar por esta AEPD la adecuación del procedimiento que se tendría intención de elaborar, debemos señalar que una previsión no puede considerarse una medida y que, por lo tanto, no puede ser tenida en cuenta en la valoración de los hechos objeto del presente procedimiento sancionador. En relación con la documentación aportada, en concreto, la certificación del ENS y certificación del borrado de los mensajes del servidor cabe en primer lugar recordar que según el artículo 1. 2 del Real Decreto 311/2022, de 3 de mayo, por el que se regula el Esquema Nacional de Seguridad el ENS está constituido por los principios básicos y requisitos mínimos necesarios para una protección adecuada de la información tratada y los servicios prestados por las entidades de su ámbito de aplicación, con objeto de asegurar el acceso, la confidencialidad, la integridad, la trazabilidad, la autenticidad, la disponibilidad y la conservación de los datos, la información y los servicios utilizados por medios electrónicos que gestionen en el ejercicio de sus competencias. (el subrayado es de esta AEPD). Por su parte, el artículo 3 del mencionado Real Decreto indica que 1. Cuando un sistema de información trate datos personales le será de aplicación lo dispuesto en el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento General de Protección de Datos) y en la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales, o, en su caso, la Ley Orgánica 7/2021, de 26 de mayo, de protección de datos personales tratados para fines de prevención, detección, investigación y enjuiciamiento de infracciones penales y de ejecución de sanciones penales, el resto de normativa de aplicación, así como los criterios que se establezcan por la Agencia Española de Protección de Datos o en su ámbito competencial, por las autoridades autonómicas de protección de datos, sin perjuicio de los requisitos establecidos en el presente real decreto. Por todo ello, debemos señalar que el objeto directo de la regulación del ENS no es la protección de los derechos y libertades de los titulares de los datos personales, sino la seguridad de la información que obra en poder de las Administraciones Públicas. En este sentido, y sin disponer de información sobre las medidas de seguridad en el tratamiento de datos personales realizados a través de ***APP.1, no puede argumentarse que la certificación ENS aportada pueda ser considerada válida. Y ello sin perjuicio de que la certificación ENS aportada tiene por objeto el siguiente: “Sistema de información de ***EMPRESA.1., que soporta la prestación del servicio de mensajería instantánea ***APP.1, incluyendo el diseño, desarrollo, implantación, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 16/33 mantenimiento y soporte técnico, instalado en las dependencias del cliente en modo local (on-premise)”; ninguna referencia, por lo tanto, a la seguridad del tratamiento de datos personales realizado a través del uso de la mencionada aplicación. La otra certificación aportada se refiere a una funcionalidad del sistema, referida al plazo de conservación de la información en los servidores y, de nuevo, no tiene incidencia directa en las medidas que garanticen la seguridad en el tratamiento de datos personales. En el segundo escrito de alegaciones remitido, la reclamada afirma que, la aplicación de ***APP.1 se puede instalar en cualquier dispositivo, si bien se han impartido las oportunas directrices para dejar claro que, para incrementar el nivel de seguridad de las comunicaciones, únicamente se permite el uso de dicha aplicación en teléfonos oficiales o corporativos. Estas afirmaciones, no obstante, no hacen sino confirmar que no se ha adoptado ninguna medida que efectivamente evite que la aplicación pueda ser instalada en dispositivos particulares y que tan sólo se ha transmitido una recomendación sobre su uso únicamente en teléfonos corporativos. Una recomendación que no se compadece con el hecho de que se está trabajando en ampliar el número de efectivos que dispongan de teléfonos corporativos – lo que confirma, efectivamente, que el uso de ***APP.1 se instauró en dispositivos particulares sin las debidas garantías en términos de seguridad, al menos en lo que respecta al uso de teléfonos securizados por la reclamada- y que se siga indicando que el objetivo es incrementar el uso del sistema de mensajería ***APP.1 para las comunicaciones oficiales de la GC, sin que ello vaya necesariamente acompasado con medidas que vinculen el uso de esta aplicación a que se traten de dispositivos corporativos. La GUARDIA CIVIL informa respecto de Instrucciones sobre la remisión de datos personales en los partes diarios de novedades que, si bien son acogidas de forma favorable por esta AEPD, no eliminan el hecho de que ***APP.1 sea utilizada en la transmisión de datos de carácter personal y que, derivado de ello, hayan de adoptarse las debidas garantías en términos de seguridad. Y ello sin perjuicio de que alguna de la documentación remitida por la parte reclamada no parece confirmada, tal y como se desprende del hecho de que el correo electrónico fechado el 10/06/2024 habla de instrucciones que “se tiene pensado remitir” Ha de destacarse de igual forma que no puede acogerse el argumento que se señala en el sentido de que Aun no siendo recomendable el uso de la aplicación ***APP.1 en teléfonos no oficiales, quedará supeditada a la responsabilidad del usuario del terminal en el que se utilice. Recordemos que estamos ante una aplicación de mensajería móvil cuya implantación masiva ha sido promovida por la parte reclamada, que pretende que la misma sea la vía de transmisión habitual de información entre sus miembros pero que, por el contrario, no ha adoptado las medidas necesarias para que la transmisión de los datos personales que se realicen a través de la misma se realice con la seguridad que exige la normativa de aplicación. Es por tanto responsabilidad de la parte reclamada garantizar que las herramientas que pone a disposición de su personal garanticen el cumplimiento de la normativa de aplicación; en el caso que nos ocupa, la normativa en materia de protección de datos de carácter personal. Por todo lo anterior, se desestiman las alegaciones aducidas. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 17/33 III Alegaciones a la propuesta de resolución Una vez realizada y notificada la propuesta de resolución, en atención a las circunstancias y hechos de los que se tuvo conocimiento durante la instrucción del procedimiento, la parte reclamada realiza una serie de alegaciones relacionadas con los hechos considerados como probados en la mencionada propuesta de resolución. En relación con la posibilidad de que sean usados teléfonos particulares para la instalación o sólo de la aplicación ***APP.1 sino su uso con fines relacionados con el servicio, la GUARDIA CIVIL alega que actualmente- sin que se aporte fecha al respecto- se encuentra desarrollada una nueva funcionalidad de borrado remoto en terminales particulares. Indica que, con esta medida sería seguro el uso de la aplicación en terminales particulares y reconoce que Pese a ello no se ha variado la instrucción dada respecto a la instalación en terminales particulares hasta tanto no se elabora una instrucción técnica de obligado cumplimiento sobre el uso de la aplicación. En respuesta a esta alegación cabe recordar que el uso de la aplicación en terminales particulares no es sino uno de los aspectos que la AEPD ha tenido en consideración a la hora de considerar la infracción que se le imputa a la reclamada en el presente procedimiento sancionador por lo que una eventual solución a esta deficiencia no solventaría, por sí sola, la situación creada y la infracción cometida. Por otro lado, esta AEPD desconoce, por no haber sino aportada, los detalles de la mencionada nueva funcionalidad que se menciona- fecha de implantación, aplicación a usuarios que ya hubieran descargado previamente la aplicación, detalles sobre su aplicación..-, por lo que carece de elementos para compartir la aseveración de la GUARDIA CIVIL en el sentido de afirmar que se vería garantizada la seguridad. En esta misma alegación, insiste la GUARDIA CIVIL en señalar que, en la norma técnica prevista- aun no adoptada y sin que se haya señalado previsible fecha de adopción- se declarará que es responsabilidad del usuario no compartir dentro de su dispositivo la información de la aplicación ***APP.1 a través de otras aplicaciones o medios, dado que no existe ninguna herramienta técnica capaz de evitar esas exfiltraciones. Al respecto no queda sino insistir en que no puede desplazarse la responsabilidad en el usuario de la aplicación, sino que corresponde a la GUARDIA CIVIL, como responsable del tratamiento, adoptar todas las medidas que sean necesarias para garantizar la seguridad del tratamiento. Sin que quepa, por lo tanto, aludir a una presunta responsabilidad del usuario de la aplicación que, además, puede tener que estar usando su teléfono particular, en el uso de una herramienta que, recordemos, se ha previsto para el uso en la prestación del servicio que corresponde al personal de la GUARDIA CIVIL. Con relación a la segunda alegación y al hecho de que el alta de nuevos usuarios sea validado por un responsable y se gestione a través del GATI, cabe decir que esta AEPD no ha cuestionado en ningún momento que sea así, tal y como se refleja en el hecho probado tercero. Lo que refleja el hecho probado cuarto, al que se refiere la alegación, es que era y es posible la instalación de la aplicación y su uso en teléfonos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 18/33 particulares, a pesar de que la GUARDIA CIVIL, lo desaconsejó- que no prohibiódurante un tiempo prolongado. Y que, a pesar de desaconsejarlo, no estableció restricciones para el uso de terminales particulares
7. i)ni en el proceso de creación del usuario
8. ii)ni en la comprobación mediante doble factor de autenticación-. Ambos pasos del proceso de alta de un usuario. Con relación a lo afirmado en la propuesta de resolución en el sentido de que Las comunicaciones son cifradas de extremo a extremo, pero no consta que la información se cifre en el terminal utilizado para la transmisión afirma ahora la GUARDIA CIVIL que Se aclara que la información dentro del terminal está cifrada, puesto que la base de datos de ***APP.1 en dispositivos móviles se cifra con el protocolo de cifrado AES256 utilizando la librería SQLCipher. Cabe señalar a este respecto que el hecho probado al que se refiere la alegación tiene en cuenta la respuesta que, en el marco de las actuaciones previas de investigación llevadas a cabo por esta AEPD, proporcionó la GUARDIA CIVIL, que tan sólo indicó que se llevaba a cabo un cifrado de extremo a extremo. Es únicamente en este momento procedimental que aporta ahora información adicional y que es tenida debidamente en consideración en la presente resolución. Argumenta la GUARDIA CIVIL que la existencia de un único rol para todos los usuarios de la aplicación es una característica común de las aplicaciones comerciales. Al respecto, esta AEPD insiste en que el objeto del presente procedimiento sancionador no es cuestionar las características o funcionalidades de una concreta aplicación de mensajería sino, en este caso concreto, su uso por parte de la GUARDIA CIVIL como herramienta de trabajo, para la transmisión de información relacionada con el ejercicio de sus funciones, incluyendo información de carácter sensible, y sin que hayan sido tenidas en cuenta medidas de seguridad que atiendan a las características de los datos personales objeto de tratamiento que, en buena lógica, variarán en función de las responsabilidades desempeñadas por cada usuario y que vendrán determinadas por las funciones asignadas. Así, la AEPD no cuestiona que se puedan usar aplicaciones de mensajería instantánea, sino que las mismas deberán estar dotadas de las garantías necesaria para proteger la seguridad del tratamiento de datos que se realiza a través de la transmisión de información personal haciendo uso de dichas aplicaciones. Hace referencia a continuación a las medidas de seguridad perimetral integral que tiene instaladas y que, no obstante, no sólo no son cuestionadas por esta AEPD, sino que no son objeto del presente procedimiento sancionador que, recordemos, viene referido a la seguridad del tratamiento de datos personales que se realiza a través del uso de la aplicación ***APP.1 por el personal de la parte reclamada. Señala en esta fase la parte reclamada que se cuenta con una trazabilidad total de los archivos enviados. Cada archivo queda asignado a un propietario, y el sistema permite identificar en qué grupos se ha compartido y quiénes lo han descargado, ya sea en dispositivos personales o corporativos. Al respecto, cabe indicar que las medidas de seguridad asociadas al riesgo derivado del tratamiento han de venir referidas a evitar que se realice una transmisión y/o descarga de información de forma indebida, de tal manera que queden expuestos los datos personales que contiene la información transmitida. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 19/33 Por todo lo anterior, y sin perjuicio de que esta AEPD considera de forma muy positiva todas las actuaciones llevadas a cabo por la GUARDIA CIVIL respecto de las medidas de seguridad del tratamiento de datos personales vinculadas al uso de ***APP.1, no cabe sino señalar que la infracción ha sido cometida y que, por lo tanto, en lo que respecta al resultado del presente procedimiento sancionador, las alegaciones aducidas han de ser desestimadas. IV Obligación incumplida. Seguridad del tratamiento Cabe comenzar señalando que el presente expediente sancionador trae como causa el conocimiento por parte de esta AEPD del uso por la GUARDIA CIVIL de una aplicación de mensajería instantánea- ***APP.1- como medio de comunicación entre su personal. Tal y como ha quedado reflejado en los hechos de la presente resolución, las comunicaciones que son transmitidas utilizando dicha aplicación son de muy variada tipología, pero, entre la misma, parece destacar información sobre hechos acaecidos en el ámbito territorial de cada Comandancia/Unidad en la que se utilice esta vía de comunicación y que afectan al ámbito funcional de la parte reclamada. En este sentido, resulta del mayor interés que, de acuerdo con la información aportada por el reclamante, fue distribuido un documento denominado Novedades ***APP.1 en el que se hace referencia a cómo comunicar casos de los que tuviera conocimiento la parte reclamada en el marco del ejercicio de sus competencias en el ámbito de la prevención, investigación y sanción de hechos delictivos. Ejemplo de ello son los siguientes: 19. Muertes por violencia de género, haciendo referencia a los antecedentes, denuncias previas y grado de protección. 20. Desapariciones de personas que se presuma que no sean voluntarias y las voluntarias en las que concurran circunstancias que indiquen que la desaparición podría suponer un riesgo para la vida o integridad física de la persona desaparecida. Se indicará si se ha activado un dispositivo de búsqueda y, en su caso, cuáles son sus características. 25 Cualquier otro hecho o actuación que, por su repercusión o circunstancias, se considere conveniente o necesario deba ser conocido por los Mandos de la Dirección General o por la Secretaría de Estado de Seguridad. 26 Delitos ámbito VIOGEN de riesgo alto y extremo Asimismo, se incluye especificación sobre el formato que debe tener la información que se remita: FORMATO ***APP.1 DELITOS LAS PALMAS. XXXXXX (LESIONES). (…), Delito de XXXXXXXX Lugar: Calle XXXXXXXX. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 20/33 Víctima: XXXXXXX (NACIONALIDAD) Autor: XXXXXXX (NACIONALIDAD). Resumen: exponer brevemente lo ocurrido contestando a QUIEN, QUE, CUANDO, DONDE y POR QUÉ? En caso de no saber alguna de las preguntas se pondrá que se desconoce. No copiar texto de sigo ya que debe ser un resumen que en caso de requerir más información se pediría. FORMATO ***APP.1 VIOGEN LAS PALMAS. VIOGEN. (…). Malos tratos en el ámbito familiar (VG). Fecha: XX de XX 2023. VPR: xxxxx Lugar de los hechos: xxxxxxxxxxx. Víctima: X.X.X. Agresor: X.X.X. Tipo de relación entre victima y agresor: XXXXXX. Hijos menores de edad: Si/no (xx año y xx años). Denuncias previas: Si/No. Agresor detenido: Si/No Resumen: xxxxxxxxxxxxxxxxxxxxxxxxx Esta circunstancia, unida a que ya junto con la reclamación se aportaba comunicaciones que se referían al ámbito de la investigación de delitos – a título de ejemplo, el mensaje “Buenos días. Victima VG A.A.A., ya NO es de riesgo ALTO”permite confirmar la aplicación lo dispuesto en la mencionada LO 7/2021. El artículo 37- Seguridad del tratamiento- de dicha norma dispone lo siguiente: 1. El responsable y el encargado del tratamiento, teniendo en cuenta el estado de la técnica y los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como los niveles de riesgo para los derechos y libertades de las personas físicas, aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado, especialmente en lo relativo al tratamiento de las categorías de datos personales a las que se refiere el artículo 13. En particular, deberán aplicar a los tratamientos de datos personales las medidas incluidas en el Esquema Nacional de Seguridad. 2. Por lo que respecta al tratamiento automatizado, el responsable o encargado del tratamiento, a raíz de una evaluación de los riesgos, pondrá en práctica medidas de control con el siguiente propósito:
9. a)En el control de acceso a los equipamientos, denegar el acceso a personas no autorizadas a los equipamientos utilizados para el tratamiento.
10. b)En el control de los soportes de datos, impedir que estos puedan ser leídos, copiados, modificados o cancelados por personas no autorizadas. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 21/33
11. c)En el control del almacenamiento, impedir que se introduzcan sin autorización datos personales, o que estos puedan inspeccionarse, modificarse o suprimirse sin autorización.
12. d)En el control de los usuarios, impedir que los sistemas de tratamiento automatizado puedan ser utilizados por personas no autorizadas por medio de instalaciones de transmisión de datos.
13. e)En el control del acceso a los datos, garantizar que las personas autorizadas a utilizar un sistema de tratamiento automatizado, sólo puedan tener acceso a los datos personales para los que han sido autorizados.
14. f)En el control de la transmisión, garantizar que sea posible verificar y establecer a qué organismos se han transmitido o pueden transmitirse, o a cuya disposición pueden ponerse los datos personales mediante equipamientos de comunicación de datos.
15. g)En el control de la introducción, garantizar que pueda verificarse y constatarse, a posteriori, qué datos personales se han introducido en los sistemas de tratamiento automatizado, en qué momento y quién los ha introducido.
16. h)En el control del transporte, impedir que durante las transferencias de datos personales o durante el transporte de soportes de datos, los datos personales puedan ser leídos, copiados, modificados o suprimidos sin autorización.
17. i)En el control de restablecimiento, garantizar que los sistemas instalados puedan restablecerse en caso de interrupción.
18. j)En el control de fiabilidad e integridad, garantizar que las funciones del sistema no presenten defectos, que los errores de funcionamiento sean señalados y que los datos personales almacenados no se degraden por fallos de funcionamiento del sistema. Así, dicho precepto obliga a la adopción de medidas de seguridad, que pueden ser de índole técnica u organizativa, y que deberán ser adecuadas al riesgo del tratamiento de datos personales realizados. A sensu contrario dicho precepto se vería vulnerado si no se adoptasen dichas medidas que, adecuadas al riesgo y con carácter general, garantizaran la seguridad del tratamiento. La obligación de adoptar todas las medidas técnicas y organizativas impuesta por el artículo 37 de la LO 7/2021 se vincula a los niveles de riesgo para los derechos y libertades de las personas físicas derivados del tratamiento y establece diferentes fases del tratamiento en el que dichas medidas de seguridad han de aplicarse, sin que quepa excluir cualquier otra que pudiera ser aplicable en el caso concreto. Dicho precepto alude a que las medidas que se adopten deben tener en consideración lo dispuesto en el artículo 13- Tratamiento de categorías especiales de datos personales- de la norma, que se pronuncia en los siguientes términos: 1. El tratamiento de datos personales que revelen el origen étnico o racial, las opiniones políticas, las convicciones religiosas o filosóficas o la afiliación sindical, así como el tratamiento de datos genéticos, datos biométricos dirigidos a identificar de manera unívoca a una persona física, los datos relativos a la salud o a la vida sexual o a la orientación sexual de una persona física, sólo se permitirá cuando sea estrictamente necesario, con sujeción a las C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 22/33 garantías adecuadas para los derechos y libertades del interesado y cuando se cumplan alguna de las siguientes circunstancias:
19. a)Se encuentre previsto por una norma con rango de ley o por el Derecho de la Unión Europea.
20. b)Resulte necesario para proteger los intereses vitales, así como los derechos y libertades fundamentales del interesado o de otra persona física.
21. c)Dicho tratamiento se refiera a datos que el interesado haya hecho manifiestamente públicos. 2. Las autoridades competentes, en el marco de sus respectivas funciones y competencias, podrán tratar datos biométricos dirigidos a identificar de manera unívoca a una persona física con los fines de prevención, investigación, detección de infracciones penales, incluidas la protección y la prevención frente a las amenazas contra la seguridad pública. 3. Los datos de los menores de edad y de las personas con capacidad modificada judicialmente o que estén incursas en procesos de dicha naturaleza, se tratarán garantizando el interés superior de los mismos y con el nivel de seguridad adecuado. Asimismo, es de destacar que, según lo dispuesto en el artículo 6.5 de la norma: 5. El responsable del tratamiento deberá garantizar y estar en condiciones de demostrar el cumplimiento de lo establecido en este artículo Entre ello, lo establecido en el apartado 1
22. f)de dicho precepto Los datos personales serán
23. f)Tratados de manera que se garantice una seguridad adecuada, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental. Para ello, se utilizarán las medidas técnicas u organizativas adecuadas A destacar son varios de los considerandos de la Directiva (UE) 2016/680 de 27 de abril de 2016 relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales por parte de las autoridades competentes para fines de prevención, investigación, detección o enjuiciamiento de infracciones penales o de ejecución de sanciones penales, y a la libre circulación de dichos datos y por la que se deroga la Decisión Marco 2008/977/JAI del Consejo, transpuesta a nuestro ordenamiento jurídico por la ya mencionada LO 7/2021, y, en concreto, los siguientesel subrayado es nuestro-: