1/31 Expediente N.º: EXP202317649 RESOLUCIÓN DE PROCEDIMIENTO POR RECONOCIMIENTO DE LA RESPONSABILIDAD Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 19 de mayo de 2025, la Presidencia de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a DIRECCIÓN GENERAL DE GANADERÍA (en adelante, DG GANADERÍA), mediante el Acuerdo que se transcribe: << Expediente N.º: EXP202317649 ACUERDO DE INICIO DE PROCEDIMIENTO SANCIONADOR HECHOS....................................................................................................................... 3 PRIMERO: Notificación de brecha............................................................................. 3 SEGUNDO: Inicio de actuaciones.............................................................................. 3 TERCERO. Primera reclamación............................................................................... 3 CUARTO. Segunda reclamación................................................................................ 3 QUINTO. Admisión a trámite...................................................................................... 4 SEXTO: Actuaciones previas de investigación........................................................... 4 FUNDAMENTOS DE DERECHO................................................................................. 11 I.Competencia.......................................................................................................... 11 II.Procedimiento........................................................................................................ 11 III. Cuestiones previas.............................................................................................. 12 IV. Obligación incumplida. Integridad y confidencialidad.......................................... 13 1.Referencia normativa......................................................................................... 13 2.Tipo de datos afectados..................................................................................... 14 3.Origen de la brecha........................................................................................... 14 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/31 4.Insuficiencia de las medidas adoptadas por la parte reclamada antes de la brecha................................................................................................................... 15 5.Conclusión......................................................................................................... 17 V. Tipificación de la infracción del artículo 5.1.
(83)A fin de mantener la seguridad y evitar que el tratamiento infrinja lo dispuesto en el presente Reglamento, el responsable o el encargado deben evaluar los riesgos inherentes al tratamiento y aplicar medidas para mitigarlos, como el cifrado. Estas medidas deben garantizar un nivel de seguridad adecuado, incluida la confidencialidad, teniendo en cuenta el estado de la técnica y el coste de su aplicación con respecto a los riesgos y la naturaleza de los datos personales que deban protegerse. Al evaluar el riesgo en relación con la seguridad de los datos, se deben tener en cuenta los riesgos que se derivan del tratamiento de los datos personales, como la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos, susceptibles en particular de ocasionar daños y perjuicios físicos, materiales o inmateriales”. Como señala igualmente el Considerando 39: “…Los datos personales deben tratarse de un modo que garantice una seguridad y confidencialidad adecuadas de los datos personales, inclusive para impedir el acceso o uso no autorizados de dichos datos y del equipo utilizado en el tratamiento Hay que señalar que las medidas de seguridad son claves a la hora de garantizar el derecho fundamental a la protección de datos ya que no es posible asegurar el citado derecho si no es posible garantizar la confidencialidad, la integridad y la disponibilidad de los datos personales. Para garantizar estos factores de la seguridad son necesarias medidas tanto de índole técnica como de índole organizativo que sean adecuadas. Uno de los requerimientos que establece el RGPD para responsables y encargados del tratamiento que realizan actividades de tratamiento con datos personales es la necesidad de llevar a cabo un análisis de riesgos de la seguridad de la información con el fin de establecer las medidas de seguridad y control orientadas a cumplir los principios de protección desde el diseño y por defecto que garanticen los derechos y libertades de las personas. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 16/31 2. Insuficiencia de las medidas de seguridad De la documentación incorporada al expediente se advierten claras deficiencias en la adopción de medidas de seguridad En primer lugar, la parte reclamada no había efectuado un análisis de riesgos del tratamiento. En su requerimiento de 03/01/2024, el inspector de la AEPD solicita a la parte reclamada, entre otra información y documentación “Copia de los Análisis de riesgo realizados, en su caso, sobre la actividad de tratamiento que ha sufrido la brecha de seguridad con anterioridad a la incidencia acaecida”. Pues bien, en el informe de la DG INFORMÁTICA del Gobierno de Cantabria, unido a la contestación, consta la siguiente afirmación: “Respecto al aspecto 5.2, indicar que no se contaba con un análisis de riesgos previo al incidente. Se ha realizado uno con posterioridad, que se aporta: ”. Como se afirma en la Guía de Gestión del riesgo y la evaluación de impacto de esta AEPD: “La gestión del riesgo es uno de los pilares de la dirección de cualquier organización. Toda entidad, cuando pretende iniciar con garantías un nuevo producto o servicio, debe gestionar los elementos de incertidumbre que se derivan de su naturaleza, ámbito, contexto y fines. Las normas ISO10 definen esta actividad como la “aproximación basada en el riesgo” (RBT de “risk based thinking”). El RBT es, con la orientación a procesos (tratamientos11), uno de los dos pilares para la gestión de la calidad en cualquier entidad o, dicho de otra forma, es el “idioma” que hablan los modernos sistemas de administración de las organizaciones. (…) El riesgo para los derechos y libertades atañe principalmente, como manifiestan las Directrices WP248, a los derechos a la protección de datos y a la intimidad. El Considerando 75 desarrolla el concepto de riesgo para los derechos y libertades como cualquier efecto o consecuencia no deseados sobre los interesados o no previsto en el propio tratamiento de datos personales, capaz de generar daños o perjuicios sobre sus derechos y libertades, particularizando, entre otros: los daños y perjuicios físicos, materiales o inmateriales, problemas de discriminación, usurpación de identidad o fraude, pérdidas financieras, daño para la reputación, pérdida de confidencialidad de datos sujetos al secreto profesional, reversión no autorizada de la seudonimización, perjuicios económicos o sociales, privación a los interesados de sus derechos y libertades, que se les impida ejercer el control sobre sus datos personales, etc. De forma más específica, las propias Directrices WP248 interpretan que la protección se ha de extender a otros derechos fundamentales. Explícitamente, se señalan la libertad de expresión, la libertad de pensamiento, la libertad de circulación, la prohibición de discriminación y la libertad de conciencia y de religión. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 17/31 (…) En conclusión, el foco de la gestión de riesgos en el RGPD es la protección de la persona, en su dimensión individual y social, como sujeto de los datos o afectado por el tratamiento. Aunque tenga una relación colateral, la gestión del riesgo para los derechos y libertades no está orientada a proteger intereses propios del responsable o encargado con relación, por ejemplo, a la continuidad del tratamiento, su eficacia o su eficiencia, el cumplimiento normativo o con relación a las posibles actividades de negocio del encargado y responsable. La gestión del riesgo para los derechos y libertades no está orientada a gestionar el riesgo para la organización derivado de un incumplimiento normativo. La primera está orientada al interesado, como se ha señalado en el anterior apartado, mientras que la segunda, es una gestión del riesgo que pone su foco en la protección de los intereses de la entidad. Por lo tanto, el incumplimiento o posible incumplimiento de los principios y derechos establecidos en el RGPD y la normativa de desarrollo no es objeto de una gestión del riesgo que para los derechos y libertades puede ocasionar un tratamiento a los interesados. Todas las actividades de tratamiento de datos personales implican un riesgo para las personas cuyos datos son tratados y, en particular, para sus derechos y libertades. Incluso, en aquellos casos en los que el responsable, ya sea por la tipología del dato o por el tipo de actividad de la organización, pudiera asumir la existencia de un riesgo escaso para los interesados o incluso la inexistencia de riesgo. Las Directrices WP248 aclaran la importancia de realizar la gestión del riesgo en los tratamientos aun cuando los tratamientos no sean de alto riesgo: El mero hecho de que las condiciones que dan lugar a la obligación de llevar a cabo una EIPD no se hayan cumplido no disminuye la obligación general de los responsables del tratamiento de aplicar medidas para gestionar adecuadamente los riesgos para los derechos y libertades de los interesados. En la misma línea, con relación a las obligaciones generales del responsable y encargado del tratamiento, el artículo 28 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD) plantea la necesidad de tener en cuenta los riesgos que podrían producirse como resultado de un tratamiento de datos personales. La ausencia de una adecuada evaluación del riesgo hace imposible la adopción de las medida técnicas y organizativas que requiere el RGPD, toda vez que estas se basarán en la aproximación a los riesgos que se detecten en la realización del tratamiento. Difícilmente se van a poder diseñar un establecer unas medidas de seguridad adecuadas al riesgo si este no se ha analizado. La parte reclamada ha aportado con posterioridad a la brecha, en la contestación al primer requerimiento de inspección, un documento con el análisis de riegos, que lleva como fecha la de 26/10/2023 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 18/31 También se ha constatado que por la parte reclamada no se tenía planificada ni ejecutada una supresión de los usuarios obsoletos (se entiende que los creados para usuarios que ya no tienen acceso a la aplicación informática del Registro) En el informe de la Dirección General de Informática, que se adjuntó a la contestación al primer requerimiento de inspección, dentro de las medidas previstas tras la brecha se encontraba la de “Previsto el 01/04/2024: Eliminación de usuarios obsoletos de RACIC.”. Se deduce que no era una medida implantada con anterioridad. En posterior contestación, con fecha 16/09/24 la misma Dirección General afirma haber realizado ya la supresión. Hasta ese momento, la medida no había sido ejecutada. No es necesario insistir en la importancia de suprimir los accesos de usuarios que ya no deberían tenerlo al sistema. Ello además reforzado por la inexistencia de medidas adicionales de control de accesos como el doble factor de autenticación o la caducidad de las contraseñas. A mayor abundamiento, se observa asimismo que la parte reclamada no llevó a cabo las auditorías previstas en el Esquema Nacional de Seguridad. A este respecto, por parte del inspector de la AEPD se requirió “Copia de la última auditoría llevada a cabo de conformidad con las previsiones del Esquema Nacional de Seguridad (ENS).”, siendo así que la contestación fue que “En relación al aspecto 5.6, señalar que RACIC no ha sido objeto de una auditoría llevada a cabo de conformidad con las previsiones del Esquema Nacional de Seguridad (ENS). Se tiene previsto que para la nueva aplicación RACIC se exija tal auditoría a la entidad que la va a desarrollar y alojar. No obstante, cabe señalar que si bien la aplicación RACIC en sí no ha sido objeto de auditoría de cumplimiento del ENS, los sistemas que la alojan y en los que se sustenta sí que lo han sido, con varias auditorías ENS (la última de 2021), una auditoría anual de ISO 27002:2013 realizada por la empresa PwC, al menos desde el año 2011, y auditorías extraordinarias de la unión europea realizadas cada cierto número de años (la última en junio de 2022).” Conforme al artículo 31 del Esquema Nacional de Seguridad (aprobado por el Real Decreto 311/2022, de 3 de mayo, “Los sistemas de información comprendidos en el ámbito de aplicación de este real decreto serán objeto de una auditoría regular ordinaria, al menos cada dos años, que verifique el cumplimiento de los requerimientos del ENS.” Conforme al artículo 1.2. del mencionado Real Decreto: “El ENS está constituido por los principios básicos y requisitos mínimos necesarios para una protección adecuada de la información tratada y los C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 19/31 servicios prestados por las entidades de su ámbito de aplicación, con objeto de asegurar el acceso, la confidencialidad, la integridad, la trazabilidad, la autenticidad, la disponibilidad y la conservación de los datos, la información y los servicios utilizados por medios electrónicos que gestionen en el ejercicio de sus competencias.” Si bien el objeto directo de la regulación del ENS no es la protección de los derechos y libertados de los titulares de los datos personales, sino la seguridad de la información que obra en poder de las Administraciones Públicas, lo cierto es que la ausencia de la realización de auditorías a que obliga dicho Esquema delata la posible falta de medidas de seguridad en relación con el tratamiento de la información, dado que las auditorías pueden poner de manifiesto fallos en dichas medidas de seguridad, cuya falta puede incidir en la protección de datos personales (en tanto el responsable del tratamiento en este caso debe aplicar a los tratamientos de datos personales las medidas de seguridad que correspondan de las previstas en el Esquema Nacional de Seguridad, así como convertirse en un riesgo para los derechos y libertades que se derivan de la protección de datos personales. La disposición adicional primera de la LOPDGDD dispone lo siguiente: Disposición adicional primera. Medidas de seguridad en el ámbito del sector público. 1. El Esquema Nacional de Seguridad incluirá las medidas que deban implantarse en caso de tratamiento de datos personales para evitar su pérdida, alteración o acceso no autorizado, adaptando los criterios de determinación del riesgo en el tratamiento de los datos a lo establecido en el artículo 32 del Reglamento (UE) 2016/679. 2. Los responsables enumerados en el artículo 77.1 de esta ley orgánica deberán aplicar a los tratamientos de datos personales las medidas de seguridad que correspondan de las previstas en el Esquema Nacional de Seguridad, así como impulsar un grado de implementación de medidas equivalentes en las empresas o fundaciones vinculadas a los mismos sujetas al Derecho privado. En los casos en los que un tercero preste un servicio en régimen de concesión, encomienda de gestión o contrato, las medidas de seguridad se corresponderán con las de la Administración pública de origen y se ajustarán al Esquema Nacional de Seguridad. Por su parte, el artículo 3 del Esquema Nacional de Seguridad (aprobado por el Real Decreto 311/2022, de 3 de mayo: “Artículo 3. Sistemas de información que traten datos personales. 1. Cuando un sistema de información trate datos personales le será de aplicación lo dispuesto en el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 20/31 libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento General de Protección de Datos) y en la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales, o, en su caso, la Ley Orgánica 7/2021, de 26 de mayo, de protección de datos personales tratados para fines de prevención, detección, investigación y enjuiciamiento de infracciones penales y de ejecución de sanciones penales, el resto de normativa de aplicación, así como los criterios que se establezcan por la Agencia Española de Protección de Datos o en su ámbito competencial, por las autoridades autonómicas de protección de datos, sin perjuicio de los requisitos establecidos en el presente real decreto. 2. En estos supuestos, el responsable o el encargado del tratamiento, asesorado por el delegado de protección de datos, realizarán un análisis de riesgos conforme al artículo 24 del Reglamento General de Protección de Datos y, en los supuestos de su artículo 35, una evaluación de impacto en la protección de datos. 3. En todo caso, prevalecerán las medidas a implantar como consecuencia del análisis de riesgos y, en su caso, de la evaluación de impacto a los que se refiere el apartado anterior, en caso de resultar agravadas respecto de las previstas en el presente real decreto.” De este modo, aunque la protección de datos implica mucho más que aplicar las medidas del ENS, tal y como previene su artículo 3, lo cierto es que la disposición adicional 1ª de la LOPDGDD obliga a los sujetos del art. 77 de la LOPDGDD a aplicar las medidas de seguridad que correspondan de las previstas en el Esquema Nacional de Seguridad. 3. Conclusiones Todos estos aspectos proporcionan suficientes evidencias para considerar que, en el momento en que se produjo la brecha, la parte reclamada no tenía implantadas medidas técnicas y organizativas de seguridad apropiadas para garantizar un nivel de seguridad adecuado al riesgo, Por tanto, de conformidad con las evidencias de las que se dispone en este momento de acuerdo de inicio de procedimiento sancionador, se considera que los hechos conocidos podrían ser constitutivos de una infracción, imputable a la DG GANADERÍA, por vulneración del artículo 32 del RGPD transcrito anteriormente. VII. Tipificación de la infracción del artículo 32 del RGPD y calificación a efectos de prescripción El artículo 83.4 del RGPD tipifica como infracción administrativa la vulneración de los artículos siguientes, se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 10.000.000 EUR como máximo o, tratándose de una empresa, de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 21/31 una cuantía equivalente al 2 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: "
- a)las obligaciones del responsable y del encargado a tenor de los artículos 8, 11, 25 a 39, 42 y 43;
- b)las obligaciones de los organismos de certificación a tenor de los artículos 42 y 43;
- c)las obligaciones de la autoridad de control a tenor del artículo 41, apartado 4." Por su parte, la LOPDGDD en su artículo 71, Infracciones, señala que: “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A los solos efectos del plazo de prescripción, el artículo 73 de la LOPDGDD establece lo siguiente: "En función de lo que establece el artículo 83.4 del Reglamento (UE) 2016/679 se consideran graves y prescribirán a los dos años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
- f)La falta de adopción de aquellas medidas técnicas y organizativas que resulten apropiadas para garantizar un nivel de seguridad adecuado al riesgo del tratamiento, en los términos exigidos por el artículo 32.1 del Reglamento (UE) 2016/679." VIII. Obligación incumplida. Minimización de datos La letra
- c)del artículo 5.1 del RGPD propugna: "1. Los datos personales serán: (…)
- c)adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados («minimización de datos»);" El principio de minimización de datos, recogido en el citado artículo, tiene como finalidad garantizar que únicamente se traten los datos personales estrictamente necesarios para alcanzar el propósito legítimo del tratamiento, evitando el uso excesivo o desproporcionado de información personal. Este principio protege los derechos y libertades de los interesados al limitar el tratamiento de datos a lo imprescindible, reduciendo los riesgos y asegurando un uso responsable de la información personal. Conforme a la notificación de la brecha de datos personales remitida a esta Agencia, los datos que fueron objeto de acceso indebido fueron: (…) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 22/31 Como se observa, el Registro de animales de compañía contenía no solo datos personales sino también imágenes de documentos de identidad (DNI y otros). En relación con este último aspecto, la contestación que al inspector dirige la parte reclamada explica lo siguiente: “La aplicación contenía imágenes escaneadas de documentos de identificación, tales como DNI o pasaportes. Esto era debido al protocolo aplicado en las gestiones vinculadas a la cesión de mascotas entre particulares. Tras el incidente se ha replanteado este protocolo para evitar manejar ese tipo de imágenes.” En relación con los riesgos provocados por el acceso a las imágenes contenidas en el registro se afirma lo siguiente: “Según la literatura sobre la materia y en particular, según comunicado público de la Guardia Civil, las imágenes escaneadas de documentos de identificación tales como el DNI o equivalentes pueden emplearse para: abrir cuentas bancarias, solicitar préstamos, registros en casas de apuestas y hacer compras o ventas.” En relación con las medidas adoptadas con posterioridad a la brecha, se indica que en primer lugar se procedió al “bloqueo” de las imágenes de documentos contenidas en el registro. Posteriormente se habría adoptado la decisión de modificar el protocolo de cesión de mascotas para no almacenar imágenes de documentos identificativos. En contestación al segundo requerimiento del inspector, la DG GANADERÍA afirma que con fecha 1 de febrero de 2024 se envió a los usuarios una nueva versión del manual de usuarios del RACIC, con nueva solicitud de cambio de titularidad y correo del Jefe de Servicio de Producción Animal con instrucciones al respecto. En estos nuevos documentos se pone de manifiesto la decisión de prescindir de recoger y almacenar imágenes escaneadas de documentos identificativos. El principio de minimización es básico en cuanto al tratamiento de datos personales. Toda vez que el tratamiento, recogida, conservación de datos personales implica necesariamente un riesgo para los derechos y libertades de sus titulares (que en este caso además se materializó en perjuicio), previamente al tratamiento debe realizarse un análisis de si los que se pretenden recolectar son pertinentes y necesarios para el cumplimiento de los fines que una organización tiene encomendados. En este caso no se ha motivado ni mucho menos acreditado la necesidad de conservar imágenes de los documentos identificativos. Tampoco se ha aportado el protocolo de cambio de titularidad de mascotas que presuntamente podría justificar el tratamiento de las imágenes. Por lo demás, el hecho de que las mencionadas imágenes hayan sido bloqueadas o suprimidas sin que por ello se haya resentido el funcionamiento del Registro ni las gestiones asociadas al mismo, hacen considerar que existe evidencia de que la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 23/31 obtención y conservación de imágenes de los documentos identificativos vulneraba el principio de minimización del art 5.1.
- c)del RGPD. A este respecto, como bien advierte el informe remitido por la propia parte reclamada, la filtración o acceso indebido a estas imágenes incrementa significativamente el riesgo de suplantación de identidad y, en todo caso, va en menoscabo del poder de disposición de toda persona sobre sus datos personales. Por tanto, de conformidad con las evidencias de las que se dispone en este momento de acuerdo de inicio de procedimiento sancionador, se considera que los hechos conocidos podrían ser constitutivos de una infracción, imputable a la DG GANADERÍA, por vulneración del artículo 5.1.
- c)del RGPD transcrito anteriormente. IX. Tipificación de la infracción del artículo 5.1.
- c)del RGPD y calificación a efectos de prescripción El artículo 83.5 del RGPD tipifica como infracción administrativa la vulneración de los artículos siguientes, que se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20.000.000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: "
- a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9;
- b)los derechos de los interesados a tenor de los artículos 12 a 22;
- c)las transferencias de datos personales a un destinatario en un tercer país o una organización internacional a tenor de los artículos 44 a 49;
- d)toda obligación en virtud del Derecho de los Estados miembros que se adopte con arreglo al capítulo IX;
- e)el incumplimiento de una resolución o de una limitación temporal o definitiva del tratamiento o la suspensión de los flujos de datos por parte de la autoridad de control con arreglo al artículo 58, apartado 2, o el no facilitar acceso en incumplimiento del artículo 58, apartado 1." Por su parte, la LOPDGDD en su artículo 71, Infracciones, señala que: “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A los solos efectos del plazo de prescripción, el artículo 72.1 de la LOPDGDD establece lo siguiente: "En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 24/31
- a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679." X. Propuesta de declaración de infracción El artículo 83 “Condiciones generales para la imposición de multas administrativas” del RGPD, en su apartado 7, establece: “Sin perjuicio de los poderes correctivos de las autoridades de control en virtud del artículo 58, apartado 2, cada Estado miembro podrá establecer normas sobre si se puede, y en qué medida, imponer multas administrativas a autoridades y organismos públicos establecidos en dicho Estado miembro.” El artículo 77 “Régimen aplicable a determinadas categorías de responsables o encargados del tratamiento” de la LOPDGDD dispone lo siguiente: “1. El régimen establecido en este artículo será de aplicación a los tratamientos de los que sean responsables o encargados:
- a)Los órganos constitucionales o con relevancia constitucional y las instituciones de las comunidades autónomas análogas a los mismos.
- b)Los órganos jurisdiccionales.
- c)La Administración General del Estado, las Administraciones de las comunidades autónomas y las entidades que integran la Administración Local.
- d)Los organismos públicos y entidades de Derecho público vinculadas o dependientes de las Administraciones Públicas.
- e)Las autoridades administrativas independientes.
- f)El Banco de España.
- g)Las corporaciones de Derecho público cuando las finalidades del tratamiento se relacionen con el ejercicio de potestades de derecho público.
- h)Las fundaciones del sector público.
- i)Las Universidades Públicas.
- j)Los consorcios.
- k)Los grupos parlamentarios de las Cortes Generales y las Asambleas Legislativas autonómicas, así como los grupos políticos de las Corporaciones Locales. 2. Cuando los responsables o encargados enumerados en el apartado 1 cometiesen alguna de las infracciones a las que se refieren los artículos 72 a 74 de esta ley C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 25/31 orgánica, la autoridad de protección de datos que resulte competente dictará resolución declarando la infracción y estableciendo, en su caso, las medidas que proceda adoptar para que cese la conducta o se corrijan los efectos de la infracción que se hubiese cometido, con excepción de la prevista en el artículo 58.2.i del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016. La resolución se notificará al responsable o encargado del tratamiento, al órgano del que dependa jerárquicamente, en su caso, y a los afectados que tuvieran la condición de interesado, en su caso. 3. Sin perjuicio de lo establecido en el apartado anterior, la autoridad de protección de datos propondrá también la iniciación de actuaciones disciplinarias cuando existan indicios suficientes para ello. En este caso, el procedimiento y las sanciones a aplicar serán las establecidas en la legislación sobre régimen disciplinario o sancionador que resulte de aplicación. Asimismo, cuando las infracciones sean imputables a autoridades y directivos, y se acredite la existencia de informes técnicos o recomendaciones para el tratamiento que no hubieran sido debidamente atendidos, en la resolución en la que se imponga la sanción se incluirá una amonestación con denominación del cargo responsable y se ordenará la publicación en el Boletín Oficial del Estado o autonómico que corresponda. 4. Se deberán comunicar a la autoridad de protección de datos las resoluciones que recaigan en relación con las medidas y actuaciones a que se refieren los apartados anteriores. 5. Se comunicarán al Defensor del Pueblo o, en su caso, a las instituciones análogas de las comunidades autónomas las actuaciones realizadas y las resoluciones dictadas al amparo de este artículo. 6. Cuando la autoridad competente sea la Agencia Española de Protección de Datos, esta publicará en su página web con la debida separación las resoluciones referidas a las entidades del apartado 1 de este artículo, con expresa indicación de la identidad del responsable o encargado del tratamiento que hubiera cometido la infracción. Cuando la competencia corresponda a una autoridad autonómica de protección de datos se estará, en cuanto a la publicidad de estas resoluciones, a lo que disponga su normativa específica.” Este precepto establece que los procedimientos que tengan causa en infracciones en materia de protección de datos personales cometidas por las categorías de responsables o encargados del tratamiento enumerados en su apartado 1 se resolverán, en todo caso, declarando la infracción. XI. Medidas correctivas C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 26/31 De confirmarse la infracción, el citado artículo 77 de la LOPDGDD contempla que la resolución que se dicte pueda establecer las medidas que la entidad infractora deberá adoptar para que cese la conducta infractora, se corrijan los efectos de la infracción que se hubiese cometido y se lleve a cabo la necesaria adecuación, en este caso, a las exigencias contempladas en los artículos 5.1.f), art 32 y art 5.1.
- c)del RGPD, debiendo, además, aportar a la AEPD los medios acreditativos del cumplimiento de lo requerido. Así, se podrá requerir a la entidad responsable para que adecúe su actuación a la normativa de protección de datos personales, con el alcance expresado en los anteriores Fundamentos de Derecho. En el presente acto se establece cuál es la presunta infracción cometida y los hechos que podrían dar lugar a esa posible vulneración de la normativa de protección de datos, de lo que se infiere con claridad cuáles son las medidas a adoptar, sin perjuicio de que el tipo de procedimientos, mecanismos o instrumentos concretos para implementarlas corresponda a la parte sancionada, pues es el responsable del tratamiento quien conoce plenamente su organización y ha de decidir, en base a la responsabilidad proactiva y en enfoque de riesgos, cómo cumplir con el RGPD y la LOPDGDD. No obstante, en este caso, con independencia de lo anterior, de conformidad con las evidencias de que se dispone en el presente momento de acuerdo de inicio de procedimiento sancionador, en la resolución que se adopte se podrá requerir a para que, en el plazo de 6 meses, a contar desde la fecha de ejecutividad de la resolución finalizadora de este procedimiento, adopte las medidas siguientes: - Acreditar la aplicación efectiva de las medidas técnicas y organizativas adecuadas, para garantizar el cumplimiento del principio de confidencialidad establecido en el artículo 5.1.
- f)del RGPD - Acreditar la aplicación efectiva de las medidas de seguridad adecuadas, para garantizar el cumplimiento de lo establecido en el artículo 32 del RGPD Se advierte que no atender la posible orden de adopción de medidas impuestas por este organismo en la resolución del presente procedimiento podrá ser considerado como una infracción administrativa conforme a lo dispuesto en el RGPD, tipificada como infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la apertura de un ulterior procedimiento administrativo sancionador. Por otra parte, se recuerda que el reconocimiento de la infracción cometida no exime de la obligación de adoptar las medidas pertinentes para que cese la conducta o se corrijan los efectos de la infracción cometida y la de acreditar el cumplimiento de esa obligación. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 27/31 Por lo tanto, a tenor de lo anteriormente expuesto, por la Presidencia de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: INICIAR PROCEDIMIENTO SANCIONADOR a la DIRECCIÓN GENERAL DE GANADERÍA, con NIF S3933002B, por la presunta infracción de los artículos 5.1.
- f)del RGPD, artículo 32 del RGPD y artículo 5.1.
- c)del RGPD, tipificadas, respectivamente) en los artículos 83.5, 83.4 y 83.5 del RGPD. SEGUNDO: NOMBRAR como instructor a R.R.R. y, como secretaria, a S.S.S., indicando que podrán ser recusados, en su caso, conforme a lo establecido en los artículos 23 y 24 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público (LRJSP). TERCERO: INCORPORAR al expediente, a efectos probatorios, la notificación de la violación de la seguridad de los datos personales, así como, los documentos obtenidos y generados por la Subdirección General de Inspección de Datos en las actuaciones previas al inicio del presente procedimiento sancionador. CUARTO: Sin perjuicio de lo que resulte de la instrucción, el pronunciamiento que pudiera corresponder por los hechos que motivan la incoación del procedimiento y su posible calificación jurídica, de acuerdo con lo dispuesto por el art. 77.2 de la LOPDGDD, y atendiendo a la categoría del sujeto presuntamente responsable de las infracciones, consistirá en una declaración de infracción por cada una de ellas. Asimismo, las infracciones imputadas, de confirmarse, podrá) conllevar la imposición de medidas, de acuerdo con lo establecido en el citado artículo 77.2 de la LOPDGDD. QUINTO: NOTIFICAR el presente acuerdo a la DIRECCIÓN GENERAL DE GANADERÍA, con NIF S3933002B, otorgándole un plazo de audiencia de diez días hábiles para que formule las alegaciones y presente las pruebas que considere convenientes. En su escrito de alegaciones deberá facilitar su NIF y el número de procedimiento que figura en el encabezamiento de este documento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 28/31 Conforme dispone el artículo 85 de la LPACAP, podrá reconocer su responsabilidad dentro del plazo otorgado para la formulación de alegaciones al presente acuerdo de inicio, condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa; resolviéndose el procedimiento con la declaración de la infracción, sin perjuicio de la imposición de las medidas correspondientes. En cumplimiento de los artículos 14, 41 y 43 de la LPACAP, se advierte de que, en lo sucesivo, las notificaciones que se le remitan se realizarán exclusivamente de forma electrónica, a través de la Dirección Electrónica Habilitada única (dehu.redsara.
- es)y de la Sede electrónica (sedeaepd.gob.es), y que, de no acceder a ellas, se hará constar su rechazo en el expediente, dando por efectuado el trámite y siguiéndose el procedimiento. Se le informa que puede identificar ante esta Agencia una dirección de correo electrónico para recibir el aviso de puesta a disposición de las notificaciones y que la falta de práctica de este aviso no impedirá que la notificación sea considerada plenamente válida. Por último, se señala que conforme a lo establecido en el artículo 112.1 de la LPACAP, contra el presente acto no cabe recurso administrativo alguno. 1451-260325 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos >> SEGUNDO: En virtud de escrito presentado en fecha 10 de junio de 2025 DG GANADERÍA ha reconocido expresamente su responsabilidad en relación con los hechos a los que se refiere el Acuerdo de inicio transcrito anteriormente, y su calificación jurídica. TERCERO: El reconocimiento de su responsabilidad, en los términos expuestos, y dentro del plazo concedido para formular alegaciones a la apertura del procedimiento, permite resolver el procedimiento. CUARTO: En el Acuerdo de inicio transcrito anteriormente se señalaba que, de confirmarse la infracción, podría acordarse imponer al responsable la adopción de medidas adecuadas para ajustar su actuación a la normativa mencionada en este acto, de acuerdo con lo establecido en el citado artículo 58.2
- d)del RGPD, según el cual cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…”. Habiéndose reconocido la responsabilidad de la infracción, procede la imposición de las medidas incluidas en el Acuerdo de inicio. FUNDAMENTOS DE DERECHO C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 29/31 I Competencia De acuerdo con y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Terminación del procedimiento El artículo 85 de la LPACAP, bajo la rúbrica “Terminación en los procedimientos sancionadores” dispone lo siguiente: “1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento con la imposición de la sanción que proceda. 2. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa imponer una sanción pecuniaria y otra de carácter no pecuniario pero se ha justificado la improcedencia de la segunda, el pago voluntario por el presunto responsable, en cualquier momento anterior a la resolución, implicará la terminación del procedimiento, salvo en lo relativo a la reposición de la situación alterada o a la determinación de la indemnización por los daños y perjuicios causados por la comisión de la infracción. 3. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el órgano competente para resolver el procedimiento aplicará reducciones de, al menos, el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables entre sí. Las citadas reducciones, deberán estar determinadas en la notificación de iniciación del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. El porcentaje de reducción previsto en este apartado podrá ser incrementado reglamentariamente.” III Reconocimiento de responsabilidad De conformidad con lo dispuesto en el citado artículo 85.1 de la LPACAP, en el acuerdo de inicio notificado se informaba sobre la posibilidad de reconocer su responsabilidad dentro del plazo correspondiente para la formulación de alegaciones. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 30/31 Tras la notificación del citado acuerdo de inicio, DG GANADERÍA ha procedido al reconocimiento de la responsabilidad, resolviéndose el procedimiento con la declaración de la infracción, sin perjuicio de la imposición de las medidas correspondientes. Debe tenerse en cuenta que, de acuerdo con los preceptos de la LPACAP, el reconocimiento de la responsabilidad dentro del plazo no exime a la administración de la obligación de resolver y notificar todos los procedimientos, cualquiera que sea su forma de iniciación. De igual forma, el artículo 88 de la citada norma establece que la resolución que ponga fin al procedimiento decidirá todas las cuestiones planteadas por los interesados y aquellas otras derivadas del mismo. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones, la Presidencia de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR la comisión de las infracciones determinadas en la parte dispositiva del acuerdo de inicio transcrito en la presente resolución. SEGUNDO: DECLARAR la terminación del procedimiento EXP202317649, de conformidad con lo establecido en el artículo 85 de la LPACAP. TERCERO: ORDENAR a DIRECCIÓN GENERAL DE GANADERÍA para que en el plazo de 6 meses desde que la presente resolución sea firme y ejecutiva, notifique a la Agencia la adopción de las medidas que se describen en los fundamentos de derecho del Acuerdo de inicio transcrito en la presente resolución. CUARTO: NOTIFICAR la presente resolución a DIRECCIÓN GENERAL DE GANADERÍA. QUINTO: COMUNICAR la presente resolución al Defensor del Pueblo, de conformidad con lo establecido en el artículo 77.5 de la LOPDGDD. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública. La publicación se realizará una vez la resolución sea firme en vía administrativa. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 31/31 No obstante, conforme a lo previsto en el artículo 90.3.
- a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeaepd.gob.es/sede-electronica-web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contenciosoadministrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 1561-280725 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es