← España

PS-00239-2025

1/31  Expediente N.º: EXP202317649 RESOLUCIÓN DE PROCEDIMIENTO POR RECONOCIMIENTO DE LA RESPONSABILIDAD Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 19 de mayo de 2025, la Presidencia de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a DIRECCIÓN GENERAL DE GANADERÍA (en adelante, DG GANADERÍA), mediante el Acuerdo que se transcribe: << Expediente N.º: EXP202317649 ACUERDO DE INICIO DE PROCEDIMIENTO SANCIONADOR HECHOS....................................................................................................................... 3 PRIMERO: Notificación de brecha............................................................................. 3 SEGUNDO: Inicio de actuaciones.............................................................................. 3 TERCERO. Primera reclamación............................................................................... 3 CUARTO. Segunda reclamación................................................................................ 3 QUINTO. Admisión a trámite...................................................................................... 4 SEXTO: Actuaciones previas de investigación........................................................... 4 FUNDAMENTOS DE DERECHO................................................................................. 11 I.Competencia.......................................................................................................... 11 II.Procedimiento........................................................................................................ 11 III. Cuestiones previas.............................................................................................. 12 IV. Obligación incumplida. Integridad y confidencialidad.......................................... 13 1.Referencia normativa......................................................................................... 13 2.Tipo de datos afectados..................................................................................... 14 3.Origen de la brecha........................................................................................... 14 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/31 4.Insuficiencia de las medidas adoptadas por la parte reclamada antes de la brecha................................................................................................................... 15 5.Conclusión......................................................................................................... 17 V. Tipificación de la infracción del artículo 5.1.

  1. f)del RGPD y calificación a efectos de prescripción.............................................................................................................. 17 VI. Obligación incumplida. Seguridad del tratamiento.............................................. 18 1.Referencia normativa......................................................................................... 18 2.Medidas de seguridad en el tratamiento............................................................ 19 3.Insuficiencia de las medidas de seguridad......................................................... 20 4.Conclusiones..................................................................................................... 24 VII. Tipificación de la infracción del artículo 32 del RGPD y calificación a efectos de prescripción.............................................................................................................. 25 VIII. Obligación incumplida. Minimización de datos.................................................. 25 IX. Tipificación de la infracción del artículo 5.1.
  2. c)del RGPD y calificación a efectos de prescripción......................................................................................................... 27 X. Propuesta de declaración de infracción............................................................... 28 XI. Medidas correctivas............................................................................................ 30 SE ACUERDA:............................................................................................................. 31 PRIMERO................................................................................................................ 31 SEGUNDO............................................................................................................... 31 TERCERO................................................................................................................ 31 CUARTO.................................................................................................................. 31 QUINTO................................................................................................................... 32 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/31 Expediente N.º: EXP202317649 ACUERDO DE INICIO DE PROCEDIMIENTO SANCIONADOR De las actuaciones practicadas por la Agencia Española de Protección de Datos y en base a los siguientes HECHOS PRIMERO: Notificación de brecha Con fecha 11 de septiembre de 2023, se notificó a esta Agencia una brecha de datos personales de la DIRECCIÓN GENERAL DE GANADERÍA, del GOBIERNO DE CANTABRIA, con NIF S3933002B (en adelante, la parte reclamada o la DG GANADERÍA). Los hechos que se ponen en conocimiento de esta autoridad: Se notificó a esta AEPD una brecha de datos personales, consistentes en el acceso fraudulento a datos personales de titulares de mascotas en Cantabria, incluidos en el Registro de Animales de compañía identificados de Cantabria. El ataque fue dirigido a la aplicación RACIC, mediante el cual se han descargado datos identificativos de 136.058 personas y documentos de identificación escaneados de 71.370 personas (DNIs y similares). SEGUNDO: Inicio de actuaciones Como consecuencia de los hechos conocidos, con fecha 21/11/2023, la Directora de la Agencia Española de Protección de Datos instó, a la Subdirección General de Inspección de Datos (SGID) a iniciar las actuaciones previas de investigación a las que se refiere el artículo 67 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD). TERCERO. Primera reclamación Con fecha de 28/09/2023 se recibe en esta AEPD una reclamación de una persona cuyos datos habrían sido afectados por el ciberataque. Afirma haber tenido conocimiento de la brecha de datos personales por la prensa y no haber recibido ninguna comunicación de la Administración reclamada. Tras ponerse en contacto con ésta, afirma, solo le habrían proporcionado información muy genérica, de que sus datos se han visto afectados. CUARTO. Segunda reclamación C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/31 Con fecha de 13/10/2023 se recibió una nueva reclamación, de otro afectado, afirmando que sus datos estarían afectados por la brecha y adjuntando una comunicación informativa sobre la misma del Gobierno de Cantabria. QUINTO. Admisión a trámite Ambas reclamaciones fueron admitidas a trámite por esta Agencia, mediante sendas resoluciones de fecha 15/12/2023 SEXTO: Actuaciones previas de investigación La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VIII, de la LOPDGDD. Como consecuencia de las actuaciones realizadas, se ha tenido conocimiento de los siguientes extremos: ANTECEDENTES Fecha de notificación de la brecha de seguridad de datos personales (en adelante brecha): 11 de septiembre de 2023, por parte del GOBIERNO DE CANTABRIA. Fecha de detección de la brecha: 8 de septiembre de 2023. Resumen de la notificación: ciberincidente debido a un acceso fraudulento a datos personales de titulares de mascotas en Cantabria. Ataque dirigido a la aplicación del registro animales compañía (en adelante, RACIC), (…). El incidente se comunicó al responsable del tratamiento el 8 de septiembre de 2023, si bien se había detectado previamente y se habían realizado acciones paliativas por parte de la D.G. Informática (encargada del tratamiento). Estaba prevista la sustitución de esta aplicación, de 2006, por una nueva que actualmente está desarrollo. (…) RESULTADO DE LAS ACTUACIONES DE INVESTIGACIÓN 1. Análisis de la brecha. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/31 1.1. Cronología de los hechos. El sistema informático RACIC sufrió una brecha de seguridad que permitió la exfiltración de aproximadamente 136.000 registros. Dicha brecha, según la información facilitada por el responsable, tuvo lugar entre los días 7 y 8 de julio 2023. (…) Se aporta copia de los informes del Responsable de Seguridad de la Información de la Administración de la Comunidad Autónoma de Cantabria y del Delegado de Protección de Datos, así como del CCN. El responsable señala que el 11 de septiembre de 2023 se presentó notificación de brecha ante esta Agencia y fue notificado al CCN. Asimismo, también se presentó denuncia ante la Guardia Civil. También señala el responsable en fecha 3 de noviembre de 2023 se produjo el sobreseimiento provisional y archivo por el Juzgado de Instrucción que estaba tratando el caso. Se aporta documentación sobre este hecho y diligencias realizadas. 1.2. Acciones tomadas con objeto de minimizar los efectos adversos y medidas adoptadas para su resolución final. (…) 1.3. Causas que hicieron posible la brecha. (…) 1.4. Impacto de la brecha. Posibles consecuencias para los afectados. El impacto de la brecha se cifra en la exfiltración de los datos de 136.058 personas. (…) La tipología de datos exfiltrados es la siguiente: o (…) El responsable ha emitido la siguiente valoración sobre el incidente: “(…) El número de personas afectadas por el incidente es significativamente alto. Teniendo en cuenta estos factores, se puede concluir que este incidente de seguridad entraña un alto riesgo para los derechos y libertades de las personas físicas.”. 2. Comunicación a los afectados. El responsable realizó la comunicación del incidente el 25 de septiembre de 2023. Se emitió un comunicado en diferentes canales:  Página web de corporativa del Gobierno de Cantabria (https://www.cantabria.es/detalle/-/journal_content/56_INSTANCE_DETALLE/48 96138/31939390) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/31  Aviso en la propia aplicación RACIC.  Anuncio en el BOC idAnuBlob=393950). (https://boc.cantabria.es/boces/verAnuncioAction.do? En dicho comunicado consta una descripción de los hechos y cronología de la brecha. Se indica la tipología de datos afectados y medidas aplicadas de forma genérica, también se alerta de las posibles consecuencias para los afectados. Se indica que se puso en marcha un servicio de atención telefónica a los afectados, mediante el número 012 y canales presenciales. Adicionalmente, el responsable manifiesta lo siguiente sobre la posibilidad de atención presencial en clínicas veterinarias: “los ciudadanos podían acudir a cualquier clínica veterinaria para saber si estaban afectados y, si lo estaban, obtener un documento acreditativo con sus datos personales que habían sido sustraídos”. Se aporta copia del modelo informativo para afectados. Se han recibido reclamaciones de afectados por esta brecha, presentadas ante esta Agencia. Se pueden acreditar mediante la información facilitada por los reclamantes las manifestaciones del responsable respecto al modelo informativo puesto a disposición de los afectados. 3. Medidas de seguridad. 3.1. Medidas de seguridad implantadas con anterioridad a la brecha. Mecanismos de autenticación. (…) 3.2. Motivo por el cual las medidas de seguridad implantadas no han impedido el incidente. (…) 3.3. Medidas técnicas y organizativas adoptadas para evitar incidentes como el sucedido. (…) 4. Normativa sobre el tratamiento. 4.1. Encargo de tratamiento. El responsable ha manifestado lo siguiente respecto a la normativa que regula los roles para el tratamiento:  ”La función de “Responsable del Tratamiento” corresponde a la persona titular del puesto Director General de Ganadería, de la Consejería de Desarrollo Rural, Ganadería, Pesca y Alimentación. Nota: El Servicio de Producción Animal pertenece a la Dirección General de Ganadería” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/31  “Entre las competencias de la DGI está: “
  3. k)La coordinación y apoyo en actuaciones relativas al cumplimiento de las obligaciones legales en materia de protección de datos personales en la Administración de la Comunidad Autónoma de Cantabria”.  “La DGI tiene la función de Encargada del Tratamiento respecto a los datos personales vinculados a RACIC”. 4.2. Otra documentación. Respecto a la realización de un análisis de riesgos, el responsable manifiesta: “indicar que no se contaba con un análisis de riesgos previo al incidente. Se ha realizado uno con posterioridad”. Se aporta copia de dicho análisis. Ha sido realizado mediante la herramienta “Evalúa Riesgo” de esta Agencia. (…) Se aporta evaluación de impacto, manifestando el responsable que no se encuentra todavía finalizada. Se aporta copia del registro de actividades de tratamiento. En el informe del Delegado de Protección de Datos del responsable, se manifiesta: “se ha constatado que se han incumplido las previsiones de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales, en su artículo 31 y no se ha procedido a la aprobación del correspondiente Registro de las actividades de tratamiento, que debe sustituir en funcionalidad la Orden GAN/2/2006, de 16 de enero”. Adicionalmente, también se ha facilitado la normativa que regula el plazo de conservación de los datos para este tratamiento. Las conclusiones que se obtienen han sido las siguientes: “tras analizar el periodo necesario de conservación de los datos personales (85 años, pues son necesarios para realizar seguimientos epidemiológicos en caso de aparición de enfermedades transmitidas por los animales de compañía al hombre)”. 5.- Otros aspectos. 5.1. Publicación de los datos exfiltrados en Internet. No constan evidencias sobre la publicación o venta de los datos afectados por la brecha. El responsable manifiesta no tener constancia sobre la publicación y venta de los datos. El CCN, al que se solicitó su colaboración, informa al respecto: “este Centro Criptológico Nacional no tiene constancia del uso, publicación o indexación en Internet de los datos robados”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/31 FUNDAMENTOS DE DERECHO I. Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. I. Procedimiento Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos.” De acuerdo con el artículo 64 de la LOPDGDD, y teniendo en cuenta las características de las presuntas infracciones cometidas se inicia un procedimiento sancionador. El procedimiento tendrá una duración máxima de doce meses a contar desde la fecha del acuerdo de inicio. Transcurrido ese plazo se producirá su caducidad y, en consecuencia, el archivo de actuaciones, de conformidad con lo establecido en el artículo 64 de la LOPDGDD. Si en el plazo estipulado no efectuara alegaciones a este acuerdo de inicio, el mismo podrá ser considerado propuesta de resolución, según lo establecido en el artículo 64.2.
  4. f)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP). III. Cuestiones previas El artículo 4.1) del RGPD, define «dato personal» como: “toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/31 varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona”. El artículo 4.2) del RGPD, define «tratamiento» como: “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción.” El artículo 4.7) del RGPD, define al «responsable del tratamiento» o «responsable» como: “la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros”. A su vez el artículo 4.8) del RGPD determina al «encargado del tratamiento» o «encargado» como la persona física o jurídica, autoridad pública, servicio u otro organismo que trate datos personales por cuenta del responsable del tratamiento. En el presente caso, de acuerdo con lo establecido en el artículo 4.1 y 4.2 del RGPD, consta la realización de un tratamiento de datos personales, toda vez que realiza, entre otros tratamientos, la recogida y conservación de datos personales de personas físicas: entre ellos el nombre y apellidos, número DNI o documento identificativo; datos de localización: país de residencia, provincia, municipio, localidad, código postal y dirección; datos de contacto: teléfono fijo, teléfono móvil y dirección de correo electrónico. Asimismo eran objeto de tratamiento las Imágenes escaneadas de documentos de identidad (DNIs y otros). La DG GANADERÍA realiza esta actividad en su condición de responsable del tratamiento, dado que es quien determina los fines y medios de tal actividad en virtud del artículo 4.7] del RGPD. Conforme al artículo 4.5.
  5. b)del Decreto 2/2019 de 24 de enero, corresponde a esta Dirección General la siguiente competencia: “
  6. b)Servicio de Sanidad y Bienestar Animal: Planificación, control vigilancia, prevención y lucha contra las enfermedades animales; fomento de las agrupaciones ganaderas de defensa sanitaria; gestión del registro de distribuidores de productos y material zoosanitario; inspección, vigilancia, control y ordenación del ganado y del movimiento pecuario; inspección, vigilancia, fomento y ordenación del bienestar animal; fomento y ordenación de la protección de los animales domésticos; y cuantas otras se le encomienden dentro de su área de actuación.” Por su parte, la Orden GAN 2/2006, de 16 de enero, por la que se regula la Identificación y el Registro de Animales de Compañía Identificados de Cantabria y se establece el pasaporte como documento sanitario, identifica asimismo a la DG Ganadería como órgano competente de la gestión del Registro. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 10/31 Finalmente, consta en el Registro de Actividades de Tratamiento, en lo relativo al tratamiento “Gestión del Registro de Animales de Compañía Identificados de Cantabria”, como responsable la “Dirección General de Ganadería”. IV. Obligación incumplida. Integridad y confidencialidad 1. Referencia normativa La letra
  7. f)del artículo 5.1 del RGPD propugna: "1. Los datos personales serán: (…)
  8. f)tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»)." El principio de confidencialidad e integridad, recogido en el artículo 5.1
  9. f)del Reglamento General de Protección de Datos (RGPD), obliga a los responsables del tratamiento a garantizar que los datos personales sean tratados de manera que se garantice la confidencialidad e integridad de los datos personales, evitando accesos no autorizados, usos indebidos o divulgación a terceros no autorizados. Esto incluye implementar medidas técnicas y organizativas apropiadas de todo tipo para proteger los datos frente a posibles brechas de datos personales, tanto externas como internas. Estas medidas deben ser apropiadas para evitar que se materialicen los riesgos en los derechos y libertades de las personas físicas que puedan derivarse del tratamiento, y deben ser revisadas y actualizadas periódicamente para garantizar su eficacia. En el presente caso, consta la producción de una brecha de datos personales. Conforme a la información de la que se dispone, incluida en la notificación a esta AEPD por la parte reclamada de dicha brecha, así como la incluida en la información obtenida en las actuaciones previas de investigación llevadas cabo, consta que con fecha de 8 de septiembre de 2023 fue detectado un acceso fraudulento a datos personales de titulares de mascotas en Cantabria. Se trató de un ataque dirigido a la aplicación del registro animales compañía (en adelante, RACIC), (…). 1. Tipo de datos afectados El impacto de la brecha se cifra en la exfiltración de los datos de (…). La tipología de datos exfiltrados es la siguiente: (…) 2. Origen de la brecha C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 11/31 De acuerdo con lo afirmado por la parte reclamada durante las actuaciones previas de investigación, para la realización del ciberataque, “(…)” Se informa asimismo por la parte reclamada lo siguiente, conforme se detalla en el informe de actuaciones previas de investigación:  (…). 1. Insuficiencia de las medidas adoptadas por la parte reclamada antes de la brecha Tanto de la notificación de la brecha realizada por la parte reclamada como de la información y documentación aportada durante las actuaciones previas de investigación se ha puesto de manifiesto la insuficiencia de las medidas técnicas y organizativas establecidas en relación con los datos personales incluidos en el Registro de Animales de Compañía Identificados de Cantabria, cuyo responsable es la DG GANADERÍA del Gobierno de Cantabria. En primer lugar, la aplicación que gestiona el registro se consideraba ya obsoleta y se había constatado la necesidad de su migración. En su contestación al inspector de esta AEPD, consta un Informe del “Jefe de Servicio de Seguridad de la Información de la D.G. informática, realizando la función de Responsable de Seguridad de la Información de la Administración de la Comunidad Autónoma de Cantabria.”, de fecha 2 de febrero de 2024. En el mismo se afirma, en relación con dicha aplicación, que: “Esta aplicación estaba ya considerada obsoleta, data de 2006, y estaba prevista su futura sustitución por una totalmente nueva destinada a la misma finalidad. La actual está alojada en infraestructuras tecnológicas que son responsabilidad de la Dirección General de Informática. La futura será desarrollada y estará alojada en un proveedor externo (dentro de un convenio con el Colegio de Veterinarios de Cantabria).” Por otra parte, no consta entre las medidas adoptadas la del control la procedencia de las direcciones IP desde las que se realizaban las conexiones. Conforme al escrito por el que la parte reclamada notificaba la brecha a esta Agencia, se indicaba que “(…)” De hecho, una de las primeras medidas inmediatas al detectarse el ataque fue el bloqueo de las direcciones IP de las que provenía. No consta que, de cara al acceso a la plataforma de gestión del Registro, se establecieran mecanismos de acceso y autenticación más allá de la solicitud de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 12/31 usuario y contraseña. A estos efectos, en el informe de actuaciones previas de investigación se hace constar lo siguiente: “(…)” En consecuencia, existen evidencias que se no se contaba con un mecanismo de doble factor de autenticación. A este respecto, conviene señalara que, como se señala en dicho informe: “(…)” Para realizar el acceso de tal usuario con privilegios, el atacante solo precisó disponer de usuario y contraseña. Sin estar implantado un sistema de doble autenticación. Ni tampoco una política de caducidad de contraseñas. También resulta relevante que la aplicación permitiera hacer múltiples peticiones a las API´s y endpoints (abusando de su uso) utilizando scripts externos desarrollados por los atacantes, lo que revela la inexistencia de controles sobre el origen de las llamadas a las APIs para descargar información personal. El ya mencionado informe de 02/02/2024, indica a este respecto que “El agente atacante utilizó ese código y esa contraseña para aplicar la técnica “web scraping” para, mediante un script que simulaba la actividad de un usuario, acceder a todos y cada uno de los registros de información contenidos en la aplicación y descargarlos.” 2. Conclusión Todos estos aspectos proporcionan suficientes evidencias para considerar que, en el momento en que se produjo la brecha, la parte reclamada no tenía implantadas medidas técnicas u organizativas apropiadas que garantizaran una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de («integridad y confidencialidad»)." Por tanto, de conformidad con las evidencias de las que se dispone en este momento de acuerdo de inicio de procedimiento sancionador, se considera que los hechos conocidos podrían ser constitutivos de una infracción, imputable a la DG GANADERÍA, por vulneración del artículo 5.1.
  10. f)del RGPD transcrito anteriormente. V. Tipificación de la infracción del artículo 5.1.
  11. f)del RGPD y calificación a efectos de prescripción El artículo 83.5 del RGPD tipifica como infracción administrativa la vulneración de los artículos siguientes, que se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20.000.000 EUR como máximo o, tratándose de una empresa, de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 13/31 una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: "
  12. a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9;" Por su parte, la LOPDGDD en su artículo 71, Infracciones, señala que: “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A los solos efectos del plazo de prescripción, el artículo 72.1 de la LOPDGDD establece lo siguiente: "En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
  13. a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679." VI. Obligación incumplida. Seguridad del tratamiento 1. Referencia normativa El artículo 32 del RGPD estipula lo siguiente: "1. Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, que en su caso incluya, entre otros:
  14. a)la seudonimización y el cifrado de datos personales;
  15. b)la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento;
  16. c)la capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente físico o técnico;
  17. d)un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 14/31 2. Al evaluar la adecuación del nivel de seguridad se tendrán particularmente en cuenta los riesgos que presente el tratamiento de datos, en particular como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos. 3. La adhesión a un código de conducta aprobado a tenor del artículo 40 o a un mecanismo de certificación aprobado a tenor del artículo 42 podrá servir de elemento para demostrar el cumplimiento de los requisitos establecidos en el apartado 1 del presente artículo. 4. El responsable y el encargado del tratamiento tomarán medidas para garantizar que cualquier persona que actúe bajo la autoridad del responsable o del encargado y tenga acceso a datos personales solo pueda tratar dichos datos siguiendo instrucciones del responsable, salvo que esté obligada a ello en virtud del Derecho de la Unión o de los Estados miembros." La finalidad del artículo 32 del RGPD es garantizar que los datos personales sean tratados de forma segura, minimizando los riesgos de acceso no autorizado, pérdida, alteración o divulgación indebida. Este precepto impone a los responsables y encargados del tratamiento la obligación de adoptar medidas técnicas y organizativas apropiadas que aseguren un nivel de seguridad adecuado al riesgo, considerando la naturaleza de los datos, el contexto del tratamiento y la probabilidad y gravedad de posibles impactos sobre los derechos y libertades de las personas físicas. Es importante destacar que para que se considere incumplida la obligación prevista en el artículo 32 no es necesario que se materialice una brecha de seguridad ni que se produzca un acceso no autorizado a los datos. La infracción se puede apreciar desde el momento en que no se han adoptado las medidas de seguridad adecuadas en función del riesgo. Por tanto, la ausencia o insuficiencia de medidas técnicas y organizativas proporcionales al riesgo constituye por sí misma una vulneración del artículo 32, aunque no se haya producido todavía un daño efectivo o una brecha de confidencialidad. 1. Medidas de seguridad en el tratamiento La documentación obrante en el expediente ofrece evidencias de la vulneración del artículo 32.1 del RGPD, como consecuencia de la quiebra o ausencia de medidas de seguridad en el tratamiento de los datos personales obrantes en el Registro de animales de compañía de responsabilidad de la DG GANADERÍA. Hay que señalar que el RGPD en el citado precepto no establece un listado de las medidas de seguridad que sean de aplicación de acuerdo con los datos que son objeto de tratamiento, sino que establece que el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas que sean adecuadas al riesgo que conlleve el tratamiento, teniendo en cuenta el estado de la técnica, los costes de aplicación, la naturaleza, alcance, contexto y finalidades del tratamiento, los riesgos de probabilidad y gravedad para los derechos y libertades de las personas interesadas. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 15/31 Asimismo, las medidas de seguridad deben resultar adecuadas y proporcionadas al riesgo detectado, señalando que la determinación de las medidas técnicas y organizativas deberá realizarse teniendo en cuenta: la seudonimización y el cifrado, la capacidad para garantizar la confidencialidad, integridad, disponibilidad y resiliencia, la capacidad para restaurar la disponibilidad y acceso a datos tras un incidente, proceso de verificación (que no auditoría), evaluación y valoración de la eficacia de las medidas. En todo caso, al evaluar la adecuación del nivel de seguridad al riesgo se tendrán particularmente en cuenta los riesgos que presente el tratamiento de datos, como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos y que pudieran ocasionar daños y perjuicios físicos, materiales o inmateriales. En este mismo sentido el considerando 83 del RGPD señala que: “

(83)A fin de mantener la seguridad y evitar que el tratamiento infrinja lo dispuesto en el presente Reglamento, el responsable o el encargado deben evaluar los riesgos inherentes al tratamiento y aplicar medidas para mitigarlos, como el cifrado. Estas medidas deben garantizar un nivel de seguridad adecuado, incluida la confidencialidad, teniendo en cuenta el estado de la técnica y el coste de su aplicación con respecto a los riesgos y la naturaleza de los datos personales que deban protegerse. Al evaluar el riesgo en relación con la seguridad de los datos, se deben tener en cuenta los riesgos que se derivan del tratamiento de los datos personales, como la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos, susceptibles en particular de ocasionar daños y perjuicios físicos, materiales o inmateriales”. Como señala igualmente el Considerando 39: “…Los datos personales deben tratarse de un modo que garantice una seguridad y confidencialidad adecuadas de los datos personales, inclusive para impedir el acceso o uso no autorizados de dichos datos y del equipo utilizado en el tratamiento Hay que señalar que las medidas de seguridad son claves a la hora de garantizar el derecho fundamental a la protección de datos ya que no es posible asegurar el citado derecho si no es posible garantizar la confidencialidad, la integridad y la disponibilidad de los datos personales. Para garantizar estos factores de la seguridad son necesarias medidas tanto de índole técnica como de índole organizativo que sean adecuadas. Uno de los requerimientos que establece el RGPD para responsables y encargados del tratamiento que realizan actividades de tratamiento con datos personales es la necesidad de llevar a cabo un análisis de riesgos de la seguridad de la información con el fin de establecer las medidas de seguridad y control orientadas a cumplir los principios de protección desde el diseño y por defecto que garanticen los derechos y libertades de las personas. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 16/31 2. Insuficiencia de las medidas de seguridad De la documentación incorporada al expediente se advierten claras deficiencias en la adopción de medidas de seguridad En primer lugar, la parte reclamada no había efectuado un análisis de riesgos del tratamiento. En su requerimiento de 03/01/2024, el inspector de la AEPD solicita a la parte reclamada, entre otra información y documentación “Copia de los Análisis de riesgo realizados, en su caso, sobre la actividad de tratamiento que ha sufrido la brecha de seguridad con anterioridad a la incidencia acaecida”. Pues bien, en el informe de la DG INFORMÁTICA del Gobierno de Cantabria, unido a la contestación, consta la siguiente afirmación: “Respecto al aspecto 5.2, indicar que no se contaba con un análisis de riesgos previo al incidente. Se ha realizado uno con posterioridad, que se aporta: ”. Como se afirma en la Guía de Gestión del riesgo y la evaluación de impacto de esta AEPD: “La gestión del riesgo es uno de los pilares de la dirección de cualquier organización. Toda entidad, cuando pretende iniciar con garantías un nuevo producto o servicio, debe gestionar los elementos de incertidumbre que se derivan de su naturaleza, ámbito, contexto y fines. Las normas ISO10 definen esta actividad como la “aproximación basada en el riesgo” (RBT de “risk based thinking”). El RBT es, con la orientación a procesos (tratamientos11), uno de los dos pilares para la gestión de la calidad en cualquier entidad o, dicho de otra forma, es el “idioma” que hablan los modernos sistemas de administración de las organizaciones. (…) El riesgo para los derechos y libertades atañe principalmente, como manifiestan las Directrices WP248, a los derechos a la protección de datos y a la intimidad. El Considerando 75 desarrolla el concepto de riesgo para los derechos y libertades como cualquier efecto o consecuencia no deseados sobre los interesados o no previsto en el propio tratamiento de datos personales, capaz de generar daños o perjuicios sobre sus derechos y libertades, particularizando, entre otros: los daños y perjuicios físicos, materiales o inmateriales, problemas de discriminación, usurpación de identidad o fraude, pérdidas financieras, daño para la reputación, pérdida de confidencialidad de datos sujetos al secreto profesional, reversión no autorizada de la seudonimización, perjuicios económicos o sociales, privación a los interesados de sus derechos y libertades, que se les impida ejercer el control sobre sus datos personales, etc. De forma más específica, las propias Directrices WP248 interpretan que la protección se ha de extender a otros derechos fundamentales. Explícitamente, se señalan la libertad de expresión, la libertad de pensamiento, la libertad de circulación, la prohibición de discriminación y la libertad de conciencia y de religión. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 17/31 (…) En conclusión, el foco de la gestión de riesgos en el RGPD es la protección de la persona, en su dimensión individual y social, como sujeto de los datos o afectado por el tratamiento. Aunque tenga una relación colateral, la gestión del riesgo para los derechos y libertades no está orientada a proteger intereses propios del responsable o encargado con relación, por ejemplo, a la continuidad del tratamiento, su eficacia o su eficiencia, el cumplimiento normativo o con relación a las posibles actividades de negocio del encargado y responsable. La gestión del riesgo para los derechos y libertades no está orientada a gestionar el riesgo para la organización derivado de un incumplimiento normativo. La primera está orientada al interesado, como se ha señalado en el anterior apartado, mientras que la segunda, es una gestión del riesgo que pone su foco en la protección de los intereses de la entidad. Por lo tanto, el incumplimiento o posible incumplimiento de los principios y derechos establecidos en el RGPD y la normativa de desarrollo no es objeto de una gestión del riesgo que para los derechos y libertades puede ocasionar un tratamiento a los interesados. Todas las actividades de tratamiento de datos personales implican un riesgo para las personas cuyos datos son tratados y, en particular, para sus derechos y libertades. Incluso, en aquellos casos en los que el responsable, ya sea por la tipología del dato o por el tipo de actividad de la organización, pudiera asumir la existencia de un riesgo escaso para los interesados o incluso la inexistencia de riesgo. Las Directrices WP248 aclaran la importancia de realizar la gestión del riesgo en los tratamientos aun cuando los tratamientos no sean de alto riesgo: El mero hecho de que las condiciones que dan lugar a la obligación de llevar a cabo una EIPD no se hayan cumplido no disminuye la obligación general de los responsables del tratamiento de aplicar medidas para gestionar adecuadamente los riesgos para los derechos y libertades de los interesados. En la misma línea, con relación a las obligaciones generales del responsable y encargado del tratamiento, el artículo 28 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD) plantea la necesidad de tener en cuenta los riesgos que podrían producirse como resultado de un tratamiento de datos personales. La ausencia de una adecuada evaluación del riesgo hace imposible la adopción de las medida técnicas y organizativas que requiere el RGPD, toda vez que estas se basarán en la aproximación a los riesgos que se detecten en la realización del tratamiento. Difícilmente se van a poder diseñar un establecer unas medidas de seguridad adecuadas al riesgo si este no se ha analizado. La parte reclamada ha aportado con posterioridad a la brecha, en la contestación al primer requerimiento de inspección, un documento con el análisis de riegos, que lleva como fecha la de 26/10/2023 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 18/31 También se ha constatado que por la parte reclamada no se tenía planificada ni ejecutada una supresión de los usuarios obsoletos (se entiende que los creados para usuarios que ya no tienen acceso a la aplicación informática del Registro) En el informe de la Dirección General de Informática, que se adjuntó a la contestación al primer requerimiento de inspección, dentro de las medidas previstas tras la brecha se encontraba la de “Previsto el 01/04/2024: Eliminación de usuarios obsoletos de RACIC.”. Se deduce que no era una medida implantada con anterioridad. En posterior contestación, con fecha 16/09/24 la misma Dirección General afirma haber realizado ya la supresión. Hasta ese momento, la medida no había sido ejecutada. No es necesario insistir en la importancia de suprimir los accesos de usuarios que ya no deberían tenerlo al sistema. Ello además reforzado por la inexistencia de medidas adicionales de control de accesos como el doble factor de autenticación o la caducidad de las contraseñas. A mayor abundamiento, se observa asimismo que la parte reclamada no llevó a cabo las auditorías previstas en el Esquema Nacional de Seguridad. A este respecto, por parte del inspector de la AEPD se requirió “Copia de la última auditoría llevada a cabo de conformidad con las previsiones del Esquema Nacional de Seguridad (ENS).”, siendo así que la contestación fue que “En relación al aspecto 5.6, señalar que RACIC no ha sido objeto de una auditoría llevada a cabo de conformidad con las previsiones del Esquema Nacional de Seguridad (ENS). Se tiene previsto que para la nueva aplicación RACIC se exija tal auditoría a la entidad que la va a desarrollar y alojar. No obstante, cabe señalar que si bien la aplicación RACIC en sí no ha sido objeto de auditoría de cumplimiento del ENS, los sistemas que la alojan y en los que se sustenta sí que lo han sido, con varias auditorías ENS (la última de 2021), una auditoría anual de ISO 27002:2013 realizada por la empresa PwC, al menos desde el año 2011, y auditorías extraordinarias de la unión europea realizadas cada cierto número de años (la última en junio de 2022).” Conforme al artículo 31 del Esquema Nacional de Seguridad (aprobado por el Real Decreto 311/2022, de 3 de mayo, “Los sistemas de información comprendidos en el ámbito de aplicación de este real decreto serán objeto de una auditoría regular ordinaria, al menos cada dos años, que verifique el cumplimiento de los requerimientos del ENS.” Conforme al artículo 1.2. del mencionado Real Decreto: “El ENS está constituido por los principios básicos y requisitos mínimos necesarios para una protección adecuada de la información tratada y los C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 19/31 servicios prestados por las entidades de su ámbito de aplicación, con objeto de asegurar el acceso, la confidencialidad, la integridad, la trazabilidad, la autenticidad, la disponibilidad y la conservación de los datos, la información y los servicios utilizados por medios electrónicos que gestionen en el ejercicio de sus competencias.” Si bien el objeto directo de la regulación del ENS no es la protección de los derechos y libertados de los titulares de los datos personales, sino la seguridad de la información que obra en poder de las Administraciones Públicas, lo cierto es que la ausencia de la realización de auditorías a que obliga dicho Esquema delata la posible falta de medidas de seguridad en relación con el tratamiento de la información, dado que las auditorías pueden poner de manifiesto fallos en dichas medidas de seguridad, cuya falta puede incidir en la protección de datos personales (en tanto el responsable del tratamiento en este caso debe aplicar a los tratamientos de datos personales las medidas de seguridad que correspondan de las previstas en el Esquema Nacional de Seguridad, así como convertirse en un riesgo para los derechos y libertades que se derivan de la protección de datos personales. La disposición adicional primera de la LOPDGDD dispone lo siguiente: Disposición adicional primera. Medidas de seguridad en el ámbito del sector público. 1. El Esquema Nacional de Seguridad incluirá las medidas que deban implantarse en caso de tratamiento de datos personales para evitar su pérdida, alteración o acceso no autorizado, adaptando los criterios de determinación del riesgo en el tratamiento de los datos a lo establecido en el artículo 32 del Reglamento (UE) 2016/679. 2. Los responsables enumerados en el artículo 77.1 de esta ley orgánica deberán aplicar a los tratamientos de datos personales las medidas de seguridad que correspondan de las previstas en el Esquema Nacional de Seguridad, así como impulsar un grado de implementación de medidas equivalentes en las empresas o fundaciones vinculadas a los mismos sujetas al Derecho privado. En los casos en los que un tercero preste un servicio en régimen de concesión, encomienda de gestión o contrato, las medidas de seguridad se corresponderán con las de la Administración pública de origen y se ajustarán al Esquema Nacional de Seguridad. Por su parte, el artículo 3 del Esquema Nacional de Seguridad (aprobado por el Real Decreto 311/2022, de 3 de mayo: “Artículo 3. Sistemas de información que traten datos personales. 1. Cuando un sistema de información trate datos personales le será de aplicación lo dispuesto en el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 20/31 libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento General de Protección de Datos) y en la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales, o, en su caso, la Ley Orgánica 7/2021, de 26 de mayo, de protección de datos personales tratados para fines de prevención, detección, investigación y enjuiciamiento de infracciones penales y de ejecución de sanciones penales, el resto de normativa de aplicación, así como los criterios que se establezcan por la Agencia Española de Protección de Datos o en su ámbito competencial, por las autoridades autonómicas de protección de datos, sin perjuicio de los requisitos establecidos en el presente real decreto. 2. En estos supuestos, el responsable o el encargado del tratamiento, asesorado por el delegado de protección de datos, realizarán un análisis de riesgos conforme al artículo 24 del Reglamento General de Protección de Datos y, en los supuestos de su artículo 35, una evaluación de impacto en la protección de datos. 3. En todo caso, prevalecerán las medidas a implantar como consecuencia del análisis de riesgos y, en su caso, de la evaluación de impacto a los que se refiere el apartado anterior, en caso de resultar agravadas respecto de las previstas en el presente real decreto.” De este modo, aunque la protección de datos implica mucho más que aplicar las medidas del ENS, tal y como previene su artículo 3, lo cierto es que la disposición adicional 1ª de la LOPDGDD obliga a los sujetos del art. 77 de la LOPDGDD a aplicar las medidas de seguridad que correspondan de las previstas en el Esquema Nacional de Seguridad. 3. Conclusiones Todos estos aspectos proporcionan suficientes evidencias para considerar que, en el momento en que se produjo la brecha, la parte reclamada no tenía implantadas medidas técnicas y organizativas de seguridad apropiadas para garantizar un nivel de seguridad adecuado al riesgo, Por tanto, de conformidad con las evidencias de las que se dispone en este momento de acuerdo de inicio de procedimiento sancionador, se considera que los hechos conocidos podrían ser constitutivos de una infracción, imputable a la DG GANADERÍA, por vulneración del artículo 32 del RGPD transcrito anteriormente. VII. Tipificación de la infracción del artículo 32 del RGPD y calificación a efectos de prescripción El artículo 83.4 del RGPD tipifica como infracción administrativa la vulneración de los artículos siguientes, se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 10.000.000 EUR como máximo o, tratándose de una empresa, de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 21/31 una cuantía equivalente al 2 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: "
  1. a)las obligaciones del responsable y del encargado a tenor de los artículos 8, 11, 25 a 39, 42 y 43;
  2. b)las obligaciones de los organismos de certificación a tenor de los artículos 42 y 43;
  3. c)las obligaciones de la autoridad de control a tenor del artículo 41, apartado 4." Por su parte, la LOPDGDD en su artículo 71, Infracciones, señala que: “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A los solos efectos del plazo de prescripción, el artículo 73 de la LOPDGDD establece lo siguiente: "En función de lo que establece el artículo 83.4 del Reglamento (UE) 2016/679 se consideran graves y prescribirán a los dos años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
  4. f)La falta de adopción de aquellas medidas técnicas y organizativas que resulten apropiadas para garantizar un nivel de seguridad adecuado al riesgo del tratamiento, en los términos exigidos por el artículo 32.1 del Reglamento (UE) 2016/679." VIII. Obligación incumplida. Minimización de datos La letra
  5. c)del artículo 5.1 del RGPD propugna: "1. Los datos personales serán: (…)
  6. c)adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados («minimización de datos»);" El principio de minimización de datos, recogido en el citado artículo, tiene como finalidad garantizar que únicamente se traten los datos personales estrictamente necesarios para alcanzar el propósito legítimo del tratamiento, evitando el uso excesivo o desproporcionado de información personal. Este principio protege los derechos y libertades de los interesados al limitar el tratamiento de datos a lo imprescindible, reduciendo los riesgos y asegurando un uso responsable de la información personal. Conforme a la notificación de la brecha de datos personales remitida a esta Agencia, los datos que fueron objeto de acceso indebido fueron: (…) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 22/31 Como se observa, el Registro de animales de compañía contenía no solo datos personales sino también imágenes de documentos de identidad (DNI y otros). En relación con este último aspecto, la contestación que al inspector dirige la parte reclamada explica lo siguiente: “La aplicación contenía imágenes escaneadas de documentos de identificación, tales como DNI o pasaportes. Esto era debido al protocolo aplicado en las gestiones vinculadas a la cesión de mascotas entre particulares. Tras el incidente se ha replanteado este protocolo para evitar manejar ese tipo de imágenes.” En relación con los riesgos provocados por el acceso a las imágenes contenidas en el registro se afirma lo siguiente: “Según la literatura sobre la materia y en particular, según comunicado público de la Guardia Civil, las imágenes escaneadas de documentos de identificación tales como el DNI o equivalentes pueden emplearse para: abrir cuentas bancarias, solicitar préstamos, registros en casas de apuestas y hacer compras o ventas.” En relación con las medidas adoptadas con posterioridad a la brecha, se indica que en primer lugar se procedió al “bloqueo” de las imágenes de documentos contenidas en el registro. Posteriormente se habría adoptado la decisión de modificar el protocolo de cesión de mascotas para no almacenar imágenes de documentos identificativos. En contestación al segundo requerimiento del inspector, la DG GANADERÍA afirma que con fecha 1 de febrero de 2024 se envió a los usuarios una nueva versión del manual de usuarios del RACIC, con nueva solicitud de cambio de titularidad y correo del Jefe de Servicio de Producción Animal con instrucciones al respecto. En estos nuevos documentos se pone de manifiesto la decisión de prescindir de recoger y almacenar imágenes escaneadas de documentos identificativos. El principio de minimización es básico en cuanto al tratamiento de datos personales. Toda vez que el tratamiento, recogida, conservación de datos personales implica necesariamente un riesgo para los derechos y libertades de sus titulares (que en este caso además se materializó en perjuicio), previamente al tratamiento debe realizarse un análisis de si los que se pretenden recolectar son pertinentes y necesarios para el cumplimiento de los fines que una organización tiene encomendados. En este caso no se ha motivado ni mucho menos acreditado la necesidad de conservar imágenes de los documentos identificativos. Tampoco se ha aportado el protocolo de cambio de titularidad de mascotas que presuntamente podría justificar el tratamiento de las imágenes. Por lo demás, el hecho de que las mencionadas imágenes hayan sido bloqueadas o suprimidas sin que por ello se haya resentido el funcionamiento del Registro ni las gestiones asociadas al mismo, hacen considerar que existe evidencia de que la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 23/31 obtención y conservación de imágenes de los documentos identificativos vulneraba el principio de minimización del art 5.1.
  7. c)del RGPD. A este respecto, como bien advierte el informe remitido por la propia parte reclamada, la filtración o acceso indebido a estas imágenes incrementa significativamente el riesgo de suplantación de identidad y, en todo caso, va en menoscabo del poder de disposición de toda persona sobre sus datos personales. Por tanto, de conformidad con las evidencias de las que se dispone en este momento de acuerdo de inicio de procedimiento sancionador, se considera que los hechos conocidos podrían ser constitutivos de una infracción, imputable a la DG GANADERÍA, por vulneración del artículo 5.1.
  8. c)del RGPD transcrito anteriormente. IX. Tipificación de la infracción del artículo 5.1.
  9. c)del RGPD y calificación a efectos de prescripción El artículo 83.5 del RGPD tipifica como infracción administrativa la vulneración de los artículos siguientes, que se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20.000.000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: "
  10. a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9;
  11. b)los derechos de los interesados a tenor de los artículos 12 a 22;
  12. c)las transferencias de datos personales a un destinatario en un tercer país o una organización internacional a tenor de los artículos 44 a 49;
  13. d)toda obligación en virtud del Derecho de los Estados miembros que se adopte con arreglo al capítulo IX;
  14. e)el incumplimiento de una resolución o de una limitación temporal o definitiva del tratamiento o la suspensión de los flujos de datos por parte de la autoridad de control con arreglo al artículo 58, apartado 2, o el no facilitar acceso en incumplimiento del artículo 58, apartado 1." Por su parte, la LOPDGDD en su artículo 71, Infracciones, señala que: “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A los solos efectos del plazo de prescripción, el artículo 72.1 de la LOPDGDD establece lo siguiente: "En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 24/31
  15. a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679." X. Propuesta de declaración de infracción El artículo 83 “Condiciones generales para la imposición de multas administrativas” del RGPD, en su apartado 7, establece: “Sin perjuicio de los poderes correctivos de las autoridades de control en virtud del artículo 58, apartado 2, cada Estado miembro podrá establecer normas sobre si se puede, y en qué medida, imponer multas administrativas a autoridades y organismos públicos establecidos en dicho Estado miembro.” El artículo 77 “Régimen aplicable a determinadas categorías de responsables o encargados del tratamiento” de la LOPDGDD dispone lo siguiente: “1. El régimen establecido en este artículo será de aplicación a los tratamientos de los que sean responsables o encargados:
  16. a)Los órganos constitucionales o con relevancia constitucional y las instituciones de las comunidades autónomas análogas a los mismos.
  17. b)Los órganos jurisdiccionales.
  18. c)La Administración General del Estado, las Administraciones de las comunidades autónomas y las entidades que integran la Administración Local.
  19. d)Los organismos públicos y entidades de Derecho público vinculadas o dependientes de las Administraciones Públicas.
  20. e)Las autoridades administrativas independientes.
  21. f)El Banco de España.
  22. g)Las corporaciones de Derecho público cuando las finalidades del tratamiento se relacionen con el ejercicio de potestades de derecho público.
  23. h)Las fundaciones del sector público.
  24. i)Las Universidades Públicas.
  25. j)Los consorcios.
  26. k)Los grupos parlamentarios de las Cortes Generales y las Asambleas Legislativas autonómicas, así como los grupos políticos de las Corporaciones Locales. 2. Cuando los responsables o encargados enumerados en el apartado 1 cometiesen alguna de las infracciones a las que se refieren los artículos 72 a 74 de esta ley C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 25/31 orgánica, la autoridad de protección de datos que resulte competente dictará resolución declarando la infracción y estableciendo, en su caso, las medidas que proceda adoptar para que cese la conducta o se corrijan los efectos de la infracción que se hubiese cometido, con excepción de la prevista en el artículo 58.2.i del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016. La resolución se notificará al responsable o encargado del tratamiento, al órgano del que dependa jerárquicamente, en su caso, y a los afectados que tuvieran la condición de interesado, en su caso. 3. Sin perjuicio de lo establecido en el apartado anterior, la autoridad de protección de datos propondrá también la iniciación de actuaciones disciplinarias cuando existan indicios suficientes para ello. En este caso, el procedimiento y las sanciones a aplicar serán las establecidas en la legislación sobre régimen disciplinario o sancionador que resulte de aplicación. Asimismo, cuando las infracciones sean imputables a autoridades y directivos, y se acredite la existencia de informes técnicos o recomendaciones para el tratamiento que no hubieran sido debidamente atendidos, en la resolución en la que se imponga la sanción se incluirá una amonestación con denominación del cargo responsable y se ordenará la publicación en el Boletín Oficial del Estado o autonómico que corresponda. 4. Se deberán comunicar a la autoridad de protección de datos las resoluciones que recaigan en relación con las medidas y actuaciones a que se refieren los apartados anteriores. 5. Se comunicarán al Defensor del Pueblo o, en su caso, a las instituciones análogas de las comunidades autónomas las actuaciones realizadas y las resoluciones dictadas al amparo de este artículo. 6. Cuando la autoridad competente sea la Agencia Española de Protección de Datos, esta publicará en su página web con la debida separación las resoluciones referidas a las entidades del apartado 1 de este artículo, con expresa indicación de la identidad del responsable o encargado del tratamiento que hubiera cometido la infracción. Cuando la competencia corresponda a una autoridad autonómica de protección de datos se estará, en cuanto a la publicidad de estas resoluciones, a lo que disponga su normativa específica.” Este precepto establece que los procedimientos que tengan causa en infracciones en materia de protección de datos personales cometidas por las categorías de responsables o encargados del tratamiento enumerados en su apartado 1 se resolverán, en todo caso, declarando la infracción. XI. Medidas correctivas C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 26/31 De confirmarse la infracción, el citado artículo 77 de la LOPDGDD contempla que la resolución que se dicte pueda establecer las medidas que la entidad infractora deberá adoptar para que cese la conducta infractora, se corrijan los efectos de la infracción que se hubiese cometido y se lleve a cabo la necesaria adecuación, en este caso, a las exigencias contempladas en los artículos 5.1.f), art 32 y art 5.1.
  27. c)del RGPD, debiendo, además, aportar a la AEPD los medios acreditativos del cumplimiento de lo requerido. Así, se podrá requerir a la entidad responsable para que adecúe su actuación a la normativa de protección de datos personales, con el alcance expresado en los anteriores Fundamentos de Derecho. En el presente acto se establece cuál es la presunta infracción cometida y los hechos que podrían dar lugar a esa posible vulneración de la normativa de protección de datos, de lo que se infiere con claridad cuáles son las medidas a adoptar, sin perjuicio de que el tipo de procedimientos, mecanismos o instrumentos concretos para implementarlas corresponda a la parte sancionada, pues es el responsable del tratamiento quien conoce plenamente su organización y ha de decidir, en base a la responsabilidad proactiva y en enfoque de riesgos, cómo cumplir con el RGPD y la LOPDGDD. No obstante, en este caso, con independencia de lo anterior, de conformidad con las evidencias de que se dispone en el presente momento de acuerdo de inicio de procedimiento sancionador, en la resolución que se adopte se podrá requerir a para que, en el plazo de 6 meses, a contar desde la fecha de ejecutividad de la resolución finalizadora de este procedimiento, adopte las medidas siguientes: - Acreditar la aplicación efectiva de las medidas técnicas y organizativas adecuadas, para garantizar el cumplimiento del principio de confidencialidad establecido en el artículo 5.1.
  28. f)del RGPD - Acreditar la aplicación efectiva de las medidas de seguridad adecuadas, para garantizar el cumplimiento de lo establecido en el artículo 32 del RGPD Se advierte que no atender la posible orden de adopción de medidas impuestas por este organismo en la resolución del presente procedimiento podrá ser considerado como una infracción administrativa conforme a lo dispuesto en el RGPD, tipificada como infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la apertura de un ulterior procedimiento administrativo sancionador. Por otra parte, se recuerda que el reconocimiento de la infracción cometida no exime de la obligación de adoptar las medidas pertinentes para que cese la conducta o se corrijan los efectos de la infracción cometida y la de acreditar el cumplimiento de esa obligación. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 27/31 Por lo tanto, a tenor de lo anteriormente expuesto, por la Presidencia de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: INICIAR PROCEDIMIENTO SANCIONADOR a la DIRECCIÓN GENERAL DE GANADERÍA, con NIF S3933002B, por la presunta infracción de los artículos 5.1.
  29. f)del RGPD, artículo 32 del RGPD y artículo 5.1.
  30. c)del RGPD, tipificadas, respectivamente) en los artículos 83.5, 83.4 y 83.5 del RGPD. SEGUNDO: NOMBRAR como instructor a R.R.R. y, como secretaria, a S.S.S., indicando que podrán ser recusados, en su caso, conforme a lo establecido en los artículos 23 y 24 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público (LRJSP). TERCERO: INCORPORAR al expediente, a efectos probatorios, la notificación de la violación de la seguridad de los datos personales, así como, los documentos obtenidos y generados por la Subdirección General de Inspección de Datos en las actuaciones previas al inicio del presente procedimiento sancionador. CUARTO: Sin perjuicio de lo que resulte de la instrucción, el pronunciamiento que pudiera corresponder por los hechos que motivan la incoación del procedimiento y su posible calificación jurídica, de acuerdo con lo dispuesto por el art. 77.2 de la LOPDGDD, y atendiendo a la categoría del sujeto presuntamente responsable de las infracciones, consistirá en una declaración de infracción por cada una de ellas. Asimismo, las infracciones imputadas, de confirmarse, podrá) conllevar la imposición de medidas, de acuerdo con lo establecido en el citado artículo 77.2 de la LOPDGDD. QUINTO: NOTIFICAR el presente acuerdo a la DIRECCIÓN GENERAL DE GANADERÍA, con NIF S3933002B, otorgándole un plazo de audiencia de diez días hábiles para que formule las alegaciones y presente las pruebas que considere convenientes. En su escrito de alegaciones deberá facilitar su NIF y el número de procedimiento que figura en el encabezamiento de este documento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 28/31 Conforme dispone el artículo 85 de la LPACAP, podrá reconocer su responsabilidad dentro del plazo otorgado para la formulación de alegaciones al presente acuerdo de inicio, condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa; resolviéndose el procedimiento con la declaración de la infracción, sin perjuicio de la imposición de las medidas correspondientes. En cumplimiento de los artículos 14, 41 y 43 de la LPACAP, se advierte de que, en lo sucesivo, las notificaciones que se le remitan se realizarán exclusivamente de forma electrónica, a través de la Dirección Electrónica Habilitada única (dehu.redsara.
  31. es)y de la Sede electrónica (sedeaepd.gob.es), y que, de no acceder a ellas, se hará constar su rechazo en el expediente, dando por efectuado el trámite y siguiéndose el procedimiento. Se le informa que puede identificar ante esta Agencia una dirección de correo electrónico para recibir el aviso de puesta a disposición de las notificaciones y que la falta de práctica de este aviso no impedirá que la notificación sea considerada plenamente válida. Por último, se señala que conforme a lo establecido en el artículo 112.1 de la LPACAP, contra el presente acto no cabe recurso administrativo alguno. 1451-260325 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos >> SEGUNDO: En virtud de escrito presentado en fecha 10 de junio de 2025 DG GANADERÍA ha reconocido expresamente su responsabilidad en relación con los hechos a los que se refiere el Acuerdo de inicio transcrito anteriormente, y su calificación jurídica. TERCERO: El reconocimiento de su responsabilidad, en los términos expuestos, y dentro del plazo concedido para formular alegaciones a la apertura del procedimiento, permite resolver el procedimiento. CUARTO: En el Acuerdo de inicio transcrito anteriormente se señalaba que, de confirmarse la infracción, podría acordarse imponer al responsable la adopción de medidas adecuadas para ajustar su actuación a la normativa mencionada en este acto, de acuerdo con lo establecido en el citado artículo 58.2
  32. d)del RGPD, según el cual cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…”. Habiéndose reconocido la responsabilidad de la infracción, procede la imposición de las medidas incluidas en el Acuerdo de inicio. FUNDAMENTOS DE DERECHO C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 29/31 I Competencia De acuerdo con y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Terminación del procedimiento El artículo 85 de la LPACAP, bajo la rúbrica “Terminación en los procedimientos sancionadores” dispone lo siguiente: “1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento con la imposición de la sanción que proceda. 2. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa imponer una sanción pecuniaria y otra de carácter no pecuniario pero se ha justificado la improcedencia de la segunda, el pago voluntario por el presunto responsable, en cualquier momento anterior a la resolución, implicará la terminación del procedimiento, salvo en lo relativo a la reposición de la situación alterada o a la determinación de la indemnización por los daños y perjuicios causados por la comisión de la infracción. 3. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el órgano competente para resolver el procedimiento aplicará reducciones de, al menos, el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables entre sí. Las citadas reducciones, deberán estar determinadas en la notificación de iniciación del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. El porcentaje de reducción previsto en este apartado podrá ser incrementado reglamentariamente.” III Reconocimiento de responsabilidad De conformidad con lo dispuesto en el citado artículo 85.1 de la LPACAP, en el acuerdo de inicio notificado se informaba sobre la posibilidad de reconocer su responsabilidad dentro del plazo correspondiente para la formulación de alegaciones. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 30/31 Tras la notificación del citado acuerdo de inicio, DG GANADERÍA ha procedido al reconocimiento de la responsabilidad, resolviéndose el procedimiento con la declaración de la infracción, sin perjuicio de la imposición de las medidas correspondientes. Debe tenerse en cuenta que, de acuerdo con los preceptos de la LPACAP, el reconocimiento de la responsabilidad dentro del plazo no exime a la administración de la obligación de resolver y notificar todos los procedimientos, cualquiera que sea su forma de iniciación. De igual forma, el artículo 88 de la citada norma establece que la resolución que ponga fin al procedimiento decidirá todas las cuestiones planteadas por los interesados y aquellas otras derivadas del mismo. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones, la Presidencia de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR la comisión de las infracciones determinadas en la parte dispositiva del acuerdo de inicio transcrito en la presente resolución. SEGUNDO: DECLARAR la terminación del procedimiento EXP202317649, de conformidad con lo establecido en el artículo 85 de la LPACAP. TERCERO: ORDENAR a DIRECCIÓN GENERAL DE GANADERÍA para que en el plazo de 6 meses desde que la presente resolución sea firme y ejecutiva, notifique a la Agencia la adopción de las medidas que se describen en los fundamentos de derecho del Acuerdo de inicio transcrito en la presente resolución. CUARTO: NOTIFICAR la presente resolución a DIRECCIÓN GENERAL DE GANADERÍA. QUINTO: COMUNICAR la presente resolución al Defensor del Pueblo, de conformidad con lo establecido en el artículo 77.5 de la LOPDGDD. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública. La publicación se realizará una vez la resolución sea firme en vía administrativa. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 31/31 No obstante, conforme a lo previsto en el artículo 90.3.
  33. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeaepd.gob.es/sede-electronica-web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contenciosoadministrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 1561-280725 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.