1/15 Expediente N.º: EXP202308886 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: A.A.A. (en adelante, la parte reclamante) con fecha 4 de mayo de 2023 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra la COMISARÍA PROVINCIAL DE MÁLAGA con NIF S2916003C (en adelante, la parte reclamada). Los motivos en que basa la reclamación son los siguientes: La parte reclamante manifiesta que en fecha 30 de diciembre de 2022 le fue notificado inicio de expediente sancionador por la SUBDELEGACIÓN DEL GOBIERNO DE MÁLAGA, instruyéndose, de igual forma, expediente contra la parte reclamante por parte de la JEFATURA DE POLICÍA LOCAL DE MARBELLA. Manifiesta que dichos expedientes parten de (…). Señala asimismo que agentes de la Policía Nacional utilizaron teléfonos móviles para tomar imágenes de documentación de la parte reclamante. Entre otras cosas, indica en la reclamación lo que a continuación se transcribe: “Que dicho documento consta de numerosas actuaciones policiales, las principales, objeto de la presente denuncia son las siguientes: (…) Así como que las imágenes tomadas por los agentes de la Unidad se hicieron con los terminales particulares de los mismos.” - Anexo 8. Propuesta de resolución del expediente sancionador emitida en fecha 24/03/2023 por los Servicios Jurídicos de la Subdelegación de Gobierno en Málaga en la que manifiestan lo siguiente: (…). SEGUNDO: Con fecha 4 de agosto de 2023, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. TERCERO: Con fecha 24 de junio de 2024, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/15 adelante, LPACAP), por la presunta infracción del Artículo 32 del RGPD, tipificada en el Artículo 83.4.
- a)del RGPD. QUINTO: Notificado el citado acuerdo de inicio conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), la parte reclamada presentó, con fecha de 12/07/2024, escrito que erróneamente calificó como recurso contra el acuerdo de apertura del procedimiento. En dicho escrito solicita el archivo, con base en las alegaciones que se reproducen y contestan en el Fundamento jurídico tercero de esta resolución SEXTO. Con fecha de 1 de mayo de 2025, el presidente de la AEPD designó nuevo instructor del procedimiento, indicando que podría ser recusado, en su caso, en cualquier momento de la tramitación del procedimiento, conforme a lo establecido en el artículo 24 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público. SÉPTIMO: Con fecha 5 de mayo de 2025 el instructor del procedimiento formuló propuesta de resolución. En ella, por parte del instructor del procedimiento se propuso: PRIMERO: Que por la Presidencia de la Agencia Española de Protección de Datos se declare que COMISARÍA PROVINCIAL DE MÁLAGA, ha infringido lo dispuesto en el artículo 32 del RGPD, tipificada en el artículo 83.4.
- a)del RGPD. SEGUNDO. Que por la Presidencia de la Agencia Española de Protección de Datos se ordene a COMISARÍA PROVINCIAL DE MÁLAGA, con NIF S2916003C, que en virtud del artículo 58.2.
- d)del RGPD, en el plazo de DOS MESES, acredite haber procedido al cumplimiento de la medida establecida en el Fundamento de Derecho VII. OCTAVO. Notificada a la parte reclamada la propuesta de resolución, constando en el expediente la acreditación de la misma, con fecha de 19 de mayo de 2025 se recibieron alegaciones a la misma. En ellas básicamente se exponen los argumentos que se reflejan y contestan en el fundamento jurídico cuarto de esta resolución. De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS PRIMERO: La parte reclamada llevó a cabo una investigación sobre varios funcionarios policiales, en servicio activo, que se encontrarían presuntamente desarrollando actividades de seguridad privada, incompatibles con sus cargos. SEGUNDO. En el curso de dicha investigación, funcionarios adscritos a la UTSP de la Comisaría Provincial de Málaga realizaron fotografías de la parte reclamante y de su documentación de identidad con sus teléfonos particulares destinadas a constar en la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/15 investigación. Dichas fotografías fueron realizadas utilizando dispositivos personales, no corporativos. Tal y como consta en el informe del Comisario Jefe de la Brigada Provincial de Seguridad Ciudadana de la Comisaría Provincial de Málaga, en el oficio de la Subdelegación del Gobierno de Málaga de 19/01/2023 y en la propuesta de resolución del expediente sancionador emitida en fecha 24/03/2023 por la Subdelegación de Gobierno en Málaga. TERCERO. No consta que, en el momento de los hechos objeto de este procedimiento, la Comisaría tenga dispuestas medidas técnicas u organizativas que tengan como finalidad evitar el uso profesional de terminales particulares de los funcionarios de policía. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Cuestiones previas En el presente caso, de acuerdo con lo establecido en el artículo 4.1 y 4.2 del RGPD, consta la realización de un tratamiento de datos personales, toda vez que la parte reclamada realiza, entre otros tratamientos, la recogida, registro y organización de los siguientes datos personales de personas físicas, tales como: nombre y apellidos, número de identificación, etc. La parte reclamada realiza esta actividad en su condición de responsable del tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del RGPD. III Contestación a las alegaciones al acuerdo de inicio La parte reclamada formuló las siguientes alegaciones al acuerdo de inicio C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/15 - (…) - Conforme al artículo 16 de la Ley Orgánica 4/2015, de 30 de marzo, de Seguridad ciudadana, “los agentes podrán realizar las comprobaciones necesarias en la vía pública o en el lugar donde se hubiese hecho el requerimiento, incluida la identificación de las personas cuyo rostro no sea visible total o parcialmente por utilizar cualquier tipo de prenda u objeto que lo cubra, impidiendo o dificultando la identificación, cuando fuere preciso a los efectos indicados”. - (…) - En relación con las medidas de seguridad, la parte reclamada considera que la normativa vigente en materia de protección de datos personales no recoge en ningún precepto la prohibición del uso de dispositivos personales por parte de funcionarios policiales responsables de su tratamiento. Si bien es cierto que el uso de terminales telefónicos particulares implica un aumento de la probabilidad de producción de un riesgo, ello no implica un incumplimiento de lo establecido en el artículo 32 del Reglamento (UE) 2016/679, siempre que previamente se adopten las medidas técnicas y organizativas adecuadas al riesgo. - Finalmente informan de que por parte de la Oficina Central Nacional de Protección de Datos de la Dirección General de la Policía se ha procedido a la difusión de las medidas necesarias para impedir la utilización de terminales telefónicos personales de los agentes para uso profesional, de lo que se dará cuenta oportunamente. En relación con las mismas, cabe contestar lo siguiente: Con carácter previo, se subraya que tal y como se desprende del artículo 112.1 de la LPACAP y se establecía en el propio acuerdo de inicio, este no es impugnable. Por ello, las manifestaciones en el escrito calificado erróneamente como recurso de reposición por la parte reclamada, se toman como alegaciones al acuerdo de inicio a cuya contestación se procede a continuación. Por otra parte, es preciso dejar claro que por la parte reclamada no se discuten los hechos que han dado lugar al presente procedimiento. (…) Como contestación a estas alegaciones, debe significarse en primer lugar que en las mismas no se aclara en qué medida la utilización de un dispositivo personal contribuye a minimizar el riesgo de detección por parte del personal donde se iba a hacer la investigación. Conforme se detalla en la documentación que consta en el expediente, las fotografías fueron realizadas con un teléfono móvil particular, del mismo modo que habrían sido tomadas con uno corporativo si este se hubiera utilizado. Además, el que la mencionada Ley Orgánica 4/2015, de 30 de marzo, posibilite la identificación de personas en la vía pública por los Cuerpos y Fuerzas de Seguridad, no implica que se habilite el tratamiento de datos personales mediante la toma de fotografías realizadas a través de terminales personales. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/15 Del mismo modo, una vez que por la parte reclamada se reconoce que el uso de dispositivos particulares, no corporativos, implica un mayor riesgo, tampoco explica qué tipo de medida técnicas u organizativas se habrían adoptado para minimizar ese riesgo. En Fundamentos jurídicos de esta resolución se motiva más ampliamente el riesgo que produce la utilización de dispositivos móviles personales en investigaciones policiales y por qué no permiten entender cumplidas las medidas de seguridad a que obliga el artículo 32 del RGPD. En cuanto a la intención de adoptar la medida de impedir la utilización de terminales telefónicos personales, si bien se valora positivamente por esta Agencia, ello no impide que la infracción ya se había cometido. Como se ha comenzado indicando en este fundamento, los hechos están constatados y son reconocidos por la parte reclamada. IV Contestación a las alegaciones a la propuesta de resolución Se realizaron por la parte reclamada las siguientes alegaciones a la propuesta de resolución: 1. Legitimidad del tratamiento. Las actuaciones enjuiciadas en el procedimiento se habrían llevado a cabo en el seno de una investigación administrativa disciplinaria. La base legitimadora del tratamiento se encontraría en las letras
- c)y
- e)del art 6 del RGPD (cumplimiento de una obligación legal y misión en interés público). 2. Uso de dispositivos móviles personales. Las medidas adecuadas al nivel de riesgo existente deben evaluarse teniendo en cuenta las circunstancias que concurrieron: se trató de un uso puntual y restringido; las imágenes fueron incorporadas inmediatamente a las diligencias policiales y destruidas a continuación; se usaron dispositivos personales ante la imposibilidad técnica u operativa de emplear medios corporativos sin comprometer la inspección. 3. Inexistencia de un tratamiento indebido o no autorizado. En relación con este aspecto, no habría habido accesos indebidos a los datos personales ni transmisión a terceros. Y no se habrían producido los supuestos de riesgo relevante a los que se refiere el artículo 32.2 del RGPD (destrucción, pérdida, alteración o acceso no autorizado), 4. Principio de proporcionalidad y ausencia de responsabilidad. Se alega que no puede sancionarse con base en una mera responsabilidad objetiva, sino que tendría que concurrir intencionalidad o negligencia grave y un daño efectivo C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/15 5. Archivo de actuaciones sin declaración de infracción. Alega la parte reclamada que el artículo 77 LOPDGDD prevé esa posibilidad (esto es, ordenar adecuación a la normativa sin necesidad de declarar la infracción) A las alegaciones se adjunta como anexo un escrito de 08/07/24 firmado por el “Inspector Jefe de Policía, OCN de protección de datos de la Policía Nacional, el adjunto al DPD” que contaría con el visto bueno del Delegado de protección de datos de la D.G. de la Policía. Este escrito incorpora como texto la prohibición del uso de móviles personales: “no está permitida en el ejercicio de la función policial, la utilización de teléfonos/dispositivos móviles particulares para la captación de datos personales por parte del personal de la Policía Nacional con arreglo a la vigente normativa de protección de datos” En contestación a las mismas debe indicarse lo siguiente. 1. Legitimidad del tratamiento y base legitimadora. Afirma la parte reclamada que las actuaciones enjuiciadas en el procedimiento se habrían llevado a cabo en el seno de una investigación administrativa disciplinaria. La actuación no resultó “masiva, ni indiscriminada, ni con fines de vigilancia permanente”, sino una documentación puntual y limitada en un momento concreto, como soporte de actas de vigilancia Para este supuesto, la base legitimadora del tratamiento se encontraría en las letras
- c)y
- e)del art 6 (cumplimiento de una obligación legal y misión en interés público). La actuación no habría sido discrecional, sino en cumplimiento de “potestades regladas”. A este respecto, señalar únicamente no que es objeto de este procedimiento dilucidar si el responsable del tratamiento dispone de una base legitimadora para el mismo. En efecto, ya en la propuesta de resolución se constataba que la Ley Orgánica 4/2015, de 30 de marzo, de Seguridad ciudadana, faculta a los agentes a requerir la identificación de las personas si existen indicios de que hayan podido participar en una infracción o cuando se considere necesario a efectos de prevenir un delito. Para ello, podrán realizar las comprobaciones necesarias en la vía pública, incluida la identificación de las personas cuyo rostro no se encuentre visible. Por el contrario, en este procedimiento se imputa la comisión de una infracción del artículo 32 del RGPD. Una vez que un responsable del tratamiento dispone de una base de legitimación para llevarlo a cabo, debe hacerse con estricto cumplimiento de todas las condiciones aplicables previstas en el propio Reglamento. Entre esas condiciones se encuentra asimismo la aplicación de medidas de seguridad adecuadas al riesgo. En efecto, el artículo 32 del RGPD establece: “Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/15 personas físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo” Esto implica la realización previa de un análisis de riesgos y, para los detectados, el establecimiento de, entre otro tipo de medidas, las de seguridad que hagan que ese riesgo desaparezca o se reduzca a un umbral mínimo aceptable. Y como se motiva en esta resolución, tras la instrucción del procedimiento, se considera que el uso por los funcionarios policiales de dispositivos móviles personales para la toma de evidencias que deben obrar en expedientes administrativos constituye una falta de medidas de seguridad ante riesgos como posibles accesos no autorizados o pérdida de la integridad o disponibilidad de los datos personales. Debe rechazarse, por ello, esta alegación. 2. Uso de dispositivos móviles personales. Circunstancias que concurren En esta alegación se afirma que las medidas adecuadas al nivel de riesgo existente deben evaluarse en función de varios factores: El número y tipo de datos tratados: identificación personal básica e imágenes. El contexto del tratamiento: actuación policial puntual y documentada. La duración del tratamiento: efímera, no persistente ni reutilizable. El impacto real: inexistente, sin indicios de acceso por terceros ni difusión. En función de esos factores, la parte reclamada considera que en este supuesto concurrieron las siguientes circunstancias relacionadas con el uso de dispositivos personales: Se habría producido un uso puntual y restringido de los mismos Las imágenes fueron incorporadas inmediatamente a las diligencias policiales y destruidas a continuación No se transmitieron ni conservaron copias en el dispositivo personal Se siguió el “criterio de proporcionalidad funcional, dada la imposibilidad técnica u operativa de emplear medios corporativos sin comprometer la inspección”. La Dirección General de la Policía ya ha dictado instrucciones prohibiendo el uso futuro de dispositivos personales No se habrían producido incidentes de seguridad ni daños. En este sentido, el hecho de que el uso de dispositivos personales por parte de los funcionarios se califique como puntual, restringido o de corta duración no excluye la existencia de una deficiencia en las medidas de seguridad implantadas, pues como se ha acreditado la Comisaría no contaba con procedimientos técnicos ni organizativos de seguridad para evitar el empleo de teléfonos particulares en el ejercicio de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/15 funciones oficiales. El uso de terminales personales implica, por su propia naturaleza, la incorporación de los datos personales a sistemas ajenos al control de la organización, exponiéndolos a riesgos no evaluados ni gestionados por el responsable del tratamiento. Además, la alegación relativa a la eliminación inmediata de las imágenes tras su incorporación a las diligencias no enerva la infracción, ya que la falta de control previo que permitió su almacenamiento inicial en dispositivos particulares sin garantías de seguridad constituye, por sí mismo, un incumplimiento del artículo 32. Por otra parte, la invocación de supuestas dificultades técnicas u operativas no justifica la ausencia de medidas preventivas suficientes. Precisamente, el RGPD obliga a que de modo que se garantice siempre la protección de los datos personales. Por último, debe subrayarse que la infracción del artículo 32 no exige la producción efectiva de un incidente de seguridad o daño, bastando la constatación de la insuficiencia de las medidas preventivas para entender vulnerada la obligación de garantizar la seguridad del tratamiento. Por todo ello, el uso de que, al menos en relación con los hechos a los que se refiere este procedimiento, el uso de dispositivos haya sido “puntual”, las imágenes hayan sido suprimidas con posterioridad, o se hayan adoptado medidas para evitar este tipo de tratamientos en el futuro, en nada impide que la infracción se haya cometido. Por ello, debe desestimarse esta alegación 1. Inexistencia de un tratamiento indebido o no autorizado. En relación con este aspecto, alega la parte reclamada que no se habrían producido accesos indebidos ni transmisión a terceros. Y tampoco ninguno de los supuestos de riesgo relevante a los que se refiere el artículo 32.2 del RGPD (destrucción, pérdida, alteración o acceso no autorizado). Debe acudirse, para contestar a esta alegación, a la naturaleza del incumplimiento del artículo 32 del RGPD, esto es, a la falta de medidas de seguridad. La finalidad de dicho artículo es la procurar un nivel de seguridad adecuado al riesgo del tratamiento de datos personales, a través de la aplicación de medidas técnicas y organizativas apropiadas de seguridad, específicamente de seguridad, pues aquí la Ley sí distingue. Y todo ello es independiente de que se produzca una pérdida de confidencialidad y/o de integridad, pues la ausencia de dicho nivel de seguridad adecuado al riesgo tiene entidad por sí mismo para determinar la vulneración del precepto. Es decir, la falta de medidas de seguridad de por sí provoca una situación de riesgo para la integridad, confidencialidad o disponibilidad de datos personales. Y ello con independencia de que este riesgo se materialice o no. Por consiguiente, las medidas deben estar dispuestas para garantizar los derechos y libertades de los titulares de los datos personales potencialmente afectados. Debe, en consecuencia, rechazarse esta alegación. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/15 2. Principio de proporcionalidad y ausencia de responsabilidad. Se alega en este apartado que la Administración no puede imponer una sanción con base en una mera responsabilidad objetiva, sino que tendría que concurrir: - La existencia de daño efectivo. Tener en cuenta el grado de diligencia aplicado por el responsable. Las medidas correctoras ya adoptadas. La ausencia de intencionalidad o negligencia grave Teniendo en cuenta, se alega, la adopción de medidas contenida en la propuesta, la declaración de infracción sería “desproporcionada”. Afirma que no puede sancionarse por la mera producción de un resultado (responsabilidad objetiva), sino que debe atenderse al nivel de diligencia desplegado por el sancionado, y a la concurrencia de dolo o negligencia en la infracción cometida. La parte reclamada, en definitiva, hace referencia al principio de culpabilidad. A este respecto, uno de los riesgos más básicos que se pueden detectar en el tratamiento objeto de este procedimiento sería el de una posible pérdida de disponibilidad, integridad o confidencialidad de los datos personales objeto de tratamiento durante las investigaciones policiales. Y este riesgo puede hacerse desaparecer o reducirse muy significativamente por el hecho de utilizar dispositivos móviles corporativos en lugar de los personales. En efecto, el uso de los dispositivos personales incrementa significativamente los riesgos en caso de robo o pérdida del mismo. Lo normal es que no incluyan la misma protección contra malware o ciberataques. Así, estos móviles son más vulnerables frente a estas técnicas, ya que los corporativos tienen políticas de seguridad más estrictas Esto resulta evidente máxime cuando nos encontramos ante un responsable del tratamiento que se integra dentro de las Fuerzas y cuerpos de seguridad del Estado, que por su naturaleza tienen una mayor concienciación frente a los riesgos que implica el uso de dispositivos tecnológicos. Esto ya de por sí implica la concurrencia de, al menos, negligencia grave en el tratamiento objeto del expediente. Pues bien, cabe preguntarse cuáles son los parámetros de la diligencia debida que la entidad investigada debía haber observado en relación con la conducta examinada. La respuesta es que la diligencia que debió observar es la que era precisa para cumplir las obligaciones que le imponen los artículos 5.2, 24 y 25 del RGPD, a la luz de la doctrina de la Audiencia Nacional y la jurisprudencia del Tribunal Supremo. Es plenamente aplicable al caso la SAN de 17 de octubre de 2007 (rec. 63/2006), que, después de referirse a que las entidades en las que el desarrollo de su actividad conlleva un continuo tratamiento de datos de clientes y terceros han de observar un adecuado nivel de diligencia, dice: “[...] el Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el infractor no se comporta con la diligencia exigible. Y en la valoración del grado de diligencia ha C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 10/15 de ponderarse especialmente la profesionalidad o no del sujeto, y no cabe duda de que, en el caso ahora examinado, cuando la actividad de la recurrente es de constante y abundante manejo de datos de carácter personal ha de insistirse en el rigor y el exquisito cuidado por ajustarse a las prevenciones legales al respecto”. A mayor abundamiento, la Audiencia Nacional en materia de protección de datos de carácter personal, ha declarado que “basta la simple negligencia o incumplimiento de los deberes que la Ley impone a las personas responsables de ficheros o del tratamiento de datos de extremar la diligencia...” (Sentencia de la Audiencia Nacional de 29 de junio de 2001). En consecuencia, la alegación debe ser desestimada, toda vez que la entidad investigada ha infringido las obligaciones impuestas en el RGPD en calidad de responsable de los tratamientos llevados a cabo en su nombre y por su cuenta, en relación con las responsabilidades que exige a todo responsable del tratamiento el artículo 24 del RGPD. Procede, por lo tanto, desestimar esta alegación. 1. Archivo de actuaciones sin declaración de infracción. Alega la parte reclamada que el artículo 77 LOPDGDD prevé esa posibilidad (esto es, ordenar adecuación a la normativa sin necesidad de declarar la infracción). Para contestar a esta alegación basta con acudir al apartado 2 de dicho artículo 77 LOPDGDD, que establece lo siguiente: “2. Cuando los responsables o encargados enumerados en el apartado 1 cometiesen alguna de las infracciones a las que se refieren los artículos 72 a 74 de esta ley orgánica, la autoridad de protección de datos que resulte competente dictará resolución declarando la infracción y estableciendo, en su caso, las medidas que proceda adoptar para que cese la conducta o se corrijan los efectos de la infracción que se hubiese cometido, con excepción de la prevista en el artículo 58.2.i del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016.” Es decir, no prevé una adopción de medidas correctivas como alternativa a la declaración de infracción, sino, en su caso, añadida a ella. La declaración de infracción se impone imperativamente (“dictará resolución declarando la infracción”). Procede, por lo tanto, mantener dicha declaración en la parte dispositiva de esta resolución 2. Anexo a las alegaciones. Se adjunta un escrito de 08/07/24 firmado por (…). Como se ha repetido con anterioridad, la subsanación de la infracción, por mucho que sea valorada positivamente por esta AEPD, no impide que la misma ya se haya cometido, por lo que resulta pertinente la constatación del incumplimiento y C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 11/15 declaración de infracción contenidas en esta resolución. La medida correctiva adoptada, eso sí, hace que no sea necesario imponerlas en esta. V Obligación incumplida. Seguridad del tratamiento El Artículo 32 “Seguridad del tratamiento” del RGPD establece: “1. Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, que en su caso incluya, entre otros:
- a)la seudonimización y el cifrado de datos personales;
- b)la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento; c)la capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente físico o técnico; d)un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento. 2. Al evaluar la adecuación del nivel de seguridad se tendrán particularmente en cuenta los riesgos que presente el tratamiento de datos, en particular como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos. 3. La adhesión a un código de conducta aprobado a tenor del artículo 40 o a un mecanismo de certificación aprobado a tenor del artículo 42 podrá servir de elemento para demostrar el cumplimiento de los requisitos establecidos en el apartado 1 del presente artículo. 4. El responsable y el encargado del tratamiento tomarán medidas para garantizar que cualquier persona que actúe bajo la autoridad del responsable o del encargado y tenga acceso a datos personales solo pueda tratar dichos datos siguiendo instrucciones del responsable, salvo que esté obligada a ello en virtud del Derecho de la Unión o de los Estados miembros”. En el presente caso, la parte reclamada no ha aplicado las medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, para evitar el uso de los teléfonos móviles de los agentes para tomar imágenes en su actividad profesional, medidas destinadas a garantizar la confidencialidad de los sistemas y servicios de tratamiento. El uso profesional de los teléfonos móviles personales de los agentes ha sido reconocido tanto por la Comisaría de Málaga en el informe enviado a la Subdelegación de Gobierno en Málaga como por ésta misma que también manifiesta (…). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 12/15 La realización de investigaciones por las Fuerzas y Cuerpos de seguridad del Estado debe realizarse con métodos que garanticen la seguridad y confidencialidad de los datos personales. A este respecto, el uso de teléfonos móviles personales por parte de los agentes no garantizaría adecuadamente la seguridad de los datos: Por una parte, dichos teléfonos móviles particulares quedarían fuera del control del responsable del tratamiento, que no puede tomar decisiones relacionadas con la seguridad del dispositivo, entre ellas, la instalación de programas y aplicaciones y sus actualizaciones. Por otra, no queda debidamente garantizado que no se produzcan pérdidas o alteraciones de dichos datos y, muy especialmente, dada la generalización de uso de dispositivos inteligentes, la posibilidad de acceso por terceros a los datos tratados a través de dichos dispositivos, pudiendo producirse inadvertidamente una cesión de datos a terceros. A lo ya expuesto, cabe añadir que, los usos privados que cada agente pueda realizar con su propio teléfono móvil personal, no resultan compatibles con las medidas de seguridad que para el ejercicio de las funciones de policía deben adoptarse por los responsables del fichero policial del que formarán parte tales grabaciones. De conformidad con las evidencias de las que se dispone, se considera que los hechos conocidos son constitutivos de una infracción, imputable a la parte reclamada, por vulneración del artículo 32 del RGPD. VI Tipificación de la infracción del artículo 32 del RGPD y calificación a efectos de prescripción El artículo 83.4 del RGPD tipifica como infracción administrativa la vulneración del artículo siguiente, se sancionará, de acuerdo con el apartado 2, con multas administrativas de 10.000.000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 2 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: "
- a)las obligaciones del responsable y del encargado a tenor de los artículos 8, 11, 25 a 39, 42 y 43;" Por su parte, la LOPDGDD en su artículo 71, Infracciones, señala que: “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A los solos efectos del plazo de prescripción, el artículo 73 de la LOPDGDD establece lo siguiente: "En función de lo que establece el artículo 83.4 del Reglamento (UE) 2016/679 se consideran graves y prescribirán a los dos años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 13/15
- f)La falta de adopción de aquellas medidas técnicas y organizativas que resulten apropiadas para garantizar un nivel de seguridad adecuado al riesgo del tratamiento, en los términos exigidos por el artículo 32.1 del Reglamento (UE) 2016/679." VII Declaración de la infracción. El artículo 83 “Condiciones generales para la imposición de multas administrativas” del RGPD en su apartado 7 establece: “Sin perjuicio de los poderes correctivos de las autoridades de control en virtud del artículo 58, apartado 2, cada Estado miembro podrá establecer normas sobre si se puede, y en qué medida, imponer multas administrativas a autoridades y organismos públicos establecidos en dicho Estado miembro.” Asimismo, el artículo 77 “Régimen aplicable a determinadas categorías de responsables o encargados del tratamiento” de la LOPDGDD dispone lo siguiente: “1. El régimen establecido en este artículo será de aplicación a los tratamientos de los que sean responsables o encargados:
- c)La Administración General del Estado, las Administraciones de las comunidades autónomas y las entidades que integran la Administración Local. 2. Cuando los responsables o encargados enumerados en el apartado 1 cometiesen alguna de las infracciones a las que se refieren los artículos 72 a 74 de esta ley orgánica, la autoridad de protección de datos que resulte competente dictará resolución declarando la infracción y estableciendo, en su caso, las medidas que proceda adoptar para que cese la conducta o se corrijan los efectos de la infracción que se hubiese cometido, con excepción de la prevista en el artículo 58.2.i del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016. La resolución se notificará al responsable o encargado del tratamiento, al órgano del que dependa jerárquicamente, en su caso, y a los afectados que tuvieran la condición de interesado, en su caso. 3. Sin perjuicio de lo establecido en el apartado anterior, la autoridad de protección de datos propondrá también la iniciación de actuaciones disciplinarias cuando existan indicios suficientes para ello. En este caso, el procedimiento y las sanciones a aplicar serán las establecidas en la legislación sobre régimen disciplinario o sancionador que resulte de aplicación. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 14/15 Asimismo, cuando las infracciones sean imputables a autoridades y directivos, y se acredite la existencia de informes técnicos o recomendaciones para el tratamiento que no hubieran sido debidamente atendidos, en la resolución en la que se imponga la sanción se incluirá una amonestación con denominación del cargo responsable y se ordenará la publicación en el Boletín Oficial del Estado o autonómico que corresponda. 4. Se deberán comunicar a la autoridad de protección de datos las resoluciones que recaigan en relación con las medidas y actuaciones a que se refieren los apartados anteriores. 5. Se comunicarán al Defensor del Pueblo o, en su caso, a las instituciones análogas de las comunidades autónomas las actuaciones realizadas y las resoluciones dictadas al amparo de este artículo.” Este precepto establece que los procedimientos que tengan causa en infracciones en materia de protección de datos personales cometidas por las categorías de responsables o encargados del tratamiento enumerados en su apartado 1 se resolverán, en todo caso, declarando la infracción. En el presente caso, de conformidad con el artículo 2
- a)de la Ley Orgánica 2/1986, de 13 de marzo, de Fuerzas y Cuerpos de Seguridad, así como el artículo 3 del Real Decreto 207/2024, de 27 de febrero, por el que se desarrolla la estructura orgánica básica del Ministerio del Interior, a la parte reclamada le es de aplicación lo previsto en el artículo 77, de acuerdo con el artículo 77.1c). Por tanto, corresponder declarar la infracción del artículo 32 del RGPD por la parte reclamada. De acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Presidencia de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR que la COMISARÍA PROVINCIAL DE MÁLAGA, con NIF S2916003C, ha infringido lo dispuesto en el Artículo 32 del RGPD, infracción tipificada en el Artículo 83.4.
- a)del RGPD. SEGUNDO: NOTIFICAR la presente resolución a COMISARÍA PROVINCIAL DE MÁLAGA. TERCERO: COMUNICAR la presente resolución al Defensor del Pueblo, de conformidad con lo establecido en el artículo 77.5 de la LOPDGDD. CUARTO: Esta resolución será ejecutiva una vez finalice el plazo para interponer el recurso potestativo de reposición (un mes a contar desde el día siguiente a la notificación de esta resolución) sin que el interesado haya hecho uso de esta facultad. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 15/15 Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
- a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeaepd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-100325 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es