← España

PS-00279-2023

1/31 Expediente N.º: EXP202302564 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: La Agencia Española de Protección de Datos ha tenido conocimiento a través de dos denuncias presentadas, una por la (…) el 24 de febrero de 2023 y otra por la (…) el 9 de marzo de 2023, así como por la información publicada en la (…) el día 24 de febrero de 2023, de ciertos hechos que podrían vulnerar la legislación en materia de protección de datos. Con fecha 1 de marzo de 2023, la Directora de la Agencia Española de Protección de Datos instó a la Subdirección General de Inspección de Datos (SGID) a iniciar las actuaciones previas de investigación a las que se refiere el artículo 67 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD) para investigar a GUARDIA CIVIL -COMANDANCIA TOLEDO con NIF S4516004A (en adelante, Comandancia de Toledo o Comandancia) en relación con los siguientes hechos: En las referidas denuncias, se afirmaba que la Comandancia de la Guardia Civil de Toledo mantenía activa una base de datos personales al margen de las declaradas por la Dirección General de la Guardia Civil en su inventario de actividades de tratamiento de datos. Según las denuncias, dicha base de datos personales, denominada TOLETUM, había sido creada (…), de forma paralela al sistema oficial automatizado, (…). En las denuncias se indicaba que la base de tratamiento TOLETUM era un fichero de datos (…). Según la información facilitada a la AEPD, esta base de datos estaba preparada para albergar (…). En dichas denuncias, se aseguraba que la base de datos personales no estaba relacionada en el inventario de actividades de tratamiento de datos, por lo que el tratamiento de la información personal que realizaba podría quedar al margen de las previsiones establecidas en las normas que regulan la protección de datos personales y el respeto a los principios relativos al tratamiento, en aspectos tales como la finalidad, el plazo de conservación, el consentimiento de la cesión de datos, los derechos de acceso y rectificación o la propia seguridad de los datos que figuran en la misma. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/31 SEGUNDO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, que consistió en una inspección presencial a la Comandancia de la Guardia Civil de Toledo, teniendo conocimiento de los siguientes extremos: “Fecha en la que tuvieron lugar los hechos reclamados: 24 de febrero de 2023. (…) ENTIDADES INVESTIGADAS Durante las presentes actuaciones se han investigado las siguientes entidades: D.G. DE LA GUARDIA CIVIL con NIF S2816003D con domicilio en C/ GUZMAN EL BUENO, 110 - 28003 MADRID (MADRID) y COMANDANCIA TOLEDO DE LA GUARDIA CIVIL DE TOLEDO con NIF S4516004A (…) RESULTADO DE LAS ACTUACIONES DE INVESTIGACIÓN Se ha realizado una inspección a la Comandancia de la Guardia Civil de Toledo, con el siguiente resultado: PUNTO 1 Los representantes de la Guardia Civil realizaron las siguientes manifestaciones en respuesta a las cuestiones planteadas por los inspectores: (…). Se resalta la importancia de ello por existir vidas en juego. De hecho, desafortunadamente han sucedido dos muertes por violencia de género en la provincia de Toledo en los últimos meses, de dos mujeres clasificadas de víctimas. Creación y modificaciones introducidas en base de datos TOLETUM: (…). Todo ello con el objetivo final de dar una solución efectiva a la coordinación de la aplicación de las medidas de seguridad exigidas para las víctimas de violencia de género.(…). Señalan también que, vista la utilidad de la herramienta creada, por parte de la Dirección General de la Guardia Civil, se va a estudiar la posibilidad de desarrollar una aplicación oficial (…). Con TOLETUM se automatizaron los procesos y se mejoró de manera efectiva la coordinación, la colaboración y alineación de esfuerzos de (…), facilitando el control y supervisión de su trabajo por las estructuras de mando y control.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/31 (…), a lo largo del tiempo ha introducido cambios en las herramientas del Sistema de Gestión TOLETUM, (...), por lo que, fruto de esa constante evolución, algunos aspectos del diseño y de la información contenida no coincidirán según la fecha; (…) - El 27/01/2023, los XXXXXX tenían acceso al Gestor VIOGEN, si bien no tenían la formación necesaria para su uso. - Los días 6-7/02/2023 se organizaron unas Jornadas Formativas (…), donde además de formales en el manejo de la herramienta, se empezó a realizar el volcado de parte de la información (…). - El día 13/02/2023, (…), se informó de lo siguiente: “ahora mismo estamos metiendo (…), todo ello al objeto de que no aparezca la filiación”. - El 22/02/2023 se introdujo una mejora, de tal forma que, (…). - El 13/03/2023, se impartieron instrucciones para que se dejasen de utilizar temporalmente las nuevas herramientas de gestión.” Tratamiento de los datos de víctimas y agresores de violencia de género y guardias civiles en la base de datos TOLETUM: “En TOLETUM no figuran los nombres ni apellidos de las víctimas, ni de los agresores, ni de los agentes de la Guardia Civil. (…). Por tanto, solamente con la información contenida en TOLETUM, no es posible identificar mediante nombre y apellidos a las víctimas ni a los agresores. Para ello habría que acudir a aplicaciones como XXXXXX o XXXX, en las cuales sí constan los nombres y apellidos, así como otros datos de filiación de los mismos. Es decir, exclusivamente las personas autorizadas por sus funciones en XXXX y XXXXXX pueden llegar a identificar a las víctimas y los agresores. De igual forma, para la identificación por nombres y apellidos de los agentes de la Guardia Civil, es necesario acceder a otras aplicaciones internas de este Instituto Armado y tener por tanto autorización para ello. (…), se consideró que la herramienta TOLETUM así diseñada no contenía datos personales, por lo que no se pidió informe al Delegado de Protección de Datos, ni se realizó un Análisis de los Riesgos que puede presentar el tratamiento de los Datos, ni se informó a la Dirección General, Responsable de los Tratamientos, del desarrollo e implementación de la herramienta, ni consta por tanto en el Registro de Actividades de Tratamiento del Responsable.” 1. Datos de víctimas y agresores: “(…) hubo un periodo de prueba inicial, del 27/01/2023 al 22/02/2023 en el cual sí hubo datos de nombre, apellidos y número de DNI de las víctimas y agresores en TOLETUM. (…). 2.Datos de guardias civiles: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/31 “Respecto a los datos de filiación de los guardias civiles, los mismos figuraron en el Gestor DOCUMENTAL desde diciembre de 2022 hasta febrero de 2023, (…). Publicación de la noticia (…): “Hasta que no se publicó la noticia XXXXXXXXXXXXXXX en febrero de 2023, la Comandancia de Toledo no ha sido consciente de que su actuación pudiera supuestamente ser contraria a la normativa de Protección de Datos. (…) e incluso se ha impartido formación sobre la utilización de la misma.” Auditoría de la unidad de Protección de datos de la Dirección General de la Guardia Civil: “Una vez ocurrió la publicación de la noticia, los responsables de la Comandancia pidieron una auditoria a la unidad de Protección de Datos de la Dirección General de la Guardia Civil, ofreciendo su colaboración para intentar esclarecer los hechos. A raíz de la visita del Delegado de Protección de Datos a la Comandancia (…). Desde la Comandancia de Toledo se ha pedido a la Dirección General formación en Protección de Datos y que se facilite un análisis en profundidad de la herramienta TOLETUM con el objetivo de colaborar en todo lo posible y que los hechos no vuelvan a suceder.” Contenido de la base de datos TOLETUM: “TOLETUM se compone de XXXXXXXXXX básicamente: (…). Entró en funcionamiento en febrero de 2022. Los datos de filiación de todos los guardias civiles XXXXXXXXXX desde diciembre de 2022 hasta febrero de 2023. (…). Entró en funcionamiento en marzo de 2022. (…). Entró en funcionamiento en febrero de 2022. (…). Entró en funcionamiento en febrero de 2023. (…). Entró en funcionamiento en febrero de 2023. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/31 (…). Características técnicas de la base de datos TOLETUM: (…). Ha sido desarrollada íntegramente por personal propio de la Comandancia de Toledo. (…). Acceso a la base de datos TOLETUM y trazabilidad de dichos accesos: “Para el acceso a las carpetas compartidas del servidor el usuario necesita haber sido habilitado con los permisos correspondientes XXXXXXXXXXXXX, de tal forma que cuando un usuario entra en el sistema solo se visualizan en su explorador de XXXXXXXXXXX las carpetas que tiene habilitas en su perfil. Solamente se autoriza el acceso a las carpetas compartidas a los usuarios que lo necesitan para las funciones que desempeñan. (…). Otras medidas de seguridad de la base de datos TOLETUM: “Entre otras medidas de seguridad existen: (…). Supresión de datos en la base de datos TOLETUM: “No existe una política de cancelación de datos en TOLETUM como tal. (…). Conclusiones del informe: “La Comandancia de Toledo de la Guardia Civil ha creado una base de datos denominada TOLETUM, (…). En TOLETUM las víctimas y los agresores de violencia de género figuran (…). No figuran nombres ni apellidos ni DNI. Para conocer estos últimos datos es necesario (…), que también consta en TOLETUM. No obstante, hubo un periodo de prueba inicial, del 27/01/2023 al 22/02/2023 en el cual, además del XXXXXXXXXX, constaron datos de nombre, apellidos y número de DNI de las víctimas y agresores en TOLETUM. Hasta una fecha sin determinar (en febrero/marzo de 2023) se incluía también (…). Los guardias civiles figuran XXXXXXXXXXX, no apareciendo nombres ni apellidos en TOLETUM VIOGEN. No obstante figuraron nombre, apellidos y NIF de guardias civiles XXXXXXXXXX desde diciembre de 2022 hasta febrero de 2023, fecha en que se sustituyeron todos ellos por XXXXXXX. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/31 (…), consideraron que la herramienta TOLETUM así diseñada no contenía datos personales, por lo que no se pidió informe al Delegado de Protección de Datos, ni se realizó un Análisis de los Riesgos que podía presentar el tratamiento de los Datos, ni se informó a la Dirección General de la Guardia Civil, Responsable de los Tratamientos, del desarrollo e implementación de la herramienta, ni consta por tanto en el Registro de Actividades de Tratamiento del Responsable. (…). No existe una política de cancelación de datos en TOLETUM. (…). A raíz de la publicación en prensa, y tras la visita del Delegado de Protección de Datos de la Guardia Civil, la Comandancia de (…). TERCERO: Con fecha 27 de febrero de 2024, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por: - Una presunta infracción del artículo 11 de la LO 7/2021, tipificada en el artículo 59

  1. a)de la LO 7/2021. - Una presunta infracción del artículo 28 de la LO 7/2021, tipificada en el artículo 59
  2. f)de la LO 7/2021. - Una presunta infracción del artículo 37 de la LO 7/2021, tipificada en el artículo 59
  3. f)de la LO 7/2021. CUARTO: Notificado el citado acuerdo de inicio conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), la parte reclamada presentó escrito de alegaciones en el que, en síntesis, manifestaba lo siguiente: 1. (…): La Dirección General de la Guardia Civil ha adoptado medidas para evitar la reiteración de las conductas denunciadas XXXXXXXXXXXX. Dicho Centro Directivo consideraba que (…). Posteriormente, se recibieron solicitudes de instalación del XXXXXXXX. (…). Con fecha 2 de octubre de 2023 desde la Jefatura de Servicios Técnicos (dependiente de la Dirección General de la Guardia Civil) se solicitó informe al DPD de la Dirección General de la Guardia Civil sobre el procedimiento para autorizar o no las solicitudes y, en su caso, (…). El 3 de octubre de 2023 se emitió un informe por parte del DPD de la Guardia Civil. En el que, en síntesis, se indica lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/31 Conforme al RGPD y a la LOPDGDD el responsable del tratamiento es quien determina los fines y los medios del tratamiento. En el caso de los datos policiales, sería la autoridad competente. Corresponde al responsable y a nadie más implementar los procedimientos organizativos y los medios tecnológicos o no que deben utilizarse en los tratamientos de datos personales. La Dirección General de la Guardia Civil, en cumplimiento del artículo 31.2 de la LOPDGDD y del artículo 21 de la Ley Orgánica 7/2021 ha hecho accesible electrónicamente el Inventario de Actividades de Tratamiento, en el que figuran todos los tratamientos de datos que la Institución ha declarado, especificando el responsable, la legitimación, etc. El Ministerio del Interior, mediante la Orden 424/2019, determina los principios que han de regir el tratamiento de datos personales en las diversas unidades del Departamento (entre ellas, la Dirección General de la Guardia Civil). (…). A continuación, se describen los pasos a seguir, en el caso de cualquier unidad, órgano, dependencia, etc., considere necesario utilizar otros medios de procesamiento: 1. Identificar el tratamiento o tratamientos que contienen datos personales que quiere procesar, para lo cual debe acudir al Inventario de Actividades de Tratamiento de la Dirección General de la Guardia Civil. 2. Elaborar un documento, que contenga la siguiente información (…). 3. Remitir dicho documento a los responsables del tratamiento solicitando autorización, con copia al DPD, no realizando solicitud al Servicio de Informática. 4. Abstenerse de poner en marcha cualquier herramienta de gestión hasta recibir autorización escrita del Responsable del Tratamiento, en la que se establezcan las condiciones de uso. 5. El responsable del Tratamiento informará al DPD de las autorizaciones que conceda. El informe del DPD recuerda el concepto amplio de datos personales desarrollado por el Grupo de Trabajo del artículo 29 en su Dictamen 4/2007.Indicando, a continuación: “Por ello debe huirse del error de considerar que sólo se tratan datos personales cuando figura el nombre o documento de identidad de la persona, entendiéndolo como señala el apartado anterior en un sentido amplio del término, y ante la duda, elevando consulta a este Delegado de Protección de Datos.” 3. (…): En el escrito de alegaciones figura el contenido de dicha decisión: “Entre las competencias asignadas al Delegado de Protección de Datos por el Reglamento (UE) 2016/679, las Leyes Orgánicas 3/2018 y 7/2021 se encuentra el supervisar el cumplimiento de dicha normativa y el asesoramiento para el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/31 cumplimiento de la legislación vigente relativa a la Protección de Datos Personales. En línea con lo anterior se ha solicitado al DPD informe respecto a la instalación y uso del XXXXXXXXXX en los ordenadores oficiales, cuyo contenido más abajo se reproduce. Una vez analizada la normativa e informe indicado, esta Jefatura establece el procedimiento a seguir cuando se reciba alguna solicitud de instalación y autorización de uso del XXXXXXXXXX. Ello comporta que con carácter previo a su autorización se deberá garantizar que se cumplen todos los requisitos que impone el marco legislativo que regula la Protección de Datos Personales. Por ello el procedimiento observará los siguientes puntos: (…). Lo que se participa para conocimiento y efectos indicados.” El escrito de alegaciones al acuerdo de inicio destaca que las solicitudes de instalación de XXXXXX son respondidas con un documento en el que se detalla dicho procedimiento, así como el informe del DPD. No se procede a instalar el XXXXXXXXX hasta que la comunicación sea recibida por el Servicio de Informática. Dicho escrito concluye destacando que, aún admitiendo los hechos relatados por los Inspectores en su informe, la Dirección General de la Guardia Civil ha adoptado las medidas para el cumplimiento normativo propuestas por el DPD. Asimismo, se destaca el propósito de la Dirección General de la Guardia Civil de adoptar cuantas medidas, procedimientos e instrucciones sean necesarias para garantizar que los tratamientos de datos personales que se llevan a cabo cumplen escrupulosamente con lo previsto en la normativa. QUINTO: 1.Con fecha 18 de marzo de 2024, el instructor del procedimiento acordó practicar las siguientes pruebas: Se acuerda, asimismo: 1. Se dan por reproducidos, a efectos probatorios, las denuncias presentadas por la XXXXXXXXXXXXXXXXXX el 24 de febrero de 2023 y por la XXXXXXXXXXXX el 9 de marzo de 2023, así como por la información publicada en la (…) el día 24 de febrero de 2023 y su documentación. Así como todos los documentos obtenidos y generados por la Subdirección General de Inspección de Datos en las actuaciones previas al inicio del presente procedimiento sancionador, en particular, el acta de inspección de 28 de abril de 2023 y el informe de actuaciones previas de investigación de 4 de mayo de 2023. 2. Asimismo, se dan por reproducidas, a efectos probatorios, las alegaciones al acuerdo de inicio del procedimiento sancionador referenciado, presentadas. 2.Ante la parte denunciada, se practicaron las siguientes diligencias de prueba: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/31 Se requirió a la GUARDIA CIVIL - COMANDANCIA TOLEDO para que, en un plazo de diez días hábiles, aportase la información o documentación que se solicitaba a continuación: “En primer lugar, examinado el contenido del escrito de alegaciones de 8 de marzo de 2024 cabe entender que las expresiones “XXXXXXXXXXXXXX” se refieren a la base de datos personales denominada TOLETUM, a la que hacían referencia tanto el acta de inspección de 28 de abril de 2023 como el informe de actuaciones previas de investigación de 4 de mayo de 2023. 1. En el acta de inspección de 28 de abril de 2023 se indicaba lo siguiente: “A raíz de la visita del Delegado de Protección de Datos a la Comandancia se procedió el 13/03/2023 (…). Aclarar si la base de datos personales TOLETUM (…) si se encuentra operativa. En el caso de encontrarse operativa, indicar cómo se garantiza el cumplimiento del principio de exactitud de los datos personales que figuran en dicha base de datos (dado que la misma se nutre de datos provenientes de distintas bases de datos: XXXX, XXXXXX, XXXXXXXXXX etc… y, asimismo, se introducen datos en la Comandancia de Toledo). 2. Aclarar la situación a partir del 28 de abril de 2023 XXXXXXXXXXXXXXX en la base de datos personales TOLETUM. (…). Asimismo, hacer referencia a la existencia, en su caso, de (…). 3. El día 27 de marzo de 2024 se recibió un escrito de la Comandancia de Toledo en respuesta a la solicitud de prueba de 18 de marzo de 2024 en el que se indicaba: (…). SEXTO: Con fecha 20 de mayo de 2024 se formuló propuesta de resolución, proponiendo: “Que por la Directora de la Agencia Española de Protección de Datos se declare que GUARDIA CIVIL - IAE. COMANDANCIA TOLEDO, con NIF S4516004A, ha infringido: - Lo dispuesto en el artículo 11 de la LO 7/2021, infracción tipificada en el artículo 59
  4. a)de la LO 7/2021. - Lo dispuesto en el artículo 28 de la LO 7/2021, infracción tipificada en el artículo 59
  5. f)de la LO 7/2021. - Lo dispuesto en el artículo 37 de la LO 7/2021, infracción tipificada en el artículo 59
  6. f)de la LO 7/2021.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/31 SÉPTIMO: Con fecha 4 de junio de 2024 se ha recibido un escrito de la Comandancia indicando que no se formula ninguna alegación. El 29 de mayo de 2024 la Oficina del Delegado de Protección de Datos de la Guardia Civil presentó un escrito en el que indicaba que no se formulaban alegaciones. También se destacaba que en este expediente no se habían realizado las comunicaciones de la AEPD a través de ese Delegado de Protección de Datos. Finalmente, se ponía de manifiesto la necesidad de modificar la denominación de la parte denunciada, dado que las siglas “IAE” hacían referencia a la Intervención de Armas y Explosivos de la Comandancia de Toledo. A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes. HECHOS PROBADOS PRIMERO: La Comandancia de Toledo de la Guardia Civil creó una base de datos personales denominada TOLETUM. En el resumen de conclusiones del informe de actuaciones previas de investigación de fecha 4 de mayo de 2023 se indica: “La Comandancia de Toledo de la Guardia Civil ha creado una base de datos denominada TOLETUM, que incluye el XXXXXXXXX con la finalidad fundamental de coordinar las actuaciones relacionadas con la violencia de género (…). SEGUNDO: La base de datos personales TOLETUM estaba compuesta (…): (…). Así se refleja, en el apartado 3 del acta de inspección de 28 de abril de 2023. También se refleja en el PUNTO 1 (manifestaciones realizadas por los representantes de la Guardia Civil en respuesta a las cuestiones planteadas por los inspectores) y el PUNTO 2 (…) del informe de actuaciones previas de investigación de fecha 4 de mayo de 2023. En el referido PUNTO 2 del informe de actuaciones previas de investigación, así como en el acta de inspección (página 12), se indica: (…). TERCERO: (…)y entró en funcionamiento en febrero de 2022. En este sentido, el informe de actuaciones previas de investigación de fecha 4 de mayo de 2023 indica: (…) Entró en funcionamiento en febrero de 2022. (…)” (el subrayado es de la AEPD). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/31 Esta misma información se refleja en el acta de inspección (páginas 6 y 7). CUARTO: (…). Entró en funcionamiento en marzo de 2022. El término (…). El informe de actuaciones previas de investigación de fecha 4 de mayo de 2023, en relación con dicho módulo, destaca: (…) (…) Entró en funcionamiento en marzo de 2022.” (el subrayado es de la AEPD). Esta misma información se refleja en el acta de inspección (páginas 7 y 8). QUINTO: (…) Entró en funcionamiento en febrero de 2022.” (el subrayado es de la AEPD). Esta misma información se refleja en el acta de inspección (páginas 8 y 9). SEXTO: (…). Así se refleja en el resumen de conclusiones del informe de actuaciones previas de investigación de fecha 4 de mayo de 2023: “La Comandancia de Toledo de la Guardia Civil ha creado una base de datos denominada TOLETUM, que incluye el (…). SÉPTIMO: (…). Entró en funcionamiento en febrero de 2023. Así se refleja en el informe de actuaciones previas de investigación de fecha 4 de mayo de 2023: (…). Entró en funcionamiento en febrero de 2023.” (el subrayado es de la AEPD). Esta misma información se refleja en el acta de inspección (página 9). OCTAVO: El (…). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/31 En este sentido, informe de actuaciones previas de investigación de fecha 4 de mayo de 2023, destaca: (…). Esta misma información se refleja en el acta de inspección (páginas 2 y 3). NOVENO: El (…). En este sentido, el informe de actuaciones previas de investigación de 4 de mayo de 2023 indica: (…). Esta misma información se refleja en el acta de inspección (página 3). DÉCIMO: (…). Entró en funcionamiento en febrero de 2023. Así se refleja en el informe de actuaciones previas de investigación de 4 de mayo de 2023: (…). Entró en funcionamiento en febrero de 2023 (…). Esta misma información se refleja en el acta de inspección (página 9). UNDÉCIMO: La base de datos personales TOLETUM, creada por la Comandancia de Toledo, contenía datos personales procedentes de aplicaciones, bases de datos o de sistemas informáticos del Ministerio del Interior (…). A continuación, se reflejan párrafos extraídos del informe de actuaciones previas de investigación de 4 de mayo de 2023, organizados (…): (…). Entró en funcionamiento en febrero de 2023.” (el subrayado es de la AEPD). (…). Esta misma información se refleja en el acta de inspección (páginas 6 a 9). DUODÉCIMO: La base de datos personales TOLETUM fue desarrollada íntegramente por personal de la Comandancia de Toledo. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/31 En este sentido, el informe de actuaciones previas de investigación de fecha 4 de mayo de 2023, destaca: (…). Ha sido desarrollada íntegramente por personal propio de la Comandancia de Toledo.” (el subrayado es de la AEPD). Esta misma información se refleja en el acta de inspección (página 10). DECIMOTERCERO: Al diseñar la base de datos personales TOLETUM, el personal de la Comandancia de Toledo (…): 13.1 El (…) se diseñó adaptando el (…). En este sentido, el informe de actuaciones previas de investigación de 4 de mayo de 2023 indica: (…). Esta misma información se refleja en el acta de inspección (página 5). 13.2 El (…). El informe de actuaciones previas de investigación de 4 de mayo de 2023, en relación con esta cuestión, destaca: (…). Esta misma información se refleja en el acta de inspección (páginas 8, 12 y 13). DECIMOCUARTO: La base de datos personales TOLETUM contenía datos personales de víctimas y agresores de violencia de género. 14.1. (…).: En relación con esta cuestión, el informe de actuaciones previas de investigación de 4 de mayo de 2023 indica: (…). (…). Esta misma información se refleja en el acta de inspección (páginas 4 y 5). 14.2. Otros datos personales, (…): En el PUNTO 2 de dicho informe (…). Esta misma información se refleja en el acta de inspección (página 13). 14.3. (…): C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/31 En relación con estos datos personales, en el informe se actuaciones previas de investigación se indica lo siguiente: (…). Esta misma información se refleja en el acta de inspección (página 7). DECIMOQUINTO: La base de datos personales TOLETUM contenía datos personales de guardias civiles de la Comandancia de Toledo. En este sentido, el informe de actuaciones previas de investigación de 4 de mayo de 2023 indica: “Los guardias civiles figuran por su XXXXXXXXXXX, no apareciendo nombres ni apellidos en TOLETUM VIOGEN. No obstante figuraron nombre, apellidos y NIF de guardias civiles (…) desde diciembre de 2022 hasta febrero de 2023, fecha en que se sustituyeron todos ellos por XXXXXXXXXX. Asimismo, en el acta de inspección (página 12) se destaca: “  Se entra en (…). DECIMOSEXTO: La base de datos personales TOLETUM estuvo operativa hasta el 15 de marzo de 2023, fecha en que se completó el proceso iniciado el 13 de marzo de 2023. Así se refleja en el informe de actuaciones previas de investigación de 4 de mayo de 2023: “- El 13/03/2023, se impartieron instrucciones (…). Asimismo, en el PUNTO 2 de dicho informe (…), se destaca: (…). Esta misma información se refleja en el acta de inspección (páginas 5, 6 y 14). Asimismo, en el informe de la Comandancia de Toledo 27 de marzo, elaborado en contestación a la práctica de prueba, se indica: (…). DECIMOSÉPTIMO: Tras la publicación de la noticia (…), la Comandancia de Toledo solicitó una auditoría al Delegado de Protección de Datos de la Dirección General de la Guardia Civil. Concluida la visita de dicho DPD a la Comandancia de Toledo, (…). Así se refleja en el informe de actuaciones previas de investigación de 4 de mayo de 2023: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/31 “Hasta que no se publicó la noticia en la revista (…), la Comandancia de Toledo no ha sido consciente de que su actuación pudiera supuestamente ser contraria a la normativa de Protección de Datos. (…). Una vez ocurrió la publicación de la noticia, los responsables de la Comandancia pidieron una auditoria a la unidad de Protección de Datos de la Dirección General de la Guardia Civil, (…). A raíz de la visita del Delegado de Protección de Datos a la Comandancia se procedió (…). Esta misma información se refleja en el acta de inspección (página 6). DECIMOCTAVO: En octubre de 2023, el Delegado de Protección de Datos de la Dirección General de la Guardia Civil, a solicitud de la Jefatura de Servicios Técnicos de dicha Dirección General, elaboró un informe en el que indicaba los pasos a seguir cuando una unidad, órgano, dependencia, etc. de la Guardia Civil considerara necesario utilizar otros medios de procesamiento (…). En el escrito de alegaciones al acuerdo de inicio de 8 de marzo de 2024, se indican los pasos a seguir: (…). A la vista de lo anterior, cuando cualquier unidad, órgano, dependencia, etc., considere necesario la utilización de otros medios de procesamiento, de manera especial XXXXXXXXX, debería seguir los siguientes pasos: 1. Identificar el tratamiento o los tratamientos que contienen los datos personales que quiere procesar, para lo cual debe acudir al Inventario de Actividades de Tratamiento de la DGGC.(…) 2. Elaborar un documento en el que se describa: (…). 3. Remitir dicho documento a los responsables del tratamiento solicitando autorización para la puesta en marcha del procedimiento con copia del mismo a este DPD para supervisar y asesorar el procedimiento, no realizando la solicitud al Servicio de Informática. 4. Abstenerse de poner en marcha cualquier herramienta de gestión hasta recibir autorización escrita del Responsable del Tratamiento, en la que se establecerán las condiciones de uso. 5. El Responsable del Tratamiento deberá informar a este DPD de las autorizaciones que conceda remitiendo copia de la misma.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/31 DECIMONOVENO: El XXXXXXXXXXXXX estableció, una vez recibido el informe del DPD de la Dirección General de la Guardia Civil de 3 de octubre de 2023 solicitado, el procedimiento a seguir cuando se recibiera alguna (…). En el escrito de alegaciones al acuerdo de inicio de 8 de marzo de 2024, se refleja el contenido de dicho procedimiento: “Entre las competencias asignadas al Delegado de Protección de Datos por el Reglamento (UE) 2016/679, las Leyes Orgánicas 3/2018 y 7/2021 se encuentra el supervisar el cumplimiento de dicha normativa y el asesoramiento para el cumplimiento de la legislación vigente relativa a la Protección de Datos Personales. En línea con lo anterior se ha solicitado al DPD informe respecto a la instalación y uso del XXXXXXXXXXX en los ordenadores oficiales, cuyo contenido más abajo se reproduce. Una vez analizada la normativa e informe indicado, esta Jefatura establece el procedimiento a seguir cuando se reciba alguna solicitud de instalación y autorización de uso del XXXXXXXXXXXXX. Ello comporta que con carácter previo a su autorización se deberá garantizar que se cumplen todos los requisitos que impone el marco legislativo que regula la Protección de Datos Personales. Por ello el procedimiento observará los siguientes puntos: (…). Lo que se participa para conocimiento y efectos indicados.” VIGÉSIMO: Al elaborar la base de datos personales TOLETUM y ponerla en funcionamiento, la Comandancia de Toledo    No realizó un análisis de riesgos. No solicitó informe al Delegado de Protección de Datos de la Dirección General de la Guardia Civil. No informó a la Dirección General de la Guardia Civil. En este sentido, se refleja en el informe de actuaciones previas de investigación de 4 de mayo de 2023: (…), consideraron que la herramienta TOLETUM así diseñada no contenía datos personales, por lo que no se pidió informe al Delegado de Protección de Datos, ni se realizó un Análisis de los Riesgos que podía presentar el tratamiento de los Datos, ni se informó a la Dirección General de la Guardia Civil, Responsable de los Tratamientos, del desarrollo e implementación de la herramienta, ni consta por tanto en el Registro de Actividades de Tratamiento del Responsable.” (el subrayado es de la AEPD). Esta misma información se refleja en el acta de inspección (página 4). VIGÉSIMO PRIMERO: En la base de datos personales TOLETUM, creada por la Comandancia de Toledo, no existía una política de supresión de datos (…). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/31 En relación con esta cuestión, el informe de actuaciones previas de investigación de 4 de mayo de 2023 destaca: “No existe una política de cancelación de datos en TOLETUM como tal. (…). Esta misma información se refleja en el acta de inspección (página 11). Asimismo, en las conclusiones de dicho informe se indica: “No existe una política de cancelación de datos en TOLETUM. Aunque se cancele un dato (…). VIGÉSIMO SEGUNDO: Cuando la base de datos personales TOLETUM, creada por la Comandancia de Toledo, estaba operativa no distinguía (…). Quien accedía a la referida base de datos, (…). En el escrito de 27 de marzo de 2024, elaborado por la Comandancia de Toledo en contestación a la práctica de prueba, se destaca: (…). En este mismo sentido, en el informe de actuaciones previas de investigación de 4 de mayo de 2023 se indica: (…). Esta misma información se refleja en el acta de inspección (páginas 10 y 11). VIGÉSIMO TERCERO: En la base de datos personales TOLETUM, creada por la Comandancia de Toledo, (…). La Comandancia de Toledo reconoce que en TOLETUM (…). En este sentido; en el escrito de 27 de marzo de 2024, elaborado por la Comandancia de Toledo en contestación a la práctica de prueba, se indica: “Por otra parte, (…). Dicha (…) también se destaca en las conclusiones del informe de actuaciones previas de investigación de 4 de mayo de 2023: (…). En este sentido, el informe de actuaciones previas de investigación de 4 de mayo de 2023 y el acta de inspección (página 11), indican: (…). La Comandancia de Toledo ha manifestado que tenían intención de reforzar la seguridad y el control de la base de datos personales TOLETUM. Así se indica en el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/31 informe de actuaciones previas de investigación de 4 de mayo de 2023 y el acta de inspección (página 10): (…). FUNDAMENTOS DE DERECHO I Competencia De acuerdo con las funciones que el artículo 49 de la Ley Orgánica 7/2021, de 26 de mayo, de protección de datos personales tratados para fines de prevención, detección, investigación y enjuiciamiento de infracciones penales y de ejecución de sanciones penales (en lo sucesivo, LO 7/2021), atribuye a las autoridades de protección de datos, conforme a lo establecido en el artículo 48 de la citada LO 7/2021 y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." Por último, el artículo 52 "Régimen aplicable a los procedimientos tramitados ante las autoridades de protección de datos" de la LO 7/2021 establece que: "1. En el caso de que los interesados aprecien que el tratamiento de los datos personales haya infringido las disposiciones de esta Ley Orgánica o no haya sido atendida su solicitud de ejercicio de los derechos reconocidos en los artículos 21, 22 y 23 tendrán derecho a presentar una reclamación ante la autoridad de protección de datos. 2. Dichas reclamaciones serán tramitadas por la autoridad de protección de datos competente con sujeción al procedimiento establecido en el título VIII de la Ley Orgánica 3/2018, de 5 de diciembre, y, en su caso, a la legislación de las Comunidades Autónomas que resulte de aplicación. Tendrán carácter subsidiario las normas generales sobre los procedimientos administrativos y el régimen jurídico del sector público." II Alegaciones al acuerdo de inicio y escritos recibidos en contestación a la propuesta de resolución 1. Alegaciones al acuerdo de inicio: En el escrito de alegaciones al acuerdo de inicio de 8 de marzo de 2023, reflejadas de forma sintetizada en el antecedente cuarto de esta propuesta de resolución, no se C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/31 rebaten los hechos reflejados en el acta de inspección de 28 de abril de 2023, (…), ni en el informe de actuaciones previas de investigación de 4 de mayo de 2023. En este sentido se indica: “De lo expuesto, se desprende, que, admitiendo los hechos relatados por los Inspectores en su informe, la Dirección General de la Guardia Civil ha adoptado las medidas que en su función de supervisión y asesoramiento para el cumplimiento de la normativa sobre protección de datos propuso este Delegado de Protección de Datos.” (el subrayado es de la AEPD). En las referidas alegaciones, se reflejan una serie de actuaciones posteriores en el tiempo a los hechos que han motivado la tramitación de este expediente sancionador (solicitud del día 2 de octubre de 2023 de un informe al DPD de la Dirección General de la Guardia Civil por parte de la Jefatura de Servicios Técnicos, dependiente de dicha Dirección General, el informe elaborado por dicho DPD con fecha 3 de octubre de 2023 y la posterior decisión del (…) de la Dirección General de la Guardia Civil, adoptada a la vista del informe solicitado). 2. Escritos recibidos en contestación a la propuesta de resolución El 4 de junio de 2024 se ha recibido un escrito de la Comandancia de Toledo en el que indica no se presenta ninguna alegación a la propuesta de resolución. El 29 de mayo de 2024 se recibió un escrito procedente de la Oficina del Delegado de Protección de Datos de la Guardia Civil en el que se destacaba que no se realizan alegaciones. Asimismo, se destacaba un error en cuanto a la denominación de la parte denunciada, que ha sido corregido. Por otra parte, se indicaba que, hasta el momento, las comunicaciones con la AEPD se venían realizando a través del Delegado de Protección de Datos de la Guardia Civil, no siguiéndose dicha pauta en este expediente sancionador. III Régimen jurídico aplicable El Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento General de Protección de Datos) al determinar su ámbito de aplicación material, establece en su artículo 2 una serie de tratamientos de datos personales en los que el mismo no resulta aplicable. Entre dichos tratamientos se encuentra en el apartado
  7. d)el tratamiento de datos personales “por parte de las autoridades competentes con fines de prevención, investigación, detección o enjuiciamiento de infracciones penales, o de ejecución de sanciones penales, incluida la de protección frente a amenazas a la seguridad pública y su prevención”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 20/31 Para tratamientos de dicha naturaleza, resulta de aplicación la vigente Ley Orgánica 7/2021, de 26 de mayo, a través de la cual se transpone a nuestro ordenamiento jurídico la Directiva (UE) 2016/680 del Parlamento Europeo y del Consejo de 27 de abril de 2016, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales por parte de las autoridades competentes para fines de prevención, investigación, detección o enjuiciamiento de infracciones penales o de ejecución de sanciones penales, y a la libre circulación de dichos datos. En este sentido, dicha ley orgánica tiene como objeto, según su artículo primero, “establecer las normas relativas a la protección de las personas físicas en lo que respecta al tratamiento de los datos de carácter personal por parte de las autoridades competentes, con fines de prevención, detección, investigación y enjuiciamiento de infracciones penales o de ejecución de sanciones penales, incluidas la protección y prevención frente a las amenazas contra la seguridad pública.” Asimismo, el artículo segundo, al delimitar su ámbito de aplicación establece que dicha norma será de aplicación “al tratamiento total o parcialmente automatizado de datos personales, así como al tratamiento no automatizado de datos personales contenidos o destinados a ser incluidos en un fichero, realizado por las autoridades competentes, con fines de prevención, detección, investigación y enjuiciamiento de infracciones penales y de ejecución de sanciones penales, incluidas la protección y prevención frente a las amenazas contra la seguridad pública.” IV Obligación incumplida del artículo 11 de la LO 7/2021 El artículo 11 de la LO 7/2021, que regula la licitud del tratamiento, prevé lo siguiente: Artículo 11. Licitud del tratamiento. 1. El tratamiento sólo será lícito en la medida en que sea necesario para los fines señalados en el artículo 1 y se realice por una autoridad competente en ejercicio de sus funciones. 2. Cualquier ley que regule tratamientos de datos personales para los fines incluidos dentro del ámbito de aplicación de esta Ley Orgánica deberá indicar, al menos, los objetivos del tratamiento, los datos personales que vayan a ser objeto del mismo y las finalidades del tratamiento. La Secretaría de Estado de Seguridad, de la que dependen tanto la Dirección General de la Guardia Civil como la Dirección General de la Policía, tiene encomendadas una serie de funciones relativas a la planificación, coordinación y supervisión de la determinación de los requisitos técnicos de las bases de datos en el ámbito de la seguridad. En este sentido, el artículo 2 del Real Decreto 734/2020, de 4 de agosto, por el que se desarrolla la estructura orgánica básica del Ministerio de Interior (en la versión vigente en el momento en el que se creó la base de datos personales TOLETUM), atribuía a la Subdirección General de Sistemas de Información y Comunicaciones para la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 21/31 Seguridad, que depende de dicha Secretaría de Estado, una serie de funciones, entre las que cabe destacar: “2.º Estandarizar y homogeneizar sistemas de información y comunicaciones, codificación y estructuras de datos en el ámbito de la seguridad. (…) 7.º Coordinar, desarrollar e implantar bases de datos, sistemas de información y sistemas de comunicaciones de utilización conjunta o compartida por las Fuerzas y Cuerpos de Seguridad del Estado (…)” El artículo 2 del Real Decreto 207/2024, de 27 de febrero, por el que se desarrolla la estructura orgánica básica del Ministerio del Interior, actualmente vigente, regula las funciones de la Subdirección General de Sistemas de Información y Comunicaciones entre las que se continúan encontrando las funciones reflejadas en el párrafo anterior. Por otra parte, el artículo 4.8
  8. c)del Real Decreto 734/2020, de 4 de agosto, (en su versión vigente el momento en el que se creó la base de datos personales TOLETUM) regulaba las funciones, en el ámbito de la Dirección General de la Guardia Civil, de la Jefatura de Servicios Técnicos “a la que corresponde la gestión, control, mantenimiento y desarrollo tecnológico de los sistemas informáticos, de telecomunicaciones y equipos especiales asignados a la Guardia Civil, además de las actividades relacionadas con la seguridad de la información del Cuerpo en el ámbito de las citadas TIC”. Dicha referencia figura en los mismos términos en el Real Decreto 207/2024, de 27 de febrero, actualmente vigente. Tal y como indica el informe del DPD de la Guardia Civil de fecha 3 de octubre de 2023, cuyo contenido se reproduce en el escrito de alegaciones al acuerdo de inicio, “·por el Ministerio del Interior, mediante Orden 424/2019, se determinan los principios que deben regir el tratamiento de datos personales en las diversas unidades del departamento, entre las que se encuentra la DGGC” [Dirección General de la Guardia Civil]. Asimismo, en el mencionado informe del DPD de la Guardia Civil se destaca que “La Dirección General de la Guardia Civil, en cumplimiento de lo establecido en el artículo 31.2 de la Ley Orgánica 3/2018 y el artículo 21 de la Ley Orgánica 7/2021, ha hecho accesible electrónicamente el Inventario de Actividades de Tratamiento, donde figuran todos los tratamientos de datos que la Institución ha declarado, con especificación del Responsable de cada uno de ellos, legitimación, etc.” A lo ya expuesto, cabe añadir que el informe del DPD de la Guardia Civil de 3 de octubre de 2023 indica; en relación con el responsable del tratamiento (autoridad competente en el caso de datos policiales), lo siguiente: “Tanto el Reglamento (UE) 2016/679 como la Ley Orgánica 7/2021, que traspone la Directiva (UE) 2016/680 definen al Responsable del Tratamiento como: la persona física o jurídica, autoridad pública, servicio u otro organismo (autoridad competente en el caso de datos policiales) que, solo o junto con otros, determine los fines y medios del tratamiento; por lo tanto corresponde a C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 22/31 estos y a nadie más el implementar los procedimientos organizativos y los medios tecnológicos o no que deban utilizarse en cualquiera de los tratamientos a que sean sometidos los datos personales.” (el subrayado es de la AEPD). El informe del DPD de la Guardia civil de 3 de octubre de 2023 también destaca: “De manera general, el procesamiento de los datos personales contenidos en los diversos tratamientos se realiza (…). A la vista de lo anterior, cuando cualquier unidad, órgano, dependencia, etc., considere necesario la utilización de otros medios de procesamiento, de manera especial (…), debería seguir los siguientes pasos: 1. Identificar el tratamiento o los tratamientos que contienen los datos personales que quiere procesar, para lo cual debe acudir al Inventario de Actividades de Tratamiento de la DGGC.(…) 2. Elaborar un documento en el que se describa: (…). 3. Remitir dicho documento a los responsables del tratamiento solicitando autorización para la puesta en marcha del procedimiento con copia del mismo a este DPD para supervisar y asesorar el procedimiento, no realizando la solicitud al Servicio de Informática. 4. Abstenerse de poner en marcha cualquier herramienta de gestión hasta recibir autorización escrita del Responsable del Tratamiento, en la que se establecerán las condiciones de uso. 5. El Responsable del Tratamiento deberá informar a este DPD de las autorizaciones que conceda remitiendo copia de la misma.” En el caso examinado en este expediente, la Comandancia de Toledo creó una base de datos que contenía datos relativos a la prevención y ejecución de sanciones relativas a violencia de género, en el que no se siguieron los pasos descritos por el DPD de la Guardia Civil en su informe de 3 de octubre de 2023 (informe elaborado con carácter posterior a la creación de la base de datos TOLETUM). Tal y como se refleja en el hecho probado undécimo, dicha base de datos contenía datos procedentes de distintas aplicaciones, bases de datos personales y sistemas informáticos del Ministerio del Interior (…), nutriéndose de información procedente de las mismas. La referida base de datos personales fue desarrollada:  Íntegramente por personal propio de la Comandancia de Toledo (hecho probado duodécimo). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 23/31  Sin informar a la Dirección General de la Guardia Civil (hecho probado vigésimo).  Sin solicitar informe al Delegado de Protección de Datos de la Guardia Civil (hecho probado vigésimo). En dicha base de datos figuraron datos de carácter personal de víctimas y agresores de violencia de género (hecho probado decimocuarto), así como de guardias civiles de la Comandancia de Toledo que tenían encomendadas funciones relativas a la prevención y control de la ejecución de sanciones en relación con delitos de violencia de género (hecho probado decimoquinto). En este sentido, en el informe de actuaciones previas de investigación, reproduciendo el contenido reflejado en el acta de inspección, se indica: 1. (…): (…). “- El día 13/02/2023, (…), se informó de lo siguiente: “ahora mismo estamos metiendo (…). Los cambios efectuados en relación con los datos de las víctimas de violencia de género y los agresores se reflejan tanto en el acta de inspección como en el informe de actuaciones previas de investigación. En este sentido, el informe de actuaciones previas de investigación detalla (…): (…). Los datos personales se han seudonimizado. Sin embargo, el responsable podía identificar a los titulares de tales datos sin ningún esfuerzo, simplemente accediendo al sistema XXXXXX o a XXXX. Por tanto, dichos datos continúan siendo datos de carácter personal. 2. Otros datos personales, (…): En el PUNTO 2 de dicho informe (…), se indica: (…). Esta misma información se refleja en el acta de inspección (página 13). 3. (…). En relación con esta cuestión, en el informe se actuaciones previas de investigación se indica lo siguiente: (…). 4. Datos de filiación de los guardias civiles: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 24/31 El informe de actuaciones previas de investigación indica: (…). Al igual que en el caso de los datos de las víctimas de violencia de género y de los agresores, los datos personales de los guardias civiles se han seudonimizado. Sin embargo, el responsable podía identificar a los titulares de tales datos sin ningún esfuerzo, simplemente accediendo a aplicaciones internas de la Guardia Civil. Por tanto, dichos datos continúan siendo datos de carácter personal. Se considera que los hechos conocidos son constitutivos de una infracción, imputable a la GUARDIA CIVIL - COMANDANCIA TOLEDO, por vulneración del artículo 11 de la LO 7/2021. IV Tipificación y calificación de la infracción del artículo 11 de la LO 7/2021 La LO 7/2021 contempla un cuadro de infracciones y sanciones en el caso de incumplimiento de las obligaciones previstas en su articulado, clasificándola en leves, graves y muy graves. El artículo 59, apartado
  9. a)califica como infracción grave: “
  10. a)El tratamiento de los datos de carácter personal cuando se incumplan los principios del artículo 6 o las condiciones de licitud del tratamiento del artículo 11, siempre que no constituya una infracción muy grave.” A efectos del plazo de prescripción, la infracción imputada prescribe a los dos años, conforme a lo dispuesto en el artículo 63 LO 7/2021, que determina dicho plazo para aquellas infracciones tipificadas como graves, como ocurre en el presente caso. V Obligación incumplida del artículo 28 de la LO 7/2021 El artículo 28 de la LO 7/2021, que regula la protección de datos desde el diseño y por defecto, dispone lo siguiente: “Artículo 28. Protección de datos desde el diseño y por defecto. 1. En el momento de determinar los medios para el tratamiento, así como en el momento del tratamiento propiamente dicho, deberán aplicarse las medidas técnicas y organizativas que resulten apropiadas conforme al estado de la técnica y el coste de la aplicación, la naturaleza, el ámbito, el contexto, los fines del tratamiento y los riesgos para los derechos y libertades de las personas físicas. El objetivo será salvaguardar los principios de protección de datos de forma efectiva, al tiempo que integrar las garantías necesarias en el tratamiento. Entre estas medidas técnicas, se podrá adoptar la seudonimización de los datos personales a los efectos de contribuir a la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 25/31 aplicación de los principios establecidos en esta Ley Orgánica, en particular, el de minimización de datos personales. 2. Además, las medidas técnicas y organizativas deberán garantizar que, por defecto, sólo sean objeto de tratamiento los datos personales que resulten necesarios para cada uno de los fines específicos del tratamiento. Dicha obligación se aplicará a la cantidad de datos personales recogidos, a la extensión de su tratamiento, a su período de conservación y a su accesibilidad. Tales medidas garantizarán que, por defecto, los datos personales no sean accesibles a un número indeterminado de personas sin intervención humana.” El diseño de TOLETUM no garantizaba el respeto del principio de exactitud (artículo 6.1
  11. d)de la LO 7/2021) de forma efectiva. No existía una política de supresión de datos en la base de datos personales TOLETUM (hecho probado vigésimo primero). Los datos persistían en TOLETUM, a pesar de ser cancelados en XXXXXX o en XXXX. En relación con esta cuestión, en el informe de actuaciones previas de investigación destaca (el acta de inspección también refleja este contenido): “No existe una política de cancelación de datos en TOLETUM como tal. No obstante, si se cancela un dato en (…), con las referencias que existen en TOLETUM no sería posible obtener datos identificativos, ya que no sería posible identificar a la persona (…). Asimismo, en las conclusiones de dicho informe se indica: “No existe una política de cancelación de datos en TOLETUM. (…). También se pueden producir inexactitudes si la información fuera actualizada en VioGén y no en la base de datos TOLETUM. Por ejemplo, (…). Se considera que los hechos conocidos son constitutivos de una infracción, imputable a la GUARDIA CIVIL - COMANDANCIA TOLEDO, por vulneración del artículo 28 de la LO 7/2021. VI Tipificación y calificación de la infracción del artículo 28 de la LO 7/2021 La LO 7/2021 contempla un cuadro de infracciones y sanciones en el caso de incumplimiento de las obligaciones previstas en su articulado, clasificándola en leves, graves y muy graves. El artículo 59, apartado
  12. f)califica como infracción grave: “
  13. f)La ausencia de adopción de aquellas medidas técnicas y organizativas que resulten apropiadas para aplicar de forma efectiva los principios de protección de datos, incluidas las medidas oportunas desde el diseño y por defecto, así como para integrar las garantías necesarias en el tratamiento.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 26/31 A efectos del plazo de prescripción, la infracción imputada prescribe a los dos años, conforme a lo dispuesto en el artículo 63 LO 7/2021, que determina dicho plazo para aquellas infracciones tipificadas como graves, como ocurre en el presente caso. VII Obligación incumplida del artículo 37 de la LO 7/2021 El artículo 37 de la LO 7/2021, que regula la seguridad del tratamiento, establece que: “Artículo 37. Seguridad del tratamiento. 1. El responsable y el encargado del tratamiento, teniendo en cuenta el estado de la técnica y los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como los niveles de riesgo para los derechos y libertades de las personas físicas, aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado, especialmente en lo relativo al tratamiento de las categorías de datos personales a las que se refiere el artículo 13. En particular, deberán aplicar a los tratamientos de datos personales las medidas incluidas en el Esquema Nacional de Seguridad. 2. Por lo que respecta al tratamiento automatizado, el responsable o encargado del tratamiento, a raíz de una evaluación de los riesgos, pondrá en práctica medidas de control con el siguiente propósito:
  14. a)En el control de acceso a los equipamientos, denegar el acceso a personas no autorizadas a los equipamientos utilizados para el tratamiento.
  15. b)En el control de los soportes de datos, impedir que estos puedan ser leídos, copiados, modificados o cancelados por personas no autorizadas.
  16. c)En el control del almacenamiento, impedir que se introduzcan sin autorización datos personales, o que estos puedan inspeccionarse, modificarse o suprimirse sin autorización.
  17. d)En el control de los usuarios, impedir que los sistemas de tratamiento automatizado puedan ser utilizados por personas no autorizadas por medio de instalaciones de transmisión de datos.
  18. e)En el control del acceso a los datos, garantizar que las personas autorizadas a utilizar un sistema de tratamiento automatizado, sólo puedan tener acceso a los datos personales para los que han sido autorizados.
  19. f)En el control de la transmisión, garantizar que sea posible verificar y establecer a qué organismos se han transmitido o pueden transmitirse, o a cuya disposición pueden ponerse los datos personales mediante equipamientos de comunicación de datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 27/31
  20. g)En el control de la introducción, garantizar que pueda verificarse y constatarse, a posteriori, qué datos personales se han introducido en los sistemas de tratamiento automatizado, en qué momento y quién los ha introducido.
  21. h)En el control del transporte, impedir que durante las transferencias de datos personales o durante el transporte de soportes de datos, los datos personales puedan ser leídos, copiados, modificados o suprimidos sin autorización.
  22. i)En el control de restablecimiento, garantizar que los sistemas instalados puedan restablecerse en caso de interrupción.
  23. j)En el control de fiabilidad e integridad, garantizar que las funciones del sistema no presenten defectos, que los errores de funcionamiento sean señalados y que los datos personales almacenados no se degraden por fallos de funcionamiento del sistema.” En el caso examinado, se aprecian fallos en las medidas de seguridad: 1. Con carácter previo a su creación, no se realizó un análisis de riesgos para los derechos y libertades de las personas físicas, a fin de aplicar las medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado. Tampoco se solicitó informe al Delegado de Protección de Datos en ningún momento (hecho probado vigésimo). En este sentido, el informe de actuaciones previas de investigación, reflejando el contenido del acta de inspección, destaca: (…), consideraron que la herramienta TOLETUM así diseñada no contenía datos personales, por lo que no se pidió informe al Delegado de Protección de Datos, ni se realizó un Análisis de los Riesgos que podía presentar el tratamiento de los Datos, ni se informó a la Dirección General de la Guardia Civil, Responsable de los Tratamientos, del desarrollo e implementación de la herramienta, ni consta por tanto en el Registro de Actividades de Tratamiento del Responsable.” (el subrayado es de la AEPD). 2. El artículo 37.2
  24. g)de la LO 7/2021 prevé: “
  25. g)En el control de la introducción, garantizar que pueda verificarse y constatarse, a posteriori, qué datos personales se han introducido en los sistemas de tratamiento automatizado, en qué momento y quién los ha introducido.” Sin embargo, en TOLETUM no era posible efectuar un control de este tipo. 2.1 Por una parte,(…),tal y como refleja el hecho probado vigésimo segundo. Así se refleja tanto en el acta de inspección de 28 de abril de 2023, como en el informe de actuaciones previas de investigación de 4 de mayo de 2023. En este último, se indica: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 28/31 (…). Esta característica de TOLETUM (…), hecho probado vigésimo segundo) ha sido corroborada en práctica de prueba. En el escrito de 27 de marzo de 2024, elaborado por la Comandancia de Toledo en contestación a la práctica de prueba, se destaca: (…). 2.2. Por otra parte, en TOLETUM (…). En este sentido, el informe de actuaciones previas de investigación de 4 de mayo de 2023, indica: (…). En este mismo sentido, en las conclusiones del informe de actuaciones previas de investigación, se indica: (…). La Comandancia de Toledo tenía la intención de solucionar este fallo de seguridad en el futuro, tal y como se destaca en el informe de actuaciones previas de investigación y en el acta de inspección: (…). La propia Comandancia de Toledo reconoce que en TOLETUM (…). En este sentido, en el escrito de 27 de marzo de 2024, elaborado por la Comandancia de Toledo en contestación a la práctica de prueba, se indica: “Por otra parte, (…). Se considera que los hechos conocidos son constitutivos de una infracción, imputable a la GUARDIA CIVIL - COMANDANCIA TOLEDO, por vulneración del artículo 37 de la LO 7/2021. VIII Tipificación y calificación de la infracción del artículo 37 de la LO 7/2021 La LO 7/2021 contempla un cuadro de infracciones y sanciones en el caso de incumplimiento de las obligaciones previstas en su articulado, clasificándola en leves, graves y muy graves. El artículo 59, apartado
  26. f)califica como infracción grave: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 29/31 “
  27. f)La ausencia de adopción de aquellas medidas técnicas y organizativas que resulten apropiadas para aplicar de forma efectiva los principios de protección de datos, incluidas las medidas oportunas desde el diseño y por defecto, así como para integrar las garantías necesarias en el tratamiento.” A efectos del plazo de prescripción, la infracción imputada prescribe a los dos años, conforme a lo dispuesto en el artículo 63 LO 7/2021, que determina dicho plazo para aquellas infracciones tipificadas como graves, como ocurre en el presente caso. IX Sanciones a imponer por las infracciones cometidas El apartado primero del artículo 62 de la LO 7/2021 relativo a las sanciones, dispone lo siguiente: “En caso de que el sujeto responsable sea algunos de los enumerados en el artículo 77.1 de la Ley Orgánica 3/2018, de 5 de diciembre, se impondrán las sanciones y se adoptarán las medidas establecidas en dicho artículo.” El mencionado artículo 77.1 de la LOPDGDD establece que: ”El régimen establecido en este artículo será de aplicación a los tratamientos de los que sean responsables o encargados:
  28. a)Los órganos constitucionales o con relevancia constitucional y las instituciones de las comunidades autónomas análogas a los mismos.
  29. b)Los órganos jurisdiccionales.
  30. c)La Administración General del Estado, las Administraciones de las comunidades autónomas y las entidades que integran la Administración Local.
  31. d)Los organismos públicos y entidades de Derecho público vinculadas o dependientes de las Administraciones Públicas.
  32. e)Las autoridades administrativas independientes.
  33. f)El Banco de España.
  34. g)Las corporaciones de Derecho público cuando las finalidades del tratamiento se relacionen con el ejercicio de potestades de derecho público.
  35. h)Las fundaciones del sector público.
  36. i)Las Universidades Públicas. J) Los consorcios.
  37. k)Los grupos parlamentarios de las Cortes Generales y las Asambleas Legislativas autonómicas, así como los grupos políticos de las Corporaciones Locales. 2. Cuando los responsables o encargados enumerados en el apartado 1 cometiesen alguna de las infracciones a las que se refieren los artículos 72 a 74 de esta ley orgánica, la autoridad de protección de datos que resulte competente dictará resolución declarando la infracción y estableciendo, en su caso, las medidas que proceda adoptar para que cese la conducta o se corrijan los efectos de la infracción que se hubiese cometido, con excepción de la prevista en el artículo 58.2.i del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 30/31 La resolución se notificará al responsable o encargado del tratamiento, al órgano del que dependa jerárquicamente, en su caso, y a los afectados que tuvieran la condición de interesado, en su caso. (…) 4. Se deberán comunicar a la autoridad de protección de datos las resoluciones que recaigan en relación con las medidas y actuaciones a que se refieren los apartados anteriores. 5. Se comunicarán al Defensor del Pueblo o, en su caso, a las instituciones análogas de las comunidades autónomas las actuaciones realizadas y las resoluciones dictadas al amparo de este artículo. (…)” A tenor de los hechos expuestos en esta resolución, se considera que corresponde imputar tres sanciones a la Comandancia de Toledo por: - Vulneración de lo dispuesto en el artículo 11 de la LO 7/2021, infracción tipificada en el artículo 59
  38. a)de la LO 7/2021. - Vulneración de lo dispuesto en el artículo 28 de la LO 7/2021, infracción tipificada en el artículo 59
  39. f)de la LO 7/2021. - Vulneración de lo dispuesto en el artículo 37 de la LO 7/2021, infracción tipificada en el artículo 59
  40. f)de la LO 7/2021. La sanción que corresponde imponer para cada una de estas tres infracciones es la declaración de infracción. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR que GUARDIA CIVIL - COMANDANCIA TOLEDO, con NIF S4516004A, ha infringido: - Lo dispuesto en el artículo 11 de la LO 7/2021, infracción tipificada en el artículo 59
  41. a)de la LO 7/2021. - Lo dispuesto en el artículo 28 de la LO 7/2021, infracción tipificada en el artículo 59
  42. f)de la LO 7/2021. - Lo dispuesto en el artículo 37 de la LO 7/2021, infracción tipificada en el artículo 59
  43. f)de la LO 7/2021. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 31/31 SEGUNDO: NOTIFICAR la presente resolución a GUARDIA CIVIL - COMANDANCIA TOLEDO. TERCERO: COMUNICAR la presente resolución al Defensor del Pueblo, de conformidad con lo establecido en el artículo 77.5 de la LOPDGDD. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
  44. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-16012024 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.