PS-00290-2023

1/38  Expediente N.º: EXP202208398 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: La Agencia Española de Protección de Datos ha tenido conocimiento a través de la notificación efectuada por la D.G. DE SOSTENIBILIDAD del AYUNTAMIENTO DE MADRID, con NIF P2807900B, (en lo sucesivo DGS o responsable del tratamiento) de dos brechas de seguridad de datos personales que podrían vulnerar la legislación en materia de protección de datos: Resumen de las notificaciones:  Primera notificación de 23/03/2022. La DGS, por una incidencia informática, ha (…). La fecha de los hechos fue el 15/03/2022, dándose por resuelta el 18/03/2022. Los datos comprometidos corresponden a (…). La Directora de la Agencia firma resolución con orden de comunicar a los afectados en fecha 28/03/2022, aceptada por parte del Organismo en fecha 30/03/2022. Y con fecha 27/04/2022, el Organismo remite copia del escrito de comunicación de la brecha de seguridad a los afectados.  Segunda notificación de 30/05/2022 Informan sobre un documento firmado por el responsable del tratamiento y el número de aproximado de registros del tratamiento (***EMPRESA.1) es ***CANTIDAD.1. Fecha de inicio de la brecha: ***FECHA.1 y fue resuelta con fecha ***FECHA.2 La Directora firma resolución con orden de comunicar a los afectados en fecha 02/06/2022 y aceptada por parte del Ayuntamiento de Madrid en fecha 09/06/2022. El responsable del tratamiento confirma la ejecución de la orden mediante registro de entrada de fecha 01/07/2022 y se adjunta informe de confirmación de cumplimiento en el que figura:  Se han identificado cuatro personas afectadas y cuatro comunicaciones erróneas.  Se ha comunicado a los afectados. Se adjunta una relación de las cuatro notificaciones con el número de expediente y la fecha de comunicación (28/06/2022). Con registro de entrada en fecha 21/07/2022 se adjunta el documento remitido a los afectados informándoles de una brecha de seguridad en las comunicaciones por la cual (…). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/38 SEGUNDO: Como consecuencia de la notificación a la División de Innovación Tecnológica de esta Agencia de las brechas por la DGS, relativas (…), se ordena a la Subdirección General de Inspección de Datos que valore la necesidad de realizar las oportunas investigaciones previas. Resultado de las actuaciones de investigación Respecto de la empresa: La DGS, responsable del tratamiento ***EMPRESA.1 según manifiesta el AYUNTAMIENTO DE MADRID está ubicada dentro del AREA DE GOBIERNO Y MEDIO AMBIENTE Y MOVILIDAD. La SUBDIRECCIÓN GENERAL DE INSPECCION Y DISCIPLINA AMBIENTAL (en adelante Subdirección) depende de la Consejería de Medio Ambiente, Vivienda y Agricultura. 1. Se ha solicitado información y documentación a la entidad notificante, y de la respuesta recibida se desprende lo siguiente: La entidad manifiesta que se trata de dos brechas con causas distintas: La primera de ellas ha sido por una incidencia informática y la segunda brecha por un error humano. Brecha número 1: (…) Brecha número 2: (…) La DGS manifiesta que (…). En relación con el motivo por el cual, al tener conocimiento de la segunda brecha, no se procedió a la comunicación a los afectados, cuando en la primera de ellas hubo una resolución de la AEPD de obligación de comunicación, el Organismo manifiesta que” (…)”. Respecto de las medidas de seguridad implantadas La DGS ha aportado documento denominado “Adecuación a la normativa de protección de datos, Recomendaciones a la DIRECCIÓN GENERAL DE SOSTENIBILIDAD Y CONTROL AMBIENTAL” de fecha 18/12/2019, en el que se verifica el grado de adecuación de los tratamientos al RGPD y a la LOPDGDD, entre los que se incluye el tratamiento ***EMPRESA.1. Asimismo, aportan Nota Interna del Delegado de Protección de Datos del Organismo de fecha 18/09/2020 donde se indica no se precisa la realización de un Análisis de Riesgo para el tratamiento mencionado al tratarse de actividades que presentan un riesgo escaso para los derechos y libertades de la ciudadanía. El IAM manifiesta que cumplen el Anexo II del Esquema Nacional de Seguridad y se está desarrollando un proyecto de revisión y adecuación al nuevo RD 311/2022 y mantienen distintos servicios de apoyo en materia de ciberseguridad. En relación con las medidas de seguridad del tratamiento ***EMPRESA.1 deben seguir las instrucciones del Documento de Seguridad del Ayto. que es firmado por el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/38 responsable del tratamiento, DIRECCIÓN GENERAL DE SOSTENIBILIDAD Y CONTROL AMBIENTAL. Y respecto a los datos personales en documentos, manifiestan que “(…)”. Por otra parte, el Ayuntamiento dispone de un Plan de formación para empleados en materia de protección de datos. Respecto de la notificación con posterioridad a las 72 horas Manifiestan que ambas brechas se han notificado a la AEPD en el plazo más breve posible desde que fueron detectadas y, debido a que (…). Información sobre la recurrencia de estos hechos y número de eventos análogos acontecidos en el tiempo Ambas brechas obedecen a causas de diferente índole. (…). No se han producido otros eventos de ningún tipo. TERCERO: Con fecha 06/07/2023, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la DGS, por las presuntas infracciones de los artículos 5.1.f), 32.1 y 33 del RGPD, tipificadas en los artículos 83.5.a), 83.4.

1. a)y 83.4.
2. a)del RGPD. CUARTO: Notificado el acuerdo de inicio el 07/07/2023, DGS presento escrito de alegaciones el 21/07/2023 al citado acuerdo, formulando en síntesis: que como responsable del tratamiento, había notificado a la División de Innovación Tecnológica de la AEPD brechas de seguridad, quien procedió a analizar y clasificar las mismas, dando lugar a las resoluciones de 28/03 y 03/06/2022 donde se señalaba: “Se le informa que la brecha de datos personales ha sido incorporada al registro de notificaciones de brechas de datos personales y no se prevé el inicio de otras acciones por parte de esta Agencia”. Al no existir ninguna propuesta de la División de Innovación Tecnológica que motivara la iniciación de una investigación, la iniciación de un procedimiento sancionador supone una vulneración de lo dispuesto en el Estatuto de la AEPD, por lo que procede que por parte de la AEPD se acuerde la anulación del procedimiento incoado y se ordene su archivo. Que uno de los principios capitales del ordenamiento administrativo es el de que nadie puede contravenir sus propios actos, quedando vinculada por los mismos, resultando que el hecho de acordar el inicio de un procedimiento sancionador supone una flagrante transgresión de los principios antes mencionados, por lo que procede que por parte de la AEPD se acuerde la anulación del procedimiento sancionador incoado y su archivo. Que el artículo 40.2 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas establece que: “Toda notificación deberá ser cursada dentro del plazo de diez días a partir de la fecha en que el acto haya sido dictado, y deberá contener el texto íntegro de la resolución, con indicación de si pone fin o no a la vía administrativa, la expresión de los recursos que procedan, en su caso, en vía administrativa y judicial, el órgano ante el que hubieran de presentarse y el plazo para interponerlos, sin perjuicio de que los interesados puedan ejercitar, en su caso, cualquier otro que estimen procedente”. En las resoluciones anteriores se notifica lo siguiente: “Contra esta Resolución, que pone fin a la vía administrativa, podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/38 de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso-administrativo ante la Sala de lo contencioso Administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción contencioso Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, de conformidad con lo previsto en el artículo 46.1 del referido texto legal”. Que el cambio de criterio por la AEPD, manifestado en acordar por los mismos hechos la apertura de un procedimiento sancionador, es a todas luces incoherente y vulnera claramente el derecho fundamental a la tutela judicial efectiva, puesto que, de haberse dispuesto inicio de nuevas actuaciones, desde esta Dirección General se habrían interpuesto los recursos correspondientes, tanto en vía administrativa como en vía judicial. Que únicamente se ha recibido un requerimiento de información efectuado posterior a las citadas resoluciones el 17/10/2022, resultando que la información requerida tanto por las resoluciones como por el citado requerimiento posterior no puede justificar la demora de más de 12 meses para la incoación del procedimiento sancionador desde la comunicación de las brechas de seguridad. Que sea acordada la anulación del procedimiento sancionador incoado y su archivo. QUINTO: El 29/08/2023 se acordó la apertura de un periodo de pruebas, acordándose las siguientes: - Dar por reproducidos a efectos probatorios el conocimiento por la AEPD de las brechas de seguridad por la notificación efectuada por el responsable del tratamiento, y su documentación, así como los documentos obtenidos y generados que forman parte del procedimiento. - Dar por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio del procedimiento sancionador referenciado, presentadas por el responsable del tratamiento y la documentación que a ellas acompaña. SEXTO: Con fecha 14/05/2024 fue emitida Propuesta de Resolución en el sentido de que por la Directora de la AEPD se declarara que el responsable del tratamiento había infringido los artículos 5.1.f), 32.1 y 33.1 del RGPD, tipificadas en los artículos 83.5.
3. a)y 83.4.
4. a)del RGPD. Con fecha 30/05/2024 el responsable del tratamiento presento escrito contra la citada Propuesta alegando, en síntesis, que fundamentalmente no se habían desvirtuado las alegaciones aportadas al acuerdo de inicio de fecha 21/07/2023. SEPTIMO: De las actuaciones practicadas en el presente procedimiento, han quedado acreditados los siguientes: HECHOS PROBADOS PRIMERO. La DGS en fecha 23/03/2022 notificó a la Agencia Española de Protección de Datos, brecha de seguridad de datos personales que podría vulnerar la legislación en materia de protección de datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/38 SEGUNDO. Consta aportado Formulario de notificación de brecha de seguridad elaborado por la Agencia Española de Protección de Datos, con fecha 23/03/2022. Como motivo de la brecha figura señalado (…). TERCERO. Con fecha 28/03/2022 fue emitida Resolución ordenando al responsable del tratamiento la comunicación de la brecha de datos personales a los interesados, sin dilación indebida; asimismo, se le informaba que no se prevé el inicio de otras acciones por parte de esta Agencia. CUARTO. Consta Comunicación de brecha de seguridad, en relación con la primera brecha comunicada a la Agencia, dirigidas a dos de los afectados. Asimismo, en escrito de respuesta al requerimiento de la AEPD de 02/11/2022 referencia de los escritos remitidos a los afectados por ambas brechas, en ambas brechas, indicándose el número de expediente afectado, fecha de envió, fecha de entrega, etc. QUINTO. El responsable del tratamiento, en fecha 30/05/2022 notificó a la Agencia Española de Protección de Datos, nueva brecha de seguridad de datos personales que podría vulnerar la legislación en materia de protección de datos. SEXTO. Consta aportado Formulario de notificación de brecha de seguridad elaborado por la Agencia Española de Protección de Datos, con fecha 30/05/2022. Como motivo de la brecha figura el mismo señalado en el hecho probado primero. SEPTIMO. Con fecha 03/06/2022 fue emitida Resolución ordenando al responsable del tratamiento la comunicación de la brecha de datos personales a los interesados, sin dilación indebida; asimismo, se le informaba que no se prevé el inicio de otras acciones por parte de esta Agencia. OCTAVO. Consta aportado CONFIRMACIÓN DE CUMPLIMIENTO, de 30/06/2022 en relación con la segunda brecha comunicada a la Agencia, habiéndose identificado (…). NOVENO. El responsable del tratamiento en respuesta al requerimiento de la AEPD ha manifestado en escrito de 02/11/2023 y en relación con la primera brecha notificada que: “(…)” Y en relación con la segunda brecha: “(…)”. DECIMO. El responsable del tratamiento en escrito de 02/11/2023 y en relación con la primera brecha notificada ha manifestado que “(…)”. Y en relación con la segunda brecha notificada: “(…)”. UNDECIMO. Consta aportado documento “Adecuación a la normativa de protección de datos, Recomendaciones a la DGS de fecha 18/12/2019. En el documento se indica que: “(...)” DUODECIMO. En el escrito de fecha 02/11/2022 el responsable del tratamiento manifiesta que:” (…)”. TRIGESIMO. El responsable del tratamiento ha manifestado que “(…). FUNDAMENTOS DE DERECHO I C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/38 De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Cuestiones Preliminares El responsable del tratamiento ha alegado que el procedimiento sancionador que le ha sido notificado no es conforme a derecho ya que la Administración no puede contravenir sus propios actos, quedando vinculada por los mismos; lo contrario se traduciría en la vulneración de los principios de seguridad jurídica, confianza legítima y buena fe contemplados en el artículo 3.2.
5. e)de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público (en adelante LRJSP); esta manifestación se basa en que los escritos de la DIT de la AEPD de fechas 08/03/2022 y 03/06/2022 señalaban que “Tras el análisis de la información adicional aportada, la brecha de seguridad ha sido actualizada en el registro de notificaciones de brechas de seguridad y no se prevé el inicio de otras acciones por parte de esta Agencia” y que , sin embargo, sin que conste propuesta alguna del citado departamento que motive la iniciación de investigaciones previas vulnerando el artículo 31.1.
6. d)del Estatuto de la Agencia, se separa del procedimiento establecido, procediendo la anulación del sancionador iniciado y su archivo. Hay que señalar que el R.D. 389/2021, de 1 de Junio, por el que se aprueba el Estatuto de la Agencia Española de Protección de Datos regula en su artículo 31 la DIT, estableciendo que le corresponde entre otras funciones: “(…)
7. d)Gestionar el Registro de brechas de seguridad para facilitar a los responsables el cumplimiento de lo previsto en el artículo 33 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016.
8. e)Analizar y clasificar las brechas de seguridad y, en su caso, proponer motivadamente a la Presidencia la iniciación de una investigación cuando aprecie indicios de la comisión de una infracción. (…)” Tal y como se recoge en los Antecedentes, el responsable del tratamiento notificó el 23/03/2022 a la DIT una primera brecha de seguridad al verse comprometidos (…). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/38 Posteriormente, con fecha 30/05/2022 se notifica una segunda brecha por motivos similares al verse afectadas (…). Tanto el 08/03/2022 como el 03/06/2022 le son notificadas al responsable del tratamiento como consecuencia de las brechas de datos personales Resoluciones en las que se le ordenaba que se llevara a cabo la comunicación de la mencionadas brechas a los interesados siguiendo la previsión contenida en el artículo 34 del RGPD y adicionalmente, se le informaba de conformidad con lo señalado en el artículo 31,
9. d)que las citadas brechas habían sido incorporadas al registro de notificaciones de brechas de datos personales y que no se preveía el inicio de otras acciones por parte de esta Agencia. Los citados escritos en cuyo encabezado figura la DIVISION DE INNOVACION TECNOLOGICA, están firmados por la Directora de la AEPD y ponen fin a la vía administrativa, pudiendo interponer potestativamente, recurso de reposición ante la Directora de la AEPD en el plazo de un mes o bien recurso contencioso administrativo ante la Sala de lo contencioso administrativo de la Audiencia Nacional. Considera el responsable del tratamiento que esto pone de manifiesto la improcedencia de realizar investigaciones relacionadas con las brechas por cuanto la AEPD al emitir las citadas Resoluciones considera adecuadas las notificaciones realizadas, no apreciándose de la información transmitida elemento alguno que justifique la realización de actuaciones posteriores tendentes a determinar si se habría ocasionado la presunta vulneración de la normativa de protección de datos personales. De la misma forma, considera que la información trasladada en relación con las citados incidentes era suficiente para entender que no concurría responsabilidad alguna por supuestos incumplimientos de la normativa en materia de protección de datos de carácter personal, lo que determinaba no solo el archivo el archivo del expediente sino la improcedencia de decidir abrir actuaciones posteriores al no concurrir alteración alguna que implicara un cambio sustancial en la naturaleza, circunstancias o intensidad de las brechas. De ello concluye el responsable del tratamiento que la decisión adoptada por la AEPD de abrir investigaciones, acreditado mediante la recepción de un requerimiento informativo de fecha 17/10/2022, contradice frontalmente con la previamente adoptada y reflejada en los escritos recibidos. Frente a ello, procede señalar que en modo alguno puede aceptarse la interpretación que realiza el responsable del tratamiento acerca del contenido de los citados escritos. Es cierto que en su encabezado figura DIVISION DE INNOVACION TECNOLOGICA, están firmados por la Directora de la AEPD, agotan la vía administrativa y tienen pie de recurso. En contra de lo que afirma el responsable del tratamiento, en los citados escritos hay que distinguir dos cuestiones: una primera, dispositiva por la cual la Directoria de la AEPD ordena la comunicación de las brechas de seguridad a los afectados por la misma de conformidad con lo previsto en el artículo 34 del RGPD, Comunicación de una violación de la seguridad de los datos personales al interesado, que en su apartado 4, establece: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/38 “4. Cuando el responsable todavía no haya comunicado al interesado la violación de la seguridad de los datos personales, la autoridad de control, una vez considerada la probabilidad de que tal violación entrañe un alto riesgo, podrá exigirle que lo haga o podrá decidir que se cumple alguna de las condiciones mencionadas en el apartado 3.” Y es que la finalidad última de la comunicación de las brechas de datos personales e la protección efectiva de los derechos y libertades de las personas físicas afectadas por la brecha. Es a esta orden o mandato como habría que entender la posibilidad de que el responsable del tratamiento se oponga mediante el correspondiente pie de recurso, por entender que tal violación no entrañaría riesgos para los derechos y libertades de las personas afectadas por concurrir alguna de las condiciones establecidas en el artículo 34.3 del RGPD. Y, en segundo lugar, en dichos escritos consta asimismo que, adicionalmente a esa cuestión principal, se tomaba nota de la recepción de las brechas de datos personales siendo incorporadas al registro de notificaciones de brechas y que no se preveía el inicio de otras acciones por parte de esta Agencia, es decir, una mera posibilidad o presunción. Esta cuestión, abstracción hecha de la imprecisa redacción del citado párrafo en ambos escritos, estaba encaminada a poner en conocimiento del responsable del tratamiento la recepción o acuse de las brechas acaecidas y su incorporación al registro de notificaciones de brechas de acuerdo a lo establecido en el artículo 31,
10. d)del Estatuto de la Agencia. Por añadidura, no puede deducirse que a la vista del citado párrafo la AEPD haya valorado y decidido que no concurría responsabilidad alguna por un supuesto incumplimiento de la normativa de protección de datos, lo que supondría el archivo de las actuaciones, como ha querido dar a entender y solicitar el responsable del tratamiento y, aunque formalmente se encuentre incluido en los citados escritos la previsión de no actuación, sin especificar a qué tipo de las mismas se refiere, esto no puede presuponer ni reflejar en modo alguno una decisión; como tampoco puede derivarse de los citados párrafos que las funciones y competencias de vienen atribuidas a la AEPD queden sustraídas y soslayadas; funciones y competencias entre las que se incluyen las relativas a la investigación y que suponen una obligación para la AEPD. El artículo 13 del Estatuto de la AEPD, aprobado mediante Real Decreto 389/2021, de 1 de junio, establece las funciones de la Presidencia: “1. Corresponde a la Presidencia de la Agencia Española de Protección de Datos: (…)
11. d)Dictar las resoluciones y directrices que requiera el ejercicio de las funciones de la Agencia, en particular las derivadas del ejercicio de las competencias previstas en el artículo 57 del Reglamento (UE) 2016/679 del Parlamento C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/38 Europeo y del Consejo, de 27 de abril de 2016, y del ejercicio de los poderes de investigación y de los poderes correctivos dispuestos en el artículo 58 del citado Reglamento. (…)” El artículo 57, Funciones, del RGPD en su letra
12. h)establece que: “1. Sin perjuicio de otras funciones en virtud del presente Reglamento, incumbirá a cada autoridad de control, en su territorio: (…)
13. h)llevar a cabo investigaciones sobre la aplicación del presente Reglamento, en particular basándose en información recibida de otra autoridad de control u otra autoridad pública; (…) Asimismo, para permitir tratar las reclamaciones e informaciones presentadas, el artículo 58 del RGPD, Poderes, confiere a cada autoridad de control importantes poderes de investigación: “1. Cada autoridad de control dispondrá de todos los poderes de investigación indicados a continuación:
14. a)ordenar al responsable y al encargado del tratamiento y, en su caso, al representante del responsable o del encargado, que faciliten cualquier información que requiera para el desempeño de sus funciones;
15. b)llevar a cabo investigaciones en forma de auditorías de protección de datos;
16. c)llevar a cabo una revisión de las certificaciones expedidas en virtud del artículo 42, apartado 7;
17. d)notificar al responsable o al encargado del tratamiento las presuntas infracciones del presente Reglamento; (…)” Por tanto, para proceder al archivo de unas actuaciones de investigación se requiere, primero, que se hayan iniciado, lo cual no había sucedido en el momento de emitirse los referidos escritos procedente de la DIT y, en segundo lugar, es necesario una resolución expresa por parte de la Directora archivando dichas actuaciones por entender que de la información recabada en dichas investigaciones, no se concluye la existencia de infracción en la normativa de protección de datos, que en el presente caso no se ha producido. De la misma forma, los escritos procedentes de la DIT no hubiera sido tampoco óbice ni obstáculo para el ejercicio de las potestades de investigación que tiene la AEPD de conformidad con el citado artículo 64.2 que determina: “Admitida a trámite la reclamación, así como en los supuestos en que la Agencia Española de Protección de Datos actúe por propia iniciativa, con carácter previo al acuerdo de inicio podrá existir una fase de actuaciones previas de investigación, que se regirá por lo previsto en el artículo 67 de esta ley orgánica. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/38 El procedimiento tendrá una duración máxima de doce meses a contar desde la fecha del acuerdo de inicio. Transcurrido ese plazo se producirá su caducidad y, en consecuencia, el archivo de actuaciones.” Y el artículo 67, Actuaciones previas de investigación, de la LOPDGDD establece que: “1. Antes de la adopción del acuerdo de inicio de procedimiento, y una vez admitida a trámite la reclamación si la hubiese, la Agencia Española de Protección de Datos podrá llevar a cabo actuaciones previas de investigación a fin de lograr una mejor determinación de los hechos y las circunstancias que justifican la tramitación del procedimiento. La Agencia Española de Protección de Datos actuará en todo caso cuando sea precisa la investigación de tratamientos que implique un tráfico masivo de datos personales. 2. Las actuaciones previas de investigación se someterán a lo dispuesto en la sección 2.ª del capítulo I del título VII de esta ley orgánica y no podrán tener una duración superior a dieciocho meses a contar desde la fecha del acuerdo de admisión a trámite o de la fecha del acuerdo por el que se decida su iniciación cuando la Agencia Española de Protección de Datos actúe por propia iniciativa”. De la normativa transcrita se infiere que en modo alguno la AEPD tenga que justificar de la manera que solicita y exige al responsable del tratamiento el inicio de actuaciones previas en el sentido de que tenga que existir algo nuevo o alguna circunstancia nueva o que se hayan tenido que aportar circunstancias nuevas y diferentes respecto de la documentación aportada por el responsable del tratamiento a través de sus notificaciones de brechas de datos personales a esta Agencia, pues ello no viene exigido por la normativa indicada, además de que no se puede pretender la hipótesis de que deban existir nuevas circunstancias que alienten la investigación, al margen de los indicios y evidencias de la vulneración del RGPD por sendas quiebras cuyas circunstancias integrales se desconocían. Precisamente estas actuaciones previas se realizan para esclarecer hechos y circunstancias de lo sucedido, recabando y completando la información aportada al objeto de poder determinar, o no, la existencia de una posible infracción de la normativa en materia de protección de datos de carácter personal. En este sentido, el inicio de investigaciones previas y su realización, potestad de la AEPD con o sin reclamaciones, no prejuzga nada, sino que permite recabar la información necesaria para determinar si hay indicios o no de infracción. Incluso tras dicha investigación, puede ser que se archiven las actuaciones por entender, a la vista de la información recabada, que no existen indicios de infracción. Lo cual, no es lo ocurrido en el presente caso. Y, como indica el artículo 67.2 de la LOPDGDD anteriormente transcrito, la AEPD puede llevar a cabo actuaciones previas de investigación a fin de lograr una mejor determinación de los hechos y las circunstancias. Es una potestad que tiene atribuida por el RGPD y por la LOPDGDD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/38 Por tanto, el presente procedimiento sancionador se ha iniciado como consecuencia de la información y documentación obtenida tras un período de actuaciones previas de investigación, al inferirse de la información aportada por el responsable del tratamiento evidencias de posibles vulneraciones a la normativa en materia de protección de datos de carácter personal. Para finalizar, no puede considerarse que la AEPD vaya contra los propios actos porque como se ha señalado anteriormente, no ha habido una decisión, ni ha provocado que se desconfíe en la estabilidad de su criterio, ya que no ha habido ningún criterio decisorio al respecto, ni mucho menos evidenciado a través de múltiples actos anteriores en un mismo sentido, por lo que la actuación de esta Agencia en relación a lo alegado no ha supuesto una conducta que resulte contradictoria con actos anteriores que sea sorprendente ni incoherente. Por lo expuesto, se desestima la alegación formulada. III Alegaciones a la Propuesta de Resolución 1. Alega el responsable del tratamiento que “no existe ninguna propuesta de la División de Innovación tecnología que motive la indicación de una investigación, tal y como preceptúa el artículo 31.1.
18. d)del R. D. 389/2021, antes transcrito, lo que supone una vulneración de lo dispuesto en el Estatuto de la AEPD” Sin embargo, consta en el Antecedente Segundo de la Propuesta que, como consecuencia de la notificación realizada a la DIT, se ordenaba a la Subdirección General de Inspección de Datos que valorara la necesidad de realizar investigaciones previas. Por otra parte, el artículo 31, División de Innovación Tecnológica, del Real Decreto 389/2021, de 1 de junio, por el que se aprueba el Estatuto de la Agencia Española de Protección de Datos, establece que: “31. División de Innovación Tecnológica. Corresponde a la División de Innovación Tecnológica: (…)
19. d)Gestionar el Registro de brechas de seguridad para facilitar a los responsables el cumplimiento de lo previsto en el artículo 33 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016.
20. e)Analizar y clasificar las brechas de seguridad y, en su caso, proponer motivadamente a la Presidencia la iniciación de una investigación cuando aprecie indicios de la comisión de una infracción. (…)” Consta en el expediente Nota Interior de 28/07/2023, por el cual la Directora de la AEPD se dirige a la Subdirección General de inspección de Datos, ordenándole que: “Como consecuencia de la notificación a la División de Innovación Tecnológica de esta Agencia de una brecha de datos personales del responsable del tratamiento C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/38 AYUNTAMIENTO DE MADRID con números de registro de entrada REGAGE22e00021482113, relativa al envío por error de documentación con datos personales de denunciantes a los denunciados, se ordena a la Subdirección General de Inspección de Datos que realice las oportunas investigaciones previas con el fin de determinar una posible vulneración de la normativa de protección de datos. En el anexo a este traslado se incluye una nota con la evaluación preliminar de la notificación de brecha de datos personales con relación a los datos aportados por el responsable y los aspectos relevantes detectados”. Asimismo, se hace referencia a dicha Nota en el Anexo adjunto a la Propuesta de Resolución en donde figura el índice con los documentos que integran el expediente. 2. Alega el responsable del tratamiento que no se considera desvirtuado lo alegado por el responsable del tratamiento en su anterior escrito de 21/07/2023 en relación con los escritos de 28/03/2023 y 03/06/2023 emitidos por la Directora de la AEPD, y que la misma AEPD reconoce como actos administrativos. En conexión con lo relacionado en la alegación anterior, ya se indicaba en la Propuesta de Resolución que en contra de lo manifestado por el responsable del tratamiento en aquellas resoluciones había que distinguir dos cuestiones: “una primera, dispositiva por la cual la Directoria de la AEPD ordenaba la comunicación de las brechas de seguridad a los afectados por la misma de conformidad con lo previsto en el artículo 34 del RGPD (…) Es a esta orden o mandato como había que entender la posibilidad de que el responsable del tratamiento se opusiera mediante el correspondiente pie de recurso, por entender que tal violación no entrañaría riesgos para los derechos y libertades de las personas afectadas por concurrir alguna de las condiciones establecidas en el artículo 34.3 del RGPD. Y, en segundo lugar, en dichos escritos constaba asimismo que, adicionalmente a esa cuestión principal, se tomaba nota de la recepción de las brechas siendo incorporadas al registro de notificaciones de brechas de datos personales y que no se preveía el inicio de otras acciones por parte de esta Agencia. Es decir que, salvada la imprecisa redacción del citado párrafo en ambos escritos, en realidad estaba encaminada a poner en conocimiento del responsable el conocimiento y recepción de las notificaciones de los incidentes ocurridos y su incorporación al registro de notificaciones de brechas de acuerdo a lo determinado en el artículo 31.
21. d)del Estatuto de la Agencia. Por tanto, el que la Agencia señalara de una forma inconcreta que no se preveía el inicio de otras acciones, sin precisar el tipo o clase de estas, no puede ser entendido en el sentido de que la AEPD hubiera decidido que no existía incumplimiento alguno de la normativa de protección de datos, no concurriendo responsabilidad alguna en la actuación del responsable del tratamiento, dejando decaer sus competencias y funciones entre las que se encuentran la realización de investigaciones pertinentes sobre la aplicación y cumplimiento del RGPD y LOPGDD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/38 3. Alega el responsable del tratamiento, reiterando lo manifestado en el escrito al acuerdo de inicio, que al no preverse el inicio de otras acciones por parte de la AEPD, en base a los principios de seguridad jurídica, confianza legítima, buena fe y cosa juzgada administrativa, no se procedió a formular ningún tipo de recurso, contra las resoluciones emitidas por lo que procede la anulación del procedimiento sancionador incoado y su archivo. En cuanto al principio de confianza legítima y demás conceptos jurídicos invocados, señala la STS de 3 de marzo de 2016 (Rec. 3012/2014 ) que " no está de más que recordemos, siguiendo lo ya declarado en nuestra sentencia de 30 de octubre de 2012, dictada en el recurso 1657/2010 , que " el principio de la confianza legítima tiene su origen en el Derecho Administrativo Alemán ( Sentencia de 14 de mayo de 1956 del Tribunal Contencioso-Administrativo de Berlín), del que fue recepcionado por el Tribunal de Justicia de la Unión Europea que lo acoge ya en las sentencias de 22 de marzo de 1961 y 13 de julio de 1965 (Asunto Lemmerz-Werk ) y se acepta como un principio general del Derecho Comunitario ( STS de 22 de Marzo del 2012, recurso 2998/2008 ).En Derecho Administrativo Español, regido por el principio de legalidad estricta de inspiración francesa, la institución no fue acogida hasta ya tardíamente, si bien la Jurisprudencia de esta Sala aplicó la confianza legítima como fundamento del examen de legalidad de las actuaciones administrativas (entre otras, en las sentencias de 1 de febrero de 1990 , 13 de febrero de 1992, 17 de febrero , 5 de junio , 28 de julio de 1997 , 10 de mayo , 13 y 24 de julio de 1999 , 4 de junio de 2001 y 15 de abril de 2002, citadas en la de 22 de marzo de 2012 , ya mencionada), vinculando la confianza legítima con los principios más generales de la seguridad jurídica y buena fe, de larga tradición en nuestro Derecho Administrativo ( SSTS 10 de mayo de 1999 y la de 26 de abril de 2012 ). Nuestro Legislador, con ocasión de la reforma de la Ley de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común de 1999, incorpora la confianza legítima en el artículo 3, referido a los principios generales a los que debe adaptar su actividad la Administración Pública. Conforme a lo declarado por la antes mencionada sentencia de 6 de julio de 2012 el principio de confianza legítima comporta que "la autoridad pública no pueda adoptar medidas que resulten contrarias a la esperanza inducida por la razonable estabilidad en las decisiones de aquélla, y en función de las cuales los particulares han adoptado determinadas decisiones. (...) como se declara en la sentencia 3 de julio de 2012 (recurso 6558/2010): "... La protección de la confianza legítima no abarca cualquier tipo de convicción psicológica subjetiva en el particular, siendo tan solo susceptible de protección aquella <confianza> sobre aspectos concretos, que se base en signos o hechos externos producidos por la Administración suficientemente concluyentes...". Pero de las propias decisiones de esta Sala, se ha de concluir en un importante y relevante elemento para configurar la confianza legítima, a saber, que la concreta actuación que se espera en esa confianza sea conforme al Ordenamiento (sentencia últimamente citada), es decir, es preciso que la actuación de la Administración, con su conducta, induzca al administrado "a creer que la actuación que él desarrolla es lícita y adecuada en Derecho" (sentencia de 3 de julio de 2012, dictada en el recurso 6558/2010 ). En ese mismo sentido se ha declarado que no puede ampararse en la confianza legítima "la mera expectativa de una invariabilidad de las circunstancias", como se declara en la sentencia de 22 de marzo de 2012 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/38 (recurso 2998/2008), en la que se concluye que no puede mantenerse irreversible un comportamiento que se considera injusto. Dando un paso más en esa vinculación entre actuación basada en la confianza legítima, la Jurisprudencia viene excluyendo la posibilidad de apreciarla cuando la actuación de la Administración no está sujeta a una potestad discrecional (...)". Sin embargo, los argumentos del responsable del tratamiento deben ser rechazados; habría que señalar que la violación de la confianza legitima seria apreciada si, en este caso la AEP, aplicara de manera injustificada sus funciones, adoptando decisiones desvinculadas de sus fines, pareceres o medidas inadecuadas para cumplir con sus objetivos sorprendiendo las expectativas de sus destinatarios, no pudiendo afirmarse que en los diferentes puntos de este fundamento como en los fundamentos restantes que la Agencia haya exhibido elementos que pretendieran crear en el responsable del tratamiento la creencia de que su responsabilidad en el presente caso estaba exenta de culpa y que lo aconsejable era archivar el caso. Ya se ha expuesto que la existencia en los escritos emitidos en fechas 08/03/2022 y 03/06/2022 no pueden supeditar a la Agencia en el ejercicio de sus competencias y, siendo una mera conjetura lo expresado en los mismos: “no se prevé el inicio de otras acciones”, no significa que tales acciones no se pudieran llevar a cabo, sino que se debía proceder a un examen de lo trasladado a los efectos de decidir si se cumplían las exigencias legales establecidas en la normativa aplicable: RGPD y LOPGDD y proceder en consecuencia. 4. Reitera el responsable del tratamiento que no ha quedado desvirtuado en la propuesta, que desde la emisión de las resoluciones de la AEPD únicamente se había recibido un requerimiento de información de fecha 17/10/2022 y que el procedimiento había entrado en un periodo de inactividad por parte de la AEPD desde esa fecha, prolongándolo en el tiempo durante casi 9 meses ininterrumpidos, y en el que, nominalmente, el expediente ahora iniciado parece ser que se encontraba en fase de "diligencias previas" y que dado que los hechos no revestían una especial complejidad, no puede justificar la demora de más de 12 meses para la incoación del procedimiento sancionador desde la comunicación de las brechas de seguridad. Y trae a colación la Sentencia de la Audiencia Nacional (ROJ: SAN 4988:2007 ECLI: ES:AN: 2007:4988), en la que se estima el recurso contencioso-administrativo interpuesto por una mercantil contra resolución sancionadora de la AEPD reproduciendo parte de su contenido; sentencia que no guarda relación alguna con lo analizado en el presente caso. La reciente Ley 11/2023, de 8 de mayo, mediante la que se trasponen diversas Directivas de la Unión Europea y se modifican distintas normas, introduce algunos cambios en la LOPDGDD. La modificación, en vigor desde el día siguiente a la publicación de la Ley (09/05/2023), obedece al incremento y a la complejidad de algunos asuntos abordados por la AEPD, poniendo de manifiesto la necesidad de ampliar algunos de los plazos para resolver. Por ello, la modificación abordada contempla el aumento de nueve a doce meses la duración máxima del procedimiento sancionador, y de doce a dieciocho meses las actuaciones previas de investigación. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/38 De esta forma, el artículo 67, Actuaciones Previas de investigación, de la LOPDGDD establece que: “1. Antes de la adopción del acuerdo de inicio de procedimiento, y una vez admitida a trámite la reclamación si la hubiese, la Agencia Española de Protección de Datos podrá llevar a cabo actuaciones previas de investigación a fin de lograr una mejor determinación de los hechos y las circunstancias que justifican la tramitación del procedimiento. La Agencia Española de Protección de Datos actuará en todo caso cuando sea precisa la investigación de tratamientos que implique un tráfico masivo de datos personales. 2. Las actuaciones previas de investigación se someterán a lo dispuesto en la sección 2.ª del capítulo I del título VII de esta ley orgánica y no podrán tener una duración superior a dieciocho meses a contar desde la fecha del acuerdo de admisión a trámite o de la fecha del acuerdo por el que se decida su iniciación cuando la Agencia Española de Protección de Datos actúe por propia iniciativa. Como ya se hacía constar con anterioridad mediante acuerdo de fecha 28/07/2023, la AEPD de conformidad con lo señalado en el artículo 67.2 de la LOPDGDD inició actuaciones de investigación consecuencia de las brechas notificadas a la DIT en fechas 23/03/2022 y 30/05/2022, con el fin de determinar la posible vulneración de la normativa de protección de datos, junto con un anexo incluyendo la evaluación preliminar de la notificación de las brechas de datos personales con relación a los datos aportados por el responsable y los aspectos más relevantes detectados; la citada nota y anexo se remiten a la Subdirección de Inspección órgano competente para llevar a cabo dichas investigaciones. Establece el R.D. 389/2021, por el que se aprueba el Estatuto de la AEPD, en su artículo 27, Subdirección General de Inspección, enumera las funciones que corresponden a dicho departamento, entre las que se encuentran, por lo que aquí interesa, las siguientes: “
22. a)La supervisión permanente del cumplimiento del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, de la Ley Orgánica 3/2018, de 5 de diciembre, y de las disposiciones que la desarrollen, por parte de los responsables y encargados de los tratamientos. (…)
23. b)El ejercicio de las potestades de investigación definidas en el artículo 51 de la Ley Orgánica 3/2018, de 5 de diciembre. (…)
24. d)La tramitación de los procedimientos en caso de posible vulneración de la normativa de protección de datos conforme a lo dispuesto en el título VIII de la Ley Orgánica 3/2018, de 5 de diciembre, incluyendo las reclamaciones de los ciudadanos por falta de atención en sus solicitudes de ejercicio de los derechos contemplados en los artículos 15 al 22 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016. Corresponde a la Subdirección General de Inspección de Datos el deber de informar al reclamante sobre el curso y el resultado de la reclamación presentada ante la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/38 Agencia Española de Protección de Datos, de acuerdo con lo dispuesto en el artículo 77.2 del citado Reglamento. (…)” El artículo 64, Forma de iniciación del procedimiento y duración, de la LOPDGDD establece en su apartado 2, que: “2. Cuando el procedimiento tenga por objeto la determinación de la posible existencia de una infracción de lo dispuesto en el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, y en la presente ley orgánica, se iniciará mediante acuerdo de inicio, adoptado por propia iniciativa o como consecuencia de reclamación, que le será notificado al interesado. Si el procedimiento se fundase en una reclamación formulada ante la Agencia Española de Protección de Datos, con carácter previo, esta decidirá sobre su admisión a trámite, conforme a lo dispuesto en el artículo 65 de esta ley orgánica. Admitida a trámite la reclamación, así como en los supuestos en que la Agencia Española de Protección de Datos actúe por propia iniciativa, con carácter previo al acuerdo de inicio podrá existir una fase de actuaciones previas de investigación, que se regirá por lo previsto en el artículo 67 de esta ley orgánica. El procedimiento tendrá una duración máxima de doce meses a contar desde la fecha del acuerdo de inicio. Transcurrido ese plazo se producirá su caducidad y, en consecuencia, el archivo de actuaciones” A tenor de lo dispuesto en los artículos transcritos, ni las actuaciones previas de investigación ni el procedimiento sancionador han de entenderse caducados; en el supuesto de las investigaciones porque las mismas no superaron los 18 meses que establece el artículo 67 de la LOPDGDD; en el supuesto del procedimiento sancionador, el acuerdo de inicio es de fecha 06/07/2023, por tanto, el procedimiento no ha de entenderse tampoco caducado. En cuanto a la pretendida vulneración del derecho a la presunción de inocencia y del derecho de defensa, hay que señalar que el derecho a la presunción de inocencia rige sin excepciones en el procedimiento administrativo sancionador –si bien con ciertas matizaciones- por cuanto es una manifestación de la potestad punitiva del Estado y comporta, (STC 76/1990) “que la sanción esté basada en actos o medios probatorios de cargo o incriminadores de la conducta reprochada; que la carga de la prueba corresponda a quien acusa, sin que nadie esté obligado a probar su propia inocencia; y que cualquier insuficiencia en el resultado de las pruebas practicadas, libremente valorado por el órgano sancionador, debe traducirse en un pronunciamiento absolutorio”. También el Tribunal Supremos (STS de 26/10/1998) ha indicado que la vigencia del principio de presunción de inocencia “no se opone a que la convicción judicial en un proceso pueda formarse sobre la base de una prueba indiciaria, pero para que esta prueba pueda desvirtuar dicha presunción debe satisfacer las siguientes exigencias constitucionales: los indicios han de estar plenamente probados – no puede tratarse de meras sospechas – y tiene que explicitar el razonamiento en virtud del cual, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/38 partiendo de los indicios probados, ha llegado a la conclusión de que el imputado realizó la conducta infractora, pues, de otro modo, ni la subsunción estaría fundada en Derecho ni habría manera de determinar si el proceso deductivo es arbitrario, irracional o absurdo, es decir, si se ha vulnerado el derecho a la presunción de inocencia al estimar que la actividad probatoria pueda entenderse de cargo.” La prueba de cargo de las infracciones de los artículos 5.1.f), 32.1 y 33.1 del RGPD que se atribuyen al responsable del tratamiento, además del contenido de las notificaciones efectuadas por el responsable del tratamiento de las dos brechas de seguridad de datos personales que incurren en infracción a la normativa de protección de datos de carácter personal, afectando tanto a la confidencialidad, medidas de seguridad implantadas y la ausencia de notificación a los afectados por las mismas, figuran las evidencias que se reconoce y confirma en las incidencias producidas, no solo en las citadas notificaciones sino con posterioridad en fase de actuaciones requerida información sobre las mismas. En definitiva, los hechos infractores se encuentran sobradamente acreditados. Por último, en cuanto a la pretendida vulneración del derecho de defensa, el responsable del tratamiento ha tenido oportunidad de alegar lo que estimara conveniente, aportar documentos, solicitarlos, solicitar ampliación de plazos, proponer las pruebas pertinentes, así como alegar y probar, cuanto hubiere estimado por conveniente en defensa de sus derechos e intereses legítimos, por lo que ninguna indefensión vulneradora de su derecho de defensa puede ser apreciada. 5. Alega el responsable del tratamiento que como se refleja en la Propuesta de Resolución en su parte dispositiva el contenido se corresponde con el de un apercibimiento al constituir su objeto principal el ordenar la adopción de unas medidas correctivas tal y como se contempla en el artículo 64.3 de la LOPDGDD en relación con el artículo 83.2 del RGPD, evidenciándose que el procedimiento seguido es a todas luces inadecuado al consistir la propuesta en una mera declaración formal de haberse infringido la normativa de protección de datos, lo que viene a ser un apercibimiento, y en ordenar al responsable del tratamiento que adopte las medidas correctivas encaminadas a poner fin al posible incumplimiento de la legislación de protección de datos de una determinada manera y dentro del plazo especificado, siendo este contenido el previsto en el artículo 64.3 de la LOPD referido al apercibimiento, procediendo declarar la nulidad, la caducidad o el archivo. En primer lugar, hay que destacar el poder correctivo previsto en el artículo 58.2.
25. d)del RGPD pues mediante el mismo se puede ordenar al responsable o encargado que las operaciones de tratamiento se ajusten a las disposiciones del RGPD, cuando proceda, de una determinada manera y dentro de un plazo especificado. Esta medida que es fundamental no se encuentra ligada al procedimiento sancionador y constituye una garantía para hacer efectivo el Derecho Fundamental a la Protección de Datos de Carácter Personal. En otro orden, el artículo 64, Forma de iniciación del procedimiento y duración, del RGPD establece en su apartado 3, que: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/38 “3. Cuando así proceda en atención a la naturaleza de los hechos y teniendo debidamente en cuenta los criterios establecidos en el artículo 83.2 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, la Agencia Española de Protección de Datos, previa audiencia al responsable o encargado del tratamiento, podrá dirigir un apercibimiento, así como ordenar al responsable o encargado del tratamiento que adopten las medidas correctivas encaminadas a poner fin al posible incumplimiento de la legislación de protección de datos de una determinada manera y dentro del plazo especificado. El procedimiento tendrá una duración máxima de seis meses a contar desde la fecha del acuerdo de inicio. Transcurrido ese plazo se producirá su caducidad y, en consecuencia, el archivo de actuaciones. Será de aplicación en este caso lo dispuesto en los párrafos segundo y tercero del apartado 2 de este artículo”. Ahora bien, en el presente caso se apertura el procedimiento a una entidad perteneciente a la Administración Local, siendo de aplicación el artículo 77, Régimen aplicable a determinadas categorías de responsables o encargados del tratamiento, de la LOPDGDD en cuyo apartado 2, con la modificación introducida por la Ley de la Ley 11/2023, de 8 de mayo, de trasposición de Directivas de la Unión Europea en materia de accesibilidad de determinados productos y servicios, migración de personas altamente cualificadas, tributaria y digitalización de actuaciones notariales y registrales; y por la que se modifica la Ley 12/2011, de 27 de mayo, sobre responsabilidad civil por daños nucleares o producidos por materiales radiactivos, establece que: “2. Cuando los responsables o encargados enumerados en el apartado 1 cometiesen alguna de las infracciones a las que se refieren los artículos 72 a 74 de esta ley orgánica, la autoridad de protección de datos que resulte competente dictará resolución declarando la infracción y estableciendo, en su caso, las medidas que proceda adoptar para que cese la conducta o se corrijan los efectos de la infracción que se hubiese cometido, con excepción de la prevista en el artículo 58.2.i del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016. La resolución se notificará al responsable o encargado del tratamiento, al órgano del que dependa jerárquicamente, en su caso, y a los afectados que tuvieran la condición de interesado, en su caso (el subrayado es de la AEPD). 6. Alega el responsable del tratamiento que la LOPDGDD prevé la posibilidad de abrir una fase de actuaciones previas de investigación con carácter previo al acuerdo de inicio del procedimiento y que ni del examen del procedimiento, ni de la puesta de manifiesto del expediente en la propuesta de resolución, ni en sus antecedentes se hace referencia a dicho acuerdo disponiendo el inicio de la actuaciones previas, por lo que intuye que la AEPD se habría separado del procedimiento determinado por la LOPDGDD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/38 Hay que señalar, que la simple sospecha derramada por el responsable del tratamiento de que la AEPD se habría separado del procedimiento establecido en la LOPDGDD resulta inadmisible. El principio de legalidad significa que toda actuación realizada por los poderes públicos ha de estar dentro de los límites que establecen las leyes y, en relación con las medidas punitivas, estas han de encontrarse previstas y reguladas en una norma legal para que puedan ser aplicadas, por lo que es también un principio básico en el procedimiento sancionador, que nace de la expresión nulla poena sine lege. En este mismo sentido se manifiesta el artículo 25 de la Constitución Española cuando establece que “nadie puede ser condenado o sancionado por acciones u omisiones que en el momento de producirse no constituyan delito, falta o infracción administrativa, según la legislación vigente en aquel momento”. También el artículo 103.1 de la Constitución Española señala que “la Administración Pública sirve con objetividad los intereses generales y actúa …, con sometimiento pleno a la ley y al Derecho”. Es cierto que cuando la AEPD actúa por propia iniciativa la LOPGDD le impone como obligación que las actuaciones previas tengan una duración máxima y adoptar un acuerdo decidiendo el inicio de dichas actuaciones previas. El artículo 67, Actuaciones previas de investigación, de RGPD establece que: “1. Antes de la adopción del acuerdo de inicio de procedimiento, y una vez admitida a trámite la reclamación si la hubiese, la Agencia Española de Protección de Datos podrá llevar a cabo actuaciones previas de investigación a fin de lograr una mejor determinación de los hechos y las circunstancias que justifican la tramitación del procedimiento. La Agencia Española de Protección de Datos actuará en todo caso cuando sea precisa la investigación de tratamientos que implique un tráfico masivo de datos personales. 2. Las actuaciones previas de investigación se someterán a lo dispuesto en la sección 2.ª del capítulo I del título VII de esta ley orgánica y no podrán tener una duración superior a dieciocho meses a contar desde la fecha del acuerdo de admisión a trámite o de la fecha del acuerdo por el que se decida su iniciación cuando la Agencia Española de Protección de Datos actúe por propia iniciativa”. Como se ha señalado con anterioridad, en la Propuesta de Resolución, en el Antecedente Segundo se señalaba que como consecuencia de la notificación a la DIT de las brechas se ordenaba a la Subdirección General de Inspección de Datos que valorara la necesidad de realizar las oportunas investigaciones previas. Consta igualmente la existencia de Nota Interior de 28/07/2023, a través de la cual la Directora de la AEPD ordenaba a la Subdirección General de Inspección de Datos la realización de las oportunas investigaciones previas para determinar una posible vulneración de la normativa de protección de datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 20/38 Y en el Anexo que se adjuntaba a la Propuesta de Resolución figuraba el índice con la relación de documentos que integraban el expediente; con fecha 01/08/2024 figura en el citado índice la Nota Interior, así como las actuaciones posteriores llevadas a cabo. 7. Alega el responsable del tratamiento que el hecho de presuponer por parte de la AEPD que las brechas comunicadas constituyen una vulneración los principios y garantías establecidos en los artículos 5.1.f), 32.1 y 33.1 del RGPD, sería tanto como considerar que cualquier brecha de seguridad supone una infracción muy grave con las posibles consecuencias sancionadoras que ello conlleva; además, de la ausencia de culpabilidad en relación con las infracciones que se le atribuyen. Hay que señalar que la AEPD no presupone nada, ejerce de conformidad con lo señalado en el RGPD y la LOPLDGDD su competencia sancionadora constatada la vulneración de la normativa en materia de protección de datos de carácter personal, tras ser notificadas a la DIT sendas brechas de seguridad de datos personales y realizar las actuaciones pertinentes; infracción de los artículos 5.1.f), 32.1 y 33.1 del RGPD, que se encuentran tipificadas en los artículos 83.5.
26. a)y 83.4.
27. a)del RGPD. En relación con las infracciones cometidas, figuran acreditadas las conductas típicas: vulneración de la confidencialidad de los datos, al posibilitar (…) (artículo 5.1.
28. f)RGPD) la insuficiencia de las medidas implantadas, (…), que no garantizaban un nivel de seguridad adecuado (artículo 32.1 RGPD) y la extemporaneidad en las notificaciones de las brechas a la autoridad de control (artículo 33.1 del RGPD). No hay que olvidar que el responsable del tratamiento ha solicitado el archivo del expediente por inexistencia de infracciones y la nulidad del procedimiento. La responsabilidad objetiva está proscrita en nuestro ordenamiento jurídico. En el ámbito del Derecho Administrativo sancionador rige el principio de culpabilidad, de forma que el elemento subjetivo o culpabilístico es una condición indispensable para que nazca la responsabilidad sancionadora. El artículo 28 de la Ley 40/2015, de Régimen Jurídico del Sector Público (LRJSP) regula el principio de culpabilidad y dispone: “1. Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas, así como, cuando una Ley les reconozca capacidad de obrar, los grupos de afectados, las uniones y entidades sin personalidad jurídica y los patrimonios independientes o autónomos, que resulten responsables de los mismos a título de dolo o culpa.” De conformidad con este precepto, la responsabilidad sancionadora puede exigirse a título de dolo o de culpa, siendo suficiente en el último caso la mera inobservancia del deber de cuidado. El Tribunal Constitucional, entre otras, en su STC 76/1999, ha declarado que las sanciones administrativas participan de la misma naturaleza que las penales, al ser una de las manifestaciones del ius puniendi del Estado, y que, como exigencia C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 21/38 derivada de los principios de seguridad jurídica y legalidad penal consagrados en los artículos 9.3 y 25.1 de la CE, es imprescindible su existencia para imponerlas. A propósito de la culpabilidad de la persona jurídica cabe citar la STC 246/1991, 19 de diciembre de 1991 (F.J. 2), conforme a la cual, respecto a las personas jurídicas, el elemento subjetivo de la culpa se ha de aplicar necesariamente de forma distinta a como se hace respecto de las personas físicas y añade que “Esta construcción distinta de la imputabilidad de la autoría de la infracción a la persona jurídica nace de la propia naturaleza de ficción jurídica a la que responden estos sujetos. Falta en ellos el elemento volitivo en sentido estricto, pero no la capacidad de infringir las normas a las que están sometidos. Capacidad de infracción y, por ende, reprochabilidad directa que deriva del bien jurídico protegido por la norma que se infringe y la necesidad de que dicha protección sea realmente eficaz (...)” La decisión de archivar un expediente sancionador podría fundarse en la ausencia del elemento de la culpabilidad cuando el responsable de la conducta antijurídica hubiera obrado con toda la diligencia que le resulta exigible. Conviene recordar lo que la STC 246/1991 ha dicho a propósito de la culpabilidad de la persona jurídica: que no falta en ella la “capacidad de infringir las normas a las que están sometidos”. “Capacidad de infracción (…) que deriva del bien jurídico protegido por la norma que se infringe y la necesidad de que dicha protección sea realmente eficaz (…)”. En conexión con lo expuesto hay que referirse al artículo 5.2 del RGPD (principio de responsabilidad proactiva), según el cual el responsable del tratamiento será responsable del cumplimiento de lo dispuesto en el apartado 1 y capaz de demostrar su cumplimiento. El principio de proactividad transfiere al responsable del tratamiento la obligación no solo de cumplir con la normativa en materia de protección de datos, sino también la de poder demostrar dicho cumplimiento. Por otra parte el Dictamen 3/2010, del Grupo de Trabajo del artículo 29 (GT29) -WP 173- emitido durante la vigencia de la derogada Directiva 95/46/CEE, pero cuyas reflexiones son aplicables en la actualidad, afirma que la “esencia” de la responsabilidad proactiva es la obligación del responsable del tratamiento de aplicar medidas que, en circunstancias normales, garanticen que en el contexto de las operaciones de tratamiento se cumplen las normas en materia de protección de datos y en tener disponibles documentos que demuestren a los interesados y a las Autoridades de control qué medidas se han adoptado para alcanzar el cumplimiento de las normas en materia de protección de datos. Y sobre esta cuestión no hay que olvidar el artículo 24.1 del RGPD que sobre la responsabilidad del responsable del tratamiento dispone: “Teniendo en cuenta la naturaleza, el ámbito, el contexto y los fines del tratamiento así como los riesgos de diversa probabilidad y gravedad para los derechos y libertades de las personas físicas, el responsable del tratamiento aplicará medidas técnicas y organizativas apropiadas a fin de garantizar y poder demostrar que el tratamiento es conforme con el presente Reglamento. Dichas medidas se revisarán y actualizarán cuando sea necesario." Cabría señalar cual fue la diligencia observada por el responsable del tratamiento en relación con las conductas que debería haber observado en relación C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 22/38 con la conducta examinada o llevada a cabo. La respuesta es que la diligencia que debió observar era la precisa para cumplir las obligaciones que le imponían los artículos vulnerados: artículo 5.1.f), 32.1 y 33.1 del RGPD y cuyas infracciones motivaron la apertura del procedimiento. Por tanto, de conformidad con el principio de proactividad el responsable del tratamiento posibilitó el acceso por terceros, los denunciados en materia medioambiental, a los datos de carácter personal de los denunciantes en dichas materias, no garantizando debidamente la confidencialidad e integridad de los datos, actitud y comportamiento que evidencia la absoluta ausencia de diligencia. En segundo lugar, no adoptó una actitud diligente mediante la implantación de medidas de seguridad técnicas y organizativas que fueran apropiadas a fin de garantizar un nivel de seguridad adecuado al riesgo de los tratamientos y para evitar incidencias como las que dieron lugar a las brechas, conducta que en el presente caso evidencia la absoluta ausencia de diligencia. En tercer lugar, en ninguna de las brechas de seguridad de datos personales producidas el responsable del tratamiento cumplió el plazo establecido en el artículo 33.1 del RGPD para comunicarlo a la autoridad de control, lo que acredita la ausencia de diligencia desplegada por el responsable. Hay que señalar que la infracción del articulo 33 no exige solamente el incumplimiento del deber de notificación a la autoridad de protección de datos de una violación de seguridad de los datos personales, sino que producida la brecha de datos personales y conocida la misma, la obligación del responsable del tratamiento es notificar a la autoridad de control competente, sin dilación indebida y a más tardar 72 horas después de haber tenido constancia de la misma, salvo que constituyera un riesgo para los derechos y las libertades de las personas físicas, que en el presente caso no existió y los afectados fueron informados de los incidentes por orden de la Directora de la AEPD. Por último, en cuanto a la documentación que el responsable del tratamiento arguye haber aportado al expediente, ya en la Propuesta se recogía que la inspectora actuante había solicitado al responsable el Análisis de Riesgos del tratamiento origen de la brecha, así como la relación de las medidas de seguridad implantadas. Es cierto, que aportó el documento “Adecuación a la normativa de protección de datos, Recomendaciones a la DIRECCIÓN GENERAL DE SOSTENIBILIDAD Y CONTROL AMBIENTAL”, entre los que se incluye el tratamiento ***EMPRESA.1; sin embargo, también lo es que no se incluían ni se relacionaban las medidas de seguridad implantadas. Además, al requerimiento de la inspectora actuante de que se aportara el Análisis de Riegos del tratamiento origen de la brecha, la respuesta fue una nota del DPD indicando que no se precisaba la realización del citado Análisis para dicho tratamiento. Y para finalizar, se aportó copia de la última auditoría llevada a cabo de conformidad con las previsiones del Esquema Nacional de Seguridad (ENS) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 23/38 manifestando cumplir con el Anexo II del ENS donde se definían las medidas de seguridad de los sistemas, pero sin acreditar documentalmente su cumplimiento y sin aportar documentación de la auditoría realizada o en su defecto de la autoevaluación documentada. Pues bien, además de no haber desvirtuado lo señalado en la Propuesta, pretender, como presume el responsable del tratamiento, que la simple aportación de dicha documentación: “Adecuación a la normativa de protección de datos, Recomendaciones a la DIRECCIÓN GENERAL DE SOSTENIBILIDAD Y CONTROL AMBIENTAL”, la nota del Delegado de Protección de Datos y la copia de la última auditoría, constituye la adopción de medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo del tratamiento en los términos exigidos por el artículo 32.1, no es que sea aventurado sino que constituye un verdadero ejercicio de voluntarismo probatorio. Y es que no hay que olvidar que uno de los requerimientos que establece el RGPD tanto para responsables como encargados del tratamiento que realizan actividades de tratamiento con datos personales es la necesidad de llevar a cabo un análisis de riesgos de la seguridad de la información con el fin de establecer las medidas de seguridad y control orientadas a cumplir los principios de protección desde el diseño y por defecto que garanticen los derechos y libertades de las personas. 8. Alega el responsable del tratamiento que dado el carácter de las brechas que han dado lugar a la apertura (de manera irregular) del presente procedimiento y a la documentación aportada en su transcurso, se infiere que las medidas adoptadas son las adecuadas a lo requerido por la normativa de protección de datos y que la Propuesta es totalmente abstracta e indeterminada en cuanto a cuáles son las medidas a adoptar en el plazo indicado, suponiendo la nulidad del acto al generar indefensión en el destinatario puesto que no sabe a qué atenerse. En primer lugar, la AEPD de conformidad con el RGPD y LOPDGDD es la autoridad competente en materia sancionadora para iniciar y resolver la vulneración de la normativa en materia de protección de datos de carácter personal, infracciones de los artículos 5.1.f), 32.1 y 33.1 del RGPD y tipificadas en los artículos 83.5.
29. a)y 83.4.
30. a)del RGPD que en el presente constan acreditadas, posibilitando la apertura del presente procedimiento sancionador consecuencia de la actuación irregular del responsable, no de la irregularidad del procedimiento como torticeramente se alega por el responsable del tratamiento. En segundo lugar, los poderes correctivos que el RGPD atribuye a la AEPD como autoridad de control vienen relacionan en su artículo 58.2, apartados
31. a)a j). Concretamente la letra
32. d)del precepto establece que la autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…”. Ya se contemplaba en la Propuesta dicha medida y, además, se señalaba que en el plazo de seis meses a partir de la firmeza de la resolución sancionadora que, en su caso, se dictase adecuara los tratamientos objeto del presente procedimiento a la normativa aplicable y que “En el texto de este acuerdo se establecen cuáles han sido C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 24/38 los hechos que han dado lugar a la vulneración de la normativa de protección de datos, de lo que se infiere con claridad cuáles son las medidas a adoptar, sin perjuicio de que el tipo de procedimientos, mecanismos o instrumentos concretos para implementarlas corresponda a la parte sancionada, pues es quien conoce plenamente su organización y ha de decidir, en base a la responsabilidad proactiva y en enfoque de riesgos, cómo cumplir con el RGPD y la LOPDGDD”. Además, se reiteraba entre las medidas a adoptar las destinadas a cumplir con lo exigido por la normativa en materia de protección de datos de conformidad con lo establecido en los artículos 5.1.f), 32.1 y 33.1 del RGPD, infracciones que habían dado lugar a la apertura del procedimiento sancionador. Hay que destacar el poder correctivo del artículo 58.2.
33. d)del RGPD, pues a su través se puede ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del RGPD, cuando proceda, de una determinada manera y dentro de un plazo especificado. Esta medida de restauración, restablecimiento o establecimiento de la legalidad vigente es fundamental y constituye una garantía para hacer efectivo el Derecho Fundamental a la Protección de Datos de Carácter Personal. Por último, las medidas correctivas son importantes porque tienden a solventar la infracción cometida, como dice el art. 77.2 de la LOPDGDD y para los sujetos del art. 77.1 del mismo texto legal, para “que cese la conducta o se corrijan los efectos de la infracción”. Y esto únicamente se puede lograr si se declara la existencia de la infracción a través del procedimiento que corresponda de los previstos en el artículo 64 de la LOPDGDD, pues declarada la misma y su persistencia, habrá que ordenar que se cumpla con la legalidad vigente, y ello a los efectos de que no se siga vulnerando el Derecho Fundamental a la protección de datos de carácter personal de los interesados, en este caso, los administrados del Ayuntamiento de Madrid. Por tanto, los argumentos esgrimidos por el responsable del tratamiento deben ser desestimados. IV Primera obligación incumplida: infracción del artículo 5.1.
34. f)del RGPD Los hechos puestos de manifiesto se concretan en la existencia de sendas brechas de seguridad en los sistemas del responsable del tratamiento posibilitando su vulnerabilidad al permitir (…). El responsable del tratamiento realiza el tratamiento de datos en su condición de responsable del tratamiento, dado que es quien determina los fines y los medios relacionados con el mismo, en virtud del artículo 4.7 del RGPD. Además, el responsable se debe encargar también de aplicar las medidas técnicas y organizativas que garanticen la seguridad de los datos personales al llevar a cabo el tratamiento. Y ser capaz de demostrar el cumplimiento RGPD y de la LOPDGDD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 25/38 En primer lugar, los hechos notificados a la AEPD son constitutivos de una infracción del artículo 5, Principios relativos al tratamiento, del RGPD que establece que: “1. Los datos personales serán: (…)
35. f)tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»). (…)” La documentación obrante en el expediente ofrece indicios evidentes de que el responsable del tratamiento reclamada vulneró el artículo 5 del RGPD, principios relativos al tratamiento, al posibilitar (…), no garantizando debidamente la confidencialidad e integridad de los datos. En este sentido, el citado art. 5.1.
36. f)del RGPD, prevé que los datos personales serán tratados de tal manera que se garantice su seguridad, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas. También el considerando 39 del RGPD, en clara referencia al principio recogido en el artículo 5.1.
37. f)del RGPD, dispone que: “Los datos personales deben tratarse de un modo que garantice una seguridad y confidencialidad adecuadas de los datos personales, inclusive para impedir el acceso o uso no autorizados de dichos datos y del equipo utilizado en el tratamiento”. Y es que la pérdida de confidencialidad supone un riesgo, que puede conllevar daños y perjuicios, materiales o inmateriales para las personas físicas (considerando 85 del RGPD). En tal sentido, el considerando 75 del RGPD establece que: “Los riesgos para los derechos y libertades de las personas físicas, de gravedad y probabilidad variables, pueden deberse al tratamiento de datos que pudieran provocar daños y perjuicios físicos, materiales o inmateriales, en particular en los casos en los que el tratamiento pueda dar lugar a problemas de discriminación, usurpación de identidad o fraude, pérdidas financieras, daño para la reputación, pérdida de confidencialidad de datos sujetos al secreto profesional, reversión no autorizada de la seudonimización o cualquier otro perjuicio económico o social significativo; en los casos en los que se prive a los interesados de sus derechos y libertades o se les impida ejercer el control sobre sus datos personales; …”. Por tanto, el acceso no autorizado a los datos de carácter personal supone que éstos puedan ser utilizados para usos no conocidos, incluso fraudulentos, conllevando una pérdida total y absoluta de control sobre los mismos. En este mismo sentido, el artículo 28 de la LOPDGDD, y respecto de las obligaciones del responsable del tratamiento en el marco de los artículos 24 y 25 del RGPD para garantizar y acreditar que el tratamiento es conforme al RGPD respecto de diversos riesgos, dispone que, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 26/38 “(…) 2. Para la adopción de las medidas a que se refiere el apartado anterior los responsables y encargados del tratamiento tendrán en cuenta, en particular, los mayores riesgos que podrían producirse en los siguientes supuestos:
38. a)Cuando el tratamiento pudiera generar situaciones de discriminación, usurpación de identidad o fraude, pérdidas financieras, daño para la reputación, pérdida de confidencialidad de datos sujetos al secreto profesional, reversión no autorizada de la seudonimización o cualquier otro perjuicio económico, moral o social significativo para los afectados. …”. Y la Sentencia del Tribunal Constitucional (STC) 292/2000 en el FD séptimo, señala: “… resulta que el contenido del derecho fundamental a la protección de datos consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el Estado o un particular.” El propio responsable del tratamiento ha reconocido la existencia de los citados accesos en las notificaciones remitidas a la AEPD comunicando la existencia de sendas brechas de seguridad en sus sistemas. La DGS en escrito de 02/11/2022 ha manifestado que en relación con la primera brecha notificada que se habían (…). Y en relación con la segunda brecha notificada (…). A la luz de lo que antecede, se considera que por el responsable del tratamiento se ha vulnerado el principio de confidencialidad de los datos, consagrado en el artículo 5.1.
39. f)del RGPD, infracción tipificada en el artículo 83.5.
40. a)del RGPD. V Tipificación de la infracción del artículo 5.1.
41. f)del RGPD El artículo 83.5
42. a)del RGPD, considera que la infracción de “los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9” es sancionable. . Por su parte, la LOPDGDD en su artículo 71, Infracciones, señala que: “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 27/38 También la LOPDGDD, a efectos de prescripción, en su artículo 72 indica: “Infracciones consideradas muy graves: 1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
43. a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679. (…)” VI Segunda obligación incumplida: infracción del artículo 32.1 del RGPD La seguridad de los datos personales viene regulada en los artículos 32, 33 y 34 del RGPD. En segundo lugar, se atribuye al reclamado la infracción del artículo 32.1 del RGPD “Seguridad del tratamiento”, establece que: “1. Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, que en su caso incluya, entre otros:
44. a)la seudonimización y el cifrado de datos personales;
45. b)la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento;
46. c)la capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente físico o técnico;
47. d)un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento. 2. Al evaluar la adecuación del nivel de seguridad se tendrán particularmente en cuenta los riesgos que presente el tratamiento de datos, en particular como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos. 3. La adhesión a un código de conducta aprobado a tenor del artículo 40 o a un mecanismo de certificación aprobado a tenor del artículo 42 podrá servir de elemento para demostrar el cumplimiento de los requisitos establecidos en el apartado 1 del presente artículo. 4. El responsable y el encargado del tratamiento tomarán medidas para garantizar que cualquier persona que actúe bajo la autoridad del responsable o del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 28/38 encargado y tenga acceso a datos personales solo pueda tratar dichos datos siguiendo instrucciones del responsable, salvo que esté obligada a ello en virtud del Derecho de la Unión o de los Estados miembros”. El RGPD define las violaciones de seguridad de los datos personales como “todas aquellas violaciones de la seguridad que ocasionen la destrucción, perdida o alteración accidental o ilícita de datos personales trasmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos”. La documentación obrante en el expediente evidencia la vulneración del artículo 32.1 del RGPD, como consecuencia de la falta de medidas técnicas y organizativas apropiadas a fin de garantizar un nivel de seguridad adecuado al riesgo del tratamiento. Hay que señalar que el RGPD en el citado precepto no establece un listado de las medidas de seguridad que sean de aplicación de acuerdo con los datos que son objeto de tratamiento, sino que establece que el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas que sean adecuadas al riesgo que conlleve el tratamiento, teniendo en cuenta el estado de la técnica, los costes de aplicación, la naturaleza, alcance, contexto y finalidades del tratamiento, los riesgos de probabilidad y gravedad para los derechos y libertades de las personas interesadas. Asimismo, las medidas de seguridad deben resultar adecuadas y proporcionadas al riesgo detectado, señalando que la determinación de las medidas técnicas y organizativas deberá realizarse teniendo en cuenta: la seudonimización y el cifrado, la capacidad para garantizar la confidencialidad, integridad, disponibilidad y resiliencia, la capacidad para restaurar la disponibilidad y acceso a datos tras un incidente, proceso de verificación (que no auditoría), evaluación y valoración de la eficacia de las medidas. En todo caso, al evaluar la adecuación del nivel de seguridad al riesgo se tendrán particularmente en cuenta los riesgos que presente el tratamiento de datos, como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos y que pudieran ocasionar daños y perjuicios físicos, materiales o inmateriales. En este mismo sentido el considerando 83 del RGPD señala que: “