1/14 Expediente N.º: EXP202513460 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: La Agencia Española de Protección de Datos ha tenido conocimiento de ciertos hechos que podrían constituir una posible infracción imputable a D.G. DE LA GUARDIA CIVIL con NIF S2816003D (en adelante, DGGC). Los hechos que se ponen en conocimiento de esta autoridad a través de denuncia de 27 de marzo de 2023 (contenido ampliado mediante escritos de 3, 24 y 25 de abril de 2023, 8 de mayo de 2023, 27 de mayo de 2023, 9 de junio de 2023, 5 de febrero de 2024 y 14 de mayo de 2024) y denuncia de 17 de abril de 2023 son, en síntesis, los siguientes: - Que se ha creado y explotado una base de datos no autorizada denominada HEGENO (Herramienta de Gestión de Novedades) en la Comandancia de la Guardia Civil de Las Palmas, originada concretamente en el Centro Operativo de Servicios (COS). - Que dicha base de datos no autorizada HEGENO fue implementada el 31 de marzo de 2020 y funciona a través de una hoja de cálculo Excel. Se ubica en los servidores informáticos de red de la Guardia Civil. Se señala que no consta en el Registro de Actividades de Tratamiento de la Guardia Civil. - Que dicha base de datos HEGENO incorpora datos personales relacionados con antecedentes policiales y que se utilizan para la posterior remisión de novedades al cuadro de mando. - Que los datos que se tratan en el COS deberían realizarse únicamente mediante las aplicaciones oficiales autorizadas INTPOL (personas y hechos de interés policial) y Sistema SIGO de la Guardia Civil y no a través de la creación de otras bases de datos no autorizadas de forma paralela a las oficiales, como ocurre con HEGENO. - Que el origen de los datos personales tratados por HEGENO derivaba de denuncias interpuestas en dependencias oficiales sobre cualquier tipo de ilícito penal, incluyendo datos de personas detenidas o investigadas por cualquier delito contemplado en el Código Penal. Asimismo, al comienzo de su utilización se incluían datos de guardias civiles actuantes. Se subraya, asimismo, que los datos personales tratados provienen del sistema VIOGEN, del sistema SIGO y de INTPOL y que abarcan: “infracciones penales y administrativas, DNI/NIF, permiso de conducción, permiso de residencia, número de seguridad social, otros documentos identificativos, nombre, apellidos, domicilio, teléfono, correo electrónico, firma/huella digitalizada, marcas físicas, fórmula decadactilar, fecha de nacimiento, nacionalidad, cualquier otro dato que pueda ser identificativo de la persona, datos de características personales, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/14 datos académicos y profesionales, datos de circunstancias sociales, salud, datos de información comercial, datos económico-financieros y de seguros, datos de transacciones de bienes y servivios”. - Que cualquier usuario de la Comandancia podía acceder a los datos de HEGENO, no estando auditados los accesos como en el caso de INTPOL. Además, se permitía generar documentos PDF a partir de la base de datos, con el fin de comunicar novedades sobre hechos delictivos ocurridos, sin que quede constancia de dichos tratamientos. - Que a partir de los datos volcados en HEGENO se generan diversos informes que son remitidos sin anonimizar a diferentes unidades. Dichos informes poseen la siguiente información:
- a)El estadillo nominal de detenidos e investigados, que contiene datos de filiación, número de delitos cometidos y número de detenciones. Es remitido a la Intervención de Armas de la Comandancia, la Unidad Orgánica de Policía Judicial, el Servicio de Información de la Guardia Civil y a la Fiscalía provincial de Las Palmas mediante el correo corporativo de la Guardia Civil.
- b)Relación de novedades diarias obtenidas de SIGO para su volcado en HEGENO, que incluye datos referentes a la unidad del cuerpo de la Guardia Civil que vino a desarrollar la actuación con los ciudadanos. Se incluyen datos de cualquier tipo de delito, datos de agentes de la Guardia Civil que sufrían accidentes en acto de servicio, movimientos de personalidades y autoridades tales como llegadas salidas de instalaciones aeroportuarias, todo ello sin anonimizar. Se facilitan a unidades dependientes de dicha comandancia o de ámbito superior como la zona de la Guardia Civil de Canarias o la sala de operaciones de Madrid, a los Jefes de la Comandancia, así como a la Delegación y subdelegación del Gobierno en Canarias, y, en ocasiones, a la Dirección Insular de la Administración del Estado en Fuerteventura y en Lanzarote. - Que HEGENO permite el posterior tratamiento de datos para perfilados y comparaciones de control que la base de datos SIGO no permite, entre los cuales se encuentran posibles perfilados de los agentes de la Guardia Civil. - Que asimismo son facilitados datos del Sistema SIGO (INTPOL) al Cuerpo General de Policía Canaria de forma telefónica y generalizada cuando estos lo solicitan. Dichas consultas no se registran ni auditan, y se facilitan datos de personas que constan en SIGO por diferentes motivos y que puede que no hayan cometido ilícito penal o infracciones, ni tengan antecedentes de ningún tipo. Se indica que estas consultas se realizan también a través del 112 desde teléfonos móviles particulares de los Agentes de la Policía Canaria. Junto a los escritos de denuncia, se aporta, entre otros, la siguiente documentación: - Documento sobre el procedimiento de trabajo sobre el volcado desde SIGO a HEGENO para la confección de las novedades diarias, impresiones de pantalla con instrucciones de uso, y las opciones de la herramienta que incluyen: formulario de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/14 introducción de datos, configuración de parámetros de la herramienta, modelos de informes y formulario para revisión y explotación de datos. - Captura de pantalla de “Instrucciones para el correcto funcionamiento de la herramienta”: “(…) Las funciones principales de esta herramienta están centralizadas en el formulario introducción de datos” accesible a través del botón “Formulario de introducción de datos” 1. En dicho formulario, en primer lugar, es necesario establecer la fecha correspondiente a la de remisión del parte de novedades. 2. Una vez que la fecha ha sido establecida, la herramienta realizará una búsqueda en la base de datos, mostrando en pantalla aquellas novedades que hayan sido almacenadas con el mismo día de remisión. 3. Se podrán insertar nuevas líneas o bien cambiar los registros ya existentes. Para eliminar una línea es suficiente con marcar “ANULAR ASIENTO” EN EL CAMPO “CATALOGACIÓN ESPECÍFICA”. Aunque se recomienda rellenar todos los campos posibles, únicamente no se almacenarán en la base de datos aquellos registros en los que no se haya rellenado el campo “compañía”. 4. Una vez que se hayan cumplimentado los datos necesarios, es necesario guardarlos en la base de datos con el botón “GUARDAR DATOS”. Los datos no guardados se perderán si se establece otra fecha sin haberlos salvado con anterioridad. 5. Al pulsar el botón “GUARDAR DATOS” el sistema realizará una nueva consulta actualizando la tabla con aquellos registros del mismo día y que se encuentren almacenados en la base de datos. Si se muestra un mensaje alertando de que el programa de ADMINISTRADOR se encuentra abierto, pulser cancelar y vuelva a intentarlo. En caso de persistir el error, compruebe que el programa de administrador se encuentra cerrado. Si bien se generarán los informes con los datos que se muestran en pantalla, los mismos no serán guardados si no se pulsa el botón “GUARDAR DATOS”. 6. Para generar los informes correspondientes se debe marcar en los informes a generar y pulsar el botón “GENERAR INFORMES”. *Algunos campos tienen valores predefinidos que pueden ser modificados en el formulario de parámetros, accesible a través del botón FORMULARIO DE PARÁMETROS. Los cambios en los valores de las listas “CATALOGACIÓN GENERAL” y “TIPIFICACIÓN DELICTIVA” pueden alterar el correcto funcionamiento de la herramienta dado que son las utilizadas para generar los informes de parte de novedades y relación numérica de delitos y detenidos, respectivamente. *Los datos únicamente se almacenan en la base de datos de la herramienta ADMINISTRADOR que centraliza toda la información y gestión de las herramientas OPERADOR. Por tanto, su revisión, modificación y explotación, debe llevarse a efecto a través de la aplicación ADMINISTRADOR (…)” - Captura de pantalla de “Instrucciones de remisión novedades diarias y relación de delitos y detenidos” de 08/03/2023: “(…) Siguiendo instrucciones de la _____________, las novedades diarias y la relación de delitos y detenidos que se remiten vía _______, sufrirán las siguientes variaciones y se enviarán de la forma siguiente: 1. NOVEDADES DIARIAS: Formato Word. 2. ___________: Formato excel” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/14 - Instrucciones para facilitar la información a la Policía Canaria, cuando ésta se solicita desde tres números de teléfono concretos. - Captura de pantalla de la ruta de acceso a la carpeta ***CARPETA.1 en la que se encuentra el documento ***DOCUMENTO.1. - Documento de fecha 10/03/2022 con nuevas instrucciones dictadas para HEGENO, que según la reclamación presentada es consecuencia de las publicaciones en prensa. En el documento consta lo siguiente: “CONFECCIÓN DE NOVEDADES DIARIAS HEGENO. a. En las novedades remitidas a Delegación/subdelegación del Gobierno se pondrán los detalles y datos mínimamente necesarios. b. En las novedades introducidas en HEGENO, se aplicará lo descrito en el punto anterior. c. En cuanto a nombres, apellidos y datos de documentos oficiales, las novedades SIGO que se remitan fuera del ámbito de Guardia Civil, no se hará constar el DNI, y solamente se hará constar las iniciales del nombre y apellidos. d. No se anotarán las novedades de estafas bancarias (independientemente del importe) e. Cuando se trate de interceptación/arribada de patera/cayuco, se hará constar el N° de la embarcación asignado (…). f. No se incluirán las novedades de delitos contra el patrimonio con valoración inferior a 600€, excepto que haya detenido. g. Se incluirán todos los robos con violencia independientemente de la valoración económica de los efectos sustraídos. h. No se incluirán los delitos de impago de prestaciones económicas, excepto cuando haya alguna persona investigada. i. Cuando se mecanice una novedad en HEGENO que sea continuación de otra novedad anterior, NO se deberá consignar ningún dato en la casilla "Tipificación delictiva". Por ejemplo, la detención del autor de una VIOGEN que se denunció el día anterior y que se envió novedad al respecto j. Los delitos de quebrantamiento de condena y los de malos tratos en el ámbito familiar (violencia doméstica) serán incluidos en el apartado de violencia de género. k. Las novedades relativas a delitos de prevaricación urbanística que lleguen de Equipos del Seprona en el que estén implicadas entidades públicas (ayuntamientos, cabildos, etc) se comunicarán al Teniente, antes de hacer trámite alguno. […] - Captura de pantalla en la que figura lo siguiente: NUEVAS INSTRUCCIONES REMISIÓN DE NOVEDADES 1) La remisión del documento: "RELACIÓN NOMINAL DE DETENIDOS" (DETE) queda sin efecto, o sea, ya no se procede a su confección ni a su remisión. 2) La remisión del documento: "RESUMEN NOVEDADES DIARIAS" y "RELACIÓN NUMÉRICA DE DELITOS Y DETENIDOS SOLO SE ENVIA A TRAVÉS DE SIGO" - GRUPO (NOVEDADES DIARIAS) […] (4 destinatarios en total) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/14 3) "RESUMEN NOVEDADES DIARIAS" (SE CONFECCIONA EN WORD Y SE REMITE EN PDF.) […]”. - Copia del Registro de Actividades de Tratamiento del Ministerio de Interior de 04/04/2023, disponible en https://www.interior.gob.es/opencms/es/servicios-alciudadano/participacion-ciudadana/proteccion-de-datos-personales/tutela-de-losderechos/, en el que figura, entre otros aspectos: “(…) El Ministerio del Interior se estructura en los siguientes órganos superiores y directivos: A) La Secretaría de Estado de Seguridad, de la que dependen los siguientes órganos directivos: 1.º La Dirección General de la Policía, cuyo titular tendrá rango de Subsecretario. 2.º La Dirección General de la Guardia Civil, cuyo titular tendrá rango de Subsecretario. 3.º La Dirección General de Relaciones Internacionales y Extranjería. (…) Vinculados a la Dirección General de la Guardia Civil figuran los siguientes tratamientos: “acuartelamiento”, “ADNIC”, “aéreo”, “armamento y equipamiento policial”, “asesoría jurídica”, “asistencia letrada”, “atención al ciudadano”, “BDRA”, “CAE”, “cámaras móviles GC transportes FNMT”, “cita previa”, “Consejo de la Guardia Civil”, “COS”, “COSEIN-ACCESOS”, “COSEINCÁMARAS”, “Deportes”, “DPD”, “ECOFIN”, “enseñanza”, “eventos”, “expedientes personal retirado”, “FÉNIX”, “GAVO”, “GCVOX”, “Gestión de personal”, “incompatibilidades”, “INNOVATEC”, “INTPOL”, “MATELECO”, “pabellones”, “PEI”, “prestación del servicio”, “prestaciones de acción social”, “PRL”, “psicología”, “recursos”, “régimen disciplinario”, “registro”, “registro de asociaciones profesionales”, “registro de conductores”, “registro nacional de armas”, “retribuciones y socorros mutuos”, “revista”, “sanidad”, “SECIR”, “SEDEX-NRBQ”, “SEGINFO”, “SEGPRIVA”, “SIAM”, “SIVE”, “STAFF”, “tarjetas de identificación”, “usuarios biblioteca”, “·vestuario”. Para el tratamiento “INTPOL”, se señala como “categoría de datos personales” las siguientes: “infracciones penales y administrativas, DNI/NIF/NIE, permiso de conducción, permiso de residencia, nº de la seguridad social, otros documentos identificativos, nombre, apellidos, domicilio, teléfono, correo electrónico, firma/huella digitalizada, imagen/voz, marcas físicas, fórmula decadactilar, fecha de nacimiento, nacionalidad, cualquier otro dato que pueda ser identificativo de la persona, datos de características personales, datos académicos y profesionales, datos de circunstancias sociales, salud, datos de información comercial, datos económico-financieros y de seguros, datos de transacciones de bienes y servicios” SEGUNDO: Como consecuencia de los hechos conocidos, con fecha 22 de mayo de 2023, la Directora de la Agencia Española de Protección de Datos instó a la Subdirección General de Inspección de Datos (SGID) a iniciar las actuaciones previas de investigación a las que se refiere el artículo 67 de la Ley Orgánica 3/2018, de 5 de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/14 diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD). TERCERO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VIII, de la LOPDGDD. CUARTO: Con fecha 21 de noviembre de 2024, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a DGGC, por las presuntas infracciones de los artículos 11.1, 28 y 37 de la Ley Orgánica 7/2021, de 26 de mayo, de protección de datos personales tratados para fines de prevención, detección, investigación y enjuiciamiento de infracciones penales y de ejecución de sanciones penales (en lo sucesivo, LO 7/2021), tipificadas respectivamente en los artículos 59 a), 59
- f)y 59
- f)de la misma norma. QUINTO: El 11 de agosto de 2025 la Presidencia de la Agencia Española de Protección de Datos dictó resolución por la que se declaraba la caducidad del procedimiento iniciado el 21 de noviembre de 2024, así como el archivo de las actuaciones de conformidad con los artículos 64 de la LO/7/2021 y 21 de la LPACAP, sin perjuicio de la posibilidad de iniciar un nuevo procedimiento sancionador en tanto que las presuntas infracciones no hubieran prescrito. La mencionada resolución por la que se declaraba la caducidad del procedimiento sancionador fue notificada el 12 de agosto de 2025. SEXTO: Con fecha 4 de septiembre de 2025, la Presidencia de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por la presunta infracción del artículo 11.1 de la LO 7/2021, tipificada en el artículo 59.
- a)de la LO 7/2021. SÉPTIMO: Notificado el citado acuerdo de inicio el 4 de septiembre de 2025 conforme a las normas establecidas en la LPACAP, la DGGC presentó escrito de alegaciones en el que, en síntesis, manifestaba que, sin perjuicio de considerar lícito el tratamiento de datos personales realizado a través de HEGENO, la presunta infracción imputada habría prescrito en tanto que la herramienta no se habría utilizado desde el 3 de abril de 2023, habiendo transcurrido, por tanto, los dos años previstos en el artículo 63.2 de la LO 7/2021 a efectos de prescripción. OCTAVO: El 5 de noviembre de 2025, el instructor del procedimiento acordó practicar las siguientes pruebas de acuerdo con lo previsto en el artículo 77 y 78 de la LPACAP: “ (…) 3. Requerir a D.G. DE LA GUARDIA CIVIL que acredite documentalmente los siguientes aspectos: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/14 3.1 Confirmación de que el uso de la herramienta HEGENO fue suspendido cautelarmente el 03/04/2023. 3.2 Acreditación de que no se ha levantado la mencionada suspensión temporal y que, en consecuencia, la herramienta HEGENO no ha sido utilizada desde el 03/04/2023. 3.3 Informes o auditorías realizadas por el DPD de su entidad de la herramienta HEGENO (…)”. Asimismo, se acordó otorgar un plazo de 10 días hábiles para atender el requerimiento efectuado. NOVENO: El 19 de noviembre de 2025, la DGGC, en contestación al trámite de prueba presentó un escrito por el que confirma que la herramienta se encuentra suspendida cautelarmente desde el 3 de abril de 2024, así como la “inactividad total de la herramienta desde el 3 de abril de 2023”. En el mismo se incluye informe del ***PUESTO.1 del Estado Mayor de la Guardia Civil en el que señala que “el día 3 de abril de 2023, ***PUESTO.1 de Comandancia de las Palmas requirió al C.O.S. de dicha Comandancia que cesara el uso de la herramienta HEGENO hasta nueva orden” y que “el día 31 de mayo de 2023, fecha en la que se eliminaron todos los datos relativos a la herramienta HEGENO del servidor y todas sus copias”. Asimismo, el DPD de la DGCC señala: “A la vista de lo expuesto y de la documentación aportada, esta OCNPD confirma la suspensión cautelar de la herramienta HEGENO desde el 3 de abril de 2023, así como que no ha sido utilizada desde entonces, permaneciendo totalmente inactiva, circunstancia acreditada documentalmente”. Junto a su escrito de contestación, DGGC se aporta: - - - C/ Jorge Juan, 6 28001 – Madrid Informe de 3 de abril de 2023 del ***RANGO.1 de la Comandancia de Las Palmas en contestación al DPD de la DGGC sobre la posible existencia de una base de datos en referencia al artículo publicado por un medio de comunicación. En el mismo se recoge: “desde el día que se tuvo conocimiento del citado artículo de prensa (29/03/2023) se ha ordenado la suspensión cautelar de su uso hasta nueva orden. Del mismo modo se ha realizado una copia de seguridad de la herramienta que está a disposición para cualquier auditoria”. Escrito de 10 de mayo de 2023 suscrito por el adjunto al DPD por el que se indica “se procede a extraer una copia de la Herramienta de Gestión de Novedades (HEGENO) en una memoria USB al objeto de documentar la inspección realizada a la misma y para su posterior análisis en la sede del DPD en Madrid”. Oficio de 31 de mayo de 2023 firmado por el ***RANGO.2 de la Comandancia de las Palmas dirigido al DPD en el que se indica: “en cumplimiento de lo ordenado, se participa que en el día de la fecha se ha procedido a eliminar todo archivo relacionado con las novedades diarias que se guardaban en las carpetas de HEGENO”. www.aepd.es sedeaepd.gob.es 8/14 - - - Informe de 11 de noviembre de 2025 del ***RANGO.2 de la Comandancia de la Guardia Civil en Las Palmas “relativo a la solicitud del DPD de la DGGC con motivo del expediente sancionador EXP202513460” en el que se señala: “en certificado de 10 de noviembre de 2025, emitido por el ***RANGO.3 de la Comandancia de Las Palmas, que se remite como adjunto, se certifica que el día 3 de abril de 2023 cesó el uso de la herramienta y que hasta el día de la fecha no se ha vuelto a utilizar, por lo que el cese cautelar resultó ser definitivo (…) se solicito al ***DEPARTAMENTO.1 de la Comandancia de Las Palmas certificación respecto a la fecha en la que cesó el uso de la misma, habiendo emitido certificado el 7 de noviembre de 2025, el ***RANGO.4, que se adjunta al presente, donde se certifica que el día 31 de mayo de 2023 se eliminaron todos los datos relativos a la herramienta HEGENO del servidor y todas sus copias”. Informe de 10 de noviembre de 2025 del ***RANGO.3 de la Comandancia de la Guardia Civil de las Palmas, en el que se recoge: “Que, siguiendo órdenes del entonces ***RANGO.1 de la Comandancia de Las Palmas, A.A.A., se procedió, por parte del entonces ***RANGO.3 de Las Palmas, B.B.B., el día 03 de abril del 2023, a dar las debidas instrucciones al personal del Centro Operativo de Servicios (COS) de la Comandancia de la Guardia Civil de Las Palmas, para que desde ese mismo día se suspendiera el uso de la Herramienta “HEGENO”. Así mismo, CERTIFICA: Que, el oficial que suscribe se incorporó a esta Unidad (…), el 20 de abril del 2023, (…), certificando que desde la fecha de incorporación y hasta el día de la emisión del informe, no se ha vuelto hacer uso de la citada herramienta “HEGENO””. Informe de 7 de noviembre de 2025 del ***RANGO.5 de la Comandancia de la Guardia Civil de las Palmas: “Que siguiendo órdenes de (…) C.C.C., (…) ***DEPARTAMENTO.1 (…) procedió a la eliminación definitiva en el servidor de datos de la Comandancia (…) de las carpetas indicadas por ***RANGO.3, D.D.D.. Según se especificó a esta Unidad dichas carpetas contenían todos los archivos ofimáticos relacionados con “HEGENO”, de forma que desde el 31 de mayo de 2023 no fue posible acceder a dichos archivos por la ya indicada eliminación de los mismos”. DÉCIMO: El 26 de noviembre de 2025 se formuló propuesta de resolución, proponiendo: “Que por la Presidencia de la Agencia Española de Protección de Datos: - C/ Jorge Juan, 6 28001 – Madrid Se declare la prescripción de la presunta infracción cometida por la D.G. DE LA GUARDIA CIVIL, con NIF S2816003D del artículo 11 de la LO 7/2021, tipificada en el artículo 63 de la misma norma. En consecuencia, proceda al archivo del procedimiento sancionador iniciado contra la D.G. DE LA GUARDIA CIVIL con NIF S2816003D, por el presunto incumplimiento del artículo de la 11 LO 7/2021, tipificada en el artículo 63 de la misma norma, en el marco del expediente EXP202513460”. www.aepd.es sedeaepd.gob.es 9/14 La mencionada propuesta fue notificada a la DGGC el mismo 26 de noviembre de 2025 sin que consten alegaciones al respecto. A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes, HECHOS PROBADOS PRIMERO: La Comandancia de la Guardia Civil en Las Palmas, adscrita a la DGGC, creó una herramienta denominada HEGENO (Herramienta de gestión de novedades) que estuvo en funcionamiento entre el 31 de marzo de 2020 y el 3 de abril de 2023. SEGUNDO: El 3 de abril de 2023 se ordenó la suspensión cautelar de la herramienta, que devino en suspensión definitiva, dado que desde esa fecha no se ha vuelto a hacer uso de esta. Así consta acreditado en el informe de 3 de abril de 2023 del ***RANGO.1 de la Comandancia de Las Palmas; el informe de 11 de noviembre de 2025 del ***RANGO.2 de la Comandancia de la Guardia Civil en Las Palmas; el informe del DPD de 20 de noviembre de 2025 y el informe del ***PUESTO.1del Estado Mayor de la Guardia Civil de 20 de noviembre de 2025. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con las funciones que el artículo 49 de la Ley Orgánica 7/2021, de 26 de mayo, de protección de datos personales tratados para fines de prevención, detección, investigación y enjuiciamiento de infracciones penales y de ejecución de sanciones penales (en lo sucesivo, LO 7/2021), atribuye a las autoridades de protección de datos, conforme a lo establecido en el artículo 48 de la citada LO 7/2021 y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." Por último, el artículo 52 "Régimen aplicable a los procedimientos tramitados ante las autoridades de protección de datos" de la LO 7/2021 establece que: "1. En el caso de que los interesados aprecien que el tratamiento de los datos personales haya infringido las disposiciones de esta Ley Orgánica o no haya sido atendida su solicitud de ejercicio de los derechos reconocidos en los artículos 21, 22 y C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 10/14 23 tendrán derecho a presentar una reclamación ante la autoridad de protección de datos. 2. Dichas reclamaciones serán tramitadas por la autoridad de protección de datos competente con sujeción al procedimiento establecido en el título VIII de la Ley Orgánica 3/2018, de 5 de diciembre, y, en su caso, a la legislación de las Comunidades Autónomas que resulte de aplicación. Tendrán carácter subsidiario las normas generales sobre los procedimientos administrativos y el régimen jurídico del sector público." II Cuestiones previas El artículo 5
- a)de la LO 7/2021 define «datos personales» como “toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable a toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, unos datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona”. Por su parte, el artículo 5
- b)señala que «tratamiento» es “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción”. Asimismo, el artículo 5
- g)define «responsable del tratamiento» como “la autoridad competente que sola o conjuntamente con otras, determine los fines y medios del tratamiento de datos personales; en caso de que los fines y medios del tratamiento estén determinados por el Derecho de la Unión Europea o por la legislación española, dichas normas podrán designar al responsable del tratamiento, o bien los criterios para su nombramiento”. En el presente caso, DGGC habría creado y utilizado una herramienta denominada HEGENO (Herramienta de Gestión de Novedades) en la Comandancia de la Guardia Civil de Las Palmas, en concreto en el Centro Operativo de Servicios (COS). La mencionada herramienta trataría datos de carácter personal. DGGC realizaría esta actividad en su condición de responsable del tratamiento, dado que es quien determina los fines y medios de tal actividad, conforme a lo previsto en el artículo 5
- g)de la LO7/2021. La determinación de DGCC como responsable del tratamiento deriva del vigente Real Decreto 207/2024, de 27 de febrero, por el que se desarrolla la estructura orgánica básica del Ministerio del Interior. El artículo 4 del dicho Real Decreto atribuye a la DGGC “la ordenación, dirección, coordinación y ejecución de las misiones que a la Guardia Civil encomienden las disposiciones vigentes, de acuerdo con las directrices y órdenes emanadas de las personas titulares de los Ministerios del Interior y de Defensa, en el ámbito de sus respectivas competencias.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 11/14 Dentro de dicha DGGC, tal y como indica el mismo artículo se encuentra el Mando de Apoyo, con nivel orgánico de subdirección general y a cargo de un Teniente General de la Guardia Civil en situación de servicio activo, el cual es responsable, de acuerdo con las directrices emanadas de la persona titular de la Dirección General, de la dirección, coordinación y gestión de los recursos financieros y de la política de recursos materiales. Del citado Mando de Apoyo dependen diversas unidades, entre las cuales se encuentra la Jefatura de Servicios Técnicos, a cargo de un Oficial General de la Guardia Civil en situación de servicio activo, órgano especializado de la Guardia Civil en materia de tecnologías de la información y las comunicaciones (TIC), y que según el citado artículo 4 corresponde la “gestión, control, mantenimiento y desarrollo tecnológico de los sistemas informáticos, de telecomunicaciones y equipos especiales asignados a la Guardia Civil, además de las actividades relacionadas con la seguridad de la información del Cuerpo en el ámbito de las citadas TIC.” III Alegaciones al acuerdo de inicio En respuesta a las alegaciones presentadas por la entidad reclamada se debe señalar lo siguiente: Debe estimarse la alegación efectuada por la DGGC relativa a la prescripción de la presunta infracción, en tanto en cuanto la herramienta HEGENO no ha sido utilizada desde el 3 de abril de 2023 tal y como se refleja en los hechos probados del presente documento y ha sido acreditado por la DGGC en el trámite de prueba acordado en virtud del artículo 77 de la LPACAP. Lo anterior supone, por tanto, proceder al archivo de la infracción del artículo 11 LO 7/2021, que debe declararse prescrita. IV Artículo 11 de la LO 7/2021 El artículo 11 de la LO 7/2021, que regula la licitud del tratamiento, prevé lo siguiente: “Artículo 11. Licitud del tratamiento. 1. El tratamiento sólo será lícito en la medida en que sea necesario para los fines señalados en el artículo 1 y se realice por una autoridad competente en ejercicio de sus funciones. 2. Cualquier ley que regule tratamientos de datos personales para los fines incluidos dentro del ámbito de aplicación de esta Ley Orgánica deberá indicar, al menos, los objetivos del tratamiento, los datos personales que vayan a ser objeto del mismo y las finalidades del tratamiento”. V Prescripción de la posible infracción C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 12/14 La LO 7/2021 contempla un cuadro de infracciones y sanciones en el caso de incumplimiento de las obligaciones previstas en su articulado, clasificándola en leves, graves y muy graves. El artículo 59, apartado
- a)tipifica como infracción grave: “
- a)El tratamiento de los datos de carácter personal cuando se incumplan los principios del artículo 6 o las condiciones de licitud del tratamiento del artículo 11, siempre que no constituya una infracción muy grave.” A efectos del plazo de prescripción, la infracción imputada prescribe a los dos años, conforme a lo dispuesto en el artículo 63. de la LO 7/2021, que señala: “Las infracciones administrativas tipificadas en esta Ley Orgánica prescribirán a los seis meses, a los dos o a los tres años de haberse cometido, según sean leves, graves o muy graves, respectivamente. Los plazos señalados en esta Ley Orgánica se computarán desde el día en que se haya cometido la infracción. No obstante, en los casos de infracciones continuadas o permanentes, los plazos se computarán desde que finalizó la conducta infractora. (…) 2. Las sanciones impuestas por infracciones muy graves prescribirán a los tres años, las impuestas por infracciones graves, a los dos años, y las impuestas por infracciones leves al año, computados desde el día siguiente a aquel en que adquiera firmeza en vía administrativa la resolución por la que se impone la sanción”. A su vez, conforme al artículo 21.1 de la LPACAP, la Administración está obligada a dictar resolución expresa y a notificarla en todos los procedimientos cualquiera que sea su forma de iniciación. Asimismo, establece la citada norma que, en los casos de prescripción, la resolución consistirá en la declaración de la circunstancia que concurra en cada caso, con indicación de los hechos producidos y las normas aplicables. VI Conclusión En el caso que nos ocupa, el Centro Operativo de Servicios (COS) de la Comandancia de la Guardia Civil en Las Palmas, adscrita a la DGGC, creó una herramienta denominada HEGENO (Herramienta de Gestión de Novedades). La mencionada herramienta estuvo en funcionamiento desde marzo de 2020 hasta el 3 de abril de 2023, sin que haya vuelto a utilizarse desde esa fecha. De haberse confirmado que la mencionada herramienta constituía una base de datos (o de una herramienta que actuara de facto como tal en la medida en que recabara datos de otras bases de datos y permitiera la inclusión de nuevos datos directamente en la misma) no autorizada, los hechos podrían haber supuesto una infracción del artículo 11 de la LO 7/2021. No obstante, el incumplimiento de lo previsto en el mencionado artículo 11 prescribe, de acuerdo con el artículo 63 de la LO 7/2021, a los 2 años desde que se produjeron C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 13/14 los hechos. En el caso de que se trate de infracciones de carácter permanente, el plazo se computará desde que finalizó la conducta infractora. Atendiendo a lo anterior, al haber prescrito la posible infracción del artículo 11 LO 7/2021, procede dictar resolución en los términos previstos por el artículo 21 de la LPACAP. Por lo tanto, de acuerdo con la legislación aplicable, la Presidencia de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR la PRESCRIPCIÓN de la presunta infracción de la D.G. DE LA GUARDIA CIVIL, con NIF S2816003D, del artículo 11 de la LO 7/2021, tipificada en el artículo 63 de la misma norma, y, en consecuencia, ARCHIVAR el procedimiento sancionador iniciado contra la D.G. DE LA GUARDIA CIVIL en el marco del expediente EXP202513460. SEGUNDO: NOTIFICAR la presente resolución a D.G. DE LA GUARDIA CIVIL. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente resolución se hará pública. La publicación se realizará una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
- a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeaepd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-101025 Lorenzo Cotino Hueso C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 14/14 Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es