1/13 Expediente N.º: EXP202208091 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: A.A.A. (en adelante, la parte reclamante) con fecha 20 de junio de 2022 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra DIRECCIÓN GENERAL DE LA POLICÍA con NIF S2816015H (en adelante, DGP). Los motivos en que basa la reclamación son los siguientes: La parte reclamante manifiesta que en XXXXXXXXXX ubicada en un edificio perteneciente a la POLICÍA NACIONAL del ***DIRECCIÓN.1, se están utilizando para anotar XXXXXXXXXX unos folios grapados a modo de libreta, en los que, en el reverso, aparecen datos personales de ciudadanos que acuden a las instalaciones de la POLICÍA NACIONAL de dicho enclave, así como de Policías que allí trabajan, dejando expuestos, por tanto, datos de terceros. Junto a la notificación aporta diversas fotografías en las que se aprecian dichas libretas colocadas sobre el mostrador de XXXXXXXXXX, en las que se pueden leer datos personales como nombre, apellidos, DNI etc. e incluso, en algunas, se muestra el escudo de Ministerio del Interior. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la DGP, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 21/07/2022, como consta en el acuse de recibo que obra en el expediente. Con fecha 11/08/2022 se recibe en esta Agencia escrito del Delegado de Protección de Datos indicando: Por parte este Delegado de Protección de Datos, se solicita, mediante oficio de 22 de julio de 2022, a la Dirección Adjunta Operativa (DAO) la elaboración de informe para así poder dar contestación a la petición de información procedente de esa AEPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/13 A raíz de dicha petición y con el fin de comprobar la veracidad de las manifestaciones contenidas en la reclamación y aclarar las circunstancias en las que estos hechos pudieron producirse, la DAO procede a evacuar la oportuna consulta a la XXXXXXXXXXXX, respondiendo la misma en los términos que se detallan a continuación. Alegaciones contenidas en el informe solicitado. Contestación de la XXXXXXXXXX en su informe de 2 de agosto de 2022. “- Las fotografías aportadas por el SR, A.A.A.. parecen corresponder con el (…). - Los documentos relacionados en la denuncia son dos cuartas partes de folios: en una de ellas aparecen nombres y apellidos de Policías destinados (…), todos ellos pertenecen o han pertenecido a la (…), estando uno de ellos fallecido, hecho ocurrido el día 22 de Abril del año en curso. El listado corresponde a los (…) un día no determinado, ya que no aparece fecha alguna; y en la otra cuarta parte de un folio aparece el nombre de una ciudadana, y corresponde al formulario oficial para comunicar la pérdida o sustración de un documento, (…). En esta ocasión aparece la fecha ***FECHA.1. - La procedencia de los folios es la oficina de (…) de la Comisaría Provincial de ***LOCALIDAD.1, en ambos casos, tratándose de hojas escritas por una sola cara y desechadas tras su utilización oficial. - Para establecer como han llegado esos documentos a XXXXXXXXXX se ha entrevistado por una parte a (...) y por otra al Inspector, Jefe de Sección Técnica responsable de, (...). La Sra. (...) manifestó que para aprovechar "papel reciclado ya que se trata de hojas que solo están impresas por 1 cara", pidió en alguna ocasión a las oficinas (…), así como a (…), que cuando hubiese papel para reciclar si se lo podrían facilitar, habiéndole entregado algunos tacos de papel (hojas cortadas en 4 partes), que utilizaba para hacer anotaciones, pero no recuerda que los papeles hayan estado a la vista del público que acude a XXXXXXXXXX. Actualmente ya no utiliza esos papeles porque en XXXXXXXXXX toman las anotaciones en papeles sueltos que no están escritos y además ha adquirido (…). El Inspector (...), preguntado por el motivo de que esos documentos aparezcan en unas fotografías que han sido tomadas en el mostrador de XXXXXXXXXX, coincide en lo que manifiesta la persona encargada de XXXXXXXXXX, y además dice que (…), o (...), personal laboral de esta XXXXXXXXX) se encargaban de reciclar algunos papeles y elaborar algo así como pequeñas agendas para anotaciones y que se las facilitaban a XXXXXXXXXX. - Por parte de esta Jefatura no se tenía conocimiento del hecho denunciado por el Sr. A.A.A., ni se había observado la existencia en XXXXXXXXXX de esas hojas. - Las hojas se confeccionan en origen para establecer los turnos de trabajo de los distintos funcionarios integrantes de la Unidad, no procediendo de ninguna C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/13 base de datos. En el caso de la comunicación por (…) se trata de un modelo aportado por la Comisaría General en el que se reflejan los datos aportados por el o la compareciente, que posteriormente son comprobados (…). - A partir del conocimiento de la denuncia, se ha comprobado la inexistencia de hechos similares, se han impartido instrucciones directas a los responsables de los distintos servicios y se ha confeccionado una circular para recordar a todos los funcionarios la manera de proceder con los documentos que se desechan, todo ello a la espera de conocer el desarrollo del expediente de la AEPD por si hubiera lugar a actuaciones disciplinarias. - En resumen, se trata de un incidente que, sin ánimo de minimizar los hechos, ha sido debido únicamente a querer reciclar papel, y todo ello dentro de instalaciones policiales donde no accede público más que en los casos de alguna amistad directa de los funcionarios y debidamente acompañados”. Informe de análisis de la reclamación remitida por parte de la AEPD. Tras el análisis de la documentación remitida por la AEPD y por la DAO, este Delegado de Protección de Datos realiza las siguientes apreciaciones: Primera. La eliminación de documentos en el ámbito de la Dirección General de la Policía (DGP) viene regulada en la siguiente normativa: - La “Ley 16/1985, de 25 de junio, del Patrimonio Histórico Español”, que establece que la eliminación del patrimonio documental deberá ser autorizada por la Administración competente. - El “Real Decreto 1164/2002, de 8 de noviembre, por el que se regula la conservación del patrimonio documental con valor histórico, el control de la eliminación de otros documentos de la Administración General del Estado y sus organismos públicos y la conservación de documentos administrativos en soporte distinto al original”, que desarrolla la Ley anterior y determina el correspondiente procedimiento para la eliminación de documentos, exigiéndose el previo acuerdo de la Comisión Calificadora de Documentos Administrativos del departamento y el preceptivo dictamen de la Comisión Superior Calificadora de Documentos Administrativos. - La “Orden INT/2528/2002, de 2 de octubre, por la que se regula el Sistema Archivístico del Ministerio del Interior”, que hace referencia a la eliminación de documentos. - La “Instrucción de la Secretaría General Técnica, de 10 de julio de 2007, sobre eliminación de documentos en el Ministerio del Interior”, que complementa la Orden anterior. - La “Resolución de la Secretaría General Técnica, de 20 de octubre de 2014, por la que se dictan instrucciones sobre eliminación de documentos en el Ministerio del Interior”, que, respecto la Resolución anterior, actualiza las referencias normativas y orgánicas, mejora la redacción y subsana determinadas imprecisiones, todo ello con el objetivo de favorecer la claridad del texto y reforzar la seguridad jurídica. Puede observarse que la DGP tiene una amplia regulación normativa y trayectoria en materia de destrucción de la documentación obrante en nuestros archivos y dependencias. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/13 Segunda. La “Resolución de la Secretaría General Técnica, de 20 de octubre de 2014, por la que se dictan instrucciones sobre eliminación de documentos en el Ministerio del Interior” define eliminación de documentos como “la destrucción física de unidades o fracciones de series documentales en cualquier soporte de acuerdo con lo determinado en el proceso previo de valoración documental”. Igualmente, establece: una prohibición general de eliminaciones no autorizadas; unas condiciones para eliminar documentos; un procedimiento de eliminación; así como un archivo de expedientes de eliminación. Tercera. Los documentos que aparecen en las fotografías incorporadas a la reclamación se corresponden a documentación interna del funcionamiento regular de la dependencia (el listado correspondiente a los funcionarios (…) un día no determinado) y a un formulario oficial para comunicar (…). En ambos casos, su origen se encuentra en (…) ***LOCALIDAD.1 y se trata de hojas escritas por una sola cara, cortadas en cuatro partes y desechadas tras su utilización oficial. Así mismo, no se tiene constancia de que los datos personales recogidos en dichos documentos tengan su origen en una de las bases de datos pertenecientes a la DGP. Cuarta. Dicha documentación fue reutilizada en XXXXXXXXXX con una voluntad de reciclar papel, dado que se trata de hojas que solo estaban impresas por una cara, que se utilizaban para hacer anotaciones y que no estaban, en principio, a la vista de la gente que acude a XXXXXXXXXX de acuerdo con lo manifestado en el informe de la Jefatura Superior del País Vasco. Quinta. Es de reseñar que, tras comprobar la inexistencia de hechos similares, se han impartido instrucciones directas a los responsables de los distintos servicios para que no se vuelvan a repetir y se ha confeccionado una circular para recordar a todos los funcionarios procedimiento de eliminación de los documentos que obran en las dependencias policiales. Conclusión. A juicio de este Delegado de Protección de Datos, la custodia, la confidencialidad y la correcta destrucción de los documentos policiales (especialmente, aquellos que contienen datos de carácter personal) son objetivos prioritarios para la DGP. Este compromiso puede apreciarse en la elaboración de normativa, su distribución y la reiteración en la necesidad de su conocimiento, la formación de los funcionarios y la depuración de las responsabilidades disciplinarias y penales en aquellos casos de mayor gravedad a través de los procedimientos establecidos al efecto. En relación con el caso que nos ocupa, se trataría de un hecho aislado que ya ha sido subsanado y respecto al cual ya se han adoptado las medidas oportunas manifestadas anteriormente. Con fecha 30/08/2022 se recibe escrito de respuesta indicando: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/13 Se ha recibido en este Gabinete Técnico, notificación procedente de la Agencia Española de Protección de Datos (AEPD), fechada a 18 de agosto de 2022, en la que se requiere ampliación sobre los siguientes aspectos sobre el EXP202208091: - Descripción de la aplicación del protocolo de eliminación de documentación, aplicado a los documentos con datos personales en las dependencias donde se produjeron los hechos objeto de reclamación. - Contrato vigente, en su caso, con empresa especializada en destrucción documental. - Instrucciones remitidas a los responsables de los servicios correspondientes de acuerdo con el escrito recibido por esta Agencia. - Circular de recordatorio del protocolo de eliminación de los documentos que obran en las dependencias policiales remitida a todos los funcionarios, de acuerdo con el escrito recibido por esta Agencia. - Cualquier otra información que pudiera resultar relevante. Actuaciones del Delegado de Protección de Datos. Este Centro Directivo trasladó, mediante oficio de 26 de agosto de 2022, a la Comisaría Provincial de (***LOCALIDAD.2) de la Policía Nacional requerimiento para la elaboración de informe y así poder dar contestación a la petición de información procedente de esa AEPD. Alegaciones contenidas en el informe solicitado. El día 29 de agosto de 2022 se recibe informe de la Comisaría Provincial de ***LOCALIDAD.1 de alegaciones informando lo siguiente: - No existe contrato con ninguna empresa de destrucción de documentos. La Comisaría de (***LOCALIDAD.2) cuenta con un total de cuatro máquinas trituradoras de papel, una de ellas específica para uso de la XXXXX, con capacidad para destruir soportes (…). A su vez la Comisaría de XXXX cuenta con tres máquinas trituradoras, una de ellas del mismo modelo específico de XXXXX. En cuanto a la (…), cuenta también con una trituradora para soportes de papel, plástico, CD’s y pasaportes proporcionada por el Ayuntamiento de la localidad, en cuyas dependencias se encuentra físicamente situada la Unidad. - Tras la denuncia recibida en la APD, en la reunión diaria con los jefes de las unidades de las comisarías, se impartieron verbalmente instrucciones de estar especialmente atentos a la destrucción de todo soporte que pudiera contener datos protegidos. Estos recordatorios se realizan regularmente. - También se procedió a recordar por escrito a todos los funcionarios de la Comisaría Provincial, en sus (…), la necesidad de custodia y destrucción de soportes con datos protegidos, mediante correo electrónico a todas las unidades de fecha 17 de Agosto, que se adjunta. Se adjunta al presente el informe de la Comisaría Provincial de ***LOCALIDAD.1 y la nota interior, que se mandó, mediante correo electrónico, recordando la necesidad de custodia y destrucción de los soportes con datos protegidos. A continuación se reproduce el contenido de la citada nota: “Por la presente se informa que, el personal destinado en las diferentes unidades de Policía Nacional de esta Provincia se responsabilizará de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/13 la destrucción de los documentos que genere y que no proceda su conservación o archivo. Para la destrucción de estos documentos, se utilizarán las destructoras de papel instaladas en las dependencias policiales. Asimismo, se utilizará la destructora habilitada al efecto (Fellowes 485Ci) para la inutilización de los soportes de DNIs, TIEs, pasaportes y resto de documentos de identificación que proceda, levantando la correspondiente acta de destrucción”. Conclusión de la solicitud de ampliación de información. Como se indicó, en el informe de 11 de agosto de 2022, la situación que originó la reclamación de D. A.A.A. se refiere a un hecho aislado que ya ha sido subsanado. Para la subsanación se ha procedido a realizar las pertinentes comprobaciones internas, originando la impartición de instrucciones verbales a los Jefes de las Unidades de las Comisarías, con recordatorios regulares, y la difusión de un recordatorio, en forma de nota interior, a todas las Unidades cuyos destinatarios son los Policías Nacionales destinados en dicha región. TERCERO: Con fecha 5 de septiembre de 2022, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: Con fecha 28 de octubre de 2022, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, por la presunta infracción del Artículo 5.1.
- f)del RGPD y Artículo 32 del RGPD, tipificada en el Artículo 83.5 del RGPD. QUINTO: Notificado el citado acuerdo de inicio conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP) y transcurrido el plazo otorgado para la formulación de alegaciones, se ha constatado que no se ha recibido alegación alguna por la DGP. El artículo 64.2.
- f)de la LPACAP -disposición de la que se informó a la parte reclamada en el acuerdo de apertura del procedimiento- establece que si no se efectúan alegaciones en el plazo previsto sobre el contenido del acuerdo de iniciación, cuando éste contenga un pronunciamiento preciso acerca de la responsabilidad imputada, podrá ser considerado propuesta de resolución. En el presente caso, el acuerdo de inicio del expediente sancionador determinaba los hechos en los que se concretaba la imputación, la infracción del RGPD atribuida a la reclamada y la sanción que podría imponerse. Por ello, tomando en consideración que la parte reclamada no ha formulado alegaciones al acuerdo de inicio del expediente y en atención a lo establecido en el artículo 64.2.
- f)de la LPACAP, el citado acuerdo de inicio es considerado en el presente caso propuesta de resolución. A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes, HECHOS PROBADOS PRIMERO: Consta acreditado que sobre el mostrador principal de XXXXXXXXXX (…) ***LOCALIDAD.1 en sus instalaciones del (…), la parte reclamante pudo observar C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/13 unas libretas confeccionadas con folios grapados, en cuyo reverso aparecen datos personales de ciudadanos que acuden a las instalaciones de la POLICÍA NACIONAL de dicho enclave, así como de Policías que allí trabajan. SEGUNDO: Consta acreditado que la procedencia de los folios es la oficina de (…) de la Comisaría Provincial de ***LOCALIDAD.1, tratándose de hojas escritas por una sola cara y desechadas tras su utilización oficial. FUNDAMENTOS DE DERECHO I De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II En el presente caso, de acuerdo con lo establecido en el artículo 4.1 del RGPD, consta la realización de un tratamiento de datos personales, toda vez que la DGP realiza, entre otros tratamientos, la recogida, registro, organización etc. de los siguientes datos personales de personas físicas, tales como: nombre, número de identificación, etc. La DGP realiza esta actividad en su condición de responsable del tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del RGPD. El artículo 4 apartado 12 del RGPD define, de un modo amplio, las “violaciones de seguridad de los datos personales” (en adelante brecha de seguridad) como “todas aquellas violaciones de la seguridad que ocasionen la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos.” En el presente caso, consta una brecha de seguridad de datos personales en las circunstancias arriba indicadas, categorizada como una brecha de confidencialidad, al haberse facilitado a XXXXXXXXXX (…), hojas en las que figuran datos personales tanto de policías destinados en dicha unidad, como de personas que han acudido a la misma a solicitar un (…). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/13 Hay que señalar que la identificación de una brecha de seguridad no implica la imposición de una sanción de forma directa por esta Agencia, ya que es necesario analizar la diligencia de responsables y encargados y las medidas de seguridad aplicadas. Dentro de los principios del tratamiento previstos en el artículo 5 del RGPD, la integridad y confidencialidad de los datos personales se garantiza en el apartado 1.
- f)del artículo 5 del RGPD. Por su parte, la seguridad de los datos personales viene regulada en los artículos 32, 33 y 34 del RGPD, que reglamentan la seguridad del tratamiento, la notificación de una violación de la seguridad de los datos personales a la autoridad de control, así como la comunicación al interesado, respectivamente. III El artículo 5.1.
- f)“Principios relativos al tratamiento” del RGPD establece: “1. Los datos personales serán: (…)
- f)tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»).” En el presente caso, consta que los datos personales de los afectados, obrantes en la base de datos de la DGP, fueron indebidamente expuestos a un tercero, puesto que las libretillas hechas con los folios facilitados, en los que constaban los datos personales tanto de policías como de ciudadanos, estaban a la vista tanto del personal de XXXXXXXXXX, como de los funcionarios que acudieran a la misma. IV El artículo 83.5 del RGPD, bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
- a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9; (…)” A este respecto, la LOPDGDD, en su artículo 71 “Infracciones” establece que: “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/13 A efectos del plazo de prescripción, el artículo 72 “Infracciones consideradas muy graves” de la LOPDGDD indica: “1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
- a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679. (…)” V Sin perjuicio de lo dispuesto en el artículo 83.5 del RGPD, el citado artículo dispone en su apartado 7 lo siguiente: “7. Sin perjuicio de los poderes correctivos de las autoridades de control en virtud del artículo 58, apartado 2, cada Estado miembro podrá establecer normas sobre si se puede, y en qué medida, imponer multas administrativas a autoridades y organismos públicos establecidos en dicho Estado miembro”. Por su parte, el artículo 77 “Régimen aplicable a determinadas categorías de responsables o encargados del tratamiento” de la LOPDGDD dispone lo siguiente: “1. El régimen establecido en este artículo será de aplicación a los tratamientos de los que sean responsables o encargados: (…)
- c)La Administración General del Estado, las Administraciones de las comunidades autónomas y las entidades que integran la Administración Local. (…) 2. Cuando los responsables o encargados enumerados en el apartado 1 cometiesen alguna de las infracciones a las que se refieren los artículos 72 a 74 de esta ley orgánica, la autoridad de protección de datos que resulte competente dictará resolución sancionando a las mismas con apercibimiento. La resolución establecerá asimismo las medidas que proceda adoptar para que cese la conducta o se corrijan los efectos de la infracción que se hubiese cometido. (…) 3. Sin perjuicio de lo establecido en el apartado anterior, la autoridad de protección de datos propondrá también la iniciación de actuaciones disciplinarias cuando existan indicios suficientes para ello. En este caso, el procedimiento y las sanciones a aplicar serán las establecidas en la legislación sobre régimen disciplinario o sancionador que resulte de aplicación. Asimismo, cuando las infracciones sean imputables a autoridades y directivos, y se acredite la existencia de informes técnicos o recomendaciones para el tratamiento que no hubieran sido debidamente atendidos, en la resolución en la que se imponga la sanción se incluirá una amonestación con denominación del cargo responsable y se C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/13 ordenará la publicación en el Boletín Oficial del Estado o autonómico que corresponda. 4. Se deberán comunicar a la autoridad de protección de datos las resoluciones que recaigan en relación con las medidas y actuaciones a que se refieren los apartados anteriores. 5. Se comunicarán al Defensor del Pueblo o, en su caso, a las instituciones análogas de las comunidades autónomas las actuaciones realizadas y las resoluciones dictadas al amparo de este artículo. (…)” VI El Artículo 32 “Seguridad del tratamiento” del RGPD establece: “1. Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, que en su caso incluya, entre otros:
- a)la seudonimización y el cifrado de datos personales;
- b)la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento;
- c)la capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente físico o técnico;
- d)un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento. 2. Al evaluar la adecuación del nivel de seguridad se tendrán particularmente en cuenta los riesgos que presente el tratamiento de datos, en particular como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos. 3. La adhesión a un código de conducta aprobado a tenor del artículo 40 o a un mecanismo de certificación aprobado a tenor del artículo 42 podrá servir de elemento para demostrar el cumplimiento de los requisitos establecidos en el apartado 1 del presente artículo. 4. El responsable y el encargado del tratamiento tomarán medidas para garantizar que cualquier persona que actúe bajo la autoridad del responsable o del encargado y tenga acceso a datos personales solo pueda tratar dichos datos siguiendo instrucciones del responsable, salvo que esté obligada a ello en virtud del Derecho de la Unión o de los Estados miembros”. En el presente caso, en el momento de producirse la brecha, no se puede afirmar que la DGP contara con las medidas adecuadas, ya que, aunque en su respuesta han indicado que la Comisaria cuenta con 4 máquinas trituradora de papel, y el Delegado C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/13 de Protección de Datos en su escrito añade que la custodia, la confidencialidad y la correcta destrucción de los documentos policiales (especialmente, aquellos que contienen datos de carácter personal) son objetivos prioritarios para la DGP y que su compromiso puede apreciarse en la elaboración de normativa, su distribución y la reiteración en la necesidad de su conocimiento, la formación de los funcionarios y la depuración de las responsabilidades disciplinarias y penales en aquellos casos de mayor gravedad a través de los procedimientos establecidos al efecto, lo cierto es que algunos de los documentos en los que constaban datos personales no fueron destruidos, entregándose a XXXXXXXXXX para su utilización. VII El artículo 83.4 del RGPD, bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 10 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 2 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
- a)las obligaciones del responsable y del encargado a tenor de los artículos 8, 11, 25 a 39, 42 y 43; (…)” A este respecto, la LOPDGDD, en su artículo 71 “Infracciones” establece que “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A efectos del plazo de prescripción, el artículo 73 “Infracciones consideradas graves” de la LOPDGDD indica: “En función de lo que establece el artículo 83.4 del Reglamento (UE) 2016/679 se consideran graves y prescribirán a los dos años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes: (…)
- f)La falta de adopción de aquellas medidas técnicas y organizativas que resulten apropiadas para garantizar un nivel de seguridad adecuado al riesgo del tratamiento, en los términos exigidos por el artículo 32.1 del Reglamento (UE) 2016/679. (…) VIII Sin perjuicio de lo dispuesto en el artículo 83.5 del RGPD, el citado artículo dispone en su apartado 7 lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/13 “7. Sin perjuicio de los poderes correctivos de las autoridades de control en virtud del artículo 58, apartado 2, cada Estado miembro podrá establecer normas sobre si se puede, y en qué medida, imponer multas administrativas a autoridades y organismos públicos establecidos en dicho Estado miembro”. Por su parte, el artículo 77 “Régimen aplicable a determinadas categorías de responsables o encargados del tratamiento” de la LOPDGDD dispone lo siguiente: “1. El régimen establecido en este artículo será de aplicación a los tratamientos de los que sean responsables o encargados:
- c)La Administración General del Estado, las Administraciones de las comunidades autónomas y las entidades que integran la Administración Local. 2. Cuando los responsables o encargados enumerados en el apartado 1 cometiesen alguna de las infracciones a las que se refieren los artículos 72 a 74 de esta ley orgánica, la autoridad de protección de datos que resulte competente dictará resolución sancionando a las mismas con apercibimiento. La resolución establecerá asimismo las medidas que proceda adoptar para que cese la conducta o se corrijan los efectos de la infracción que se hubiese cometido. (…) 3. Sin perjuicio de lo establecido en el apartado anterior, la autoridad de protección de datos propondrá también la iniciación de actuaciones disciplinarias cuando existan indicios suficientes para ello. En este caso, el procedimiento y las sanciones a aplicar serán las establecidas en la legislación sobre régimen disciplinario o sancionador que resulte de aplicación. Asimismo, cuando las infracciones sean imputables a autoridades y directivos, y se acredite la existencia de informes técnicos o recomendaciones para el tratamiento que no hubieran sido debidamente atendidos, en la resolución en la que se imponga la sanción se incluirá una amonestación con denominación del cargo responsable y se ordenará la publicación en el Boletín Oficial del Estado o autonómico que corresponda. 4. Se deberán comunicar a la autoridad de protección de datos las resoluciones que recaigan en relación con las medidas y actuaciones a que se refieren los apartados anteriores. 5. Se comunicarán al Defensor del Pueblo o, en su caso, a las instituciones análogas de las comunidades autónomas las actuaciones realizadas y las resoluciones dictadas al amparo de este artículo. (…)” Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la DIRECCIÓN GENERAL DE LA POLICÍA, con NIF S2816015H, por una infracción del Artículo 5.1.
- f)del RGPD, tipificada en el Artículo 83.5 del RGPD, una sanción de apercibimiento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/13 IMPONER a la DIRECCIÓN GENERAL DE LA POLICÍA, con NIF S2816015H, por una infracción del Artículo 32 del RGPD, tipificada en el Artículo 83.4 del RGPD, una sanción de apercibimiento SEGUNDO: NOTIFICAR la presente resolución a DIRECCIÓN GENERAL DE LA POLICÍA. TERCERO: COMUNICAR la presente resolución al Defensor del Pueblo, de conformidad con lo establecido en el artículo 77.5 de la LOPDGDD. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
- a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-181022 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es