PS-00548-2024

1/63  - Expediente N.º: EXP202316729 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES CONTENIDO ANTECEDENTES.......................................................................................................... 1 PRIMERO:................................................................................................................. 2 SEGUNDO:................................................................................................................ 6 TERCERO:................................................................................................................. 7 CUARTO:................................................................................................................... 7 QUINTO:................................................................................................................... 11 SEXTO:.................................................................................................................... 12 SÉPTIMO:................................................................................................................ 12 OCTAVO:.................................................................................................................. 12 NOVENO:................................................................................................................. 12 DÉCIMO:.................................................................................................................. 12 UNDÉCIMO:............................................................................................................. 12 DUODÉCIMO:.......................................................................................................... 13 DECIMOTERCERO:................................................................................................ 14 DECIMOCUARTO:................................................................................................... 14 DECIMOQUINTO:.................................................................................................... 19 HECHOS PROBADOS................................................................................................ 19 PRIMERO:............................................................................................................... 20 SEGUNDO:.............................................................................................................. 21 TERCERO:............................................................................................................... 21 CUARTO:................................................................................................................. 22 QUINTO:.................................................................................................................. 23 SEXTO:.................................................................................................................... 25 SÉPTIMO:................................................................................................................ 26 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/63 OCTAVO:.................................................................................................................. 27 NOVENO:................................................................................................................. 27 FUNDAMENTOS DE DERECHO................................................................................. 27 I Competencia.......................................................................................................... 28 II Cuestiones previas................................................................................................ 28 III Alegaciones al acuerdo de inicio y contestación a las mismas............................. 30 1. Contestación a las alegaciones relativas a una serie de cuestiones procedimentales relacionadas con el acceso al expediente de nueva documentación por parte de la Diputación Provincial de Huesca......................... 30 2. Contestación a la alegación relativa a la infracción del artículo 5.1

1. f)del RGPD ............................................................................................................................. 34 3. Contestación a la alegación relativa a la infracción del artículo 38 del RGPD:. 42 IV Alegaciones a la propuesta de resolución y contestación a las mismas:..............44 1. Alegaciones relativas a una serie de cuestiones procedimentales relacionadas con el acceso al expediente y conocimiento de nueva documentación por parte de la Diputación Provincial de Huesca y contestación a dichas alegaciones:............44 2. Alegaciones relativas a la infracción del artículo 5.1
2. f)del RGPD y contestación a las mismas:........................................................................................................ 48 3. Alegaciones relativas a la infracción del artículo 38 del RGPD y contestación a las mismas:........................................................................................................... 57 V Obligación incumplida. Integridad y confidencialidad............................................ 60 VI Tipificación de la infracción del artículo 5.1.
3. f)del RGPD y calificación a efectos de prescripción.............................................................................................................. 61 VII Obligación incumplida del artículo 38 del RGPD................................................. 61 1. El responsable del tratamiento garantizará la independencia del DPD y que las otras funciones y cometidos que, en su caso, pueda desempeñar el DPD no den lugar a conflicto de intereses:............................................................................... 61 2. Análisis del caso particular:............................................................................... 67 VIII Tipificación de la infracción del artículo 38 del RGPD y calificación a efectos de prescripción.............................................................................................................. 70 IX Sanciones............................................................................................................ 71 PRIMERO: Con fecha 20 de septiembre de 2023 se interpuso reclamación ante la Agencia Española de Protección de Datos, registrada el día 21 de septiembre, por una posible infracción imputable a la DIPUTACIÓN PROVINCIAL DE HUESCA con NIF C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/63 P2200000D (en adelante, la Diputación, la entidad local, la Corporación o la parte reclamada). La reclamación la formulaban dos delegados sindicales del sindicato ***SINDICATO.1 (A.A.A. y B.B.B.), indicando que el 5 de junio de 2023 varios trabajadores del parque de bomberos de ***LOCALIDAD.1, dependiente de la Diputación, comunicaron a uno de los dos delegados sindicales (A.A.A.) que dentro de los archivos del ordenador existía una carpeta, (...), a la que podían acceder todos los empleados de la Diputación. Dicha carpeta contenía datos de todo tipo: (…). Por tanto, el escrito de reclamación hacía referencia una brecha de datos personales relacionada con una carpeta digital del Servicio de Prevención y Extinción de incendios de la Diputación (en adelante, SPEIS), que había afectado a los datos personales de uno de los delegados sindicales (A.A.A., en adelante, la parte reclamante, (…), y a otros trabajadores de la Diputación, que prestaban servicios en el SPEIS o en los parques de bomberos dependientes de la Diputación. En la citada reclamación se indica que los delegados sindicales mantuvieron el 12 de junio de 2023 una reunión con la Secretaría General de la Diputación para comunicarle la incidencia. La Secretaría procedió a verificar los hechos desde su ordenador (el expediente refleja que solicitó un permiso puntual de acceso a una carpeta del SPEIS) y constató que, efectivamente, se podía acceder a la documentación controvertida, comprometiéndose a adoptar medidas. Asimismo, en el escrito de reclamación se ponía de manifiesto lo siguiente: - Que todos los miembros técnicos del Comité de Protección de Datos y Seguridad de la Información de la Diputación, titulares y suplentes, tienen a su vez la condición de responsables funcionales del tratamiento de datos personales que se realiza en sus respectivos servicios. - Que la Delegada de Protección de Datos de la Diputación (en adelante, DPD) es a su vez la responsable del Sistema Interno de Información de dicha Diputación, así como (…) en dicha Diputación. - Que la Diputación no ha negociado con los representantes de los trabajadores ni la Política de Seguridad ni la de Protección de Datos Personales. Junto al escrito de reclamación, se aportaba la siguiente documentación: - Correo electrónico enviado por A.A.A. ((..)) a la DPD de la Diputación el 13 de junio de 2023 con el nombre de asunto “(…)”. (…). - Correo electrónico enviado por A.A.A. a la Secretaría General de la Diputación, a la Presidencia de Diputación, al sindicato ***SINDICATO.1 en la Diputación, a B.B.B. (…) y a C.C.C. el 13 de junio de 2023 con el nombre de asunto “(…)”. El contenido de dicho correo electrónico coincide con el del correo electrónico enviado a la DPD de la Diputación, al que se ha hecho referencia en el apartado anterior. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/63 - Correo electrónico enviado por la DPD de la Diputación a A.A.A. el 13 de junio de 2023 con el nombre de asunto “(…)”. En el mismo informa a A.A.A. que en cuanto se tuvo constancia de lo sucedido se puso en marcha el procedimiento previsto en la Diputación para el estudio e investigación de ese tipo de incidentes y que continúan trabajando de acuerdo con el mismo. - Correo electrónico enviado por la Secretaria General de la Diputación a la dirección A.A.A. el 13 de junio de 2023 con el nombre de asunto “(…)”. En el mismo se informa que se han iniciado los trámites establecidos en el protocolo aprobado por la Diputación para esos casos con la averiguación de los hechos ocurridos. - Escrito de representantes del sindicato ***SINDICATO.1 en la Junta de Personal de la Diputación, de fecha 30 de mayo de 2018, dirigido al Diputado Presidente de la Comisión Interior, Recursos Humanos y Derechos Sociales de la Diputación. En dicho escrito se exponen los motivos por los que los representantes sindicales de ***SINDICATO.1 se oponen a la creación de dos plazas (…) en el SPEIS. - Informe emitido por el Letrado-Jefe del Servicio de Asesoría Jurídica de Diputación, de fecha 15 de octubre de 2018, relativo a los recursos potestativos de reposición interpuestos por el sindicato ***SINDICATO.2 frente al Decreto XXXX/YYYY de la Presidencia de la Diputación sobre el nombramiento del (…). - Informe parcial de la Asesoría Jurídica dependiente de la Secretaría General de la Diputación de 22 de octubre de 2021. - Comunicación del Presidente de la Diputación, de fecha 19 de junio de 2023, a los afectados de una brecha de datos personales en el Sistema de Información Servicio de Prevención y Extinción de Incendios (SPEIS). (…). (…). (…). (…). - Nota informativa del sindicato ***SINDICATO.1 relativa a la comunicación, de fecha 19 de junio de 2023, del Presidente de la Diputación relativa a la brecha de datos personales. (…). (…). (…). (…). (…). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/63 (…). (…). SEGUNDO: En fecha 1 de diciembre de 2023 los dos delegados sindicales presentaron un escrito de ampliación de la reclamación inicial adjuntando, entre otra documentación, varias actas del Comité de Protección de Datos y Seguridad de la Información de la Diputación e informes relativos a la brecha de datos personales, que afectó a una carpeta del SPEIS. A continuación, se hace referencia a la documentación adicional aportada: - Actas del Comité de Protección de Datos y Seguridad de la Información de la Diputación de 13, 15, 19 y 27 de junio y 28 de julio de 2023. - Notificación de la Diputación a la AEPD, el 13 de junio de 2023, de una brecha de datos personales. - Informe emitido por el Jefe de los Servicios Informáticos de la Diputación el 15 de junio de 2023. - Informe del Inspector-Jefe del SPEIS, dependiente de la Diputación, de 15 de junio de 2023. - Informe de la Jefa de Sección de Apoyo al SPEIS, dependiente de la Diputación, de 21 de junio de 2023. - Informe de la Secretaría General de la Diputación, de fecha 6 de julio de 2023, relativo al acceso a equipos informáticos de funcionarios de la parte reclamada. - Deber de información en materia de protección de datos y seguridad de la información para empleados de la Diputación. - (…). - RAT-01-034 de la Diputación del SPEIS. - RAT- 01-015 de la Diputación de Gestión de recursos humanos. - RAT-01-004 de la Diputación de Servicios Jurídicos. - Solicitudes de acceso a expediente presentadas ante la Diputación por B.B.B. y A.A.A. de fechas ***FECHA.1 y ***FECHA.2 de 2023. TERCERO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), con fecha 23 de noviembre de 2023 se dio traslado de dicha reclamación C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/63 a la Diputación, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. La notificación a la Diputación se produjo en ese mismo día. CUARTO: Con fecha 22 de diciembre de 2023 tuvo entrada el escrito de contestación al traslado de la reclamación por parte de la Diputación. La Diputación remitió un informe en respuesta al contenido de la reclamación planteada que comienza con un relato cronológico de las actuaciones llevadas a cabo por parte de dicha Diputación en relación con el acceso no autorizado a los datos personales contenidos en una carpeta de documentos utilizada por el personal administrativo del SPEIS (conocimiento del incidente, medidas reactivas adoptadas, reuniones del Comité de Protección de Datos y Seguridad de la Información de la Diputación, comunicación de la brecha de datos personales a la AEPD y a las personas físicas afectadas, medidas provisionales adoptadas etc). En cuanto al Sistema Interno de Información, la Diputación destaca que aprobó por Decreto su implantación con efectos de 13 de junio de 2023, con el fin de dar cumplimiento a lo dispuesto en la Ley 2/2023, de 20 de febrero, reguladora de la protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción. Indica que la herramienta que pueden utilizar los posibles informantes es accesible a través de la página web de la Diputación, siendo esta la vía prevista para formular denuncias conforme a la Ley 2/2023 (…). En relación con el Comité de Protección de Datos y Seguridad de la Información, la Diputación señala que fue creado en el año 2013, su composición y funciones han ido variando a lo largo del tiempo como consecuencia de los cambios organizativos y normativos producidos. La Diputación afirma que la composición de dicho Comité depende de la potestad de autoorganización de cada Administración. Señala que no existe conflicto de intereses alguno por parte de los miembros de dicho Comité, por el solo hecho de ser funcionarios de la Corporación y responsables de servicios y secciones que realizan tratamientos de datos de carácter personal. En relación con la independencia de su DPD, la Diputación reproduce un fragmento del informe del Gabinete Jurídico de la AEPD 0038/2023. Asimismo, señala que dicha Delegada participa con voz, pero sin voto en el Comité de Protección de Datos y Seguridad de la Información de la Diputación y rinde cuentas al más alto nivel jerárquico, a través de Memorias anuales dirigidas directamente al Presidente y/o Diputado delegado de la Diputación. A continuación, hace referencia a una consulta formulada a la AEPD el 8 de mayo de 2023, pendiente de contestación, relativa a una posible incompatibilidad entre las funciones como DPD y como responsable del Sistema Interno de Información de la Diputación (creado en aplicación de la Ley 2/2023). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/63 En cuanto a la afirmación relativa a un supuesto tráfico de datos de carácter personal desde la Sección de Recursos Humanos y la Asesoría, que dependen de la Secretaria General, hacia el Servicio de Prevención y Extinción de Incendios de la Diputación (SPEIS), la Diputación afirma que no hay nada más lejos de la realidad. Expone que el SPEIS se puso en funcionamiento en enero de 2021, como consecuencia de la asunción por parte de la Diputación de las competencias en materia de prevención, extinción de incendios y salvamento. Esta situación supuso un incremento del volumen de trabajo en materia de gestión de recursos humanos, contratación, liquidación de tasas por la prestación del servicio, etc., lo que motivó la creación de la Sección Administrativa del SPEIS, entre cuyos cometidos se encuentra la gestión compartida del personal con la Sección de Recursos Humanos de la Diputación. Asimismo, hace referencia al RAT del SPEIS y afirma que la Sección Administrativa del SPEIS realiza el tratamiento de datos amparada por una base de licitud. Señala que la Asesoría Jurídica de la Diputación trata los datos personales con el fin de realizar las funciones de asesoramiento y defensa jurídica de la Diputación, que tiene encomendadas. Dicha unidad asesora al SPEIS y lleva la defensa jurídica en caso de juicio, por ello comparte con la Sección administrativa del SPEIS las resoluciones judiciales que afectan al servicio y a la gestión de su personal, sin que, en opinión de la Diputación, esta circunstancia suponga un tráfico de datos. A continuación, el informe detalla algunos aspectos relativos a la política de accesos y permisos. En relación con estos últimos, destaca que para que se asigne un premiso es necesaria (…). Asimismo, indica que (…). En relación con la negociación colectiva de las Políticas de Seguridad y Protección de Datos, la Diputación expone los motivos por los que considera que ni la política de seguridad ni la de protección de datos personales son objeto de negociación colectiva, siendo ámbitos en los que la Diputación ejercería su potestad de autoorganización. Concluye que no procede suspender la normativa relativa a la Política de Seguridad y de Protección de Datos Personales de la Diputación en base a la falta de negociación colectiva. (…). (…). En la conclusión del informe, la Diputación afirma que la actuación de los funcionarios y funcionarias de la misma que son miembros del Comité de Protección de Datos y Seguridad de la Información fue correcta, aplicando la normativa vigente y los protocolos establecidos por dicha Diputación. En opinión de la Diputación, las alegaciones formuladas por los delegados sindicales en el escrito de reclamación presentado ante la AEPD relativas a la Ley 2/2023 únicamente pretenden añadir confusión (…). El escrito concluye con una serie de hechos que la Diputación considera que han quedado constatados, entre ellos, cabe destacar los siguientes: “Primero. La existencia de un incidente de seguridad en una de las carpetas de uso del personal administrativo del SPEIS de la Diputación Provincial de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/63 Huesca, conteniendo gran cantidad de datos de carácter personal de distinta categoría como se acredita en los informes y actas del Comité de Protección de Datos y de Seguridad de la Información, (…) Segundo. El acceso y descarga a esa información (…) (…) Cuarto. Inexistencia de conflicto de interés alguno por parte de los miembros del Comité de Protección de Datos y de Seguridad de la Información, por el solo hecho de ser funcionarios de la Corporación provincial y responsables de servicios y secciones que realizan tratamiento de datos de carácter personal. (…) Noveno. En ningún caso la voluntad de la Diputación Provincial de Huesca ha sido la ocultación de los hechos que dieron lugar al incidente de seguridad, muestra de ello es la notificación a la AEPD y a los afectados. Así como la forma de haber documentado las actuaciones llevadas a cabo.” Asimismo, la Diputación aportó abundante documentación, que fundamentalmente estaba relacionada con cinco cuestiones: 1. La brecha de datos personales (accesos no autorizados a datos personales contenidos en una carpeta de archivo de documentos en la red del SPEIS, dependiente de la Diputación). 2. Constitución y composición del Comité de Protección de Datos y Seguridad de la Información de la Diputación. 3. La implantación del Sistema Interno de información de la Diputación, previsto en la Ley 2/2023, de 20 de febrero, reguladora de la protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción. 4. La independencia de la DPD de la Diputación. 5. Diversos documentos relacionados con la protección de datos personales, que ha aprobado y aplica la Diputación. En relación con la brecha de datos personales y medidas adoptadas tras la misma, se remiten los siguientes documentos: La Diputación aportó una serie de documentos que ya habían sido enviados por los dos delegados sindicales: - Comunicación a los afectados de la brecha de datos personales en el Sistema de Información del SPEIS de fecha 19 de junio de 2023. - Actas del Comité de Protección de Datos y Seguridad de la Información de la Diputación de fechas 13, 15 y 19 de junio de 2023. - Notificación a la AEPD de fecha 13 de junio de 2023 de la brecha de datos personales. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/63 - Informe del Jefe de los Servicios Informáticos de la Diputación, de fecha 15 de junio de 2023, sobre los accesos detectados a la carpeta de archivos SPEIS desde los equipos informáticos de los parques de bomberos de la provincia. - Informe del Inspector-Jefe del SPEIS, de fecha 15 de junio de 2023, sobre la brecha de datos personales en el sistema de información SPEIS. - Informe de la jefa de Sección de Apoyo al SPEIS, de fecha 21 de junio de 2023, relativa a la brecha de datos personales del sistema de información del SPEIS. - (…). - (…). Asimismo, la Diputación aportó nueva documentación: - Convocatoria del Comité de Protección de datos y Seguridad de la Información de la Diputación para el día 13 de junio de 2023, que incluye el orden del día. - Decreto de la Diputación de Huesca, de fecha 13 de junio de 2023, por el que se resuelve notificar a la AEPD la brecha de datos personales en el sistema de información SPEIS y continuar con las actuaciones de investigación, recabando los informes técnicos correspondientes. - Solicitud de informe, de fecha 13 de junio de 2023, al Jefe de los Servicios Informáticos de la Diputación sobre la brecha de datos personales en el sistema de información SPEIS. - Solicitud de informe, de fecha 13 de junio de 2023, al Inspector-Jefe del SPEIS, dependiente de la Diputación, sobre la brecha de datos personales en el sistema de información SPEIS. - Petición al soporte informático de la Diputación, de fecha 12 de junio de 2023, de acceso con carácter puntual a la carpeta (…) del SPEIS. - Comunicación a los afectados de la brecha de datos personales en el Sistema de Información del SPEIS de fecha 20 de junio de 2023. - (…). - (…). - Informe de la DPD de la Diputación, de fecha 31 de julio de 2023, sobre la brecha de datos personales en el sistema de información SPEIS. - Certificado de la Secretaria General de la Diputación, de fecha 15 de diciembre de 2023, relativo a los asuntos tratados en la reunión del Comité de Protección de Datos y Seguridad de la Información de fecha 28 de julio de 2023. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 10/63 - Solicitud, de fecha 31 de julio de 2023, al Jefe de los Servicios informáticos de la Diputación relativa a la redacción de un plan de acción que contenga la implantación de medidas técnicas y organizativas necesarias para garantizar las propuestas acordadas en la sesión del Comité de Protección de Datos y Seguridad de la Información celebrada el 28 de julio de 2023. - Informe del Jefe de los Servicios Informáticos de la Diputación, de fecha 20 de diciembre de 2023, de actuaciones realizadas por parte de los servicios informáticos ante el acceso sin autorización a documentación de SPEIS. - Evidencias sobre la formación impartida en materia de protección de datos personales entre los años 2019 y 2022. En cuanto a la independencia de la DPD de la Diputación, se remiten los siguientes documentos: - Informe del Gabinete Jurídico de la AEPD, de fecha 29 de mayo de 2023, en el que se da respuesta a consultas que plantean una serie de cuestiones relacionadas con la posición jurídica y funciones del delegado de protección de datos. - Consulta a la AEPD, de fecha 8 de mayo de 2023, relativa a la designación del DPD como responsable del Sistema interno de información. QUINTO: Con fecha 28 de diciembre de 2023, de conformidad con el artículo 65.5 de la LOPDGDD, se admitió a trámite la reclamación presentada. SEXTO: Con fecha 12 de marzo de 2024 y fecha de registro del día 13, B.B.B., delegado sindical, presentó un escrito manifestando que al (…). (…). SÉPTIMO: En fecha 26 de abril de 2024, tras analizarse la documentación que obraba en el expediente, se dictó resolución por la Directora de la Agencia Española de Protección de Datos, acordando el archivo de las actuaciones. La resolución fue notificada a los dos delegados sindicales del sindicato ***SINDICATO.1 en fecha 6 de mayo de 2024. OCTAVO: En fecha 5 de junio de 2024 los dos delegados sindicales de ***SINDICATO.1 interpusieron recurso potestativo de reposición a través del Registro Electrónico de la AEPD, contra la resolución recaída en el expediente EXP202316729, en el que mostraban su disconformidad con la resolución impugnada, solicitando que continuase la tramitación de la reclamación inicial presentada ante la AEPD. Recurso cuyo contenido fue ampliado mediante escrito presentado el 26 de agosto de 2024. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 11/63 NOVENO: En fecha 18 de octubre de 2024 se remitió el recurso interpuesto a la Diputación en el marco de lo establecido en el artículo 118.1 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP) a los efectos de que formulase las alegaciones y presentase los documentos y justificantes que estimase procedentes, sin que se recibiera respuesta en el plazo concedido. Posteriormente, con fecha 24 de enero de 2025 y fecha de registro de 27 de enero, tuvo entrada en la AEPD la contestación de la Diputación al recurso de reposición, que como se detallará a continuación, se estimó parcialmente con fecha 18 de diciembre de 2024. DÉCIMO: Con fecha 21 de octubre de 2024 los dos delegados sindicales de ***SINDICATO.1 presentaron escritos en los que solicitaban sendos certificados expresos del sentido del silencio relativos al recurso de reposición presentado, que fueron expedidos con fecha 22 de octubre. La notificación de los mismos se produjo el día 28 de octubre de 2024. UNDÉCIMO: En fecha 5 de diciembre de 2024 y registro del día 9, tuvo entrada en la AEPD un escrito de solicitud del expediente administrativo por parte de la Sección Primera de la Sala de lo Contencioso-Administrativo de la Audiencia Nacional, como consecuencia del recurso contencioso-administrativo interpuesto por los dos delegados sindicales de ***SINDICATO.1 contra la resolución de archivo de fecha 26 de abril de 2024. Con fecha 12 de diciembre de 2024 se remitió emplazamiento a la Diputación, que fue notificado el día 13 de diciembre y el día 7 de enero de 2025 se remitió el expediente solicitado a la Audiencia Nacional. DUODÉCIMO: En fecha 18 de diciembre de 2024, sin haber recibido alegaciones por parte de la Diputación, se dictó resolución de la Directora de la AEPD resolviendo el recurso de reposición interpuesto por los dos delegados sindicales. Dicha resolución, tras hacer referencia a las alegaciones formuladas en el recurso de reposición y en la ampliación del mismo, aclara que varias de las cuestiones planteadas en el recurso quedan fuera del ámbito competencial de la AEPD: “En relación con estas alegaciones, cabe señalar lo siguiente: 1.- En primer lugar hay que indicar que la competencia de la AEPD se limita a determinar si se han cumplido los requisitos legales y reglamentarios establecidos para el tratamiento de los datos personales, de conformidad con el RGPD y la LOPDGDD. Los procedimientos que puede tramitar la AEPD en caso de posible vulneración de la normativa de protección de datos de carácter personal se encuentran regulados en el Título VIII de la LOPDGDD. Entre ellos, no se encuentra resolver incidentes de recusación, como el que plantea la parte recurrente contra los C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 12/63 órganos encargados de gestionar la política de seguridad y protección de datos personales de la parte reclamada. Tampoco es competencia de la AEPD determinar la falsedad o no de documentos oficiales o acusaciones vertidas, siendo cuestiones que deberán instarse ante los órganos judiciales competentes, al exceder del ámbito competencial de esta Agencia. Del mismo modo, tampoco es competencia de la AEPD dirimir cuestiones laborales relativas a la negociación de los trabajadores, ni cuestiones administrativas, como la falta de tramitación de la denuncia formulada ante el canal interno de denuncias, las cuales deberán instarse ante los órganos administrativos o judiciales competentes, al exceder, también, del ámbito competencial de esta Agencia.” Asimismo, la parte dispositiva de dicha resolución, indicaba lo siguiente: “Por tanto, procede emitir la resolución que finalice el procedimiento del recurso de reposición interpuesto. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: ESTIMAR PARCIALMENTE el recurso de reposición interpuesto por A.A.A. y B.B.B. contra la resolución de esta Agencia dictada en fecha 26 de abril de 2024, por la que se acordaba el archivo de la reclamación referida a DIPUTACIÓN PROVINCIAL DE HUESCA, a fin de que prosiga su tramitación respecto a las pretensiones de la parte recurrente relativas a: La falta de medidas técnicas y organizativas apropiadas para evitar el riesgo de fuga de datos personales. - La falta de independencia de la Delegada de Protección de Datos. Desestimándose, por otro lado, el resto de pretensiones de la parte recurrente.” DECIMOTERCERO: Con fecha 24 de marzo de 2025, la Presidencia de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por: - La presunta infracción del Artículo 5.1.
4. f)del RGPD, tipificada en el Artículo 83.5 del RGPD. - La presunta infracción del Artículo 38 del RGPD, tipificada en el Artículo 83.4 del RGPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 13/63 DECIMOCUARTO: Notificado el citado acuerdo de inicio conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), la parte reclamada presentó escrito de alegaciones en el que, en síntesis, manifestaba lo siguiente: 1. El escrito de alegaciones al acuerdo de inicio comienza repasando los antecedentes. Entre otras cuestiones, se indica que se concedió a la Diputación Provincial de Huesca un plazo para formular alegaciones al recurso de reposición interpuesto por los dos delegados sindicales. La Diputación Provincial destaca que no formuló alegaciones al recurso de reposición por un error en la recepción del recurso, que provocó el desconocimiento por parte de la Presidencia de la Diputación de la existencia del mismo. Advertida la presentación del recurso de reposición, sin tener constancia de la resolución, la Diputación presentó alegaciones, aún fuera del plazo concedido para ello. 2. La primera alegación hace referencia a una serie de cuestiones procedimentales relacionadas con el acceso al expediente y el conocimiento de nueva documentación por parte de la Diputación Provincial de Huesca: La Diputación Provincial destaca que, tras haber accedido al expediente, ha tenido conocimiento de diversa documentación, que no había sido objeto de traslado a la Diputación:     Documento de ampliación de la reclamación de los dos delegados sindicales, presentado en el Registro General de la AEPD con fecha 1 de diciembre de 2023 y registrado el día 4 de diciembre. Escrito de B.B.B., presentado en el Registro General de la AEPD con fecha 12 de marzo de 2024 y registrado el día 13 de marzo. Escrito de ampliación del recurso de reposición de fecha 26 de agosto de 2024. Resolución de la Directora de la AEPD de fecha 18 de diciembre de 2024, por la que se resuelve el recurso de reposición interpuesto por los dos delegados sindicales. La Diputación alega la falta de concesión del periodo de audiencia al escrito de ampliación del recurso de reposición de fecha 26 de agosto de 2024. En relación con dicha cuestión la entidad local menciona el artículo 118 de la LAPCAP, señalando que dicho artículo prevé la obligación de dar traslado del recurso interpuesto a los interesados en el expediente a fin de que aleguen lo que estimen conveniente en su derecho en un plazo no inferior a diez días ni superior a quince. La Diputación considera que ostenta la condición de interesada en aplicación del artículo 4 de la LAPCAP, por lo que era preceptivo el traslado de la ampliación del recurso de reposición. Asimismo, indica que la resolución de la Directora de la AEPD por la que se resuelve el recurso de reposición no ha sido objeto de notificación a la Diputación. Dicha C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 14/63 entidad local entiende que es un trámite obligatorio en virtud del artículo 40 de la LAPCAP, cuya práctica inicia el cómputo del plazo para acudir, si se estima conveniente, a la jurisdicción contencioso-administrativa. 3. Con carácter previo a formular las alegaciones al acuerdo de inicio, la Diputación Provincial señala que ha quedado acreditado que se produjo una brecha de seguridad, que afectó a una carpeta del sistema de información del SPEIS. Asimismo, afirma que, tan pronto como tuvo conocimiento de la brecha de datos personales, la Diputación Provincial adoptó medidas reactivas tendentes a resolverla, tal y como reflejan los informes emitidos por funcionarios de la Diputación en poder de la AEPD. Indica que notificó la brecha de datos personales a la AEPD, asimismo la comunicó a las personas titulares de los datos personales existentes en la carpeta afectada en aplicación del artículo 34 del RGPD. La Diputación destaca que ha queda documentada tanto la brecha como las medidas reactivas adoptadas por la Diputación, consistentes en la adopción de un plan de acción que permitiera resolver la brecha, minimizar su impacto y evitar que en el futuro pudiera repetirse. Considera una cuestión aparte la actuación llevada a cabo por los dos delegados sindicales y las medidas adoptadas por la Diputación en este sentido. La Diputación destaca no comparte el relato de los hechos que figura en el documento de ampliación presentado por los mismos en el Registro General de la AEPD con fecha 1 de diciembre de 2023 y en el escrito de ampliación del recurso de reposición de fecha 26 de agosto de 2024, a los que ha tenido acceso tras solicitar la copia del expediente. Afirma que dichos documentos contienen graves acusaciones dirigidas contra funcionarios de la Diputación, omitiendo cualquier referencia a la conducta de los delegados sindicales. 4. Alegación relativa a la presunta infracción del artículo 5.1
5. f)del RGPD La Diputación destaca que, de la documentación que obra en el expediente, queda acreditada la existencia de una brecha en el sistema de información, que afectó a una carpeta del SPEIS, cuyo acceso es restringido al personal administrativo y directivo del servicio. Los datos estuvieron accesibles durante un tiempo al resto del personal de la Diputación, produciéndose accesos a los datos personales. Ante la constancia de la existencia de la brecha de datos personales, la Diputación señala que, de forma inmediata, adoptó diversas medidas técnicas tendentes a mitigar los riesgos para reforzar la garantía de control de accesos y la confidencialidad de los datos personales dentro de un plan de acción. Indica que queda constancia de dichas medidas en la documentación remitida por la Diputación a la AEPD en contestación al traslado de la reclamación. La Diputación Provincial considera que la infracción del artículo 5.1
6. f)del RGPD se imputa por la existencia de “carencias desde el punto de vista de prevención y detección que contribuyeron a que la brecha de datos personales se produjera”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 15/63 La Diputación señala no comparte en absoluto la existencia de tales carencias. Según la entidad local, el Informe del Jefe de Servicio de Informática señala que la Diputación lleva desde los años 1997-1998 implantando mecanismos de protección y control de accesos (…) que, en opinión de dicha entidad local, son adecuados, suficientes y siguen las buenas prácticas establecidas. A continuación, la Diputación Provincial enumera dichos mecanismos: “- (…). - (…). - (…). - (…).” La Diputación considera que no se puede afirmar que no se han adoptado las medidas necesarias técnicas y organizativas para garantizar la seguridad de los datos personales en la Diputación Provincial de Huesca, dado que existe una trayectoria en el tiempo de implantación de dichas medidas. A continuación, analiza el caso concreto y destaca que, en opinión de la Diputación, no se trata de una “fuga” indiscriminada de datos, sino en el acceso a datos por parte de empleados de la Diputación, sujetos al deber de confidencialidad. Por otra parte, en el escrito de alegaciones al acuerdo de inicio la Diputación Provincial de Huesca cita el apartado segundo de disposición adicional primera de la LOPDGDD y destaca que, en cumplimiento de dicha disposición adicional, la Diputación afirma haber aplicado, a los tratamientos de datos personales, medidas de seguridad de las previstas en el Esquema Nacional de Seguridad (ENS), con carácter previo a la brecha de datos personales, citando las siguientes:    (…). (…). (…). En opinión de la Diputación, dichas medidas eran proporcionales a los riesgos que pudiera haber. A continuación, destaca que la adopción de tales medidas no es una obligación de resultado, sino de medios (STS 543/2022, de la Sala de lo Contencioso-Administrativo de 15 de febrero de 2022, dictada en recurso de casación para la formación de jurisprudencia). En su cita de dicha sentencia afirma que: “SÓLO resulta exigible la adopción e implantación de medidas técnicas y organizativas, que conforme al estado de la tecnología y en relación con la naturaleza del tratamiento realizado y los datos personales en cuestión, permitan razonablemente evitar su alteración, pérdida, tratamiento o acceso no autorizado, SIN QUE SEA EXIGIBLE LA INFALIBILIDAD DE LAS MEDIDAS ADOPTADAS.” La Diputación afirma que cumple lo señalado en el Considerando 78, los artículos 24 y 32 del RGPD en relación a la adopción de medidas técnicas y organizativas, así como la adopción de políticas internas que cumplan los principios de la protección de datos. Medidas y políticas que la Diputación afirma venir realizando en cumplimiento de la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 16/63 normativa aplicable, que, en su opinión, caracterizan la responsabilidad proactiva de la Diputación y reflejan una mejora continua en la misma. (…). 5. Alegación relativa a la presunta infracción del artículo 38 del RGPD: La Diputación reitera lo ya indicado en la fase de traslado sobre el momento en el que entró en vigor el Sistema Interno de Información. La Diputación destaca que la labor de la DPD respecto a la brecha de datos personales se limitó a la impuesta por la normativa en materia de protección de datos (asesoramiento de la brecha de datos personales sufrida, comunicación de la misma a la AEPD, comunicación a los afectados). La entidad local indica que el artículo 38.6 del RGPD permite que al DPD se le asigne el desempeño de otras funciones y cometidos, debiendo garantizar el responsable del tratamiento que dichas funciones o cometidos no den lugar a un conflicto de intereses. Que debe garantizarse la independencia del delegado de protección de datos, siendo necesario realizar un análisis caso a caso. La Diputación indica que, en su opinión, se trata de una dependencia funcional pero no orgánica, pues debe dar cuentas al más alto nivel jerárquico del responsable (artículo 38.3 RGPD). Tanto en el DPD como en el responsable del sistema interno de información existen, en opinión de la Diputación, unos requisitos y características comunes: dependencia orgánica del responsable o encargado, independencia funcional y autónoma respecto del resto de órganos y disposición de medios materiales y personales necesarios para llevar a cabo sus funciones. Por este motivo, la Diputación no consideró la posibilidad de existencia de una incompatibilidad o conflicto de intereses entre las funciones a desarrollar por ambos puestos. Se consideró el perfil más idóneo el de la DPD. La Diputación señala que tuvieron en cuenta la excepcionalidad indicada por la AEPD en su informe nº 0170/2018, para organizaciones que, por su tamaño y recursos, no pudieran observar dicha separación, siendo admisible la designación como DPD de la persona que ejerciera las funciones de responsable de seguridad del ENS, siempre que en la misma concurrieran los requisitos de formación y capacitación previstos en el RGPD. Así como el informe de la AEPD a consultas de un Ayuntamiento en el que no se descartaba que un Secretario, Interventor o Tesorero de un Ayuntamiento pudiese ser designado DPD, siempre que no existiera un conflicto de intereses en el ejercicio de las funciones. Ante la cuestión planteada por la propia DPD sobre la posible incompatibilidad, se formuló consulta a la AEPD, manteniendo la designación de la DPD en tanto se recibía la contestación. Dicha consulta ha sido resuelta el 25 de febrero de 2025, concluyendo que no es posible asignar funciones de responsable del sistema interno de información al DPD. Como consecuencia de la contestación a dicha consulta y de las medidas correctivas contempladas en el acuerdo de inicio de este procedimiento sancionador, la Diputación ha adoptado las medidas necesarias para sustituir al responsable del sistema interno de información (Decreto nº 1382, de 7 de abril de 2025). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 17/63 La Diputación Provincial concluye su escrito solicitando que se estimen las alegaciones presentadas. En opinión de la Diputación, queda acreditada la existencia previa de medidas y políticas de protección, así como medidas técnicas eficaces para garantizar un nivel de seguridad adecuado, entendiendo que es imposible garantizar la ausencia total de riesgos. La Diputación no aprecia conflicto de interés entre las funciones a desempeñar por la DPD y las funciones a desempeñar como responsable del canal interno de información, habiendo implementado la medida correctiva propuesta por la AEPD en el acuerdo de inicio del procedimiento sancionador. La entidad local concluye solicitando que la AEPD declare la inexistencia de infracción alguna por parte de la Diputación Provincial de Huesca como consecuencia de la brecha de datos personales. Junto al alegaciones al acuerdo de inicio, la Diputación Provincial aporta la siguiente documentación: 1. Decreto nº 1382, de 7 de abril de 2025, de modificación de la designación del Responsable del Sistema Interno de Información de la Diputación. En dicho Decreto se hace referencia al informe de la AEPD por el que se da respuesta a la consulta formulada por la Diputación a la Agencia en fecha 8 de mayo de 2023, así como al acuerdo de inicio de este procedimiento sancionador. El citado Decreto resuelve modificar el Decreto de la Presidencia de la Diputación nº. 1744, de 26 de mayo de 2025, por el que se designó como responsable del Sistema Interno de Información de la Diputación a la DPD. En su lugar, pasa designarse responsable del Sistema Interno de Información de la Diputación al (…). 2. Certificado de conformidad con el Esquema Nacional de Seguridad (ENS) relativo al sistema de información de la Diputación Provincial de Huesca que soporta los servicios del portal web de la Diputación y del Instituto de Estudios Altoaragoneses, con fecha de certificación de conformidad de ***FECHA.3. DECIMOQUINTO: Con fecha 12 de noviembre de 2025 se formuló propuesta de resolución, proponiendo que por la Presidencia de la Agencia Española de Protección de Datos se declarase que DIPUTACIÓN PROVINCIAL DE HUESCA, con NIF P2200000D, había infringido: - Lo dispuesto en el artículo 5.1.
7. f)del RGPD, infracción tipificada en el artículo 83.5 del RGPD. - Lo dispuesto en el artículo 38 del RGPD, infracción tipificada en el artículo 83.4 del RGPD. La Diputación Provincial presentó el 1 de diciembre de 2025, con fecha de registro del 2 de diciembre, un escrito de alegaciones a la propuesta de resolución. El resumen de las alegaciones formuladas por la Diputación así como la contestación a las mismas figuran en el fundamento de derecho IV de esta resolución. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 18/63 A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes, HECHOS PROBADOS PRIMERO: En la Diputación Provincial de Huesca se produjo una brecha de datos personales de confidencialidad, consistente en la posibilidad de acceso por parte de personal de la Diputación a una carpeta de documentos, que debería haber estado restringida para uso exclusivo del personal administrativo y directivo del Servicio de Prevención, Extinción de Incendios y Salvamento (SPEIS). Así se refleja en el Informe del Jefe de los Servicios Informáticos de la Diputación 20 de diciembre de 2023 (Documento 16, aportado por la Diputación en las alegaciones formuladas en fase de traslado de la reclamación) que señala: “El sábado día 10 de junio de 2023, desde el Servicio de Prevención, Extinción de Incendios y Salvamento (SPEIS) se avisa a los Servicios Informáticos de la brecha de seguridad que supone la posibilidad de acceso por parte de personal de los parques de bomberos a la carpeta de documentos donde está la documentación administrativa del Servicio.” (subrayado de la AEPD). También se refleja en el informe del Jefe de los Servicios Informáticos de la Diputación 15 de junio de 2023 (Documento 1, aportado por la Diputación en las alegaciones formuladas en fase de traslado de la reclamación): “Con fecha 10 de junio se recibe un aviso comunicando la posibilidad de acceso a la carpeta SPEIS desde equipos informáticos de los parques de bomberos de la provincia. Esta carpeta debería estar restringida para uso exclusivo del personal administrativo y directivo del servicio. (…).” (subrayado de la AEPD). El informe del Jefe de los Servicios Informáticos de la Diputación 15 de junio de 2023 detalla accesos por parte de empleados de la Diputación a ficheros contenidos en dicha carpeta del SPEIS. Asimismo, el informe elaborado por la DPD de la Diputación el 31 de julio de 2023 (Documento 10, aportado por la Diputación en las alegaciones formuladas en fase de traslado de la reclamación) indica: “PRIMERO.- El RGPD define en su artículo 4.12, lo que es una violación de seguridad de los datos personales, entendiéndose como toda violación de la seguridad que ocasione la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos. Siguiendo con lo establecido en la Guía sobre notificación de brechas de datos personales de la AEPD, el incidente de seguridad acontecido puede considerarse como una brecha de datos personales ya que puede producir C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 19/63 consecuencias sobre los derechos y libertades de las personas. De ese modo se recogió en la sesión del Comité de Protección de Datos y Seguridad de la Información celebrada el día 13 de junio de 2023 con carácter urgente, junto con la necesidad de incluirlo en el registro de incidentes de la Diputación. En concreto, resultaría afectada la dimensión y principio de confidencialidad de la información y de los datos personales. (…)” La brecha de datos personales fue notificada a la AEPD y comunicada a las personas físicas afectadas. SEGUNDO: La causa de la brecha de datos personales fue (…). En relación con esta cuestión, el informe del Jefe de los Servicios Informáticos de 15 de junio de 2023 (Documento 1, aportado por la Diputación en las alegaciones formuladas en fase de traslado de la reclamación) señala: “CAUSA En cuanto se recibe el aviso, desde los Servicios Informáticos se analiza el problema y se detecta que la carpeta SPEIS (…). (…).” (subrayado de la AEPD). TERCERO: (...) personas físicas resultaron afectadas por la brecha de datos personales. Así se refleja en el informe de la Jefa de Sección de Apoyo al SPEIS de 21 de junio de 2023 (Documento 7, aportado por la Diputación en las alegaciones formuladas en fase de traslado de la reclamación): “(…): (…).  (…).  (…): - (…) - (…)  (…)” (subrayado de la AEPD). Entre los datos personales que quedaron accesibles se encontraban documentos de identificación de personas físicas atendidas por el SPEIS. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 20/63 En este sentido, el informe de la Jefa de Sección de Apoyo al SPEIS de 21 de junio de 2023, indica: “(…). (…). (…).      (…) (…) (…) (…)” (subrayado de la AEPD). CUARTO: Al detectar la brecha de datos personales, la Diputación Provincial de Huesca adoptó una serie de medidas técnicas destinadas a corregirla y a mitigar sus efectos. A modo de ejemplo, en el momento en el que se detectó la brecha de datos personales en el SPEIS, se dio orden de (…). Así se refleja en el informe del Inspector-Jefe del SPEIS de 15 de junio de 2023 (Documento 2, aportado por la Diputación en las alegaciones formuladas en fase de traslado de la reclamación): “El sábado 10 de junio de 2023 recibo, a las 12:01 h, comunicación del (…) indicando que puede visualizar en la red de Diputación, desde el ordenador corporativo, más directorios de aquéllos a los que habitualmente tiene acceso, en concreto al directorio SPEIS de la red de datos.” (…) Actuaciones llevadas a cabo para mitigar los riesgos y el impacto (…). (…). (…). (…)” (subrayado de la AEPD). Asimismo, (…). En este sentido, en el informe del Jefe de los Servicios Informáticos de la Diputación de 15 de junio de 2023 se señala: “(…) (…). (…).” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 21/63 QUINTO: Tras la brecha de datos personales en el SPEIS, la Diputación Provincial de Huesca acordó elaborar un Plan de acción o Plan de mejora, que contuviera medidas técnicas y organizativas. En este sentido, en el escrito de fecha 31 de julio de 2023 dirigido por la Jefe de Servicio de Secretaría de la Secretaría General al Jefe de los Servicios Informáticos (…) se señala: “En sesión del Comité de Protección de Datos y Seguridad de la Información, celebrada en fecha 28 de julio de 2023, se ha acordado elaborar un Plan de acción tras la brecha de seguridad producida en el Sistema de información del SPEIS, detectada en fecha 10-06-23, con las propuestas siguientes:  (…).  (…).  (…).  (…).  (…). (…)” (el subrayado es de la AEPD). Asimismo, el informe de la DPD de 31 de julio de 2023 señala: “(…), (…): • (…); • (…); • (…). • (…); • (…); • (…); • (…); • (…).” (subrayado de la AEPD). SEXTO: La Diputación Provincial de Huesca adoptó, con posterioridad a la brecha de datos personales, las siguientes medidas técnicas y organizativas, destinadas a evitar que una brecha similar a la ocurrida en el SPEIS pudiera producirse en el futuro. 1. La Diputación Provincial de Huesca decidió (…): (…): C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 22/63 “(…) (…). (…).” (subrayado de la AEPD). El informe del Jefe de los Servicios Informáticos de 20 de diciembre de 2023 (Documento 16, aportado por la Diputación en las alegaciones formuladas en fase de traslado de la reclamación) refleja (…). “(…). (…) (…) (…).” (subrayado de la AEPD). 2.Asimismo, la Diputación decidió implantar (…): En relación con esta cuestión, el informe del Jefe de los Servicios Informáticos de 20 de diciembre de 2023 (Documento 16, aportado por la Diputación en las alegaciones formuladas en fase de traslado de la reclamación), señala: “(…) (…).” (subrayado de la AEPD). SÉPTIMO: El informe de fecha 21 de junio de 2023, elaborado por la Jefa de Sección de Apoyo al SPEIS (Documento 7, aportado por la Diputación en las alegaciones formuladas en fase de traslado de la reclamación) hace referencia a algunos de los datos personales que se encontraban en el directorio de la red de Diputación SPEIS, afectado por la brecha de datos personales. Según la información facilitada en dicho informe, entre los datos personales tratados, se encontraban los siguientes:  (…).  (…).  (…).  (…).  (…).  (…). Asimismo, en dicho informe se indica que en el sistema figuraban datos personales que pueden ser considerados de categoría especial, tales como:  Datos de salud (…). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 23/63  Datos de afiliación sindical (…).  Orientación sexual (…).  Opinión política (…). OCTAVO: La Diputación Provincial de Huesca designó a su DPD como responsable del Sistema Interno de Información de dicha Diputación, creado conforme a lo dispuesto en la Ley 2/2023, de 20 de febrero. NOVENO: La Diputación Provincial de Huesca ha dictado el Decreto Nº 1382 de 7 de abril de 2025 por el que modifica la designación del responsable del Sistema Interno de Información, pasando a designar como responsable de dicho Sistema al (…). En dicho Decreto se menciona la consulta formulada por la DPD de la Diputación a la AEPD, relativa a la asignación a la misma de funciones como responsable del Sistema Interno de Información de la Diputación y la respuesta a la misma por informe de la AEPD, registrado en la Diputación el 25 de febrero de 2025. Asimismo, se menciona la resolución del Presidente de la AEPD de 24 de marzo de 2025, por la que se acuerda iniciar este procedimiento sancionador. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Cuestiones previas El artículo 4.1) del RGPD, define «dato personal» como: “toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 24/63 física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona”. El artículo 4.2) del RGPD, define «tratamiento» como: “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción.” El artículo 4.7) del RGPD, define al «responsable del tratamiento» o «responsable» como: “la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros”. El artículo 4.12) del RGPD, define «violación de la seguridad de los datos personales» como: “toda violación de la seguridad que ocasione la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos”. En el presente caso, de acuerdo con lo establecido en el artículo 4.1 y 4.2 del RGPD, consta la realización de un tratamiento de datos personales, toda vez que Diputación realiza, entre otros tratamientos, la recogida, registro, organización, conservación, modificación, consulta, utilización, etc, de datos personales de personas físicas. Asimismo, resulta necesario señalar que en el año 2021 la Diputación asumió competencias en materia de Prevención, Extinción de incendios y Salvamento, que hasta ese momento venían ejerciendo los municipios. Esta circunstancia motivó la creación del Servicio de Prevención, Extinción de Incendios y Salvamento (SPEIS), en cuyo sistema de información se produjo la brecha de datos personales que será examinada en este procedimiento sancionador. La referida brecha afectó principalmente a una carpeta digital del sistema de información del SPEIS, cuyo acceso debería haber estado restringido al personal administrativo y directivo de dicho servicio. Sin embargo, durante un periodo de tiempo los datos personales contenidos en dicha carpeta estuvieron accesibles al resto del personal de la Diputación Provincial, produciéndose accesos a su contenido por parte de empleados de dicha Diputación que no deberían haber tenido acceso al contenido de dicha carpeta, tal y como se señala, entre otros, en el informe elaborado por el Jefe de los Servicios Informáticos de la Diputación de 15 de junio de 2023 (Documento 1, aportado por la Diputación en las alegaciones formuladas en fase de traslado de la reclamación) En relación con esta brecha de datos personales, el informe de fecha 21 de junio de 2023, elaborado por la Jefa de Sección de Apoyo al SPEIS hace referencia a algunos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 25/63 de los datos personales que se encontraban en el directorio de la red de Diputación SPEIS, afectado por la brecha de datos personales. Entre los datos personales tratados, se encontraban los siguientes (hecho probado séptimo):  (…).  (…).  (…).  (…).  (…).  (…). Asimismo, en dicho informe se indica que en el sistema figuraban datos personales que pueden ser considerados de categoría especial, tales como:  Datos de salud (...).  Datos de afiliación sindical (…).  Orientación sexual (…).  Opinión política (…). La Diputación realiza esta actividad en su condición de responsable del tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del RGPD. En este sentido, el RAT-01-034-Servicio de Prevención y Extinción de Incendios (SPEIS), elaborado por la Diputación, señala que el responsable del tratamiento es dicha Diputación. III Alegaciones al acuerdo de inicio y contestación a las mismas Partiendo del objeto de este procedimiento sancionador (determinar la presunta infracción de los artículos 5.1
8. f)y 38 del RGPD por parte de la Diputación Provincial de Huesca), se da respuesta al contenido de las alegaciones al acuerdo de inicio formuladas por dicha Diputación: 1. Contestación a las alegaciones relativas a una serie de cuestiones procedimentales relacionadas con el acceso al expediente de nueva documentación por parte de la Diputación Provincial de Huesca. El escrito de alegaciones al acuerdo de inicio comienza repasando los antecedentes. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 26/63 Entre otras cuestiones, indica que se concedió a la Diputación Provincial de Huesca un plazo para formular alegaciones al recurso de reposición interpuesto por los dos delegados sindicales. La Diputación Provincial destaca que no formuló alegaciones al recurso de reposición por un error en la recepción del recurso, que provocó el desconocimiento por parte de la Presidencia de la Diputación de la existencia del mismo. Advertida la presentación del recurso de reposición, sin tener constancia de la resolución, la Diputación presentó alegaciones, aún fuera del plazo concedido para ello. La primera alegación hace referencia a una serie de cuestiones procedimentales relacionadas con el acceso al expediente y el conocimiento de nueva documentación por parte de la Diputación Provincial de Huesca: La Diputación Provincial destaca que, tras haber accedido al expediente, ha tenido conocimiento de diversa documentación, que no había sido objeto de traslado a la Diputación:     Documento de ampliación de la reclamación de los dos delegados sindicales, presentado en el Registro General de la AEPD con fecha 1 de diciembre de 2023 y registrado el día 4 de diciembre. Escrito de B.B.B., presentado en el Registro General de la AEPD con fecha 12 de marzo de 2024 y registrado el día 13 de marzo. Escrito de ampliación del recurso de reposición de fecha 26 de agosto de 2024. Resolución de la Directora de la AEPD de fecha 18 de diciembre de 2024, por la que se resuelve el recurso de reposición interpuesto por los dos delegados sindicales. La Diputación alega la falta de concesión del periodo de audiencia al escrito de ampliación del recurso de reposición de fecha 26 de agosto de 2024. En relación con dicha cuestión, la entidad local menciona el artículo 118 de la LAPCAP señalando que dicho artículo prevé la obligación de dar traslado del recurso interpuesto a los interesados en el expediente a fin de que aleguen lo que estimen conveniente en su derecho en un plazo no inferior a diez días ni superior a quince. La Diputación considera que ostenta la condición de interesada en aplicación del artículo 4 de la LAPCAP, por lo que era preceptivo el traslado de la ampliación del recurso de reposición. Asimismo, indica que la resolución de la Directora de la AEPD por la que se resuelve el recurso de reposición no ha sido objeto de notificación a la Diputación. Dicha entidad local entiende que es un trámite obligatorio en virtud del artículo 40 de la LAPCAP, cuya práctica inicia el cómputo del plazo para acudir, si se estima conveniente, a la jurisdicción contencioso-administrativa. A fin de dar respuesta a la alegación formulada por la Diputación (respecto a diversas cuestiones procedimentales, comenzando por el traslado), con carácter previo, resulta necesario aclarar una serie de cuestiones relativas a la “admisibilidad a trámite” de reclamaciones en la AEPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 27/63 En primer lugar, ha de señalarse que la LOPDGDD ha dispuesto que la AEPD, con carácter previo, en su caso, a la apertura de un expediente sancionador, efectúe una valoración sobre si procede o no la “admisibilidad a trámite” de la reclamación presentada. A dicha actuación específica se refiere el artículo 64.2 de la LOPDGDD, inciso segundo, cuando dice: “Si el procedimiento se fundase en una reclamación formulada ante la Agencia Española de Protección de Datos, con carácter previo, esta decidirá sobre su admisión a trámite, conforme a lo dispuesto en el artículo 65 de esta ley orgánica.” El artículo 65.5 de la LOPDGDD, “Admisión a trámite de las reclamaciones”, fija un plazo de tres meses para la admisión a trámite de una reclamación: “5. La decisión sobre la admisión o inadmisión a trámite, […], deberá notificarse al reclamante en el plazo de tres meses. Si transcurrido este plazo no se produjera dicha notificación, se entenderá que prosigue la tramitación de la reclamación con arreglo a lo dispuesto en este Título a partir de la fecha en que se cumpliesen tres meses desde que la reclamación tuvo entrada en la Agencia Española de Protección de Datos.” Por tanto, durante la fase previa de admisión a trámite se dilucida si se admite o no la reclamación, siendo necesario notificar al reclamante, en el plazo de tres meses, si su reclamación ha sido admitida o no, continuándose, en el primer caso, con la tramitación de la reclamación. La LOPDGDD ha concedido carácter potestativo al traslado (artículo 65.4 LOPDGDD). Por otra parte, el hecho de que se efectúe un traslado por parte de la AEPD a una persona física o jurídica no confiere a la misma la condición de interesado en la fase de admisibilidad y esto tiene sentido, dado que el traslado tampoco conlleva, de forma necesaria, que se abra un procedimiento sancionador o un procedimiento de apercibimiento a dicha persona. Por ejemplo, de las actuaciones de traslado se puede deducir que es otro el responsable del tratamiento. En el supuesto de que la reclamación fuera admitida a trámite, la AEPD advierte que lo que sucede a continuación es que se seguirá con la tramitación de la reclamación en los términos del Título VIII de la LOPDGDD, lo que tampoco implica que, de forma automática, se abra un procedimiento sancionador o un procedimiento de apercibimiento. Por ejemplo, tras la admisión a trámite podrían abrirse actuaciones previas de investigación y, posteriormente, acordarse el archivo de las actuaciones. Conforme a lo dispuesto en la LOPDGDD, también es posible que la AEPD pueda admitir una reclamación y directamente, sin haber dado traslado de la reclamación, abra un procedimiento sancionador o un procedimiento de apercibimiento. En conclusión, la “admisibilidad a trámite” permite dilucidar si se admite o no la reclamación y la decisión sobre la admisión o inadmisión a trámite, que adopte la AEPD, deberá notificarse al reclamante en el plazo de tres meses. El traslado de la reclamación tiene carácter potestativo (antes de resolver sobre la admisión a trámite de la reclamación, la AEPD “podrá”, hacer un traslado de dicha reclamación). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 28/63 El traslado potestativo de la reclamación y solicitud de información se produjo el 23 de noviembre de 2023. Los documentos mencionados en las alegaciones al acuerdo de inicio (el documento de ampliación de la reclamación de los dos delegados sindicales y el escrito de B.B.B.) fueron presentados una vez que el escrito de traslado ya se había remitido. En cuanto a la audiencia relativa al recurso de reposición interpuesto por ambos delegados sindicales, tras haber dado traslado previa y potestativamente de la reclamación a la Diputación Provincial de Huesca, se dio a dicha entidad local la oportunidad de formular alegaciones al recurso de reposición interpuesto por los dos delegados sindicales frente a la inadmisión de la reclamación. No se recibió ningún tipo de respuesta por parte de la Diputación Provincial, que reflejara interés por parte de dicha entidad local en relación con la tramitación del citado recurso de reposición. Con fecha 18 de diciembre de 2024 se dictó la resolución del recurso de reposición, que fue notificada a los dos recurrentes. Cuando había transcurrido más de un mes (24/01/2025), la Diputación presentó, de forma totalmente extemporánea, unas alegaciones al recurso de reposición. A lo ya expuesto, cabe añadir que los procedimientos sancionadores de la AEPD se inician de oficio y son procedimientos independientes de las reclamaciones que reciba la Agencia, puesto que la AEPD puede apreciar la existencia de infracciones no reflejadas en la reclamación presentada, en cuyo caso, las incluirá en el acuerdo de inicio. Por otra parte, la AEPD puede decidir abrir un procedimiento sancionador directamente, a partir de las evidencias obtenidas durante unas actuaciones previas de investigación, aún sin una denuncia previa. El acuerdo de inicio es el que determina el arranque del procedimiento sancionador y los supuestos vicios formales, a los que hace referencia la Diputación Provincial en su escrito de alegaciones al acuerdo de inicio, se habrían producido con carácter previo a dicho acuerdo de inicio. Finalmente, en relación con la supuesta indefensión, resulta necesario traer a colación la Sentencia de la Audiencia Nacional de su Sala de lo Contencioso-Administrativo, Sección 1ª, de 25 de junio de 2009 (rec. 638/2008), la cual señala que, “esta Sala ha reiterado en numerosísimas ocasiones (SAN 8-3-2006, Rec. 319/2004 , por todas), haciéndose eco de la doctrina del Tribunal Constitucional, para que el defecto procedimental comporte la nulidad del acto recurrido, es preciso que no se trate de meras irregularidades procedimentales, sino de defectos que causen una situación de indefensión de carácter material, no meramente formal, esto es, que las mismas hayan originado al recurrente un menoscabo real de su derecho de defensa, causándole un perjuicio real y efectivo (SSTC 155/1988, de 22 de julio, 212/1994, de 13 de julio y 78/1999, de 26 de abril)”. Es decir, es necesario que el interesado se vea, en efecto, en una situación de indefensión, siendo preciso que la indefensión sea material y no meramente formal (Sentencias del Tribunal Constitucional 90/1988, 181/1994, 314/1994, 15/1995, 126/1996, 86/1997 y 118/1997, entre otras), lo que implica que el citado defecto haya causado un perjuicio real y efectivo para el demandado en sus posibilidades de defensa (Sentencias del Tribunal Constitucional 43/1989, 101/1990, 6/1992 y 105/1995, entre otras). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 29/63 En la SAN 5317/2024 de 23 de octubre de 2024 (rec Nº: 488/2022) se examinada un supuesto en el que la reclamación fue archivada por la AEPD. Posteriormente, el reclamante interpuso recurso de reposición contra la resolución de archivo, que fue resuelto sin notificar la resolución del recurso a la entidad, a la que posteriormente se abrió un procedimiento sancionador. En la referida Sentencia se señala: “CUARTO: Se suscita la falta de notificación de la resolución del recurso de reposición formulado contra el archivo, como bien indica el Abogado del Estado esta resolución no necesariamente debía de notificarse al demandante, quien por su parte ha tenido conocimiento de todas las actuaciones llevadas a cabo en el procedimiento sancionador inexistiendo esa indefensión alegada. (…) En el presente caso, el acuerdo de inicio del procedimiento sancionador se notifica a la parte recurrente no existiendo vicio de forma alguno por no haberle notificado la resolución del recurso de reposición formulado contra la resolución de archivo en un trámite previo al procedimiento de sanción donde no se enjuiciaba el fondo que se efectuó en el procedimiento sancionador donde tuvo la posibilidad de efectuar alegaciones, presentar documentación, haciendo valer sus intereses en el mismo.” En conclusión, no concurre la supuesta indefensión alegada, la AEPD ha notificado a la Diputación el acuerdo de inicio de este procedimiento sancionador y, en el marco de dicho procedimiento, la entidad local ha tenido la oportunidad de formular alegaciones, presentar documentación y hacer valer sus intereses como ha estimado oportuno. 2. Contestación a la alegación relativa a la infracción del artículo 5.1
9. f)del RGPD La Diputación destaca en su escrito de alegaciones al acuerdo de inicio que, de la documentación que obra en el expediente, queda acreditada la existencia de una brecha en el sistema de información, que afectó a una carpeta del SPEIS, cuyo acceso es restringido al personal administrativo y directivo del servicio. Los datos estuvieron accesibles durante un tiempo al resto del personal de la Diputación, produciéndose accesos a los datos personales. Ante la constancia de la existencia de la brecha de datos personales, la Diputación señala que, de forma inmediata, adoptó diversas medidas técnicas tendentes a mitigar los riesgos para reforzar la garantía de control de accesos y la confidencialidad de los datos personales dentro de un plan de acción. Indica que queda constancia de dichas medidas en la documentación remitida por la Diputación a la AEPD en contestación al traslado de la reclamación. La Diputación Provincial considera que la infracción del artículo 5.1
10. f)del RGPD se imputa por la existencia de “carencias desde el punto de vista de prevención y detección que contribuyeron a que la brecha de datos personales se produjera”. La Diputación señala no comparte en absoluto la existencia de tales carencias. Según la entidad local, el Informe del Jefe de Servicio de Informática señala que la Diputación lleva desde los años 1997-1998 implantando mecanismos de protección y control de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 30/63 accesos al recurso compartido de ficheros de la Diputación que, en opinión de dicha entidad local, son adecuados, suficientes y siguen las buenas prácticas establecidas. A continuación, la Diputación Provincial enumera dichos mecanismos: “- (…). - (…). - (…). - (…). - (…).” La Diputación considera que no se puede afirmar que no se hayan adoptado las medidas necesarias técnicas y organizativas para garantizar la seguridad de los datos personales en la Diputación Provincial de Huesca, dado que existe una trayectoria en el tiempo de implantación de dichas medidas. A continuación, analiza el caso concreto y destaca que, en opinión de la Diputación, no se trata de una “fuga” indiscriminada de datos, sino en el acceso a datos por parte de empleados de la Diputación, sujetos al deber de confidencialidad. Por otra parte, en el escrito de alegaciones al acuerdo de inicio la Diputación Provincial de Huesca cita el apartado segundo de disposición adicional primera de la LOPDGDD y destaca que, en cumplimiento de dicha disposición adicional, la Diputación afirma haber aplicado, a los tratamientos de datos personales, medidas de seguridad de las previstas en el Esquema Nacional de Seguridad (ENS), con carácter previo a la brecha de datos personales, citando las siguientes:    (…). (…). (…). En opinión de la Diputación, dichas medidas eran proporcionales a los riesgos que pudiera haber. A continuación, la Diputación destaca que la adopción de tales medidas no es una obligación de resultado, sino de medios (STS 543/2022, de la Sala de lo Contencioso-Administrativo de 15 de febrero de 2022, dictada en recurso de casación para la formación de jurisprudencia). En su cita de dicha sentencia afirma que: “SÓLO resulta exigible la adopción e implantación de medidas técnicas y organizativas, que conforme al estado de la tecnología y en relación con la naturaleza del tratamiento realizado y los datos personales en cuestión, permitan razonablemente evitar su alteración, pérdida, tratamiento o acceso no autorizado, SIN QUE SEA EXIGIBLE LA INFALIBILIDAD DE LAS MEDIDAS ADOPTADAS.” La Diputación afirma que cumple lo señalado en el Considerando 78, los artículos 24 y 32 del RGPD en relación a la adopción de medidas técnicas y organizativas, así como la adopción de políticas internas que cumplan los principios de la protección de datos. Medidas y políticas que la Diputación afirma venir realizando en cumplimiento de la normativa aplicable, que, en su opinión, caracterizan la responsabilidad proactiva de la Diputación y reflejan una mejora continua en la misma. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 31/63 (…). En contestación a dicha alegación, resulta necesario aclarar que no se considera vulnerado el artículo 5.1
11. f)del RGPD basándose únicamente en la existencia de “carencias desde el punto de vista de prevención y detección que contribuyeron a que la brecha de datos personales se produjera”. En el caso examinado, se vulneró el artículo 5.1
12. f)del RGPD. No se trata de una cuestión de mera seguridad, regulada en el artículo 32 del RGPD, sino de una afectación directa a uno de los principios del tratamiento establecidos en el artículo 5 del RGPD, razón por la cual la infracción se tipifica conforme al art. 83.5 RGPD y se califica a los efectos de la prescripción como muy grave en el art. 72.1
13. a)LOPDGDD. Los hechos examinados reflejan que no se habían aplicado medidas técnicas u organizativas apropiadas con anterioridad a la brecha de datos personales. De haber sido aplicadas, no se habría producido dicha brecha. Los hechos analizados suponen una vulneración del principio de confidencialidad del art. 5.1.
14. f)del RGPD, en atención al propio principio de especialidad. De este modo, la infracción imputada debe entenderse comprendida íntegramente en el ámbito del artículo 5.1.
15. f)del RGPD, en cuanto que dicho precepto recoge el principio de integridad y confidencialidad, que impone al responsable del tratamiento la obligación de adoptar medidas técnicas u organizativas apropiadas ,de todo tipo, con el fin de garantizar la seguridad adecuada de los datos personales, que comprende su protección frente a todo tratamiento no autorizado o ilícito, así como frente a su pérdida, destrucción o daño accidental. El acceso no autorizado a datos personales por parte de un tercero supone que los datos de carácter personal puedan ser utilizados para usos no conocidos, incluso fraudulentos, conllevando una pérdida de control sobre los mismos. Estamos, por tanto, ante un precepto cuya infracción requiere un resultado (en este caso, la pérdida de confidencialidad, que se produjo en el caso analizado) por no haber adoptado las medidas técnicas y organizativas apropiadas (circunstancia, que tal y como reflejan los hechos probados y los fundamentos de derecho de esta resolución, también se produjo). Por su parte, el artículo 32 del RGPD se limita a establecer la obligación de aplicar medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo (solo medidas de seguridad) sin que sea preciso para ello la pérdida de confidencialidad y sin que, por tanto, dicha pérdida esté integrada en el tipo infractor (como sí es preciso respecto de la infracción contempladas en el artículo 5.1.
16. f)del RGPD). Es en relación con este precepto (artículo 32 del RGPD) respecto del que se aplica la STS 543/2022, de 15 de febrero de 2022, citada de contrario sobre que es una obligación de medios. En consecuencia, la conducta atribuible a la Diputación de Huesca queda subsumida dentro del artículo 5.1.
17. f)del RGPD, al establecer la obligación de preservar la confidencialidad e integridad de los datos, y no en el artículo 32 del RGPD, por la cual se limitaría a una vulneración de la seguridad del tratamiento. La causa de la brecha de datos personales fue (…). En relación con esta cuestión, en el escrito de alegaciones al acuerdo de inicio presentado por la Diputación se señala: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 32/63 “(…). (…). (…).” (…). (…). (…). (…). (…). (…): “(…).” (…). No se está exigiendo infalibilidad, sino que se respete lo dispuesto en el artículo 5.1
18. f)del RGPD (principio de integridad y confidencialidad de los datos de carácter personal). La aplicación de unas medidas técnicas u organizativas razonables y apropiadas, disponibles según el estado de la técnica en ese momento, que hubieran permitido verificar que el sistema estaba funcionando tal y como estaba previsto que lo hiciera y que los datos personales (…) eran accesibles a los empleados públicos autorizados para su tratamiento. A lo ya expuesto cabe añadir, que, con posterioridad a la brecha de datos personales, la Diputación acordó adoptar un plan de acción y una serie de medidas técnicas destinadas a evitar que una brecha de datos personales similar pudiera producirse en el futuro (hecho probado quinto). En cuanto a la cita de la disposición adicional primera de la LOPDGDD, dicha disposición adicional señala lo siguiente: “Disposición adicional primera. Medidas de seguridad en el ámbito del sector público. 1. El Esquema Nacional de Seguridad incluirá las medidas que deban implantarse en caso de tratamiento de datos personales para evitar su pérdida, alteración o acceso no autorizado, adaptando los criterios de determinación del riesgo en el tratamiento de los datos a lo establecido en el artículo 32 del Reglamento (UE) 2016/679. 2. Los responsables enumerados en el artículo 77.1 de esta ley orgánica deberán aplicar a los tratamientos de datos personales las medidas de seguridad que correspondan de las previstas en el Esquema Nacional de Seguridad, así como impulsar un grado de implementación de medidas equivalentes en las empresas o fundaciones vinculadas a los mismos sujetas al Derecho privado. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 33/63 En los casos en los que un tercero preste un servicio en régimen de concesión, encomienda de gestión o contrato, las medidas de seguridad se corresponderán con las de la Administración pública de origen y se ajustarán al Esquema Nacional de Seguridad.” El informe del Gabinete Jurídico de la AEPD 0170/2018, mencionado por la Diputación Provincial en su escrito de alegaciones al acuerdo de inicio, analiza de forma detallada la diferenciación, sustantiva y competencial, existente entre el ámbito de la seguridad de información y el de la protección de datos de carácter personal (configurada como un auténtico derecho fundamental). En relación con la seguridad de la información, que, en el ámbito del sector público, llevó a la creación del Esquema Nacional de Seguridad (ENS), el mencionado informe señala que “la misma comprende el conjunto de técnicas y medidas orientadas a garantizar la confidencialidad, la integridad y la disponibilidad de la información y los datos importantes para cualquier organización, independientemente del formato que tengan.” El ENS persigue garantizar la seguridad de la información tratada en el ámbito del sector público, estando constituido por unos principios básicos y requisitos mínimos. Tal y como refleja el artículo 156 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público prevé: “2. El Esquema Nacional de Seguridad tiene por objeto establecer la política de seguridad en la utilización de medios electrónicos en el ámbito de la presente Ley [sector público], y está constituido por los principios básicos y requisitos mínimos que garanticen adecuadamente la seguridad de la información tratada.” En este mismo sentido, el artículo 1.2 del Real Decreto 311/2022, de 3 de mayo, por el que se regula el Esquema Nacional de Seguridad dispone: “2. El ENS está constituido por los principios básicos y requisitos mínimos necesarios para una protección adecuada de la información tratada y los servicios prestados por las entidades de su ámbito de aplicación, con objeto de asegurar el acceso, la confidencialidad, la integridad, la trazabilidad, la autenticidad, la disponibilidad y la conservación de los datos, la información y los servicios utilizados por medios electrónicos que gestionen en el ejercicio de sus competencias.” (el subrayado es nuestro). Como puede observarse, el ENS establece unos principios básicos y requisitos mínimos partiendo de una perspectiva muy concreta: garantizar la seguridad de la información. La Diputación Provincial de Huesca, tiene la condición de responsable del tratamiento conforme a lo dispuesto en el artículo 77.1 de la LOPDGDD y, en cumplimiento de lo dispuesto en el apartado segundo de la disposición adicional primera de la LOPDGDD, debía aplicar a la información que trataba las medidas de seguridad previstas en el ENS. Si bien, dado que dicha información también incluía datos de carácter personal, dicha Diputación también había de cumplir lo dispuesto en el artículo 3 del Real Decreto 311/2022, de 3 de mayo, por el que se regula el Esquema Nacional de Seguridad, “Sistemas de información que traten datos personales”, que prevé que cuando un C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 34/63 sistema de información trate datos personales le será de aplicación lo dispuesto en el RGPD. El artículo 3 del Real Decreto 311/2022, de 30 de mayo, prevé que en estos supuestos el responsable del tratamiento, asesorado por el DPD, realice un análisis de riesgos conforme al artículo 24 del RGPD y, en los supuestos del artículo 35 del RGPD una evaluación de impacto en la protección de datos (EIPD). Señalando en su apartado tercero: “3. En todo caso, prevalecerán las medidas a implantar como consecuencia del análisis de riesgos y, en su caso, de la evaluación de impacto a los que se refiere el apartado anterior, en caso de resultar agravadas respecto de las previstas en el presente real decreto.” Conforme a lo dispuesto en el RGPD, la seguridad de la información es una obligación más que ha de cumplir el responsable del tratamiento. Indiscutiblemente se trata de una obligación relevante, pero ni es la única ni agota la protección de datos de carácter personal. En este sentido, el informe del Gabinete Jurídico de la AEPD 0170/2018 aclara: “Consecuentemente, el derecho a la protección de datos de carácter personal de las personas físicas es un derecho fundamental y, por tanto, situado en el máximo nivel de protección jurídica, que actualmente se encuentra regulado directamente por la normativa comunitaria, estableciendo el citado RGPD un conjunto de principios, derechos, obligaciones y una estructura organizativa tendentes a garantizar dicho derecho fundamental. Dentro de los mismos, la seguridad de la información aparece como una obligación más de los responsables y encargados del tratamiento quienes deberán aplicar las medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, que incluirán, entre otros factores “la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento” y “la capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente físico o técnico” (artículo 32.2.
19. b)y
20. c)del RGPD). Por lo tanto, no cabe duda de que la garantía de la seguridad de los datos personales adquiere una especial trascendencia en cuanto a su protección, pero sin que ésta se limite exclusivamente al ámbito de la seguridad de dicha información, en cuanto que la protección de datos personales tiene un ámbito mucho más extenso que abarca, como decíamos, a un conjunto de principios, derechos y obligaciones mucho más amplio.” (el subrayado es nuestro). A la vista de todo lo expuesto, el certificado de conformidad con el ENS de ***FECHA.3 aportado acredita que fue auditado y encontrado conforme a las exigencias del Real Decreto 3/2010, de 8 de enero, por el que se regula el Esquema Nacional de Seguridad en el ámbito de la Administración Electrónica, el sistema de información de la Diputación provincial de Huesca que soporta los servicios del portal web de la Diputación y del Instituto de Estudios Altoaragoneses. En relación con dicho certificado cabe señalar, que la brecha de datos personales examinada no guarda relación con el portal web de la Diputación Provincial ni del Instituto de Estudios Altoaragoneses, sino que afectó fundamentalmente a una carpeta C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 35/63 que contenía datos personales y cuyo contenido debería haber resultado accesible únicamente al personal administrativo y directivo del SPEIS. Por otra parte, el certificado de conformidad con el ENS señala que el informe de auditoría, que lo ha precedido, fue emitido con fecha 24 de junio de 2022. En consecuencia, las comprobaciones efectuadas para emitir dicho informe y el certificado, que deriva del mismo, se realizaron con anterioridad a dicha fecha. La Diputación Provincial de Huesca hace referencia en su escrito de alegaciones al acuerdo de inicio a un fallo involuntario durante la (…). Es decir, (…) se efectuó con posterioridad, tanto a las comprobaciones reflejadas en el informe de auditoría de 24 de junio de 2022 como a la fecha de expedición del certificado de conformidad con el ENS. Por último, la Diputación Provincial hace referencia en su escrito de alegaciones al acuerdo de inicio al deber de confidencialidad de sus empleados públicos. Si los empleados públicos tienen deber de confidencialidad, lo es en relación con los asuntos que conocen por razón de su cargo. El artículo 52 del Estatuto Básico del Empleado Público (EBEP), aprobado por Real Decreto Legislativo 5/2015, de 30 de octubre, al regular los “Deberes de los empleados públicos. Código de Conducta” establece que “los empleados públicos deberán desempeñar con diligencia las tareas que tengan asignadas y velar por los intereses generales con sujeción y observancia de la Constitución y del resto de ordenamiento jurídico, y deberán actuar con arreglo a una serie de principios”, entre ellos, el principio de confidencialidad. El artículo 53.12 del EBEP, que regula los “Principios éticos”, dispone: “12. Guardarán secreto de las materias clasificadas u otras cuya difusión esté prohibida legalmente, y mantendrán la debida discreción sobre aquellos asuntos que conozcan por razón de su cargo, sin que puedan hacer uso de la información obtenida para beneficio propio o de terceros, o en perjuicio del interés público.” (El subrayado es nuestro). Por su parte, el artículo 5 de la LOPDGDD, relativo al deber de confidencialidad, establece: “Artículo 5. Deber de confidencialidad. 1. Los responsables y encargados del tratamiento de datos así como todas las personas que intervengan en cualquier fase de este estarán sujetas al deber de confidencialidad al que se refiere el artículo 5.1.
21. f)del Reglamento (UE) 2016/679. 2. La obligación general señalada en el apartado anterior será complementaria de los deberes de secreto profesional de conformidad con su normativa aplicable. 3. Las obligaciones establecidas en los apartados anteriores se mantendrán aun cuando hubiese finalizado la relación del obligado con el responsable o encargado del tratamiento.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 36/63 La Diputación Provincial de Huesca era responsable del tratamiento. Como tal debería haber garantizado que los datos personales resultaban accesibles única y exclusivamente a los empleados públicos autorizados para ello. No fue así, se produjo un incumplimiento de lo previsto en el artículo 5.1
22. f)del RGPD, sin que quepa minimizar lo sucedido invocando el deber de confidencialidad de los empleados públicos. Por los motivos expuestos, se entiende que, a pesar de las alegaciones formuladas por la Diputación de Huesca en su escrito de alegaciones al acuerdo de inicio, se ha producido una vulneración de lo dispuesto en el artículo 5.1
23. f)del RGPD. 3. Contestación a la alegación relativa a la infracción del artículo 38 del RGPD: En dicha alegación al acuerdo de inicio, la Diputación reitera lo ya indicado en la fase de traslado sobre el momento en el que entró en vigor el Sistema Interno de Información. La entidad local destaca que la labor de la DPD respecto a la brecha de datos personales se limitó a la impuesta por la normativa en materia de protección de datos (asesoramiento de la brecha de datos personales sufrida, comunicación de la misma a la AEPD, comunicación a los afectados). La entidad local indica que el artículo 38.6 del RGPD permite que al DPD se le asigne el desempeño de otras funciones y cometidos, debiendo garantizar el responsable del tratamiento que dichas funciones o cometidos no den lugar a un conflicto de intereses. La Diputación señala a continuación que debe garantizarse la independencia del delegado de protección de datos, siendo necesario realizar un análisis caso a caso. La entidad local indica que se trata de una dependencia funcional pero no orgánica, pues debe dar cuentas al más alto nivel jerárquico del responsable (artículo 38.3 RGPD). Tanto en el DPD como en el responsable del sistema interno de información existen, en opinión de la Diputación, unos requisitos y características comunes: dependencia orgánica del responsable o encargado, independencia funcional y autónoma respecto del resto de órganos, así como disposición de medios materiales y personales necesarios para llevar a cabo sus funciones. Por este motivo, la Diputación no consideró la posibilidad de existencia de una incompatibilidad o conflicto de intereses entre las funciones a desarrollar por ambos puestos. Se consideró que el perfil más idóneo era el de la DPD. La Diputación señala que tuvieron en cuenta la excepcionalidad indicada por la AEPD en su informe nº 0170/2018, para organizaciones que, por su tamaño y recursos, no pudieran observar dicha separación, siendo admisible la designación como DPD de la persona que ejerciera las funciones de responsable de seguridad del ENS, siempre que en la misma concurrieran los requisitos de formación y capacitación previstos en el RGPD. Así como el informe de la AEPD a consultas de un Ayuntamiento en el que no se descartaba que un Secretario, Interventor o Tesorero de un Ayuntamiento pudiese ser designado DPD, siempre que no existiera un conflicto de intereses en el ejercicio de las funciones. Ante la cuestión planteada por la propia DPD sobre la posible incompatibilidad, se formuló consulta a la AEPD, manteniendo la designación de la DPD en tanto se recibía C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 37/63 la contestación. Dicha consulta fue resuelta el 25 de febrero de 2025, concluyendo que no era posible asignar funciones de responsable del sistema interno de información al DPD. Como consecuencia de la contestación a dicha consulta y de las medidas correctivas contempladas en el acuerdo de inicio de este procedimiento sancionador, la Diputación ha adoptado las medidas necesarias para sustituir al responsable del sistema interno de información (Decreto nº 1382, de 7 de abril de 2025). La Diputación Provincial concluye su escrito solicitando que se estimen las alegaciones presentadas. En opinión de la Diputación, queda acreditada la existencia previa de medidas y políticas de protección, así como medidas técnicas eficaces para garantizar un nivel de seguridad adecuado, entendiendo que es imposible garantizar la ausencia total de riesgos. La Diputación no aprecia conflicto de interés entre las funciones a desempeñar por la DPD y las funciones a desempeñar como responsable del canal interno de información, habiendo implementado la medida correctiva propuesta por la AEPD en el acuerdo de inicio del procedimiento sancionador. La entidad local concluye solicitando que la AEPD declare la inexistencia de infracción alguna por parte de la Diputación Provincial de Huesca como consecuencia de la brecha de datos personales. En contestación a dicha alegación, el artículo 38 del RGPD prevé una serie de obligaciones para el responsable del tratamiento relacionadas con el delegado de protección de datos (DPD). El apartado 3 de dicho artículo persigue la independencia del DPD, al igual que el apartado 6, que permite que el DPD pueda desempeñar otras funciones y cometidos, si bien señala que el responsable del tratamiento (en este caso, la Diputación Provincial de Huesca) ha de garantizar que dichas funciones y cometidos no den lugar a conflicto de intereses. La Diputación Provincial de Huesca nombró a su DPD responsable del Sistema Interno de Información, creado conforme a lo dispuesto en la Ley 2/2023, de 20 de febrero. El examen destinado a detectar una posible incompatibilidad ha de realizarse caso por caso. Dicho análisis, centrado en el caso particular, resulta sumamente relevante, porque las condiciones de nombramiento de un DPD no son iguales en todos los casos, dependen de la organización, de su estructura y de la posición que ocupa el DPD dentro de la misma. Las alegaciones formuladas por la Diputación al acuerdo de inicio ponen de manifiesto que el examen que dicha entidad local realizó versaba sobre la posición administrativa y los recursos de los que disponían el DPD y el responsable del Sistema Interno de Información, pero no realizó un examen sobre una posible incompatibilidad de las funciones entre ambos puestos, a pesar de que el artículo 38.6 del RGPD hace referencia expresa a dichas funciones. La incompatibilidad es una garantía que prevé el RGPD con el fin de garantizar que la protección que el DPD debe procurar a los interesados, en el ejercicio de sus funciones, sea efectiva. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 38/63 La Diputación debería haber analizado las funciones de uno y otro puesto con el fin de detectar ámbitos en los que se pudiera producir un posible conflicto de interés. El informe de la AEPD nº 0170/2018 hace referencia al responsable de seguridad y al DPD, su contenido no permite apreciar un posible conflicto de intereses entre dos figuras diferentes (el responsable del Sistema Interno de Información y el DPD). Por tanto, dicho informe no resultaba adecuado para el supuesto que debía ser analizado por la Diputación. Además, dicho informe refleja en varias ocasiones que el DPD no puede participar en las decisiones sobre tratamientos de datos personales. A modo de ejemplo haciendo referencia al DPD señala “(…) no podría recibir instrucciones respecto al desempeño de sus funciones como delegado de protección de datos, deberá responder directamente al más alto nivel jerárquico y no podrá participar en las decisiones relativas a los fines y medios del tratamiento.” Tal y como refleja el escrito de alegaciones al acuerdo de inicio, la DPD planteó a la Diputación la cuestión relativa a la posible incompatibilidad. La Diputación decidió formular una consulta a la AEPD y seguir manteniendo la designación, en tanto se recibía una contestación a dicha consulta. Por tanto, existían dudas sobre la compatibilidad entre ambos puestos. Dichas dudas las había puesto de manifiesto la propia DPD, que supervisa la aplicación del RGPD. La Diputación optó por seguir adelante con el nombramiento a pesar de todo, sin tener garantías de que su decisión fuera ajustada a lo dispuesto en el RGPD. A la vista de lo expuesto, el responsable del tratamiento (Diputación Provincial de Huesca) no garantizó que las funciones y cometidos que asignaba al DPD no dieran lugar a conflicto de intereses, vulnerando lo dispuesto en el artículo 38 del RGPD. Posteriormente, a la vista del informe de la AEPD, elaborado en respuesta a la consulta formulada por la DPD y del contenido del acuerdo de inicio de este procedimiento sancionador de fecha 24 de marzo de 2025, la Diputación Provincial de Huesca decidió nombrar a un nuevo responsable del Sistema Interno de Información (hecho probado noveno). IV Alegaciones a la propuesta de resolución y contestación a las mismas: 1. Alegaciones relativas a una serie de cuestiones procedimentales relacionadas con el acceso al expediente y conocimiento de nueva documentación por parte de la Diputación Provincial de Huesca y contestación a dichas alegaciones: El escrito de alegaciones a la propuesta de resolución comienza realizando un repaso de los antecedentes. A continuación, la Diputación señala que las consideraciones relativas a esta cuestión formuladas en el escrito de alegaciones al acuerdo de inicio se realizaron para dejar constancia de la falta de conocimiento por su parte de cierta documentación que obraba en el expediente y que no había sido objeto de traslado a la misma para el ejercicio de su defensa. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 39/63 La Diputación Provincial afirma que la AEPD habría tenido en cuenta los argumentos de los delegados sindicales en base a la siguiente documentación (ampliación de la reclamación y ampliación del recurso de reposición), de la que no tenía conocimiento la Diputación. En opinión de la entidad local, la AEPD decidió, en base a dicha documentación, la apertura del procedimiento sancionador. La entidad local añade que si se hubiera dado traslado de dicha documentación a la Diputación posiblemente no se habría acordado el inicio del procedimiento sancionador. A continuación, la Diputación Provincial indica que, en fase de alegaciones a la propuesta de resolución, de nuevo no se ha trasladado ni se ha puesto a disposición de dicha entidad local el contenido del expediente, pese a constar el mismo con nueva documentación, a la vista del índice que acompaña a la propuesta de resolución. La Diputación señala que debería haberse dado traslado pues puede quedar condicionada y limitada la defensa de dicha Corporación, generando indefensión, por no tener en cuenta nada de lo alegado por la Diputación, ni las pruebas documentales que contradicen la argumentación de los delegados sindicales sin posible réplica. En opinión de la Diputación, condicionaría la defensa de las personas afectadas por las graves acusaciones formuladas con el único fin de crear una visión o percepción de la Diputación ante la AEPD que no se corresponde con la realidad. La Diputación indica que los delegados sindicales en el recurso de reposición interpuesto señalaron que se había procedido al archivo sin tener en cuenta sus alegaciones. La entidad local considera que en el actual momento del procedimiento sancionador se está haciendo lo mismo con ella, afirma encontrarse en una situación de total indefensión, lo que, en su opinión, supone una merma en sus posibilidades de hacer valer sus derechos. A continuación, reproduce una parte de la Resolución de la AEPD de 26 de abril de 2024 por la que se acordó el archivo de la reclamación. De ella la Diputación deduce que la apertura del procedimiento sancionador se llevó a cabo en base a la argumentación presentada por los delegados sindicales con posterioridad, afirmando que dicha entidad local no tuvo acceso a la misma en tiempo y forma. En las conclusiones de escrito de alegaciones a la propuesta de resolución, la Diputación señala que la AEPD ha de declarar que no existe infracción alguna por parte de la Diputación Provincial de Huesca por varios motivos, entre ellos: 1. Mismas actuaciones preventivas y correctivas realizadas por la Diputación que dieron lugar al archivo de la reclamación. La Diputación observa falta de coherencia en la interpretación por parte de la AEPD ante los mismos hechos que la AEPD considera sancionables en base a una documentación a la que la entidad local no tuvo acceso. En contestación a dichas alegaciones, esta Agencia se remite a la contestación a las alegaciones relativas a una serie de cuestiones procedimentales relacionadas con el acceso al expediente de nueva documentación por parte de la Diputación Provincial de Huesca (apartado 1 del fundamento de derecho III de esta resolución). A lo expuesto en dicho fundamento de derecho, se añade lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 40/63 La Diputación Provincial de Huesca afirma que, en base a cierta documentación (ampliación de la reclamación y ampliación del recurso de reposición), la AEPD acordó la apertura del presente procedimiento sancionador. La entidad local añade que si se hubiera dado traslado de dicha documentación a la Diputación posiblemente no se habría acordado el inicio de dicho procedimiento. En relación con dichas afirmaciones, cabe señalar que el 26 de abril de 2024 la Directora de la AEPD dictó resolución de archivo del presente expediente (EXP202316729), que cuenta con abundante documentación. La mencionada resolución de archivo reproduce parcialmente el contenido del informe sobre la brecha de datos personales elaborada por la DPD de la Diputación de fecha 31 de julio de 2023. La referida resolución de archivo también contiene los párrafos reproducidos en el escrito de alegaciones al acuerdo de inicio por la Diputación, si bien, a continuación, figura el siguiente párrafo, que no ha sido reproducido en el escrito de alegaciones al acuerdo de inicio elaborado por la Diputación: “Ello sin perjuicio de que la Agencia, aplicando los poderes de investigación y correctivos que ostenta, pueda llevar a cabo posteriores actuaciones relativas al tratamiento de datos referido en la reclamación.” No cabe apreciar falta de coherencia por parte de la AEPD cuando advirtió a la Diputación claramente de la posibilidad de llevar a cabo actuaciones posteriores relativas al tratamiento de datos personales referido en la reclamación, aplicando los poderes correctivos que esta Agencia ostenta. Posteriormente, tal y como refleja el antecedente octavo de esta resolución, los delegados sindicales interpusieron un recurso potestativo de reposición contra la resolución de archivo. Se llevó a cabo una nueva revisión del expediente, tal y como refleja la resolución de la Directora de 18 de diciembre de 2024, por la que se estima parcialmente dicho recurso, en la que se detallan los documentos que forman parte del expediente y que habían vuelto a ser examinados. En dicha resolución se presta especial atención al Informe del Jefe de los Servicios Informáticos de 15 de junio de 2023, cuyo contenido se reproduce parcialmente. Asimismo, se analiza la posible falta de independencia de la DPD, examinando el artículo 38.6 de la LOPDGDD, varios artículos de la Ley 2/2023, de 20 de febrero y la consulta formulada por la DPD de la Diputación a la AEPD el 8 de mayo de 2023. Tras el nuevo examen del expediente, se estimó parcialmente el recurso de reposición a fin de que prosiguiera la tramitación de la reclamación respecto a dos pretensiones (la falta de medidas técnicas y organizativas apropiadas y la falta de independencia de la DPD). La AEPD no ha dictado el acuerdo de inicio basándose únicamente en los dos documentos citados por la Diputación (ampliación de la reclamación y ampliación del recurso de reposición), sino tras efectuar un nuevo examen de toda la documentación que formaba parte del expediente. A la vista de dicha documentación se apreció que existían indicios de una presunta infracción del artículo 5.1
24. f)del RGPD y de una presunta infracción del artículo 38 del RGPD por parte de la Diputación, motivo por el cual se acordó el inicio de este procedimiento sancionador. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 41/63 El examen del fundamento de derecho IV del acuerdo de inicio refleja que los indicios en los que se basa la presunta infracción del artículo 5.1
25. f)IV “Obligación incumplida. Integridad y confidencialidad” se han obtenido a partir de la documentación aportada por la propia Diputación Provincial de Huesca (informes del Jefe de los Servicios Informáticos de 15 de junio y 20 de diciembre de 2023, informe elaborado por la DPD de la Diputación el 31 de julio de 2023, informe de la Jefa de Sección de Apoyo al SPEIS de 21 de junio de 2023, informe del Inspector-Jefe del SPEIS de 15 de junio de 2023, escrito de fecha 31 de julio de 2023 dirigido por la Jefe del Servicio de Secretaría al Jefe de los Servicios Informáticos). Lo mismo sucede en relación con el fundamento de derecho VI “Obligación incumplida del artículo 38 del RGPD”. En el examen del caso particular, se analiza el contenido de la Ley 2/2023, de 20 de febrero, así como párrafos extraídos de la consulta formulada por la DPD de la Diputación de Huesca a la AEPD el 8 de mayo de 2023. Por tanto, la AEPD acordó el inicio del expediente sancionador basándose en documentación que había aportado la propia Diputación Provincial de Huesca. En conclusión, durante la tramitación de este procedimiento sancionador la AEPD ha examinado con atención y ha valorado las alegaciones formuladas por dicha Diputación. Otra cuestión es que esta Agencia no comparta la valoración que de los hechos examinados realiza la Diputación Provincial. Dicha Corporación considera que no existen infracciones. Sin embargo, en opinión de esta AEPD dicha documentación evidencia una infracción del artículo 5.1
26. f)del RGPD y otra infracción del artículo 38 del RGPD, tal y como se refleja en los hechos probados y los fundamentos de derecho de esta resolución. Partiendo de que la documentación en la que se fundamentan las infracciones del artículo 5.1
27. f)del RGPD y del artículo 38 del RGPD la ha aportado la propia Diputación Provincial de Huesca, que es plenamente conocedora de su contenido. Así como que dicha Corporación ha podido formular en el marco del procedimiento sancionador las alegaciones que ha estimado oportunas, tanto al acuerdo de inicio como a la propuesta de resolución, no se estima que la Diputación Provincial se encuentre en una situación de total indefensión, ni formal ni de carácter material. En cuanto a la supuesta falta del traslado o supuesta falta de puesta a disposición del expediente con motivo de la propuesta de resolución, cabe destacar lo siguiente: El artículo 89.2 LPACAP dispone que “La propuesta de resolución deberá indicar la puesta de manifiesto del procedimiento y el plazo para formular alegaciones y presentar los documentos e informaciones que se estimen pertinentes.” Dicha norma no obliga al traslado de los documentos nuevos generados en el expediente, sino a la puesta de manifiesto. La propuesta de resolución notificada contenía en su anexo la relación de documentos obrantes en el procedimiento. El artículo 53.1
28. a)de la LPACAP contempla el derecho que tienen los interesados a acceder y a tener copia de los documentos contenidos en el procedimiento. Derecho que ha de ejercitar el interesado (en este caso, la Diputación Provincial de Huesca) no la Administración que está tramitando el procedimiento sancionador. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 42/63 El examen del expediente refleja que el 17 de noviembre de 2025 a las 09:47 la Diputación accedió a la notificación de la propuesta de resolución, que incluía el anexo con la relación de documentos que obraban en el expediente. En el Registro de la AEPD no tuvo entrada ningún escrito procedente de la Diputación hasta el 1 de diciembre de 2025 a las 14:55:11 (fecha en la que concluía el plazo para formular alegaciones a la propuesta de resolución), momento en el que la Diputación presentó su escrito de alegaciones a dicha propuesta. El referido escrito fue registrado el 2 de diciembre de 2025 (una vez concluido el plazo para formular alegaciones). Notificada la propuesta de resolución, la Diputación pudo haber ejercido el derecho contemplado en el artículo 53.1
29. a)de la LPACAP. Sin embargo, no lo hizo y presentó su escrito de alegaciones a la propuesta de resolución el último día de plazo otorgado para ello. El Tribunal Constitucional en su sentencia n.º 210/1999, de 29 de noviembre, señala que la indefensión constitucionalmente relevante es la situación en que, tras la infracción de una norma procesal, se impide a alguna de las partes el derecho a la defensa eliminando o limitando su potestad, bien de alegar derechos e intereses para que le sean reconocidos, o bien de replicar dialécticamente las posiciones contrarias en el ejercicio del principio de contradicción. La indefensión deberá tener carácter material y no meramente formal, es decir, no es suficiente con la existencia de un defecto o infracción procesal, sino que debe haberse producido un efectivo y real menoscabo del derecho de defensa (sentencia del Tribunal Constitucional n.º 90/1988, de 13 de mayo). En este caso, la AEPD a través de la notificación de la propuesta puso de manifiesto los documentos que obraban en el procedimiento, si el interesado (Diputación Provincial de Huesca) ha decidido no ejercer el derecho que contempla el artículo 53. 1
30. a)del LPACAP, no cabe que dicha Corporación alegue que se encuentra en una situación de total indefensión. En conclusión, no se aprecia que la Diputación Provincial de Huesca haya sufrido indefensión de ningún tipo y menos aún material. 2. Alegaciones relativas a la infracción del artículo 5.1
31. f)del RGPD y contestación a las mismas: La Diputación resume la contestación que figura en la propuesta de resolución a sus alegaciones al acuerdo de inicio relativas a dicha infracción del RGPD. Posteriormente, formula nuevas alegaciones. Reproduce el contenido del artículo 5.1
32. f)del RGPD. Señala que es obligación del responsable del tratamiento adoptar medidas técnicas u organizativas apropiadas con el fin de garantizar y poder demostrar que el tratamiento es conforme con el RGPD, debiendo ser revisadas y actualizadas cuando sea necesario (hace referencia al artículo 24 del RGPD). La Diputación señala: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 43/63 “Las medidas técnicas son aquellas que se aplican a los sistemas de información y las medidas organizativas son las políticas y procedimientos aprobados por la organización para gestionar el uso de la información, debiendo desarrollarse ambas conjuntamente pues unas dependen de otras. Ambas medidas deben ir dirigidas a garantizar la protección de los datos personales y para determinar cuales son las medidas a implantar se debe analizar y gestionar los riesgos y amenazas que puedan derivar del tratamiento de los datos personales.” A continuación, cita la guía de gestión del riesgo y evaluación de impacto en el tratamiento de datos personales, elaborada por la AEPD, señalando que el RGPD no establece un criterio práctico-metodológico para la gestión de riesgos, sino que corresponde a la organización su integración con el resto de recursos de gestión de riesgo, políticas y gobernanza de la organización. La Diputación destaca que la gestión del riesgo debe realizarse mediante un proceso documentado, que incluye medidas preventivas de detección y de corrección, tendentes a reducir o mitigar y evitar o eliminar los riesgos, debiendo incorporar medidas organizativas relacionadas con la aplicación de políticas de seguridad, establecimiento de cláusulas de confidencialidad, medidas de seguridad, de auditoría, etc. Asimismo, menciona el considerando 78 del RGPD. La Diputación reitera que cuenta con un conjunto de medidas técnicas y organizativas adecuadas, que lleva desde 1997-1998 implantando mecanismos de protección y control de accesos (…) que la misma considera adecuados, suficientes y siguen buenas prácticas establecidas. Cita tres medidas, ya mencionadas en su escrito de alegaciones al acuerdo de inicio, (…). La Corporación indica que también se implantaron medidas previas a la detección de la brecha de datos personales derivadas de la obligación de aplicar las medidas de seguridad previstas en el ENS (Disposición adicional primera, apartado segundo de la LOPDGDD). A continuación, enumera tres medidas, ya indicadas en el escrito de alegaciones al acuerdo de inicio, (…). Asimismo, destaca una serie de medidas organizativas adoptadas por la Diputación para garantizar la confidencialidad, integridad, disponibilidad de los datos personales:         (…) (…) (…) (…) (…) (…) (…) (…) Posteriormente, enumera la normativa aprobada por la Diputación:   Política de Protección de Datos de la Diputación Provincial Procedimiento para la gestión del Registro de Actividades de Tratamiento C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 44/63            Procedimiento para la gestión del ejercicio de derechos Procedimiento para la gestión del tratamiento de datos por terceros Política de conservación de datos personales Política de privacidad videovigilancia Procedimiento gestión de incidentes Guía de Buenas Prácticas en las distintas fases de preparación de los procesos selectivos de personal Política de anonimización de datos personales Procedimiento para la gestión del consentimiento Procedimiento para la realización de Evaluaciones de Impacto Procedimiento tratamiento de la imagen Instrucción interna sobre uso del correo electrónico. La Diputación considera que no cabe afirmar que no se habían adoptado medidas apropiadas con anterioridad a la brecha de datos personales. En relación con la brecha de datos personales, la Diputación reitera que la vulnerabilidad que permitió el acceso no autorizado se pudo deber (…), que permitió el acceso a personal no autorizado. En opinión de la Diputación, quedaría acreditada la diligencia de la Diputación al adoptar de forma inmediata medidas técnicas tendentes a mitigar los riesgos, reforzar la garantía del control de accesos y la confidencialidad. Destaca que paralelamente se adoptaron medidas cautelares tendentes a evitar el uso y difusión de datos obtenidos sin autorización por los empleados que accedieron y descargaron ficheros. Reproducen un párrafo de la propuesta de resolución en el que se indica que no se habían aplicado medidas técnicas y organizativas apropiadas con anterioridad a la brecha de datos personales que, de haber sido aplicadas, no se habría producido la referida brecha. En respuesta a dicha afirmación, la Diputación reitera lo ya alegado ((…)). En la propuesta de resolución se indica que la aplicación de medidas técnicas u organizativas razonables y apropiadas, disponibles según el estado de la técnica en ese momento, habrían permitido verificar que el sistema estaba funcionando tal y como estaba previsto que lo hiciera y que los datos, (…), eran accesibles a los empleados públicos autorizados para tratarlos. La Diputación indica que las medidas técnicas razonables y apropiadas existieron. Tras la migración los servicios informáticos:     (…) (…) (…) (…) (…). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 45/63 Indican que la AEPD reconoce en su guía que el concepto de riesgo cero no existe, que siempre existirá un riesgo inherente o inicial implícito en cualquier tratamiento y una vez se hayan aplicado medidas y garantías que lo minimicen, seguirá existiendo un riesgo residual e incluye la definición del mismo. La Diputación reitera que la adopción de medidas no es una obligación de resultado, sino de medios, citando nuevamente la STS 543/2022 de 15 de febrero de 2022. Señala que en la propuesta se indica que los argumentos recogidos en dicha sentencia son aplicables a la infracción del artículo 32 del RGPD pero no al caso concreto, al tratarse del incumplimiento de la obligación de preservar la confidencialidad e integridad de los datos (artículo 5.1
33. f)del RGPD). La Corporación destaca que ambos preceptos (artículo 5.1
34. f)y 32 del RGPD) están relacionados, para poder aplicar el tipo infractor del artículo 5.1
35. f)del RGPD es necesario que no se hayan adoptado medidas técnicas u organizativas apropiadas. Según la Diputación, en este caso