PS-00558-2023

1/5  Expediente N.º: EXP202313529 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 13 de septiembre de 2023, A.A.A. (en adelante, la parte reclamante) interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra D.G. DE LA GUARDIA CIVIL con NIF S2816003D (en adelante, la parte reclamada). Los motivos en que basa la reclamación son los siguientes: La parte reclamante, cabo de la Guardia Civil, expone que con fecha 14 de julio de 2023 el instructor de su expediente disciplinario (***EXPEDIENTE.1) remitió un correo electrónico a toda su unidad de destino (formada por 22 personas) revelando la incoación de dicho expediente disciplinario. Considera que se ha podido vulnerar el principio de confidencialidad. Aporta copia del referido correo electrónico. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), el 3 de octubre de 2023 se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 3 de octubre de 2023 como consta en el acuse de recibo que obra en el expediente. Con fecha 20 de octubre de 2023 se recibe en esta Agencia escrito de respuesta de la parte reclamada indicando “Que, aunque efectivamente el correo Group-Wise se remitió tal y como dice la reclamante, nos indican que, cuando llegó el correo a la Unidad de destino, el Segundo Jefe de la Intervención de Armas y Explosivos de la Comandancia de Madrid comprobó que el correo estaba cerrado y lo trasladó a una carpeta a la que solo él tiene acceso, siendo también él quien notificó el contenido del mismo a la reclamante. Manifiestan también que no existe constancia de que nadie abriese o leyese el mensaje: no obstante, se informa que para situaciones futuras ya son conscientes de la necesidad de cifrar los mensajes. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/5 A la vista de lo anterior, entendemos que no se ha producido ninguna lesión a los derechos de la interesada, si bien coincidimos en la importancia de que se observen las instrucciones impartidas por este DPD en la circular que adjuntamos, lo que reiteramos a la Comandancia.” TERCERO: Con fecha 12 de diciembre de 2023, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: Con fecha 23 de febrero de 2024, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, por la presunta infracción del Artículo 5.1.

1. f)del RGPD y Artículo 32 del RGPD, tipificada en el Artículo 83.5 del RGPD y Artículo 83.4 del RGPD. QUINTO: Notificado el citado acuerdo de inicio conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP) la parte reclamada ha presentado las siguientes alegaciones: “En relación con lo dispuesto en el Apartado Primero del epígrafe HECHOS del citado acuerdo de inicio, en el que se cita que ...el instructor de su expediente disciplinario (OIL025/23) remitió un correo electrónico a toda su unidad de destino se participa que dicha citación fue remitida a la dirección de correo electrónico oficial e interna de la Intervención de Armas y Explosivos de la Comandancia de Madrid, unidad en la que se encontraba destinada la interesada, se indica que dicha notificación fue remitida por el conducto habitual previsto para este tipo de comunicaciones, significándose que dicha dirección de correo electrónico se encuentra habilitada para uso oficial de la propia unidad, y no por parte de sus componentes, encontrándose la gestión de la misma bajo la responsabilidad del jefe de unidad o persona autorizada por éste designada al efecto. Por otro lado y con respecto al contenido de la propia notificación objeto de reclamación, se significa que los datos obrantes en la misma no constituyen datos especialmente protegidos por los artículos 9 y 10 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, ni por los mismos artículos de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales. Para finalizar, es importante reseñar que, en todo caso, la tramitación del procedimiento objeto de reclamación se ha encontrado sujeta al deber de confidencialidad previsto en el art. 5 de la Ley Orgánica 3/2018, circunstancia que queda acreditada mediante el triple aviso de confidencialidad obrante en la notificación a la que alude la interesada.” SEXTO: Con fecha 1 de mayo de 2024 se formuló propuesta de resolución, proponiendo lo siguiente: Que por la Directora de la Agencia Española de Protección de Datos se declare que D.G. DE LA GUARDIA CIVIL, con NIF S2816003D, ha infringido lo dispuesto en el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/5 Artículo 5.1.
2. f)del RGPD y Artículo 32 del RGPD, tipificada en el Artículo 83.5 del RGPD y Artículo 83.4 del RGPD. Que por la Directora de la Agencia Española de Protección de Datos se ordene a D.G. DE LA GUARDIA CIVIL, con NIF S2816003D, que en virtud del artículo 58.2.
3. d)del RGPD, en el plazo de un mes desde que la presente resolución sea firme y ejecutiva, acredite haber procedido al cumplimiento de la adopción de medidas que respeten el principio de integridad y confidencialidad establecido en el artículo 5.1
4. f)del RGPD, garantizando una seguridad adecuada de los datos personales, para evitar que vuelvan a remitirse correos electrónicos con datos personales al que tengan acceso terceras personas, como por ejemplo compañeros de trabajo, y así no vuelva a vulnerarse el principio de integridad y confidencialidad de los datos personales, tal y como exige el artículo 5.1
5. f)del RGPD, y así mismo en el plazo de un mes desde la notificación de la resolución, se comunique a la AEPD cuales han sido las medidas adoptadas por la GUARDIA CIVIL, para evitar que tales hechos se repitan, de conformidad con el artículo 32 del RGPD. De conformidad con el artículo 14 de la ley 39/2015 de 1 de octubre de Procedimiento Administrativo Común de las Administraciones Públicas, (en adelante LPACAP) la parte reclamada está obligada a relacionarse electrónicamente con la Administración por lo que la notificación de la propuesta de resolución se practicó válidamente por medios electrónicos. El 3 de mayo de 2024 se accedió por la parte reclamada a la propuesta de resolución a través de la dirección electrónica habilitada única (DEHu), realizándose por tanto válidamente la notificación de la propuesta de resolución de este procedimiento sancionador, frente a la cual no se ha recibido alegación alguna. A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes, HECHOS PROBADOS PRIMERO: El 14 de julio de 2023 el instructor del expediente disciplinario (***EXPEDIENTE.1) remitió un correo electrónico dirigido a una dirección de correo electrónico oficial e interna de la Intervención de Armas y Explosivos de la Comandancia de Madrid. SEGUNDO: La parte reclamada no reconoce las infracciones indicadas pues afirma que la tramitación del procedimiento objeto de reclamación ha respetado en todo momento el deber de confidencialidad pues la dirección de correo electrónico a la que se remitió la comunicación se encuentra habilitada para uso oficial de la propia unidad, y no por parte de sus componentes, encontrándose la gestión de la misma bajo la responsabilidad del jefe de unidad o persona autorizada por éste designada al efecto. FUNDAMENTOS DE DERECHO I Competencia C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/5 De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento, la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Cuestiones previas En el presente caso la parte reclamante, cabo de la Guardia Civil, expone que con fecha 14 de julio de 2023 el instructor de su expediente disciplinario remitió un correo electrónico a una dirección electrónica, revelando en dicha comunicación, la incoación del expediente disciplinario en el que el reclamante se encuentra incurso, lo que supondría una grave vulneración del derecho a la protección de datos y privacidad. La parte reclamada realiza esta actividad en su condición de responsable del tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del RGPD: «responsable del tratamiento» o «responsable»: la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros. III Respuesta de la parte reclamada La parte reclamada no reconoce las infracciones indicadas pues afirma que la tramitación del procedimiento objeto de reclamación ha respetado en todo momento el deber de confidencialidad pues la dirección de correo electrónico a la que se remitió la comunicación se encuentra habilitada para uso oficial de la propia unidad, y no por parte de sus componentes, encontrándose la gestión de la misma bajo la responsabilidad del jefe de unidad o persona autorizada por éste designada al efecto. La AEPD no ha podido determinar de manera fehaciente quienes han tenido acceso a dicho correo electrónico, por lo que al no poder constatarse tales hechos se considera pertinente proceder al archivo del presente procedimiento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/5 Por lo tanto, tras tener conocimiento de estos hechos, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a la parte reclamada. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
6. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 935-30102023 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es