← España

PS-00565-2022

1/12  Expediente N.º: EXP202102430 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: AGRUPACION DE LOS CUERPOS DE LA ADMINISTRACION DE INSTITUCIONES PENITENCIARIAS (ACAIP) (en adelante la parte reclamante 1), ASOCIACIÓN DE TRABAJADORES PENITENCIARIOS TU ABANDONO ME PUEDE MATAR (en adelante la parte reclamante 2), y ASOCIACIÓN PROFESIONAL DE FUNCIONARIOS DE PRISIONES (en adelante, la parte reclamante 3) con fechas 14/09/2021, 19/09/2021 y 21/09/2021 respectivamente, interpusieron reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra SECRETARÍA GENERAL DE INSTITUCIONES PENITENCIARIAS con NIF S2813060G (en adelante, SGIP).Los motivos en que basa la reclamación son los siguientes: Denuncian la filtración de unas imágenes captadas por el sistema de videovigilancia del centro penitenciario de Villena (Alicante), en las que se aprecia la agresión de unos funcionarios a un preso. Según exponen, las imágenes solo motivaron, al parecer, una investigación interna confidencial para determinar posibles responsabilidades disciplinarias, aunque la prensa se ha hecho eco de los hechos y ha difundido el video. Junto a la notificación se aportan los enlaces a las noticias que contienen los hechos denunciados, pudiendo visualizarse el video con las imágenes. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la SGIP para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 06/10/2021 como consta en el acuse de recibo que obra en el expediente. TERCERO: Con fecha 14 de diciembre de 2021, de conformidad con el artículo 65 de la LOPDGDD, se admitieron a trámite las reclamaciones presentadas por las partes reclamantes. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/12 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: Fecha en la que tuvieron lugar los hechos reclamados: 9 de septiembre de 2021 Los antecedentes que constan en los sistemas de información son los siguientes: Trasladada la reclamación a la parte reclamada el 6 de octubre de 2021, se recibe en esta Agencia escrito de respuesta el 5 de noviembre de 2021 de la Subdirección General de Análisis e Inspección de la SGID manifestando que: (…) Con fecha 14 de diciembre de 2021 y 4 de enero de 2022 se comunicó a las partes reclamantes la admisión a trámite. Con fecha 17 de enero de 2022 la Agencia Española de Protección de Datos acordó llevar a cabo las presentes actuaciones de investigación en relación con los hechos reclamados. ENTIDADES INVESTIGADAS Durante las presentes actuaciones se han investigado las siguientes entidades: SECRETARÍA GENERAL DE INSTITUCIONES PENITENCIARIAS con S2813060G con domicilio en C/ ALCALA, 38 - 40 - 28014 MADRID (MADRID) NIF RESULTADO DE LAS ACTUACIONES DE INVESTIGACIÓN Realizado requerimiento de información a la parte reclamada el 9 de febrero de 2022, se recibe respuesta el 19 de febrero de la Subdirección General de Relaciones Institucionales y Coordinación Territorial donde manifiesta que respecto a lo requerido: 1. Finalidad del tratamiento relativo a las grabaciones filtradas y normativa aplicable: Ley Orgánica 3/2018 y/o Ley Orgánica 7/2021, así como el resto de los detalles del Registro de actividad de dicho tratamiento. “de acuerdo con el art.32 de la LO 7/21, de 26 de mayo, de protección de datos personales tratados para fines de prevención, detección, investigación y enjuiciamiento de infracciones penales y de ejecución de sanciones penales, que: - El tratamiento video vigilancia en establecimientos penitenciarios tiene por finalidad el registro de las imágenes obtenidas por los diferentes sistemas de vídeo vigilancia instalados para el control del acceso y tránsito en los centros penitenciarios. - La normativa aplicable y su base legitimadora es la del art.11 de la LO 7/21, de 26 de mayo, de protección de datos personales tratados para fines de prevención, detección, investigación y enjuiciamiento de infracciones penales y de ejecución de sanciones penales. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/12 - Las categorías de datos tratados consisten en las imágenes de los vehículos y personas que acceden y permanecen en los establecimientos penitenciarios. - Se prevé su cesión a las Fuerzas y Cuerpos de Seguridad del Estado, Defensor del Pueblo, Ministerio Fiscal y Tribunales en el ejercicio de las funciones que tienen atribuidas, sin que esté contemplada la cesión internacional. - Es responsable del tratamiento el Director General de Ejecución Penal y Reinserción Social de la Secretaría General de Instituciones Penitenciarias, C/Alcalá, 38-40, 28014, Madrid, siendo responsables delegados los directores y directoras de cada establecimiento donde se produce la grabación. Se remite adjunto informe de la Subdirección General de Análisis e Inspección competente en la materia”. Dicho informe aporta la siguiente información: (…) CONCLUSIONES Se abrió la Información Previa 2021/122 para la investigación de los hechos ocurridos el 16/8/21 en el Centro y se remitió al Juzgado de Vigilancia Penitenciaria y al Juzgado de Guardia de Villena. Con motivo de la posterior difusión de las imágenes de este incidente se inició una investigación que abrió la Información Previa 131/2021 para determinar la responsabilidad y circunstancias que tuvieron lugar en la difusión de las imágenes con la consiguiente quiebra del principio de confidencialidad y sigilo que rige el deber de conducta de la función pública. Con respecto a la determinación de la autoría en la difusión de las imágenes, no se ha podido acreditar la misma, ni donde se ha podido producir la brecha del principio de confidencialidad en el tratamiento de éstas. El reclamado alega que está amparado para el tratamiento de las imágenes por el art.11 de la Ley Orgánica 7/2021 y las Instrucciones 5/2006 y 6/2007 sobre comunicación y esclarecimiento de hechos regimentales graves, y del deber de participación a las autoridades judiciales de conformidad con lo dispuesto en el artículo 262 de la Ley de Enjuiciamiento Criminal. Aporta información sobre el sistema CCTV, amparada en dos instrucciones: - la Instrucción 3/2015 de video vigilancia en establecimientos penitenciarios de 18 de mayo de 2015 y que estaba vigente a fecha de los hechos reclamados y de la reclamación; y - la Instrucción 4/2022 por la que se regula el tratamiento de datos de carácter personal obtenidos mediante la grabación de imágenes y sonidos por los sistemas de videovigilancia existentes en los distintos establecimientos penitenciarios de 28 de julio de 2022 junto con la Guía para la elaboración del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/12 Protocolo de grabación, almacenamiento y tratamiento de las imágenes obtenidas a través de los sistemas de videovigilancia de los establecimientos penitenciarios, de 28 de julio de 2022, en desarrollo de la Instrucción n.º 4/2022. Es decir, la instrucción de 2022 y su protocolo de actuación detallando las medidas de seguridad y acceso son de fecha posterior a los hechos reclamados y a la reclamación, produce efectos a los 15 días de su recepción en los centros y se dio al Consejo de Dirección un plazo de 3 meses de adaptación de los procedimientos. La 1º instrucción hace referencia a la LOPD/RLOPD y estos dos últimos documentos hacen referencia a la Ley Orgánica 3/2018, a la Ley Orgánica 7/2021 y al Reglamento (UE) 2016/679. Aporta la situación del procedimiento judicial al mes de junio: Diligencias Previas 2021/450 Juzgado de 1ª Instancia e Instrucción n.º 1 de Villena. CUARTO: Con fecha 29 de noviembre de 2022, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, por la presunta infracción del Artículo 32 del RGPD, tipificada en el Artículo 83.4 del RGPD. Notificado el acuerdo de inicio, la SGIP presentó escrito de alegaciones, en el que en síntesis manifestaba: -Alega la SGIP que cualquier decisión que se adopte en el ámbito disciplinario debe estar presidida por el principio de presunción de inocencia. -Alega la SGIP que, además de haber conocido las imágenes la Administración Penitenciaria (Centro Penitenciario de Alicante I y Subdirección General de Análisis e Inspección) hubo dos órganos judiciales a los que por imperativo legal se les enviaron las referidas imágenes (Juzgado de Instrucción de Guardia y Juzgado de Vigilancia Penitenciaria), y que no pueden hacerse responsables del uso y tratamiento otorgado por éstos. -Alega la SGIP que la necesidad de que el perfil de acceso sea amplio tiene su origen en la propia organización y necesidades de trabajo de la Subdirección General de Análisis e Inspección, y que en relación a la falta de trazabilidad, sí es posible conocer qué persona accede a qué imágenes - esto es, el acceso a la carpeta compartida deja rastro-, la imposibilidad de identificación a que se había hecho referencia era a la de la concreta persona que ha hecho públicas dichas imágenes en cuestión. QUINTO: Con fecha 05/05/2023, el instructor del procedimiento acordó practicar las siguientes pruebas: “Se solicita, asimismo, que sea remitida la siguiente documentación relacionada con el procedimiento de información Previa 2021/122: Detalle y acreditación documental: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/12

  1. a)Usuarios que tenían acceso al sistema.
  2. b)Roles asignados a cada uno de ellos, funciones y permisos de acceso otorgados
  3. c)Procedimientos existentes para la gestión de usuarios (detallando los procesos de altas, bajas, identificación, autenticación y control de acceso lógico).
  4. d)Análisis de los registros de los usuarios que tenían acceso al sistema (logs)” Con fecha 23/05/2023 se recibe escrito de respuesta dando cumplimiento a la prueba solicitada. SEXTO: Con fecha 8 de junio de 2023 se formuló propuesta de resolución, proponiendo: Que por la Directora de la Agencia Española de Protección de Datos se imponga a SECRETARÍA GENERAL DE INSTITUCIONES PENITENCIARIAS, con NIF S2813060G, por una infracción del Artículo 32 del RGPD, tipificada en el Artículo 83.4 del RGPD, una sanción de apercibimiento. Notificada la propuesta de resolución, la SGIP presenta nuevo escrito en el que manifiesta: “En el Expediente de Referencia, se reproduce lo aportado a lo largo del procedimiento, quedando a disposición para la implementación de aquellas medidas técnicas y organizativas en la medida en que sea presupuestariamente posible” A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes, HECHOS PROBADOS PRIMERO: Según documentación obrante en el expediente, consta falta de perfilados, ya que cualquier inspector podría acceder a las imágenes grabadas, sin que se haya especificado si están autorizados o no a ello, si se tiene que habilitar algún sistema especifico, o si el acceso a las imágenes es libre para todos los inspectores, ya que la respuesta a la prueba solicitada no ha aclarado este aspecto. SEGUNDO: Según documentación obrante en el expediente, consta falta de trazabilidad, ya que no se ha acreditado que haya registros de los usuarios que puedan haber accedido al sistema. FUNDAMENTOS DE DERECHO I C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/12 De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II En respuesta a las alegaciones presentadas por la entidad reclamada se debe señalar lo siguiente: -Alega la SGIP que cualquier decisión que se adopte en el ámbito disciplinario debe estar presidida por el principio de presunción de inocencia. A este respecto, esta Agencia manifiesta su total y absoluta conformidad, indicando que todos los procedimientos sancionadores se sustancian según lo establecido en los artículos 64 y siguientes de la LOPDGDD, respetando escrupulosamente la legislación establecida. La presunción de inocencia, derecho fundamental de la ciudadanía según el art 24.2 de la Constitución y el art. 6.2 del Convenio Europeo de Derechos Humanos, viene recogida expresamente en nuestro ordenamiento para los procedimientos administrativos sancionadores en el art. 53.2.
  5. b)de la Ley 39/15 donde entre los derechos del interesado en el procedimiento administrativo sancionador tendrá el derecho "A la presunción de no existencia de responsabilidad administrativa mientras no se demuestre lo contrario" Como establece la STS 28.04.2016 (RC 677/2014): "cabe significar que el derecho a la presunción de inocencia, que rige sin excepción en el ámbito del procedimiento administrativo sancionador, según refiere el Tribunal Constitucional en la sentencia 66/2007, de 27 de marzo, comporta que «no pueda imponerse sanción alguna que no tenga fundamento en una previa actividad probatoria lícita», e implica también el reconocimiento del derecho a un procedimiento administrativo sancionador debido o con todas las garantías, que respete el principio de contradicción y en que el presunto responsable tenga la oportunidad de defender sus propias posiciones, vedando la incoación de expedientes sancionadores cuando resulte apreciable de forma inequívoca o manifiesta la inexistencia de indicios racionales de que se ha cometido una C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/12 conducta infractora, o en los que esté ausente la antijuridicidad o la culpabilidad" -Alega la SGIP que, además de haber conocido las imágenes la Administración Penitenciaria (Centro Penitenciario de Alicante I y Subdirección General de Análisis e Inspección) hubo dos órganos judiciales a los que por imperativo legal se les enviaron las referidas imágenes (Juzgado de Instrucción de Guardia y Juzgado de Vigilancia Penitenciaria), y que no pueden hacerse responsables del uso y tratamiento otorgado por éstos. A este respecto, esta Agencia indica que, en este concreto procedimiento sancionador, no se está imputando una infracción por la filtración de imágenes en sí misma, sino por carecer de medidas técnicas y organizativas que resulten apropiadas para garantizar un nivel de seguridad adecuado al riesgo del tratamiento, en los términos exigidos por el artículo 32.1 del RGPD. -Alega la SGIP que la necesidad de que el perfil de acceso sea amplio tiene su origen en la propia organización y necesidades de trabajo de la Subdirección General de Análisis e Inspección, y que en relación a la falta de trazabilidad, sí es posible conocer qué persona accede a qué imágenes - esto es, el acceso a la carpeta compartida deja rastro-, la imposibilidad de identificación a que se había hecho referencia era a la de la concreta persona que ha hecho públicas dichas imágenes en cuestión. A este respecto esta Agencia refiere al propio Informe emitido por la Subdirección General de Análisis e Inspección, obrante en el expediente, en cuyo punto 2 se cita textualmente (el subrayado corresponde a la AEPD): “Una vez que las imágenes son puestas en conocimiento de la Unidad de Inspección fueron tratadas, en cumplimiento de sus funciones de investigación legalmente establecidas por la Inspección de Guardia, el Instructor de la Información Previa 2021/122, y donde también podrían haber accedido a las mismas el resto de Inspectores e Inspectoras de la Unidad, sin que se haya podido acreditar tal extremo” No hace referencia, por tanto, como se aduce en las alegaciones, a la imposibilidad de determinar la concreta persona que haya hecho públicas las imágenes, sino a que no se ha podido acreditar siquiera qué personas han accedido a las imágenes posteriormente filtradas. Asimismo hay que indicar que, solicitada por esta Agencia información acerca de los registros de los usuarios que tenían acceso al sistema (logs), la respuesta se limita a indicar: “Los logs del servidor de archivos se guardan durante un tiempo específico, sin que en este momento se pueda disponer de los logs de esas fechas”. III El Artículo 32 “Seguridad del tratamiento” del RGPD establece: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/12 “1. Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, que en su caso incluya, entre otros:
  6. a)la seudonimización y el cifrado de datos personales;
  7. b)la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento;
  8. c)la capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente físico o técnico;
  9. d)un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento. 2. Al evaluar la adecuación del nivel de seguridad se tendrán particularmente en cuenta los riesgos que presente el tratamiento de datos, en particular como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos. 3. La adhesión a un código de conducta aprobado a tenor del artículo 40 o a un mecanismo de certificación aprobado a tenor del artículo 42 podrá servir de elemento para demostrar el cumplimiento de los requisitos establecidos en el apartado 1 del presente artículo. 4. El responsable y el encargado del tratamiento tomarán medidas para garantizar que cualquier persona que actúe bajo la autoridad del responsable o del encargado y tenga acceso a datos personales solo pueda tratar dichos datos siguiendo instrucciones del responsable, salvo que esté obligada a ello en virtud del Derecho de la Unión o de los Estados miembros”. En el presente caso, si bien es cierto que no se ha podido determinar en qué momento o por qué órgano de los que han tenido acceso a las imágenes se produjo la filtración de las mismas, si se pone de manifiesto que la SGIP no disponía de las medidas apropiadas para garantizar un nivel de seguridad adecuado al riesgo. De la instrucción llevada a cabo en el presente procedimiento se concluye que la SGIP ha incumplido lo establecido en el artículo 32 del RGPD. IV El artículo 83.4 del RGPD, bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 10 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 2 % como máximo del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/12 volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
  10. a)las obligaciones del responsable y del encargado a tenor de los artículos 8, 11, 25 a 39, 42 y 43; (…)” A este respecto, la LOPDGDD, en su artículo 71 “Infracciones” establece que “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A efectos del plazo de prescripción, el artículo 73 “Infracciones consideradas graves” de la LOPDGDD indica: “En función de lo que establece el artículo 83.4 del Reglamento (UE) 2016/679 se consideran graves y prescribirán a los dos años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes: (…)
  11. f)La falta de adopción de aquellas medidas técnicas y organizativas que resulten apropiadas para garantizar un nivel de seguridad adecuado al riesgo del tratamiento, en los términos exigidos por el artículo 32.1 del Reglamento (UE) 2016/679. (…) V Sin perjuicio de lo dispuesto en el artículo 83.5 del RGPD, el citado artículo dispone en su apartado 7 lo siguiente: “7. Sin perjuicio de los poderes correctivos de las autoridades de control en virtud del artículo 58, apartado 2, cada Estado miembro podrá establecer normas sobre si se puede, y en qué medida, imponer multas administrativas a autoridades y organismos públicos establecidos en dicho Estado miembro”. Por su parte, el artículo 77 “Régimen aplicable a determinadas categorías de responsables o encargados del tratamiento” de la LOPDGDD dispone lo siguiente: “1. El régimen establecido en este artículo será de aplicación a los tratamientos de los que sean responsables o encargados:
  12. a)Los órganos constitucionales o con relevancia constitucional y las instituciones de las comunidades autónomas análogas a los mismos.
  13. b)Los órganos jurisdiccionales.
  14. c)La Administración General del Estado, las Administraciones de las comunidades autónomas y las entidades que integran la Administración Local.
  15. d)Los organismos públicos y entidades de Derecho público vinculadas o dependientes de las Administraciones Públicas.
  16. e)Las autoridades administrativas independientes.
  17. f)El Banco de España. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/12
  18. g)Las corporaciones de Derecho público cuando las finalidades del tratamiento se relacionen con el ejercicio de potestades de derecho público.
  19. h)Las fundaciones del sector público.
  20. i)Las Universidades Públicas.
  21. j)Los consorcios.
  22. k)Los grupos parlamentarios de las Cortes Generales y las Asambleas Legislativas autonómicas, así como los grupos políticos de las Corporaciones Locales. 2. Cuando los responsables o encargados enumerados en el apartado 1 cometiesen alguna de las infracciones a las que se refieren los artículos 72 a 74 de esta ley orgánica, la autoridad de protección de datos que resulte competente dictará resolución sancionando a las mismas con apercibimiento. La resolución establecerá asimismo las medidas que proceda adoptar para que cese la conducta o se corrijan los efectos de la infracción que se hubiese cometido. 3. Sin perjuicio de lo establecido en el apartado anterior, la autoridad de protección de datos propondrá también la iniciación de actuaciones disciplinarias cuando existan indicios suficientes para ello. En este caso, el procedimiento y las sanciones a aplicar serán las establecidas en la legislación sobre régimen disciplinario o sancionador que resulte de aplicación. Asimismo, cuando las infracciones sean imputables a autoridades y directivos, y se acredite la existencia de informes técnicos o recomendaciones para el tratamiento que no hubieran sido debidamente atendidos, en la resolución en la que se imponga la sanción se incluirá una amonestación con denominación del cargo responsable y se ordenará la publicación en el Boletín Oficial del Estado o autonómico que corresponda. 4. Se deberán comunicar a la autoridad de protección de datos las resoluciones que recaigan en relación con las medidas y actuaciones a que se refieren los apartados anteriores. 5. Se comunicarán al Defensor del Pueblo o, en su caso, a las instituciones análogas de las comunidades autónomas las actuaciones realizadas y las resoluciones dictadas al amparo de este artículo. (…)” VI De acuerdo con lo establecido en el artículo 58.2
  23. d)del RGPD, cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…”. Por todo ello la parte reclamada deberá proceder, en el plazo de 6 meses desde la recepción de la presente resolución, a la adopción de las medidas necesarias para que queden registros de los accesos a los datos personales, y también el otorgamiento de perfiles a los funcionarios para que cada uno solo pueda acceder a la información que resulte necesaria para el desempeño de sus funciones. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/12 Se advierte que no atender la orden de adopción de medidas impuestas por este organismo en la resolución sancionadora podrá ser considerado como una infracción administrativa conforme a lo dispuesto en el RGPD, tipificada como infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la apertura de un ulterior procedimiento administrativo sancionador. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a SECRETARÍA GENERAL DE INSTITUCIONES PENITENCIARIAS, con NIF S2813060G, por una infracción del Artículo 32 del RGPD, tipificada en el Artículo 83.4 del RGPD, una sanción de apercibimiento. SEGUNDO: ORDENAR a SECRETARÍA GENERAL DE INSTITUCIONES PENITENCIARIAS, con NIF S2813060G, que en virtud del artículo 58.2.
  24. d)del RGPD, en el plazo de 6 meses, acredite haber procedido a la adopción de las medidas necesarias para que queden registros de los accesos a los datos personales, y también el otorgamiento de perfiles a los funcionarios para que cada uno solo pueda acceder a la información que resulte necesaria para el desempeño de sus funciones. TERCERO: NOTIFICAR la presente resolución a SECRETARÍA GENERAL DE INSTITUCIONES PENITENCIARIAS. CUARTO: COMUNICAR la presente resolución al Defensor del Pueblo, de conformidad con lo establecido en el artículo 77.5 de la LOPDGDD. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
  25. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/12 documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-010623 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.