1/12 Expediente N.º: EXP202313533 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: DON A.A.A. (en adelante, la parte reclamante) con fecha 13 de septiembre de 2023 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra DIRECCIÓN GENERAL DE LA POLICÍA con NIF S2816015H (en adelante, la POLICÍA o la parte reclamada). Los motivos en que basa la reclamación son los siguientes: La parte reclamante expone que un policía nacional ha facilitado a un tercero una fotografía de la pantalla de un ordenador con información contenida en bases de datos de la POLICÍA, donde figuraban sus datos personales (foto, Documento Nacional de Identidad (DNI), dirección postal, nombre de los progenitores, fecha de nacimiento, nacionalidad, fecha de caducidad del DNI, sexo, lugar de nacimiento). Junto a la reclamación aporta los pantallazos de la aplicación de mensajería instantánea (WhatsApp) por la que se le envió y la denuncia interpuesta ante la POLICÍA. (…). SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), se dio traslado de dicha reclamación a la POLICÍA, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 3 de octubre de 2023, tal y como consta en el certificado de recibo que obra en el expediente. Con fecha 22 de noviembre de 2023 se recibe en esta Agencia escrito de respuesta indicando que han realizado las correspondientes actuaciones en su ámbito de actividad en aras a garantizar los derechos en materia de protección de datos. TERCERO: Con fecha 29 de noviembre de 2023, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: Con fecha 26 de julio de 2024, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/12 con arreglo a lo dispuesto en los artículos 63 y 64 de la LPACAP, por la presunta infracción de los dispuesto en los artículos 6.1 y 37 de la LO 7/2021 de 26 de mayo, de Protección de datos personales tratados para fines de prevención, detección, investigación y enjuiciamiento de infracciones penales y de ejecución de sanciones penales (en adelante, LO 7/2021), tipificadas en los artículos 59
- a)y 59
- f)la LO 7/2021, respectivamente. QUINTO: Notificado el citado acuerdo de inicio conforme a las normas establecidas en la LPACAP, la parte reclamada presentó escrito de alegaciones en el que, en síntesis, se manifiesta: “…se da traslado a esta Unidad de Asuntos Internos de una notificación procedente de la Agencia Española de Protección de Datos (AEPD), en el marco del expediente EXP202313533, solicitando información vinculada con la reclamación presentada por D. A.A.A., se participa: En fecha 21 de septiembre de 2023 se recibe en esta Unidad de Asuntos Internos un correo electrónico procedente de la Comisaría Provincial de Málaga a la que se le otorga registro de entrada número ***ENTRADA.1, comunicando unos hechos susceptibles de ser calificados como un delito de revelación de secretos al efectuar un uso indebido de las bases de datos policiales. En el correo se adjunta copia del atestado (…) de Málaga Central de 8 de septiembre de 2023, donde A.A.A. denuncia que una persona, identificada posteriormente como B.B.B., titular del DNI ***NIF.1, le había enviado a través de una aplicación de mensajería instantánea (Whatsapp) una captura de pantalla donde se puede observar el programa de la base de datos Policial (Personas) con su filiación completa, así como una fotografía de reseña. A tenor de esta información recibida, el Grupo XX de la Unidad de Asuntos Internos realizó una auditoría de bases de datos policiales y concluyó que la persona que había consultado la ficha policial de A.A.A. había sido el funcionario con carné profesional número (...). Por ello, al existir indicios evidentes de criminalidad, se incoaron diligencias policiales número (…) de la Unidad de Asuntos Internos de fecha 27 de octubre de 2023, siendo oídos en declaración en calidad de investigados no detenidos por delitos de revelación de secretos y amenazas a B.B.B. y por delito de revelación de secretos al funcionario policial con carné profesional (...), siendo remitidas al Juzgado de Instrucción en funciones de guardia de Málaga. Igualmente, el día 3 de noviembre de 2023 se remitió oficio con número de registro ***ENTRADA.2 a la Unidad de Régimen Disciplinario con el fin de depurar la responsabilidad disciplinaria en que pudiera haber incurrido el Policía con carné profesional número (...) al efectuar un uso indebido de las bases de datos policiales...”. Estas alegaciones fueron desestimadas y continuó la tramitación del procedimiento sancionador incoado como consecuencia de la vulneración de los citados artículos en el marco de la protección de las personas físicas en lo que respecta al tratamiento de datos personales por parte de las autoridades competentes para fines de prevención, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/12 investigación, detección o enjuiciamiento de infracciones penales o de ejecución de sanciones penales, y a la libre circulación de dichos datos. SEXTO: Con fecha 7 de enero de 2025 se formuló propuesta de resolución, proponiendo que se declarara que la DIRECCIÓN GENERAL DE LA POLICÍA, con NIF S2816015H, ha infringido lo dispuesto en: - El artículo 6.1 de la LO 7/2021, tipificada en el artículo 59
- a)de la LO 7/2021. - El artículo 37 de la LO 7/2021, tipificada en el artículo 59
- f)de la LO 7/2021. SÉPTIMO: Notificada la propuesta de resolución el mismo 7 de enero de 2025 conforme a las normas establecidas en la LPACAP, la parte reclamada, en fecha 21 de enero de 2025, ha presentado, a efectos de alegaciones Informe de la Subdirección General de Logística e Innovación de fecha 20 de enero de 2025, con las siguientes manifestaciones: “(..) el tratamiento está bajo el amparo de los controles del Esquema Nacional de Seguridad y cumple con todos sus requisitos. En concreto Control de Acceso está contemplado en la Política de Seguridad de la Información de la Dirección General de la Policía y se desarrolla en el procedimiento ***PROCEDIMIENTO.1 Control de Acceso. No obstante, no es posible evitar que un usuario autorizado facilite información (capturas) a un tercero usando medios no autorizados. Igualmente, en Policía Nacional se hacen campañas de concienciación a través de la intranet en el ámbito de la ciberseguridad. Se adjunta imagen de ejemplo. Recordar existen normas de obligado conocimiento por personal de Policía Nacional que deberían disuadir de la conducta denunciada. Ley Orgánica 10/1995, de 23 de noviembre, del Código Penal. Ley Orgánica 4/2010, de 20 de mayo, del Régimen disciplinario del Cuerpo Nacional de Policía. Principios básicos de actuación de Ley Orgánica 2/1986, de 13 de marzo, de Fuerzas y Cuerpos de Seguridad.” También se adjuntan DOS anexos: Anexo I “Decálogo” y Anexo II “Informe de la División de Formación y Perfeccionamiento sobre la formación en protección de datos del funcionario (...)”, este informe contiene la formación que recibió el funcionario en la Escuela Nacional Superior en el curso de su promoción. Asimismo, se aporta Informe de la Unidad de Asuntos Internos de fecha 13 de enero de 2025. En este informe se recogen los hechos de los que trae causa la presente reclamación, así como un resumen de las actuaciones llevadas a cabo por la Unidad de Asuntos Internos en relación con los mismos. Consta que Unidad de Asuntos Internos, realizó una auditoría de bases de datos policiales y concluyó que la persona C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/12 que había consultado la ficha policial de A.A.A. había sido el Policía Nacional con carné profesional número (...), que se incoaron diligencias policiales por delito de revelación de secretos al funcionario policial con carné profesional (...), que fueron remitidas al Juzgado de Instrucción en funciones de guardia de Málaga, y también se dio traslado a la Unidad de Régimen Disciplinario con el fin de depurar la responsabilidad disciplinaria. De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS PRIMERO: Consta en el expediente copia del envío a través de una aplicación de mensajería instantánea (WhatsApp) de una captura de pantalla donde se puede observar el programa de la base de datos Policial (Personas) con su filiación completa (ficha policial), así como una fotografía de reseña. SEGUNDO: Consta en el expediente la denuncia interpuesta por A.A.A., en fecha 8 de septiembre de 2023 ante la Dirección General de la Policía, con número de atestado (…). TERCERO: Consta en el expediente que la POLICÍA, visto su escrito de alegaciones a la apertura del presente procedimiento y la documentación aportada, reconoce que se produjo una difusión de la ficha policial del reclamante. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con las potestades atribuidas en el artículo 50 de la LO 7/2021 a las autoridades de protección de datos y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la LOPDGDD, es competente para iniciar y resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." Por último, el artículo 52 "Régimen aplicable a los procedimientos tramitados ante las autoridades de protección de datos" de la Ley Orgánica 7/2021establece que: "1. En el caso de que los interesados aprecien que el tratamiento de los datos personales haya infringido las disposiciones de esta Ley Orgánica o no haya sido atendida su solicitud de ejercicio de los derechos reconocidos en los artículos 21, 22 y 23 tendrán derecho a presentar una reclamación ante la autoridad de protección de datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/12 2. Dichas reclamaciones serán tramitadas por la autoridad de protección de datos competente con sujeción al procedimiento establecido en el título VIII de la Ley Orgánica 3/2018, de 5 de diciembre, y, en su caso, a la legislación de las Comunidades Autónomas que resulte de aplicación. Tendrán carácter subsidiario las normas generales sobre los procedimientos administrativos y el régimen jurídico del sector público." II Régimen jurídico aplicable El Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento General de Protección de Datos) al determinar su ámbito de aplicación material, establece en su artículo 2 una serie de tratamientos de datos personales en los que el mismo no resulta aplicable. Entre dichos tratamientos se encuentra en el apartado
- d)el tratamiento de datos personales “por parte de las autoridades competentes con fines de prevención, investigación, detección o enjuiciamiento de infracciones penales, o de ejecución de sanciones penales, incluida la de protección frente a amenazas a la seguridad pública y su prevención” Para tratamientos de dicha naturaleza, resulta de aplicación la vigente Ley Orgánica 7/2021, de 26 de mayo, a través de la cual se transpone a nuestro ordenamiento jurídico la Directiva (UE) 2016/680 del Parlamento Europeo y del Consejo de 27 de abril de 2016, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales por parte de las autoridades competentes para fines de prevención, investigación, detección o enjuiciamiento de infracciones penales o de ejecución de sanciones penales, y a la libre circulación de dichos datos. En este sentido, dicha ley orgánica tiene como objeto, según su artículo primero, “establecer las normas relativas a la protección de las personas físicas en lo que respecta al tratamiento de los datos de carácter personal por parte de las autoridades competentes, con fines de prevención, detección, investigación y enjuiciamiento de infracciones penales o de ejecución de sanciones penales, incluidas la protección y prevención frente a las amenazas contra la seguridad pública.” Asimismo, el artículo segundo, al delimitar su ámbito de aplicación establece que dicha norma será de aplicación “al tratamiento total o parcialmente automatizado de datos personales, así como al tratamiento no automatizado de datos personales contenidos o destinados a ser incluidos en un fichero, realizado por las autoridades competentes, con fines de prevención, detección, investigación y enjuiciamiento de infracciones penales y de ejecución de sanciones penales, incluidas la protección y prevención frente a las amenazas contra la seguridad pública.” III Cuestiones previas C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/12 En el artículo 5 de la LO 7/2021 recoge una serie de definiciones, en particular, determina lo siguiente: “A efectos de la presente LO 7/2021 se entenderá por:
- a)«datos personales»: toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable a toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, unos datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona;
- b)«tratamiento»: cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción; (…)
- g)«responsable del tratamiento» o «responsable»: la autoridad competente que sola o conjuntamente con otras, determine los fines y medios del tratamiento de datos personales; en caso de que los fines y medios del tratamiento estén determinados por el Derecho de la Unión Europea o por la legislación española, dichas normas podrán designar al responsable del tratamiento, o bien los criterios para su nombramiento.
- h)«encargado del tratamiento» o «encargado»: la persona física o jurídica, autoridad pública, servicio u otro organismo que trate datos personales por cuenta del responsable del tratamiento;” En el presente caso, consta la realización de un tratamiento de datos personales, toda vez que se obtuvo una captura de pantalla de la base de datos Policial (Personas) que contenía la filiación completa (ficha policial) con los datos del reclamante y fue remitida por un policía a un tercero, a través de la aplicación de mensajería instantánea WhatsApp. IV Infracciones de la LO 7/2021 En el presente caso, consta que la foto, el DNI, la dirección postal, el nombre de los progenitores, la fecha de nacimiento, la nacionalidad, la fecha de caducidad del DNI, el sexo, el lugar de nacimiento de la parte reclamante, fueron indebidamente expuestos por un policía, al menos, a un tercero, mediante el envío (por la aplicación de mensajería WhatsApp) de la fotografía de una pantalla de ordenador, que contenía dichos datos personales registrados en bases de datos policiales. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/12 Por tal motivo, se imputaban a la POLICÍA en el acuerdo de inicio del presente procedimiento sancionador las infracciones de los artículos 6.1 y 37 de la LO 7/2021. El artículo 6.1 “Principios relativos al tratamiento” de la LO 7/2021 establece: “1. Los datos personales serán: (…)
- f)Tratados de manera que se garantice una seguridad adecuada, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental. Para ello, se utilizarán las medidas técnicas u organizativas adecuadas…”. El Artículo 37 “Seguridad del tratamiento” de la LO establece: “1. El responsable y el encargado del tratamiento, teniendo en cuenta el estado de la técnica y los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como los niveles de riesgo para los derechos y libertades de las personas físicas, aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado, especialmente en lo relativo al tratamiento de las categorías de datos personales a las que se refiere el artículo 13. En particular, deberán aplicar a los tratamientos de datos personales las medidas incluidas en el Esquema Nacional de Seguridad. 2. Por lo que respecta al tratamiento automatizado, el responsable o encargado del tratamiento, a raíz de una evaluación de los riesgos, pondrá en práctica medidas de control con el siguiente propósito:
- a)En el control de acceso a los equipamientos, denegar el acceso a personas no autorizadas a los equipamientos utilizados para el tratamiento.
- b)En el control de los soportes de datos, impedir que estos puedan ser leídos, copiados, modificados o cancelados por personas no autorizadas.
- c)En el control del almacenamiento, impedir que se introduzcan sin autorización datos personales, o que estos puedan inspeccionarse, modificarse o suprimirse sin autorización.
- d)En el control de los usuarios, impedir que los sistemas de tratamiento automatizado puedan ser utilizados por personas no autorizadas por medio de instalaciones de transmisión de datos.
- e)En el control del acceso a los datos, garantizar que las personas autorizadas a utilizar un sistema de tratamiento automatizado, sólo puedan tener acceso a los datos personales para los que han sido autorizados.
- f)En el control de la transmisión, garantizar que sea posible verificar y establecer a qué organismos se han transmitido o pueden transmitirse, o a cuya disposición pueden ponerse los datos personales mediante equipamientos de comunicación de datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/12
- g)En el control de la introducción, garantizar que pueda verificarse y constatarse, a posteriori, qué datos personales se han introducido en los sistemas de tratamiento automatizado, en qué momento y quién los ha introducido.
- h)En el control del transporte, impedir que durante las transferencias de datos personales o durante el transporte de soportes de datos, los datos personales puedan ser leídos, copiados, modificados o suprimidos sin autorización.
- i)En el control de restablecimiento, garantizar que los sistemas instalados puedan restablecerse en caso de interrupción.
- j)En el control de fiabilidad e integridad, garantizar que las funciones del sistema no presenten defectos, que los errores de funcionamiento sean señalados y que los datos personales almacenados no se degraden por fallos de funcionamiento del sistema. En el presente caso, en el momento de los hechos, no consta que la POLICÍA dispusiese de medidas de seguridad razonables en función de los posibles riesgos estimados. V Conclusiones tras las alegaciones a la Propuesta de resolución Como se ha dicho, se imputaban a la POLICÍA en el acuerdo de inicio del presente procedimiento sancionador las infracciones de los artículos 6.1 y 37 de la LO 7/2021.Estos artículos se refieren a la obligación del responsable de aplicar medidas técnicas y organizativas apropiadas para garantizar la seguridad de los datos personales. En cuanto a las medidas técnicas la POLICÍA ha aportado en su escrito de alegaciones un informe respecto del cumplimiento del Esquema Nacional de Seguridad. Sobre este particular ha de aclararse en primer lugar que el Real Decreto 311/2022, de 3 de mayo, por el que se regula el Esquema Nacional de Seguridad, tiene por objeto la seguridad de la información estableciendo para ello los requisitos mínimos necesarios para una protección adecuada de la información. Así, el artículo primero de dicho Real Decreto establece que el citado esquema “está constituido por los principios básicos y requisitos mínimos necesarios para una protección adecuada de la información tratada y los servicios prestados por las entidades de su ámbito de aplicación, con objeto de asegurar el acceso, la confidencialidad, la integridad, la trazabilidad, la autenticidad, la disponibilidad y la conservación de los datos, la información y los servicios utilizados por medios electrónicos que gestionen en el ejercicio de sus competencias.“ Por tanto, el cumplimiento del Esquema Nacional de Seguridad no abarca en su totalidad las obligaciones que impone el artículo 37 de la LO 7/2021 a los responsables, pues tienen como finalidad no la seguridad de la información, sino la protección de los derechos y libertades de las personas. Del propio contenido del artículo 37 de la LO 7/2021 se infiere que los responsables quedan obligados a aplicar a los tratamientos de datos personales las medidas incluidas en el Esquema Nacional C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/12 de Seguridad y además las medidas que se deriven de la realización de una evaluación de los riesgos. A lo anterior se ha de añadir que tampoco el cumplimiento de los requisitos mínimos contenidos en el Esquema Nacional de Seguridad garantiza, por sí solo, la seguridad adecuada que exige el artículo 6.1.
- f)de la LO 7/2021, que va más allá de la mera aplicación de medidas de seguridad. De hecho, el artículo segundo del mencionado Real decreto realiza una remisión expresa a la normativa de protección de datos personales cuando el sistema de información trate datos de dicha naturaleza: “Cuando un sistema de información trate datos personales le será de aplicación lo dispuesto en el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento General de Protección de Datos) y en la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales, o, en su caso, la Ley Orgánica 7/2021, de 26 de mayo, de protección de datos personales tratados para fines de prevención, detección, investigación y enjuiciamiento de infracciones penales y de ejecución de sanciones penales, el resto de normativa de aplicación, así como los criterios que se establezcan por la Agencia Española de Protección de Datos o en su ámbito competencial, por las autoridades autonómicas de protección de datos, sin perjuicio de los requisitos establecidos en el presente real decreto”. Pues bien, como puede observarse, en el caso que nos ocupa, en materia de seguridad de datos personales resulta plenamente aplicable la normativa en materia de protección de datos y, en particular, dada la naturaleza del tratamiento, la ya mencionada Ley Orgánica 7/2021, de 26 de mayo, no pudiendo limitarse la adopción de medidas para la protección de datos personales al cumplimiento de las normas relativas al Esquema Nacional de Seguridad. De hecho, la Disposición adicional primera de la LOPDGDD dictamina que el Esquema Nacional de Seguridad debe incluir las medidas que deban implantarse en caso de tratamiento de datos personales para evitar su pérdida, alteración o acceso no autorizado cuando un sistema de información trate datos personales. Este mandato lleva implícita la prevalencia que la protección de datos de carácter personal tiene como derecho fundamental sobre el Esquema Nacional de Seguridad. Así, el Esquema Nacional de Seguridad queda supeditado a la normativa de protección de datos de carácter personal y a los específicos instrumentos para valorar el riesgo respecto de los derechos y libertades de las personas físicas previstos en la normativa de protección de datos, como también se recoge, en cumplimiento de tal mandato, en el artículo 3 del Real Decreto 311/2022, al determinar que será el Esquema Nacional de Seguridad el que se deberá adaptarse a los criterios de determinación del riesgo en el tratamiento de los datos establecidos en la normativa de protección de datos, en particular por lo que aquí interesa en la LO 7/2021. Y es que, el responsable del tratamiento debe tener en cuenta toda una serie de factores tales como el estado de la técnica, los costes de aplicación, y la naturaleza, el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/12 alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas. En este contexto el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo para los derechos y libertades de las personas. En definitiva, se puede concluir que, el necesario cumplimiento de las directrices establecidas en el Esquema Nacional de Seguridad no implica, per se, el cumplimiento de las obligaciones derivadas de la normativa de protección de datos, sino que es necesario valorar, analizar y establecer medidas técnicas y organizativas que sean apropiadas al riesgo inherente a la actividad realizada. Sentado lo anterior se ha de poner de manifiesto que la POLICÍA no sólo ha acreditado el cumplimiento del Esquema Nacional de Seguridad sino la existencia de medidas organizativas, como procesos disciplinarios y políticas de formación. Así ha aportado en este sentido en su escrito de alegaciones: (
- i)un “Informe de la División de Formación y Perfeccionamiento sobre la formación en protección de datos del funcionario (...)”, que contiene la formación que recibió el funcionario en la Escuela Nacional Superior en el curso de su promoción de 1995, en el que consta que recibió formación, entre otras materias, (…). (
- ii)un informe de la Unidad de Asuntos Internos donde se recogen las medidas adoptadas contra el funcionario que incluyen actuaciones con fines penales y disciplinarios. Así, en este informe se recogen los hechos de los que trae causa la presente reclamación, así como un resumen de las actuaciones llevadas a cabo por la Unidad de Asuntos Internos en relación con los mismos. Consta que Unidad de Asuntos Internos, realizó una auditoría de bases de datos policiales y concluyó que la persona que había consultado la ficha policial de A.A.A. había sido el Policía Nacional con carné profesional número (...), que se incoaron diligencias policiales por delito de revelación de secretos al funcionario policial con carné profesional (...), que fueron remitidas al Juzgado de Instrucción en funciones de guardia de Málaga, y también se dio traslado a la Unidad de Régimen Disciplinario con el fin de depurar la responsabilidad disciplinaria. Asimismo, se ha acreditado que fruto de la auditoría interna realizada por la POLICÍA, ésta pudo constatar quien fue el policía autor de los hechos. En este orden de cosas se ha de recordar que, si bien los responsables del tratamiento deben responder de las actuaciones de sus empleados, esto no puede predicarse cuando el empleado utiliza medios propios y persigue intereses propios que se separan de los fines establecidos por el responsable del tratamiento. En estos casos, el empleado habrá actuado determinando fines y medios, que son ajenos a los determinados por el responsable. No consta, por tanto, que la pérdida de confidencialidad de los datos del reclamante se haya producido por una insuficiencia o falta de eficacia de las medidas aplicadas por la POLICÍA, ni siquiera por una falta de diligencia en su aplicación, sino por una C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/12 actuación de un funcionario autorizado que no cumplió sus obligaciones de secreto y actuó con fines propios. Por ello, en el supuesto analizado no existen evidencias que hagan posible mantener la imputación de la infracción de los artículos señalados, procediendo en consecuencia el archivo del procedimiento sancionador. Por lo tanto, la Presidencia de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: ARCHIVAR el presente procedimiento sancionar seguido contra la DIRECCIÓN GENERAL DE LA POLICÍA, con NIF S2816015H. SEGUNDO: NOTIFICAR la presente resolución a la DIRECCIÓN GENERAL DE LA POLICÍA. TERCERO: COMUNICAR la presente resolución al Defensor del Pueblo, de conformidad con lo establecido en el artículo 77.5 de la LOPDGDD. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
- a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-101224 Olga Pérez Sanjuán C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/12 La Subdirectora General de Inspección de Datos, de conformidad con el art. 48.2 LOPDGDD, por vacancia del cargo de Presidencia y Adjuntía C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es