PS-00604-2022

1/14 Expediente N.º: EXP202207781 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: A.A.A. (en adelante, la parte reclamante) con fecha 11 de julio de 2022 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra el AYUNTAMIENTO DE VALENCIA con NIF P4625200C (en adelante, la parte reclamada). Los motivos en que basa la reclamación son los siguientes: El 10 de julio de 2022 un agente de la Policía Local del Ayuntamiento de Valencia fotografió con su teléfono móvil personal ambas caras del DNI de la parte reclamante, cuando su compañero ya lo había identificado y apuntado sus datos en una libreta. SEGUNDO: De conformidad con el entonces vigente artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 14 de julio de 2022 como consta en el acuse de recibo que obra en el expediente. TERCERO: En fecha 29 de julio de 2022, la parte reclamada dio respuesta al traslado de la reclamación, en la que se afirma: - La actuación de la agente de policía que tomó la fotografía del DNI de la parte reclamante vino motivada por la dinámica de la intervención, en la que encontrándose en el ejercicio de sus funciones denunciando vehículos mal estacionados, la parte reclamante se negaba a identificarse; por ello, cuando finalmente accedió a mostrar su DNI, a fin de dar celeridad a la actuación y evitar una situación más conflictiva, temiendo que pudiera arrepentirse y retirar el documento identificativo, la agente realizó la fotografía del DNI con su teléfono particular, fotografías que una vez el otro agente recogió los datos personales en los boletines-actas de denuncia, fueron borradas del dispositivo de forma inmediata, sin hacer ningún uso de ellas. - En relación a las medidas adoptadas por la Policía Local de Valencia respecto a la toma de datos personales por agentes de este Cuerpo, mediante fotografías en C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/14 dispositivos particulares, se informa que “desde la Jefatura, reiteradamente, se han impartido instrucciones al respecto en el sentido de no tomar o recibir datos personales mediante fotografías o imágenes por dispositivos particulares. No obstante, visto lo acontecido, se está elaborando una Instrucción del Cuerpo con las indicaciones precisas al respecto y prohibición a los componentes del Cuerpo, de tomar imágenes que puedan contener datos personales en dispositivos particulares; esta Instrucción del Cuerpo, que una vez publicada, será de obligado cumplimiento so pena de incurrir en responsabilidad disciplinaria.” CUARTO: En fecha 8 de agosto de 2022 tras analizarse la documentación que obraba en el expediente, se dictó resolución por la Directora de la Agencia Española de Protección de Datos, acordando la no admisión a trámite de la reclamación. La resolución fue notificada a la parte reclamante ese mismo día, según consta acreditado en el expediente. QUINTO: En fecha 8 de agosto de 2022 la parte reclamante interpuso un recurso potestativo de reposición a través del Registro Electrónico de la AEPD, contra la resolución recaída en el expediente EXP202207781, en el que muestra su disconformidad con la resolución impugnada, argumentando que la parte reclamada ha reconocido los hechos. SEXTO: En fecha 2 de septiembre de 2022 se remitió el recurso interpuesto a la parte reclamada en el marco de lo establecido en el artículo 118.1 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP) a los efectos de que formulase las alegaciones y presentase los documentos y justificantes que estimase procedentes, lo que se ha verificado mediante escrito de respuesta de fecha 16 de septiembre de 2022, en el que se reitera lo manifestado en su respuesta al traslado de la reclamación. SÉPTIMO: En fecha 17 de octubre de 2022, la Directora de la Agencia Española de Protección de Datos dictó resolución estimando el recurso potestativo de reposición interpuesto por la parte reclamante, lo cual le fue notificado ese mismo día, según consta acreditado en el expediente. OCTAVO: Con fecha 13 de julio de 2023, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por la presunta infracción del artículo 5.1.

1. c)del RGPD y por la presunta infracción del artículo 32 del RGPD, tipificadas en el artículo 83.5 del RGPD y artículo 83.4 del RGPD, respectivamente. Este acuerdo de inicio, que se notificó a la parte reclamada conforme a las normas establecidas en la LPACAP, fue recogido en fecha 14 de julio de 2023, como consta en el acuse de recibo que obra en el expediente. NOVENO: Con fecha 24 de julio de 2023, se recibe en esta Agencia, en tiempo y forma, escrito de la parte reclamada en el que aduce alegaciones al acuerdo de inicio, en las que, en síntesis, manifestaba que: existía una contradicción en lo alegado por la parte reclamante en cuanto a que el otro agente había tomado sus datos antes de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/14 tomarse la fotografía en cuestión; que existió proporcionalidad en el accionar de la agente al realizar esa fotografía; y que la parte reclamada contaba con medidas de seguridad adecuadas al momento de producirse los hechos. DÉCIMO: Con fecha 12 de enero de 2024, el órgano instructor del procedimiento dictó propuesta de resolución en la que proponía que se declarara que la parte reclamada había infringido lo dispuesto en el artículo 5.1.
2. c)del RGPD y lo dispuesto en el artículo 32 del RGPD. Asimismo, se proponía que se ordenara a la parte reclamada que acreditara ante esta Agencia en el plazo de DOS MESES, la adopción de las medidas apropiadas para evitar que los agentes de la Policía Local del Ayuntamiento de Valencia realizaran la captación de la imagen del DNI de los particulares cuando esta captación resultara un tratamiento excesivo de los datos personales En esta propuesta de resolución se le indicaba a la parte reclamada que tenía un plazo de diez días para presentar alegaciones. Esta propuesta de resolución, que se notificó a la parte reclamada conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), fue recogida en fecha 15 de enero de 2024, como consta en el acuse de recibo que obra en el expediente. DÉCIMO PRIMERO: Notificada la citada propuesta de resolución conforme a las normas establecidas en la LPACAP y transcurrido el plazo otorgado para la formulación de alegaciones, se ha constatado que no se ha recibido alegación alguna por parte de la parte reclamada. De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS PRIMERO: El 10 de julio de 2022 un agente de la Policía Local del Ayuntamiento de Valencia fotografió con su teléfono móvil personal ambas caras del DNI de la parte reclamante. SEGUNDO: El 29 de julio de 2022 la Policía Local del Ayuntamiento de Valencia adoptó la instrucción I092022 “Utilización de dispositivos particulares de captación de imágenes y audio por parte de funcionarios de PLV”, con, entre otro, el siguiente contenido: “(…) se establece la prohibición de obtener datos de carácter personal de personas físicas o jurídicas por dispositivos particulares de grabación de imágenes y/o audios, que no estén expresamente autorizados por la Jefatura del Cuerpo de la Policía Local de Valencia. El incumplimiento de esta instrucción podría determinar, en su caso, responsabilidad disciplinaria; sin perjuicio de la administrativa, civil o penal que pudiera exigirse. (…)” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/14 FUNDAMENTOS DE DERECHO I Competencia y procedimiento De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Cuestiones previas En el presente caso, de acuerdo con lo establecido en el artículo 4.1 y 4.2 del RGPD, consta la realización de un tratamiento de datos personales, toda vez que la parte reclamada realizó la recogida de, entre otros, los siguientes datos personales de personas físicas: nombre y apellidos y número de DNI, entre otras operaciones de tratamiento. La parte reclamada realizó esta actividad en su condición de responsable del tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del RGPD. Por su parte, el artículo 5 del RGPD establece los principios del tratamiento y el artículo 32 del RGPD regula las medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado. III Alegaciones aducidas En relación con las alegaciones aducidas al acuerdo de inicio del presente procedimiento sancionador, se procede a dar respuesta a las mismas según el orden expuesto por la parte reclamada: Indica la parte reclamada que los hechos que se narran en el informe de la agente actuante el 28 de julio de 2022 contradicen los declarados por la parte reclamante en cuanto a que el otro agente actuante hubiera tomado los datos del DNI en el boletín antes de hacerse las fotografías en cuestión ya que, según consta en el Informe de la policía, estas fotos se habrían tomado con anterioridad a la toma de los datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/14 Y alega la parte reclamada que no tiene sentido que se tomen los datos del DNI y que luego se hagan fotografías del mismo, pues ya se dispondría de esa información, por lo que, por lógica, la secuencia temporal debió ser la que indicaba la agente de la policía, esto es, toma de fotografía, traslado de la información contenida en la misma al boletín de denuncia y borrado de la fotografía. Al respecto, esta Agencia desea señalar que, a los efectos del presente procedimiento sancionador, resulta irrelevante si las fotografías al DNI fueron tomadas antes o después de que el otro agente hubiera tomado nota de los datos que en él figuraban, por lo que se desestima la presente alegación. Continúa la parte reclamada analizando la proporcionalidad del medio utilizado para recopilar los datos de la parte reclamante, esto es, la toma de fotografías con un dispositivo particular de la agente actuante. Señala que la Ley Orgánica 4/2015, de 30 de marzo, de protección de la seguridad ciudadana, dispone, en su artículo 9.2 que “Todas las personas obligadas a obtener el Documento Nacional de Identidad lo están también a exhibirlo y permitir la comprobación de las medidas de seguridad a las que se refiere el apartado 2 del artículo 8 cuando fueren requeridas para ello por la autoridad o sus agentes, para el cumplimiento de los fines previstos en el apartado 1 del artículo 16”, mientras que este último artículo establece que en la identificación se respetara, entre otros, el principio de proporcionalidad y respetando la normativa de protección de datos. La parte reclamada reconoce que la toma de la fotografía a través de un dispositivo particular de la agente actuante constituye una disfunción y ha sido advertido en numerosas ocasiones, por la Jefatura de la Policía Local, antes y después de que ocurrieran los hechos. Pero alega que tal disfunción se generó, probablemente, como consecuencia de las circunstancias concurrentes (situación de tensión con el ciudadano y negativa a identificarse), lo que pudo inducir a la agente a utilizar algún medio que evitara que se prolongara esa situación y evolucionara de manera que tuvieran que adoptarse medidas más coercitivas, por lo que, aun reconociendo que el medio utilizado no era adecuado, se considera que pudo existir cierta proporcionalidad en atención a dichas circunstancias, lo que podría tenerse en cuenta por la AEPD a la hora de analizar los hechos y ponderar su ajuste al principio de minimización de datos y la correlativa inexistencia de infracción del artículo 5.1, c del RGPD. Al respecto, esta Agencia desea señalar que la propia parte reclamada reconoce que haber utilizado un teléfono particular para captar la imagen del DNI de la parte reclamante no resultó apropiado. El hecho de que se hubiera producido una situación de tensión con un particular no habilita a los agentes de la Policía Local de Valencia a hacer uso de tales dispositivos. De hecho, la Ley Orgánica 4/2014 sólo obliga a las personas a exhibir el DNI y permitir su comprobación cuando fueran requeridos para ello por la autoridad o sus agentes, de ninguna manera se habilita a estos agentes a captar imágenes con sus dispositivos particulares. Por tanto, se desestima la presente alegación. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/14 En cuanto a la tipificación de la infracción del artículo 32 del RGPD, se vuelve a insistir en que la parte reclamada sí adoptó medidas de seguridad para que no se utilizaran dispositivos particulares por parte de los miembros de la policía local, tal y como se puso de manifiesto en el informe de la Jefatura de la Policía Local, de fecha 28 de julio de 2022, que obra en el expediente, al indicarse que “En relación a las medidas adoptadas por esta Policía Local respecto a la toma de datos personales por agentes de este Cuerpo, mediante fotografías en dispositivos particulares, se ha de informar que desde la Jefatura, reiteradamente, se han impartido instrucciones al respecto en el sentido de no tomar o recibir datos personales mediante fotografías o imágenes por dispositivos particulares. No obstante, visto lo acontecido, se está elaborando una Instrucción del Cuerpo con las indicaciones precisas al respecto y prohibición a los componentes del Cuerpo, de tomar imágenes que puedan contener datos personales en dispositivos particulares; esta Instrucción del Cuerpo, que una vez publicada, será de obligado cumplimiento so pena de incurrir en responsabilidad disciplinaria.” Por lo que, considera que la parte reclamada sí había adoptado dichas medidas con carácter previo a los hechos, no obstante lo cual, tras lo acontecido, se publicó la Instrucción de Jefatura de la Policía Local de València 092022, de fecha 29 de julio de 2022, sobre utilización de dispositivos particulares de captación de imágenes y audio por parte de funcionarios de la Policía Local de València, con la advertencia de adopción de medidas disciplinarias en caso de incumplimiento, que se adjunta a las presentes alegaciones. Al respecto, esta Agencia desea señalar que no constan en el presente procedimiento evidencias de tales instrucciones impartidas a los agentes con anterioridad a haberse producido los hechos, si bien se ha incorporado a los hechos probados de la presente resolución la Instrucción de fecha 29 de julio de 2022. En cualquier caso, esta Agencia se reitera en que al momento de producirse los hechos reclamados la parte reclamada no contaba con las medidas apropiadas para evitar que un incidente como el acontecido en el presente caso tuviera lugar. Por lo que se desestima la presente alegación. IV Minimización de datos El artículo 5 “Principios relativos al tratamiento” del RGPD establece: "1. Los datos personales serán: (…)
3. c)adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados («minimización de datos»); (…)” En el presente caso, consta que un agente de la Policía Local del Ayuntamiento de Valencia realizó una fotografía del anverso y reverso del DNI de la parte reclamante con su teléfono móvil particular. Según se establece en el apartado III del “Preámbulo” de la Ley Orgánica 4/2015, de 30 de marzo, de protección de la seguridad ciudadana (LOPSC), “(…) se habilita a las autoridades competentes para acordar distintas actuaciones dirigidas al mantenimiento y, en su caso, al restablecimiento de la tranquilidad ciudadana en C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/14 supuestos de inseguridad pública, regulando con precisión los presupuestos, los fines y los requisitos para realizar estas diligencias, de acuerdo con los principios, entre otros, de proporcionalidad, injerencia mínima y no discriminación (…)”. Y así se establecen en los artículos 9.2 y 16.1 de la LOPSC, respecto de la obligación de exhibir y permitir la comprobación del DNI por parte de los agentes de las Fuerzas y Cuerpos de Seguridad del Estado. En el artículo 9, sobre las obligaciones y derechos del titular del Documento Nacional de Identidad, indica que: “2. Todas las personas obligadas a obtener el Documento Nacional de Identidad lo están también a exhibirlo y permitir la comprobación de las medidas de seguridad a las que se refiere el apartado 2 del artículo 8 cuando fueren requeridas para ello por la autoridad o sus agentes, para el cumplimiento de los fines previstos en el apartado 1 del artículo 16. De su sustracción o extravío deberá darse cuenta tan pronto como sea posible a la comisaría de Policía o puesto de las Fuerzas y Cuerpos de Seguridad más próximo”. En su artículo 16, sobre la Identificación de las personas, se establece que: “1. En el cumplimiento de sus funciones de indagación y prevención delictiva, así como para la sanción de infracciones penales y administrativas, los agentes de las Fuerzas y Cuerpos de Seguridad podrán requerir la identificación de las personas en los siguientes supuestos:
4. a)Cuando existan indicios de que han podido participar en la comisión de una infracción.
5. b)Cuando, en atención a las circunstancias concurrentes, se considere razonablemente necesario que acrediten su identidad para prevenir la comisión de un delito. En estos supuestos, los agentes podrán realizar las comprobaciones necesarias en la vía pública o en el lugar donde se hubiese hecho el requerimiento, incluida la identificación de las personas cuyo rostro no sea visible total o parcialmente por utilizar cualquier tipo de prenda u objeto que lo cubra, impidiendo o dificultando la identificación, cuando fuere preciso a los efectos indicados. En la práctica de la identificación se respetarán estrictamente los principios de proporcionalidad, igualdad de trato y no discriminación por razón de nacimiento, nacionalidad, origen racial o étnico, sexo, religión o creencias, edad, discapacidad, orientación o identidad sexual, opinión o cualquier otra condición o circunstancia personal o social.” Por tanto, las Fuerzas y Cuerpos de Seguridad del Estado pueden tratar los datos personales de los ciudadanos para la prevención, investigación, detección o enjuiciamiento de infracciones penales y para el desempeño de las funciones de interés público que les son propias. No obstante, estos tratamientos deben ser realizados respetando en todo momento, lo establecido en la normativa vigente en materia de protección de datos de carácter personal, el RGPD y la LOPDGDD, respectivamente. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/14 La utilización de un teléfono móvil particular para la captación de la imagen del DNI de un ciudadano no está amparada ni por la normativa específica aplicable a los Cuerpos y Fuerzas de Seguridad del Estado ni por la normativa de protección de datos personales. En el artículo 5 del RGPD se establecen los principios relativos al tratamiento de los datos personales por el responsable y/o encargado de los mismos y en su apartado 1.
6. c)se especifica que, “el tratamiento de los datos personales debe ser adecuado, pertinente y limitado a lo necesario en relación con los fines para los que son tratados”, conocido como el principio de “minimización de datos”. Cabe aclarar que este artículo no limita el uso de un número elevado de datos, si no la necesidad de los mismos en atención a la finalidad del tratamiento. Es decir, los datos personales serán “adecuados, pertinentes y limitados a la necesidad” para la que fueron recabados, de tal manera que, si el objetivo perseguido podría haberse alcanzado por otro medio, sin realizar un tratamiento excesivo de datos, como en el presente caso, la realización de la fotografía de DNI, el mismo debería haberse utilizado en todo caso. Así lo marca también en el considerando 39 del RGPD, cuando indica que: “Los datos personales solo deben tratarse si la finalidad del tratamiento no pudiera lograrse razonablemente por otros medios.” Por tanto, únicamente se tratarán los datos que sean, “adecuados, pertinentes y no excesivos en relación con el fin para el que se obtienen o tratan”. Las categorías de datos seleccionados para su tratamiento deben ser los estrictamente necesarios para lograr el objetivo declarado y el responsable del tratamiento debe limitar estrictamente la recogida de datos a aquella información que esté directamente relacionada con el fin específico que se intenta alcanzar. El hecho de que una agente de policía realizara una fotografía al DNI de la parte reclamante, es un supuesto un tratamiento excesivo de los datos personales, contrario al principio de “minimización de datos”, (art. 5.1.
7. c)RGPD), al considerar que la situación existente en ese momento posibilitaba la realización de una recogida de datos menos invasiva. Si bien las fuerzas y cuerpos de seguridad precisan identificar a los ciudadanos en el ejercicio de sus funciones, para ello no es necesario captar la imagen de su DNI, sino que es suficiente con su mera exhibición y, en su caso, anotación. Por tanto, de conformidad con las evidencias de las que se dispone en el presente momento de resolución del procedimiento sancionador, se considera que los hechos conocidos son constitutivos de una infracción, imputable a la parte reclamada, por vulneración del artículo 5.1.
8. c)del RGPD. V Tipificación y calificación de la infracción del artículo 5.1.
9. c)del RGPD La citada infracción del artículo 5.1.
10. c)del RGPD supone la comisión de las infracciones tipificadas en el artículo 83.5 del RGPD que bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/14 “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
11. a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9; (…)” A efectos del plazo de prescripción, el artículo 72 “Infracciones consideradas muy graves” de la LOPDGDD indica: “1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
12. a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679. (…) VI Seguridad del tratamiento El Artículo 32 “Seguridad del tratamiento” del RGPD establece: “1. Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, que en su caso incluya, entre otros: a)la seudonimización y el cifrado de datos personales; b)la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento; c)la capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente físico o técnico; d)un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento. 2. Al evaluar la adecuación del nivel de seguridad se tendrán particularmente en cuenta los riesgos que presente el tratamiento de datos, en particular como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos. 3. La adhesión a un código de conducta aprobado a tenor del artículo 40 o a un mecanismo de certificación aprobado a tenor del artículo 42 podrá servir de elemento para demostrar el cumplimiento de los requisitos establecidos en el apartado 1 del presente artículo. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/14 4. El responsable y el encargado del tratamiento tomarán medidas para garantizar que cualquier persona que actúe bajo la autoridad del responsable o del encargado y tenga acceso a datos personales solo pueda tratar dichos datos siguiendo instrucciones del responsable, salvo que esté obligada a ello en virtud del Derecho de la Unión o de los Estados miembros”. El RGPD, en su artículo 32, exige a los responsables del tratamiento la adopción de las correspondientes medidas de seguridad de índole técnica y organizativa necesarias que garanticen que el tratamiento es conforme a la normativa vigente, así como garantizar que cualquier persona que actúe bajo la autoridad del responsable o del encargado y tenga acceso a datos personales solo los pueda tratar siguiendo instrucciones del responsable. Por otra parte, el Considerando