← España

PS-00626-2014

1/18  Expediente Nº: PS/00626/2014 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos a la entidad SINDICAT DE POLICIES DE CATALUNYA, y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha de 12/11/2013, tuvo entrada en esta Agencia un escrito de la entidad Autoridad Catalana de Protección de Datos que da traslado de una denuncia formulada contra el SINDICAT DE POLICIES DE CATALUNYA (en lo sucesivo SPC, el Sindicato o la entidad reclamada), con fecha 02/11/2013, por falta de medidas de seguridad en los sistemas de información de dicha entidad que ha permitido al grupo “Anonymous” acceder a los datos personales de los miembros del Sindicato. Señala la Autoridad Catalana de Protección de Datos que el denunciante ha expresado su deseo de ejercer el derecho de oposición a que sus datos personales sean revelados a la entidad denunciada. Según la traducción aportada por la Autoridad Catalana de Protección de Datos, el contenido de la denuncia es el siguiente: (…) Según ha informado SPC, el martes pasado día 22/10/2013, el SPC fue objeto de la substracción de datos personales de (…), por parte de ANONYMOUS (hackers). (…) …me gustaría que pudieran descubrir mediante inspección o similar si los archivos que posee el SPC y en concreto los sustraídos, tiene el nivel informático adecuado. Anonymous hará público estos datos con todo el problema de seguridad que comporta…”. SEGUNDO: A la vista de los hechos denunciados, en fase previa de investigación, por los Servicios de Inspección de esta Agencia se realizaron las siguientes actuaciones: 1. En el Registro General de Protección de Datos, a fecha 23/12/2013, figuraba inscrito el fichero automatizado denominado “***FICHERO.1”, cuya titularidad correspondía a la entidad SPC. (…). 2. Mediante diligencia de los Servicios de Inspección de la AEPD, de fecha 27/01/2014, se incorpora a las actuaciones el resultado del acceso realizado a la página web con URL ***URL.1, en la que se da cuenta de una presunta intromisión en C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/18 el sitio web del SPC “spc-me.cat”. En esta página figura la siguiente información: “(…)”. Se detallan los datos personales relativos a (…) de 18 personas, supuestos agentes de la “Brigada Móvil de Antidisturbios” (BRIMO). Se incluye, además, un enlace a la URL ***URL.2. Se accede a esta URL y se comprueba que en la misma figura una imagen en la que aparece una primera línea con la indicación (…). Por los Servicios de Inspección de la AEPD se contrastan ambas listas comprobando que no figuran en las mismas personas comunes. 3. En fecha 04/06/2014 se realizó una visita de inspección a la entidad SPC. Durante este acto, en relación con la aparición en Internet de noticias sobre una intrusión en sus sistemas de información por parte de terceros no identificados y la posterior difusión de datos personales de miembros del sindicato a través de Internet, los representantes del SPC realizaron las siguientes manifestaciones:

  1. a)En el momento de la intrusión en los sistemas del SPC, se disponía de dos sistemas separados, un servidor web, alojado en las instalaciones de la empresa que le prestaba servicio de hosting a SPC, y una intranet, (…).
  2. b)En fecha 23/10/2013, SPC recibió una llamada de la (…) informándoles que estaban siendo objeto de un ataque, por lo que sugerían desconectar sus servidores de Internet.
  3. c)Del análisis de los logs del servidor web se ha comprobado que quedaron comprometidos (…). (…). Tras cada aparición de dichos datos en Internet, la entidad SPC informaba de ello a los Mossos d’Escuadra, con el fin de que los datos fuesen eliminados, como así ocurría en cada ocasión.
  4. d)Posteriormente se pudo verificar la existencia de dos ataques más, en enero de 2014, que fracasaron ante las medidas de seguridad implantadas, si bien se publicaron en Internet datos obtenidos en el primer ataque, mostrándose en Internet como si los posteriores ataques hubiesen tenido éxito.
  5. e)(…).
  6. f)En el momento de la intrusión el servidor web estaba alojado en la empresa que le prestaba servicio de hosting, siendo parado tras la intrusión, manteniéndose en ese estado y siendo accesible únicamente desde un ordenador del sindicato, a fin de que esté accesible única y exclusivamente para la investigación judicial en curso.
  7. g)(…).
  8. h)(…). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/18 4. Durante la Inspección referida, los inspectores de la Agencia solicitaron al representante de SPC que les permitiera el acceso a los sistemas de información para la realización de las siguientes comprobaciones:
  9. a)Se accede a un log del sistema atacado de fecha 23/10/2013, recabándose copia del mismo. (…).
  10. b)Se solicita el acceso a la tabla (…) que resultó comprometida. Informan los representantes de la entidad que no está montada, por lo que se procede a extraer una copia del fichero que se encontraba disponible en la entidad. Se procede a realizar sobre dicha tabla una consulta respecto de los agentes con TIP que constan en la publicación aparecida en “***URL.3” no encontrándose ninguno de ellos en la base de datos, (…).
  11. c)Se solicita el acceso a la base de datos de afiliados y se realiza una consulta de los afiliados con idéntico criterio a la consulta anterior, (…).
  12. d)(…). Manifiestan los representantes del sindicato que dicha imagen ha aparecido frecuentemente publicada en Internet y no se trata de datos obtenidos del mismo sino de datos que fueron obtenidos del Diario Oficial de la Generalitat de Cataluña (DOGC), en el que hasta hace unos cinco años se publicaban los datos de oposiciones y concursos a agentes de los Mossos d’Esquadra. 5. (…). En uno de los documentos que se incorporan al Acta de Inspección consta la referencia a unas Diligencias Previas seguidas ante el Juzgado de Instrucción núm. X de ***LOCALIDAD.1, que tienen por objeto el ataque informático sufrido por el servidor que aloja las webs del SPC, según se indica en dicho documento, el cual corresponde a la solicitud que dirige al citado Juzgado una entidad tercera solicitando su personación como acusación particular. Asimismo, entre los documentos adjuntos al Acta de Inspección consta una declaración efectuada por el (…) ante la Direcció General de la Policía, del Departament d’Interior de la Generalitat de Catalunya, de fecha 25/10/2013. En esta declaración, el compareciente manifiesta que el SPC dispone de varias páginas web relacionadas con su actividad, alojadas en un servidor de la entidad que le presta servicio de hosting, (…). Entre las páginas de la entidad reclamada figura la página “spc-me.cat”. Según se indica en dicha declaración esta página cuenta con información sindical a la que acceden los afiliados mediante usuario y contraseña. (…). Seguidamente, en dicha declaración se da cuenta de la intrusión al servidor del día 23/10/2013, a las 19:00 horas, y de la publicación en la dirección ***URL.4 de información contenida en la base de datos del servidor del sindicato. Se indica que (…) comprobó el acceso ilícito y la obtención de la información publicada en “***URL.3”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/18 TERCERO: Con fecha 07/11/2014, el Director de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la entidad SPC, por la presunta infracción del artículo 9 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como grave en el artículo 44.3.
  13. h)de la citada Ley Orgánica, pudiendo ser sancionada con multa de 40.001 a 300.000 euros, de acuerdo con el artículo 45.X de la misma norma. CUARTO: Durante las actuaciones previas de investigación desarrolladas por los Servicios de Inspección de la Agencia Española de Protección de Datos, se tuvo conocimiento de las Diligencias Previas seguidas por los mismos hechos en el Juzgado de Instrucción núm. X de ***LOCALIDAD.1, (…). QUINTO: Con motivo de la tramitación de Diligencias Previas (…) que se tramitaron por el Juzgado de Instrucción núm. X de ***LOCALIDAD.1, y considerando la vinculación de esas actuaciones que se desarrollaban en el orden jurisdiccional penal con las que dieron lugar a la apertura del presente procedimiento sancionador, con fecha 20/11/2014, el Directora de la Agencia Española de Protección de Datos acordó suspender la tramitación del procedimiento de referencia, al apreciar la existencia de identidad de sujeto, hecho y fundamento entre las presuntas infracciones administrativas y la presunta infracción penal objeto de tales Diligencias Previas, de conformidad con lo preceptuado en el artículo 7 del Reglamento del procedimiento para el ejercicio de la potestad sancionadora, aprobado por Real Decreto 1398/1993, de 4 de agosto. SEXTO: Con fecha 22/03/2021 se recibió información del Juzgado de Instrucción núm. X de ***LOCALIDAD.1, en la que se indica que aquellas Diligencias Previas fueron remitidas al Juzgado de lo Penal nº.XX de ***LOCALIDAD.1 para su enjuiciamiento, dando lugar a su (…). En consecuencia, mediante escrito fechado el 19/04/2021, se solicitó de ese Juzgado de lo Penal nº XX que informase a esta Agencia Española de Protección de Datos sobre la situación del mencionado Procedimiento Abreviado y el traslado de los acuerdos que hubiesen podido adoptarse al respecto. SÉPTIMO: Con fecha 24/11/2021, se recibe escrito del Juzgado de lo Penal nº XX de ***LOCALIDAD.1 remitiendo copia de la sentencia judicial firme recaída. (…). En relación con el acceso a los sistemas del SPC, la Sentencia considera probada la comisión de un delito continuado de descubrimiento y revelación de secretos por uno de los acusados. En esta Sentencia, se tienen por probados los hechos siguientes: “(…)”. En esta Sentencia, se acuerda la devolución de los efectos informáticos intervenidos, previo borrado de su contenido. OCTAVO: Teniendo en cuenta la Sentencia reseñada en el Antecedente Séptimo, se estimó procedente reanudar la tramitación del procedimiento sancionador PS/006X6/X014, dictándose por la Directora de la AEPD acuerdo de 03/12/2021 por el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/18 que se levanta la suspensión del citado procedimiento sancionador, de acuerdo con lo estipulado en el artículo 7.2 del citado Reglamento del procedimiento para el ejercicio de la potestad sancionadora (vigente en el momento de producirse los hechos y en la apertura del procedimiento), interpretado contrario sensu, que determina: “(...) y si se estima que existe identidad de sujeto, hecho y fundamento entre la infracción administrativa y la infracción penal que pudiera corresponder, el órgano competente para la resolución del procedimiento acordará su suspensión hasta que recaiga resolución judicial”. Con este motivo, se concedió a la entidad SPC un plazo de quince días hábiles para que formulasen las alegaciones y propuesta de prueba que considerasen convenientes, así como para ejercitar el derecho a la audiencia. NOVENO: Con fecha 22/12/2021, se recibió escrito de alegaciones de la entidad SPC en el que solicita el archivo de las actuaciones, por inexistencia de infracción y de responsabilidad de la reclamada. Basa su petición en las consideraciones siguientes: 1. Los Hechos Probados de la Sentencia dictada por el Juzgado de lo Penal nº XX de ***LOCALIDAD.1, de XXXXXXX, describen un “(…)” (adjunta copia de la Sentencia). X. No concurren en el presente proceso los elementos precisos para entender que existe responsabilidad por parte de la entidad SPC en la vulneración de lo dispuesto en el artículo 9 de la LOPD. No se trata del acceso por un particular a zonas de datos reservados, sino de un acceso delictivo perpetrado por “hackers especializados”, mediante un ataque complejo, perfectamente definido en la sentencia citada. El SPC ha adoptado las medidas de seguridad técnicas y organizativas necesarias y apropiadas para garantizar la seguridad de los datos de carácter personal registrados en sus ficheros frente a terceros, sin que obre en el expediento elemento suficiente indicativo de lo contrario. La entidad reclamada no puede responder cuando existe una actitud activa, intrusiva y delictiva por parte de un grupo de hackers (Anonymus) ya condenados en la jurisdicción penal. A este respecto, cita la Sentencia de la Audiencia nacional de 25/02/2010, destacando la declaración siguiente: “…aún cuando el artículo 9 de la LOPD establece una obligación de resultado, consistente en que se adopten las medidas necesarias para evitar que los datos se pierdan, extravíen o acaben en manos de terceros, tal obligación no es absoluta…., el resultado es consecuencia de una actividad de intrusión, no amparada por el ordenamiento jurídico y en tal sentido ilegal, de un tercero con altos conocimientos técnicos informáticos que rompiendo los sistemas de seguridad establecidos accede a la base de datos de usuarios,…, y tales hechos, no pueden imputarse a la entidad recurrente pues, de otra forma, se vulneraria el principio de culpabilidad”. También la Sentencia de la Audiencia Nacional de 28/06/2006 que, según la reclamada, precisa en mayor medida la cuestión anteriormente apuntada, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/18 especificando que el precepto establece una obligación de resultado, y las medidas deberán ser suficientes para garantizar la confidencialidad de los datos de los usuarios ante terceros: “No basta, entonces, con la adopción de cualquier medida, pues deben ser las necesarias para garantizar aquellos objetivos que marca el precepto. Y por supuesto, no basta con la aprobación formal de las medidas de seguridad, pues resulta exigible que aquellas se instauran y pongan en marcha de manera efectiva. Así de nada sirve unas instrucciones detalladas sobre el modo de proceder para la recogida y destrucción de documentos que contengan datos personales, si luego no se exige a los empleados del banco la observancia de aquellas instrucciones. Se impone una obligación de resultado, consistente en que se adopten las medidas necesarias para evitar que los datos se pierdan, extravíen o acaben en manos de terceros. (…) y por tanto debe dar una explicación adecuada y razonable de cómo los datos han ido a para a un lugar en el que son susceptibles de recuperación por parte de terceros, siendo insuficiente con acreditar que se adoptan una serie de medidas, pues también es responsable de que las mismas se cumplan y se ejecuten con rigor” . A este respecto, indica la reclamada que se trata de supuestos opuestos al analizado en las actuaciones, en el que se ejecuta por parte de unos hackers el acceso ilegitimo a la base de datos, no siendo simplemente cualquier “tercero”, como en el supuesto que trata la sentencia, donde un simple usuario del banco podía acceder a sus a los datos personales de otros clientes. En ese supuesto evidentemente las medidas eran insuficientes, pero no en el presente. Plantea, por otra parte, la reclamada si estos expedientes se incoan a grandes empresas o administraciones que sufren habitualmente de intromisiones ilegítimas por parte de delincuencia organizada especializada en esta clase de sustracción de datos. En relación con los artículos 91 y 93 de la LOPD, que se citan en el acuerdo de apertura del procedimiento, señala que estos preceptos se refieren a medidas dirigidas a la identificación con seguridad del usuario, que la entidad SPC tenía implementadas y que no constan infringidas; y advierte finalmente que no se indica en dicho acuerdo a qué medidas se hace referencia. En todo caso, añade, tales medidas se refieren a un deber de cuidado ordinario, frente a terceros no especializados en este tipo de intromisiones delictivas, como sucede en el presente caso. DÉCIMO: Con fecha 22/02/2022, se acordó por el instructor del procedimiento la apertura del período de práctica de pruebas, teniéndose por reproducidas a efectos probatorios la denuncia interpuesta los documentos obtenidos y generados por los Servicios de Inspección ante la entidad SPC, y el Informe de actuaciones previas de Inspección. Asimismo, se tuvieron por presentadas las alegaciones a la apertura del procedimiento formuladas por la entidad citada y la documentación que a ellas acompaña. DECIMOPRIMERO: Con fecha 21/03/2022, se emitió propuesta de resolución en el sentido de que por la Directora de la Agencia Española de Protección de Datos se sancione a la entidad SPC con multa de 40.001 euros (cuarenta mil un euros) por la infracción del artículo 9 de la LOPD, tipificada como grave en el artículo 44.3.
  14. h)de la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/18 citada Ley Orgánica, y de conformidad con lo establecido en el artículo 45.2 y 4 de la misma norma. Notificada la citada propuesta, se recibió escrito de alegaciones de la entidad SPC en el que solicita el archivo de las actuaciones “por inexistencia de infracción ni responsabilidad y prescripción de la presunta infracción”. Basa su petición en las consideraciones siguientes: . El supuesto de hecho no es subsumible como sanción grave prevista en el artículo 44.3.h), que “no se refiere a ataques por parte de terceros con conocimientos técnicos que permitan asaltar webs y sistemas, con condiciones de seguridad normales o medias, para cualquier usuario. El precepto regula la obligación de proteger los datos de personas que no tengan como finalidad delictiva la apropiación de datos y precisamente su publicación, y de accesos no autorizados ordinarios”. A este respecto, la entidad SPC se ratifica en el contenido de las alegaciones formuladas a la apertura del procedimiento. . Según la entidad reclamada, la propuesta de resolución indica, en resumen, “que el ataque informático es indiferente, pues lo fundamental es que no se hubieran adoptado herramientas adecuadas para evitar los intentos reiterados de usuarios no autorizados al sistema. Por tanto, teniendo esa información con carácter previo a acordar la suspensión del proceso del proceso penal que derivó de los hechos, resulta ser que nos encontramos ante un supuesto de evidente prescripción de la infracción, en tanto la AEPD paralizó un proceso innecesariamente y de oficio, por unos hechos que no tenían relevancia para la existencia de la infracción, según los propios argumentos sostenidos en la propuesta”. De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS 1. En el Registro General de Protección de Datos, a fecha 23/12/2013, figuraba inscrito el fichero automatizado denominado “***FICHERO.1”, cuya titularidad correspondía a la entidad SPC. (…). X. La entidad SPC es titular de varias páginas web. Entre ellas, la página “XXXXXX”. Según declaraciones del (…) ante la Direcció General de la Policía, del Departament d’Interior de la Generalitat de Catalunya, de fecha 25/10/X013, esta página cuenta con información sindical a la que acceden los afiliados mediante usuario y contraseña. 3. Según las manifestaciones realizadas por los representantes de la entidad SPC a los Servicios de Inspección de la AEPD, en octubre de 2013 el sistema de información de dicha entidad se encontraba alojado en un único servidor de la empresa que en ese momento le prestaba servicio de hosting. (…). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/18 4. Con fecha 23/10/2013, el servidor que alojaba el sistema de información de la entidad SPC sufrió un ataque informático llevado a cabo por terceros desconocidos. En visita de inspección de fecha 04/06/2014, los Servicios de Inspección de la AEPD pudieron acceder a un log del sistema atacado, de 23/10/2013, (…). En la declaración efectuada por el (…) ante la Direcció General de la Policía, del Departament d’Interior de la Generalitat de Catalunya, de fecha 25/10/2013, se dio cuenta de la intrusión al servidor del día 23/10/2013, a las 19:00 horas. Los representantes de la entidad SPC manifestaron a los Servicios de Inspección de la AEPD que (…) y que del análisis de los logs del servidor web, se comprobó que (…). 5. En la declaración efectuada por el (…) ante la Direcció General de la Policía, del Departament d’Interior de la Generalitat de Catalunya, de fecha 25/10/2013, se dio cuenta de la publicación en la dirección ***URL.4 de información contenida en la base de datos del servidor que alojaba la información de la entidad SPC. Se indica que (…) comprobó el acceso ilícito y la obtención de la información publicada en “***URL.3”. Asimismo, los representantes de la entidad SPC manifestaron a los Servicios de Inspección de la AEPD (…). Informaron, además, que la entidad SPC denunciaba estas publicaciones, con el fin de que los datos fuesen eliminados, como así ocurría en cada ocasión. 6. (…). FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
  15. g)en relación con el artículo 36 de la LOPD. II La entidad SPC ha alegado la prescripción de la infracción señalando que la AEPD paralizó el procedimiento innecesariamente por unos hechos que no tenían relevancia para la existencia de infracción, toda vez que la Agencia considera que “el ataque informático es indiferente, pues lo fundamental es que no se hubieran adoptado herramientas adecuadas para evitar los intentos reiterados de a usuarios no autorizados al sistema”. Entiende, por ello, la reclamada que esta Agencia ya tenía esa información antes de proceder a la suspensión y que ésta no procedía. En este caso, se imputa a SPC una infracción calificada como grave, por vulneración de lo establecido en el artículo 9 de la LOPD. Sobre las infracciones graves, el artículo 47 de la citada Ley Orgánica establece que prescribirán a los dos años, contados desde el día en que la infracción se hubiera cometido. Según este precepto, la iniciación del procedimiento sancionador, con conocimiento del interesado, interrumpe C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/18 la prescripción, reanudándose el cómputo del plazo si el expediente sancionador estuviere paralizado durante más de seis meses por causas no imputables al presunto infractor. Lo mismo se establece en el artículo 132.2 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (en lo sucesivo LRJPAC), según el cual, “El plazo de prescripción de las infracciones comenzará a contarse desde el día que la infracción se hubiera cometido. Interrumpirá la prescripción la iniciación, con conocimiento del interesado, del procedimiento sancionador”. En el presente caso, los hechos valorados en las presentes actuaciones, relacionados con un acceso por parte de terceros a la base de datos personales de la entidad SPC, tuvieron lugar en fecha 23/10/2013. Así, considerando que el plazo de prescripción comienza a contarse el día en que se cometió la presunta infracción, en el presente caso el “dies a quo” del cómputo prescriptivo debe fijarse en día 23/10/2013, resultando que la posible infracción denunciada, considerando su calificación, no había prescrito en el momento en que se notificó a SPC la apertura del presente procedimiento sancionador, en fecha 12/11/2014, al no haber transcurrido el plazo de dos años dispuesto en el mencionado artículo 47.1 de la LOPD para la prescripción de las infracciones graves. No obstante, durante las actuaciones previas de investigación se tuvo conocimiento de las Diligencias Previas seguidas por los mismos hechos en el Juzgado de Instrucción núm. X de ***LOCALIDAD.1, (…). Fueron los propios representantes de la entidad reclamada los que informaron a los Servicios de Inspección que la entidad SPC formuló una denuncia en fecha 25/10/2013, dos días después del acceso a la base de datos, y aportaron la declaración efectuada en esa fecha por (…) ante la Direcció General de la Policía, del Departament d’Interior de la Generalitat de Catalunya, en la que se da cuenta de la intrusión al servidor del día 23/10/X013, a las 19:00 horas, y de la publicación en la dirección ***URL.4 de información contenida en la base de datos del servidor del sindicato. Aportaron, asimismo, un documento que hace referencia a las actuaciones seguidas en el citado Juzgado y a su objeto (ataque informático sufrido por el servidor que aloja las webs del SPC), que consta incorporado al Acta de Inspección de fecha 04/06/X014. En concreto, se trata de una solicitud de personación como acusación particular que dirige al Juzgado una entidad tercera (la responsable del funcionamiento de dichas webs). Con este motivo, se acordó suspender el procedimiento sancionador y dirigir al Juzgado de Instrucción núm. X de ***LOCALIDAD.1 la consulta a la que se refiere el artículo 7.1 del Reglamento del procedimiento para el ejercicio de la potestad sancionadora, aprobado por Real Decreto 1398/1993, de 4 de agosto, vigente en el momento de producirse los hechos y en la apertura del procedimiento (“En estos supuestos, así como cuando los órganos competentes tengan conocimiento de que se está desarrollando un proceso penal sobre los mismos hechos, solicitarán del órgano C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/18 judicial comunicación sobre las actuaciones adoptadas”). Hasta en seis ocasiones se consultó al Juzgado de Instrucción indicado y al Juzgado de lo Penal al que se remitieron las Diligencias para su enjuiciamiento sobre el estado de tramitación de las actuaciones y las decisiones adoptadas, así como los detalles sobre la identidad de sujeto, hecho y fundamentos entre la presunta infracción administrativa y la infracción penal que pudiera corresponder. Ninguna respuesta se recibió a estas consultas, salvo la remisión de copia de la sentencia judicial firme recaída, que consta reseñada en el Antecedente Séptimo. En ese momento se acordó levantar la suspensión del procedimiento y reanudar su tramitación de acuerdo con lo estipulado en el artículo 7.2 del citado Reglamento del procedimiento para el ejercicio de la potestad sancionadora, interpretado contrario sensu, que determina: “(...) y si se estima que existe identidad de sujeto, hecho y fundamento entre la infracción administrativa y la infracción penal que pudiera corresponder, el órgano competente para la resolución del procedimiento acordará su suspensión hasta que recaiga resolución judicial”. De acuerdo con lo expuesto, la alegación efectuada por SPC sobre la prescripción de la infracción debe ser desestimada. III Se imputa a la entidad SPC el incumplimiento del principio de seguridad de los datos personales que constan en sus ficheros. El Artículo 7 del Convenio Nº 108 del Consejo de Europa, para la protección de las personas con respecto al tratamiento automatizado de datos de carácter personal, establece: “Seguridad de los datos: Se tomarán medidas de seguridad apropiadas para la protección de datos de carácter personal registrados en ficheros automatizados contra la destrucción accidental o no autorizada, o la pérdida accidental, así como contra el acceso, la modificación o la difusión no autorizados”. El Artículo 17.1 de la Directiva 95/46/CE relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, establece: “Seguridad del tratamiento: 1. Los Estados miembros establecerán la obligación del responsable del tratamiento de aplicar las medidas técnicas y de organización adecuadas, para la protección de los datos personales contra la destrucción, accidental o ilícita, la pérdida accidental y contra la alteración, la difusión o el acceso no autorizados, en particular cuando el tratamiento incluya la transmisión de datos dentro de una red, y contra cualquier otro tratamiento ilícito de datos personales. Dichas medidas deberán garantizar, habida cuenta de los conocimientos técnicos existentes y del coste de su aplicación, un nivel de seguridad apropiado en relación con los riesgos que presente el tratamiento y con la naturaleza de los datos que deban protegerse”. La LOPD, traspuso al ordenamiento interno el contenido de la Directiva 95/46/CE. En el artículo 9 de la citada LOPD se dispone lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/18 “1. El responsable del fichero, y, en su caso, el encargado del tratamiento, deberán adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten la alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural. X. No se registrarán datos de carácter personal en ficheros que no reúnan las condiciones que se determinen por vía reglamentaria con respecto a su integridad y seguridad y a las de los centros de tratamiento, locales, equipos, sistemas y programas. 3. Reglamentariamente se establecerán los requisitos y condiciones que deban reunir los ficheros y las personas que intervengan en el tratamiento de los datos a que se refiere el artículo 7 de esta Ley”. El trascrito artículo 9 de la LOPD establece el “principio de seguridad de los datos” imponiendo la obligación de adoptar las medidas de índole técnica y organizativa que garanticen dicha seguridad, añadiendo que tales medidas tienen como finalidad evitar, entre otros aspectos, el “acceso no autorizado” por parte de terceros. Para poder delimitar cuáles sean los accesos que la Ley pretende evitar exigiendo las pertinentes medidas de seguridad es preciso acudir a las definiciones de “fichero” y “tratamiento” contenidas en la LOPD. En lo que respecta al concepto de “fichero” el artículo 3.
  16. b)de la LOPD lo define como “todo conjunto organizado de datos de carácter personal”, con independencia de la modalidad de acceso al mismo. Por su parte el artículo 3.
  17. c)de la citada Ley Orgánica considera tratamiento de datos cualquier operación o procedimiento técnico que permita, en lo que se refiere al objeto del presente procedimiento, la “comunicación” o “consulta” de los datos personales, tanto si las operaciones o procedimientos de acceso a los datos son automatizados o no. Para completar el sistema de protección en lo que a la seguridad afecta, el artículo 44.3.
  18. h)de la LOPD tipifica como infracción grave el mantener los ficheros “...que contengan datos de carácter personal sin las debidas condiciones de seguridad que por vía reglamentaria se determinen”. Sintetizando las previsiones legales puede afirmarse que:
  19. a)Las operaciones y procedimientos técnicos automatizados o no, que permitan el acceso, –la comunicación o consulta- de datos personales, es un tratamiento sometido a las exigencias de la LOPD.
  20. b)Los ficheros que contengan un conjunto organizado de datos de carácter personal, así como el acceso a los mismos, cualquiera que sea la forma o modalidad en que se produzca, están también sujetos a la LOPD.
  21. c)La LOPD impone al responsable del fichero la adopción de medidas de seguridad, cuyo detalle se remite a normas reglamentarias, que eviten accesos no autorizados.
  22. d)El mantenimiento de ficheros carentes de medidas de seguridad que permitan accesos o tratamientos no autorizados, cualquiera que sea la forma o modalidad de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/18 éstos, constituye una infracción tipificada como grave. Las medidas de seguridad se clasifican en atención a la naturaleza de la información tratada, esto es, en relación con la mayor o menor necesidad de garantizar la confidencialidad y la integridad de la misma. Dichas medidas, en el caso que nos ocupa, deben salvaguardar la confidencialidad y seguridad de los datos de carácter personal contenidos en el fichero “***FICHERO.1” del que es responsable la entidad SPC, correspondiendo adoptar las de nivel alto en atención al tipo de información que contiene, tal como se especifica en el artículo 80 del RD 1720/2007, de X1 de diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. Las medidas de seguridad de nivel básico están reguladas en los artículos 89 a 94, las de nivel medio se regulan en los artículos 95 a 100 y las medidas de seguridad de nivel alto se regulan en los artículos 101 a 104, del Reglamento de desarrollo de la LOPD. Según el artículo 81.3 del citado Reglamento, a los ficheros de nivel de seguridad alto se aplicarán las medidas de nivel alto, además de las medidas de nivel básico y medio. Entre estos ficheros figuran los que se refieran a datos de afiliación sindical. Los artículos 91 y 93 del citado Reglamento, aplicable a todos los ficheros y tratamientos automatizados, se refieren al acceso a los ficheros y establecen lo siguiente: “Artículo 91. Control de acceso. 1. Los usuarios tendrán acceso únicamente a aquellos recursos que precisen para el desarrollo de sus funciones. X. El responsable del fichero se encargará de que exista una relación actualizada de usuarios y perfiles de usuarios, y los accesos autorizados para cada uno de ellos. 3. El responsable del fichero establecerá mecanismos para evitar que un usuario pueda acceder a recursos con derechos distintos de los autorizados. 4. Exclusivamente el personal autorizado para ello en el documento de seguridad podrá conceder, alterar o anular el acceso autorizado sobre los recursos, conforme a los criterios establecidos por el responsable del fichero. 5. En caso de que exista personal ajeno al responsable del fichero que tenga acceso a los recursos deberá estar sometido a las mismas condiciones y obligaciones de seguridad que el personal propio”. Este artículo desarrolla las previsiones que deberá establecer el responsable del fichero para garantizar que los usuarios con accesos a datos personales o recursos, por haber sido previamente autorizados, sólo puedan acceder a tales datos y recursos. Para ello es necesario que se implanten mecanismos de control para evitar que un usuario pueda acceder a datos o funcionalidades que no se correspondan con el tipo de acceso autorizado para el mismo, en función del perfil de usuario asignado. “Artículo 93. Identificación y autenticación. 1. El responsable del fichero o tratamiento deberá adoptar las medidas que garanticen la correcta identificación y autenticación de los usuarios. X. El responsable del fichero o tratamiento establecerá un mecanismo que permita la identificación de forma inequívoca y personalizada de todo aquel usuario que intente acceder al sistema de información y la verificación de que está autorizado. 3. Cuando el mecanismo de autenticación se base en la existencia de contraseñas existirá un procedimiento de asignación, distribución y almacenamiento que garantice su confidencialidad C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/18 e integridad. 4. El documento de seguridad establecerá la periodicidad, que en ningún caso será superior a un año, con la que tienen que ser cambiadas las contraseñas que, mientras estén vigentes, se almacenarán de forma ininteligible”. El artículo 5.X.
  23. b)del citado Reglamento define la “autenticación” como el procedimiento de comprobación de la identidad de un usuario; y el mismo artículo, letra h), se refiere a la “identificación” como el procedimiento de reconocimiento de la identidad de un usuario. Corresponde al responsable del fichero o tratamiento comprobar la existencia de la autorización exigida en el citado artículo 91, con un proceso de verificación de la identidad de la persona (autenticación) implantando un mecanismo que permita acceder a datos o recursos en función de la identificación ya autenticada. Cada identidad personal deberá estar asociada con un perfil de seguridad, roles y permisos concedidos por el responsable del fichero o tratamiento. A partir del nivel medio de seguridad, “el responsable del fichero o tratamiento establecerá un mecanismo que limite la posibilidad de intentar reiteradamente el acceso no autorizado al sistema de información” (artículo 98 del Reglamento de desarrollo de la LOPD). Por otra parte, también para los ficheros con nivel medio y alto, el artículo 96 “Auditoría” del citado Reglamento establece lo siguiente: “1. A partir del nivel medio los sistemas de información e instalaciones de tratamiento y almacenamiento de datos se someterán, al menos cada dos años, a una auditoría interna o externa que verifique el cumplimiento del presente título. Con carácter extraordinario deberá realizarse dicha auditoría siempre que se realicen modificaciones sustanciales en el sistema de información que puedan repercutir en el cumplimiento de las medidas de seguridad implantadas con el objeto de verificar la adaptación, adecuación y eficacia de las mismas. Esta auditoría inicia el cómputo de dos años señalado en el párrafo anterior. X. El informe de auditoría deberá dictaminar sobre la adecuación de las medidas y controles a la Ley y su desarrollo reglamentario, identificar sus deficiencias y proponer las medidas correctoras o complementarias necesarias. Deberá, igualmente, incluir los datos, hechos y observaciones en que se basen los dictámenes alcanzados y las recomendaciones propuestas. 3. Los informes de auditoría serán analizados por el responsable de seguridad competente, que elevará las conclusiones al responsable del fichero o tratamiento para que adopte las medidas correctoras adecuadas y quedarán a disposición de la Agencia Española de Protección de Datos o, en su caso, de las autoridades de control de las comunidades autónomas”. En definitiva, la entidad SPC está obligada a adoptar, de manera efectiva, las medidas técnicas y organizativas necesarias previstas para sus ficheros, y, entre ellas, las dirigidas a impedir el acceso no autorizado por parte de terceros a los datos personales que constan en los mismos. En este caso, sin embargo, ha quedado acreditado que la citada entidad incumplió esta obligación, al haberse constatado la posibilidad de acceder, por parte de terceros no interesados, a datos personales registrados en su sistema de información, (…). Los representantes de la entidad reclamada han manifestado que la base de datos y la información sindical contenida en su sistema es accesible para los afiliados mediante usuario y contraseña. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/18 Sin embargo, en fecha 23/10/X013, una o varias personas no identificadas accedieron al único servidor que alojaba el sistema de información de la entidad SPC. Así lo han reconocido los propios representantes de la citada entidad. Este acceso no autorizado fue el resultado de un ataque informático llevado a cabo mediante comandos SQL incrustados en las peticiones recibidas por el servidor. Los Servicios de Inspección de la AEPD pudieron comprobar un log del sistema atacado en el que aparecen estos comandos. Se trata de un ataque por “SQL Injection” que persigue violar las medidas de seguridad y acceder de una forma no legítima a la información. Para ello, el ciberatacante introduce en el sistema un código malicioso propio que le posibilita controlar el sitio, de modo que la información queda a su merced para disponer de ella o suprimirla. En este caso, los representantes de la entidad SPC manifestaron a los Servicios de Inspección de la AEPD que se vieron comprometidos (…). Este tipo de ataques se produce cuando el “saneamiento de entrada” de datos es inadecuado, es decir, se produce con éxito aprovechando siempre las vulnerabilidades de seguridad del sistema, las cuales deben detectarse mediante las auditorías que la reclamada estaba obligada a realizar periódicamente o en cada modificación sustancial del sistema; y se evita con las herramientas de filtración adecuadas para detectar si el acceso se pretende por un usuario no autorizado y estableciendo mecanismos para limitar los intentos reiterados de accesos no autorizados al sistema de información (artículo 98 del Reglamento de desarrollo de la LOPD). Prueba de ello son las medidas adoptadas por la entidad SPC una vez tuvo conocimiento del acceso que ha motivado las presentes actuaciones, las cuales constan reseñadas en el Hecho Probado Sexto, dirigidas a prevenir incidencias similares en el futuro. En consecuencia, en contra de lo señalado por la reclamada, en este caso, el acceso no autorizado a la base de datos no es solo el resultado de un ataque informático, sino que se trata de un supuesto en el que la entidad reclamada no atendió sus obligaciones de seguridad estableciendo los mecanismos que hubiesen impedido aquel acceso, a pesar del ataque informático. Existe una relación entre el acceso y la inexistencia o ineficacia de las medidas, con independencia de las técnicas intrusivas empleadas. Así, los datos personales reseñados resultaron accesibles a terceros, siendo ello consecuencia de una insuficiente o ineficaz implementación de las medidas de seguridad detalladas. Dado que ha existido vulneración del “principio de seguridad de los datos”, se considera que SPC ha incurrido en infracción por incumplimiento de lo establecido en el artículo 9 de la LOPD, en relación con lo dispuesto en el Título VIII del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la citada Ley Orgánica. La vulneración de los preceptos citados aparece tipificada como infracción grave en el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/18 artículo 44.3.
  24. h)de la LOPD, que considera como tal “Mantener los ficheros, locales, programas o equipos que contengan datos de carácter personal sin las debidas condiciones de seguridad que por vía reglamentaria se determinen”, pudiendo ser sancionada con multa de 40.001 a 300.000 euros, de conformidad con lo establecido en el artículo 45.2 de la citada Ley Orgánica. En su escrito de alegaciones a la propuesta de resolución, la entidad SPC no realiza manifestación alguna sobre lo expuesto en el presente Fundamento de Derecho, limitándose a señalar que el artículo 44.3.
  25. h)de la LOPD no se refiere a ataques por parte de terceros. Se trata de una cuestión que no incide en la configuración del tipo infractor, que se determina por la existencia o no de medidas de seguridad adecuadas y, según ha quedado expuesto, en el presente caso consta que los sistemas de información de la entidad SPC resultaron vulnerables por una falta de medidas de seguridad que impidieran el acceso a la información por parte de terceros no autorizados. IV El “principio de seguridad de los datos” exige que la entidad responsable del tratamiento adopte las medidas necesarias y adecuadas para garantizar que la información no sea accedida por parte de terceros, tomando en consideración el estado de la tecnología y la naturaleza de los datos de carácter personal en cuestión, según doctrina de nuestro Tribunal Supremo (Sentencia 188/2022, de 15 de febrero; Rec. 7359/2020). En este caso, se tiene en cuenta, por un lado, que la seguridad de los datos personales sometidos a tratamiento exige medidas de nivel alto y, por otro, que el ataque sufrido empleó una tecnología de uso frecuente en las fechas en que se produjo el acceso y que dicho ataque era evitable con las herramientas disponibles en aquel momento. En consecuencia, se entiende que las medidas adoptadas por SPC eran insuficientes y que la conducta de esta entidad no fue diligente. El principio de culpabilidad es exigido en el procedimiento sancionador y así la STC 246/1991 considera inadmisible en el ámbito del Derecho administrativo sancionador una responsabilidad sin culpa. Pero el principio de culpa no implica que sólo pueda sancionarse una actuación intencionada y a este respecto el artículo 130.1 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, dispone “sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas que resulten responsables de los mismos aun a título de simple inobservancia.” El Tribunal Supremo (STS 16 de abril de 1991 y STS XX de abril de 1991) considera que del elemento culpabilista se desprende “que la acción u omisión, calificada de infracción sancionable administrativamente, ha de ser, en todo caso, imputable a su autor, por dolo o imprudencia, negligencia o ignorancia inexcusable”. El mismo Tribunal razona que “no basta... para la exculpación frente a un comportamiento típicamente antijurídico la invocación de la ausencia de culpa” sino que es preciso “que se ha empleado la diligencia que era exigible por quien aduce su inexistencia” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/18 (STS 23 de enero de 1998). A mayor abundamiento, la Audiencia Nacional en materia de protección de datos de carácter personal, ha declarado que “basta la simple negligencia o incumplimiento de los deberes que la Ley impone a las personas responsables de ficheros o del tratamiento de datos de extremar la diligencia...” (SAN 29 de junio de 2001). Finalmente, ha de señalarse que es la entidad SPC la responsable del fichero y, por tanto, la obligada última a garantizar la seguridad de los datos, asegurando la efectividad de las medidas adoptadas. V El artículo 45.X y 4 LOPD establece lo siguiente: “X. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros”. “4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
  26. a)El carácter continuado de la infracción.
  27. b)El volumen de los tratamientos efectuados.
  28. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
  29. d)El volumen de negocio o actividad del infractor.
  30. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  31. f)El grado de intencionalidad.
  32. g)La reincidencia por comisión de infracciones de la misma naturaleza.
  33. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
  34. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
  35. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora”. En cuanto a la graduación de la sanción, según los criterios establecidos en el artículo 45.4, se tiene en cuenta, por un lado, la vinculación de la actividad de la entidad infractora con la realización de tratamientos de datos de carácter personal especialmente protegidos (datos de afiliación sindical); el volumen de datos personales accedidos (la información aportada por la reclamada se refería a XXX registros, pero la base de datos comprometida tenía más de 11.000); que los hechos denunciados se producen por una falta de medidas de seguridad de los datos que posibilitó el acceso a los datos personales indicados, y no por un fallo puntual de las que hubiesen adoptado, sin perjuicio de que SPC hubiese adoptado otras medidas como el establecimiento de accesos mediante usuario y contraseña, y que la entidad SPC no comunicó espontáneamente los hechos a esta Agencia; y por otro lado, el volumen de negocio o actividad del infractor, la ausencia de intencionalidad, las acciones realizadas para evitar la divulgación de los datos, denunciando las publicaciones aparecidas, y las medidas adoptadas para evitar incidencia similares. En base a estos criterios y circunstancias, procede la imposición de una multa por el importe mínimo establecido para las infracciones graves, fijado en 40.001 euros. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/18 VI Consta en las actuaciones que el acceso a la base de datos de la entidad SPC fue realizado por terceros no autorizados, los cuales recabaron información contenida en el sistema de aquella entidad que fue posteriormente divulgada. Estos hechos son constitutivos de infracción a la normativa de protección de datos personales. Sin embargo, las actuaciones no han permitido identificar el origen real de la intrusión y la consiguiente acreditación de la autoría de los hechos, de modo que no es posible realizar imputación alguna por tales hechos. Consta en las actuaciones una Sentencia que condena a una persona por hechos similares. Pero esta Sentencia esta referida a un acceso indebido a la base de datos de la entidad SPC distinto al que ha motivado el presente procedimiento sancionador. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad SINDICATO DE POLICÍAS DE CATALUÑA, con CIF G62930029, por una infracción del artículo 9 de la LOPD, tipificada como grave en el artículo 44.3.
  36. h)de la citada Ley Orgánica, una multa de 40.001 euros (cuarenta mil un euros), de conformidad con lo establecido en el artículo 45.X y 4 de la misma norma. SEGUNDO: NOTIFICAR la presente resolución a la entidad SINDICATO DE POLICÍAS DE CATALUÑA. TERCERO: Advertir al sancionado que deberá hacer efectiva la sanción impuesta una vez que la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el art. 98.1.
  37. b)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante LPACAP), en el plazo de pago voluntario establecido en el art. 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 6X de la Ley 58/X003, de 17 de diciembre, mediante su ingreso, indicando el NIF del sancionado y el número de procedimiento que figura en el encabezamiento de este documento, en la cuenta restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A.. En caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/18 Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
  38. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-1003XX Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.