1/22 Expediente nº.: EXP202405365 RESOLUCIÓN DE RECURSO DE REPOSICIÓN Examinado el recurso de reposición interpuesto por la DIRECCIÓN GENERAL DE COORDINACIÓN Y ESTUDIOS (SECRETARÍA DE ESTADO DE SEGURIDADMINISTERIO DEL INTERIOR) (en lo sucesivo, la parte recurrente) contra la resolución dictada por la Presidencia de la Agencia Española de Protección de Datos de fecha 23/04/2025, y en base a los siguientes HECHOS PRIMERO: Con fecha 23/04/2025, se dictó resolución por la Presidencia de la Agencia Española de Protección de Datos en el expediente EXP202405365, (PS/00136/2024) en virtud de la cual se declaraba que la DIRECCIÓN GENERAL DE COORDINACIÓN Y ESTUDIOS había infringido el artículo 32 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), de conformidad con el artículo 83.4.
- a)del RGPD, tipificada como grave a los exclusivos efectos de su prescripción en el artículo 73.
- f)de la Ley Orgánica 3/2018 de 5/12, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD). Dicha resolución, que fue notificada a la parte recurrente en fecha 2/05/2025, fue dictada previa la tramitación del correspondiente procedimiento sancionador, de conformidad con lo dispuesto en la LOPDGDD, y supletoriamente, en la Ley 39/2015, de 1/10, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP), en materia de tramitación de procedimientos sancionadores. SEGUNDO: Como hechos probados del citado procedimiento EXP202405365, PS/00136/2024, quedó constancia de los siguientes: sancionador “PRIMERO: La DIRECCIÓN GENERAL DE COORDINACIÓN Y ESTUDIOS,(DGCE)- órgano directivo de la SECRETARÍA DE ESTADO DE SEGURIDAD (SES), del MINISTERIO DE INTERIOR, informó a la AEPD el 27/05/2022, dentro de un comunicado de brecha de datos personales que, a una persona, (…) colaborador externo (…) con sus Áreas de: VIOLENCIA DE GÉNERO, ESTUDIOS Y FORMACION (VGEF), y de: SISTEMA ESTADÍSTICO Y ATENCIÓN A LAS VÍCTIMAS (SEAV), le fue sustraído el día ***FECHA.1 en un bar de Madrid un ordenador portátil titularidad del Ministerio del Interior. El ordenador, contenía datos personales “utilizados para estudios de prevención y detección de delitos”, y no constaban registros de que el (...) tuviera asignado oficialmente dicho portátil. SEGUNDO: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/22 El (...) al que se le sustrajo el ordenador, señaló en su ampliación de la denuncia policial el ***FECHA.2, del ordenador que “no dispone de clave de acceso, por lo que cualquier persona podría tener acceso a la información”, es decir que es posible el acceso con su encendido, careciendo de (...) que, impediría el arrancado e inicio del ordenador por cualquier persona que no las conociera. Concreta también la marca y modelo del ordenador sustraído y núm. serie acabado (...). Asimismo, de las manifestaciones de la reclamada y de las que hizo el (...), se infiere sobre el ordenador sustraído: -Su (…), de modo que podía acceder y verse toda la (…), -Carecía de (…). TERCERO: El (...) al que se sustrajo el ordenador, ha venido colaborando al menos desde 20XX con la DGCE. A estos efectos, la SGSICS aportó en actuaciones previas de investigación (API) en anexo IV un acuerdo de confidencialidad firmado el 14/12/20XX. Asimismo, el (...) (…) con las áreas de CNDES (Centro Nacional de Desaparecidos) y de Estudios y formación del entonces Gabinete de Coordinación y estudios de la SES de las publicaciones:” Personas desaparecidas. Un estudio piloto de casos 2019”, y “Desapariciones con desenlace fatal de etiología homicida 2019” editadas en enero 2020, que según manifiesta la SGSICS en actuaciones previas de investigación fueron fruto del contrato en 11/06/2019 con la Universidad ***UNIVERSIDAD.1. La última relación del (...) con el CNDES se basa en la adjudicación a Fundación ***FUNDACIÓN.1 (encargada de tratamiento) de un contrato de investigación científica sobre la creación y validación de una herramienta predictiva de valoración del riesgo de desaparición con desenlace fatal (SERDESVI, Sistema de estimación del riesgo de desaparición violenta) sobre casos reales cerrados y esclarecidos policialmente, que implicaba la recopilación y estudio de toda la documentación policial, psicosocial y criminológica de cada caso, junto a la sistematización de la información recopilada en una base de datos creada a tal efecto, así como el análisis de datos. El contrato tuvo una duración de (…) hasta (…), e implicaba que tenía que contar con un investigador principal siendo en este caso el (...), al que se le sustrajo posteriormente el ordenador. En el contrato se establecía que el personal adjudicatario que intervenga en los trabajos se someterá a las normas de seguridad, control y régimen interior de los centros y dependencias en las que tengan que trabajar, sin que conste concreción escrita de reglamentación alguna adicional sobre el uso y disfrute de tales medios informáticos, ni derechos y deberes entregados al adjudicatario o al (...) con motivo del acceso a dichos datos específicamente sobre el ordenador portátil e información que pudiera contener. El contrato cita como una de las cláusulas a cumplir por el encargado de tratamiento, entre otras, que: “Una vez cumplida la prestación contractual, los datos de carácter personal deberán ser destruidos o devueltos al responsable del tratamiento, al igual que cualquier soporte o documentos en que conste algún dato de carácter personal objeto del tratamiento.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/22 En el contrato se prevé por parte de la SES la designación de un Coordinador del estudio del CNDES y Área de Estudios como interlocutor con el equipo de trabajo que designe la institución adjudicataria para coordinar tareas y actividades a desarrollar, y que la documentación a entregar durante la ejecución del contrato será propiedad exclusiva de la SES sin que el adjudicatario pueda conservarla ni obtener copia. En el desarrollo del contrato se efectuó en la sede del CNES, coordinado por este. En la memoria justificativa del contrato se indicaba que el adjudicatario accediera a datos personales procedentes de: -una muestra seleccionada por el CNDES de 2000 atestados policiales por desaparición, que formarían parte del tratamiento denominado “Personas desaparecidas y Restos Humanos” -datos que se obtengan durante entrevistas a víctimas y autores de delitos, de entrevistas con agentes de Fuerzas y Cuerpos de Seguridad del Estado, familiares y entorno cercano, videos de agresores en prisión. -extracción de la base de datos de PDyRH del año 2019, -la recopilación de información creando una base de datos. “ No consta tras la finalización de dicho contrato, vinculación formal alguna del (…) con la SES directa o indirectamente en el año 2022, ignorándose si seguía acudiendo a las oficinas de la SES. Por lo tanto, las manifestaciones que realiza el área SEAV en su informe, anexo 4, de que el (…) “actualmente se encuentra desarrollando trabajos para el CNDES a través de la ***FUNDACIÓN.1”, no queda acreditado. En la notificación de la brecha se indica que no le consta se haya materializado algunos de los daños identificados (inconvenientes importantes, produciendo daño limitado que podrán superar a pesar de algunas dificultades). CUARTO: EN ANEXO IV, incorporado a pruebas en este procedimiento, procedente de las actuaciones previas de investigación AI/00285/2022, (API) aportado el 6/10/2022 por la DGCE se aprecia que la investigación sobre el incidente de seguridad y su registro se lleva a cabo por la SGSICS con incidencia en “Seguridad de Sistemas”, contando con que la denuncia de la sustracción del ordenador portátil tuvo lugar el ***FECHA.1, 22 h 54 minutos. El área SEAV (CNDES) remitió noticia del hecho por e- mail al DGCE el ***FECHA.4, 14:25, con copia a (…). En el e-mail se indica que lo sustraído está relacionado con el trabajo que ha estado realizando estos últimos años sobre la herramienta predictiva del riesgo de desaparición de personas, incluidos atestados policiales. Previamente, ese mismo día ***FECHA.4, el (...) mantuvo entrevista con (…) y (…). El mismo remitente del correo electrónico al DGCE informó verbalmente a los responsables de la SGSICS (CAU) el ***FECHA.4 con entrega de copia de la primera denuncia policial. A las 13:23 horas del día ***FECHA.2, el departamento de Atención a Puestos de Usuario informa al Área de Infraestructura y Seguridad TIC de la SGSICS, acerca de la sustracción C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/22 de un equipo portátil (anexo II de las API) abriendo incidencia la SGSICS con el aplicativo informático. La primera comunicación de la brecha de datos personales que se realiza al DPD fue a través de la SGSICS, efectuada el 26/05/2022, “en el momento en que se determinó que tenían datos personales”, indicando el DPD de la SES que “siguiendo los protocolos y procedimientos establecidos al efecto y dado el impacto que para la seguridad de la información y de los sistemas administrados pudiera suponer la incidencia reportada”. Las actuaciones de investigación de la brecha fueron asumidas desde el primer instante, ***FECHA.2, por la SGSICS que demandó información diversa a las Áreas de la DGCE, al no disponer de suficiente información sobre cómo pudo producirse el robo de un ordenador portátil fuera de las instalaciones, el motivo por el que el (...) disponía del mismo, y la información que podía contener. La DGCE, realiza el 27/05/2022, una primera notificación de la brecha de datos personales a la AEPD, manifestando que el ordenador sustraído no tenía clave asignada en su usuario y que “la información contenida en soporte físico está relacionada con el trabajo que ha estado realizando estos últimos años sobre la herramienta predictiva del riesgo, incluidos atestados policiales”. También el citado SEAV indica que, por declaraciones del (...), el ordenador le había sido asignado por el Área de Violencia de Genero, Estudios y Formación, que es la que ostenta competencias sobre estudios con participación de científicos, técnicos y alumnos en prácticas. En la notificación de la brecha por el responsable, la misma se relaciona con datos de “información contenida en actuaciones policiales que se estaban utilizando para estudios de prevención y detección de delitos”, relacionados con personas desaparecidas, tratamiento “Personas Desaparecidas y Restos Humanos (PDyRH), que constituye un tratamiento de la citada DGCE, según RAT aportado en 27/06/2022 (ampliación de notificación de la brecha) con finalidad de actividades de tratamiento necesarias para la averiguación de la identidad de personas desaparecidas y cadáveres/ restos humanos sin identificar, con el fin de detectar, prevenir e investigar delitos, de forma que se implemente la colaboración entre las fuerzas y cuerpos de seguridad tanto nacionales como autonómicas.”, y origen de datos de “diligencias policiales, personas desaparecidas, Nombre, apellidos, DNI, sexo, fecha de nacimiento, lugar de nacimiento, domicilio, descripción física, datos biométricos, datos genéticos, fotografías. Imágenes de impresiones dactilares y fotografías importadas desde el fichero de DNI. Denunciantes: Nombre, apellidos, DNI, sexo, fecha de nacimiento, lugar de nacimiento, domicilio y teléfono.” No obstante, la DGCE apunta en la notificación de la ampliación de la brecha a que también se trataron datos sobre infracciones penales y condenas, datos de localización y de salud. Además, se observa que de las cláusulas contractuales y pliegos de prescripciones técnicas del contrato y de las manifestaciones del CNDES (ANEXO IV) se reitera acceso a datos de autores de delitos, entrevistas a Agentes de las Fuerzas y Cuerpos de seguridad, entrevistas a víctimas y autores de delitos, algunas en video de los penados, o la extracción de la base de datos de PDyRH del año 2019 El 26/05/2022, un día antes de la notificación inicial de la brecha, el responsable del tratamiento de los datos afectados por la brecha, la DGCE, solicitó al DPD que valorase C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/22 los hechos y colaborase en la averiguación de las posibles vulnerabilidades y mejoras con el fin de subsanar y prevenir lo sucedido, manteniendo entrevistas el día 30/05/2022 con las DOS áreas que gestionan tratamientos de datos: de “Personas desaparecidas y Restos humanos, PDyRH”, “Sistema VioGén”, y “Formación y actividades de cooperación educativa con Universidades”. Igualmente, en la misma fecha, la DGCE solicitó a dichas Áreas que clarificasen varios extremos para valorar el incidente. QUINTO: En el ámbito de actuación del DPD de la SES se contaba con un Protocolo de notificación de brechas de seguridad de datos personales, versión 14/12/2021 adaptado a la LO 7/21, que fue aportada en actuaciones previas de investigación el 6/10/2022 como documento 1. En el mismo se prevé un registro interno de incidencias en el que el responsable del tratamiento anotará lugar, día, hora de la detección de la violación de seguridad, los sistemas, datos y equipos que se han visto afectados, los hechos relacionados con la brecha y sus efectos, Una vez resuelta la brecha, se ha de incluir la solución o los procedimientos establecidos para reparar o mitigar el problema de seguridad y las medidas correctivas adoptadas. SEXTO: La SGISCS tiene de acuerdo con la estructura orgánica detallada en el HECHO PRIMERO competencias de implantación de medidas de seguridad en los sistemas de información y comunicaciones, provisión y gestión de equipamientos informáticos necesarios, administración de redes y gestión y administración de comunicaciones. El devenir de la posesión del ordenador portátil por el (...) que le fue sustraído se explica por la SGSICS en anotaciones en los sistemas, efectuadas, que indican que el ordenador formó parte de un lote de seis unidades dedicados a actividades de formación a impartir en el año 20XX, siendo los equipos “por así requerirlo”, configurados con el usuario como (…). En una anotación registrada por la SGSICS de 29/11/2018, consta que uno de los portátiles, marca y número de serie (acabada en (...)) que coincide con el sustraído, se asigna al entonces ***PUESTO.1, que se encuadra en el área de violencia de género, estudios y formación-VGEF, así como que el propósito y utilización era uso interior, para desarrollo de tareas de investigación científica y de una herramienta predictiva, tareas desempeñadas por el (...) bajo supervisión del CNDES. El citado (…) al que fue asignado el ordenador, causa baja en la unidad el ***PUESTO.3. Desde la asignación, el ordenador ha mantenido esas características y sin variación en su adjudicación hasta su sustracción, pese a ser “(...)” en 2019. De acuerdo con el relato de la reclamada, sobre el ordenador portátil asignado al ***PUESTO.1, se deduce por la falta de registro alguno, que cuando esta causa baja en su destino no figura respecto del citado ordenador portátil, que persona es la responsable del mismo, aunque la citada Subdirección manifestó en el anexo IV que “actualmente se hallaba bajo responsabilidad de la misma área de VGEF, en Estudios.” SÉPTIMO: De acuerdo con los detalles proporcionados por el CNDES (API punto 3 pruebas) en lo relativo al acceso a los datos para la investigación de la herramienta predictiva, el (...) tenía C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/22 acceso a los datos personales que el CNDES requirió a las Fuerzas y Cuerpos de Seguridad del Estado, remitiéndose por correo electrónico a “cuenta securizada gestionada por la SGSICS” al que accedía (…), y almacenados en la nube securizada de la SGSICS accediendo con conexión a la red informática del Ministerio mediante clave y contraseña. El acceso solo era posible en equipos de sobremesa en una sala de trabajo en la sede del CNDES. El (...) accedía a la nube y únicamente se les mostraban los documentos necesarios para el estudio que demandaban diariamente, volviendo a cerrar la nube y dejándoles la documentación para su análisis y estudio. para la extracción de documentos únicamente puede hacerse desde equipos informáticos instalados en las dependencias del CNDES, gestionados y securizados por la SGSICS OCTAVO: Figura que la reclamada ha manifestado, a través de la SEAV (anexo IV) que el (...) declaró que el ordenador sustraído contenía datos relacionados con las materias del CNDES relacionadas con el citado contrato, dando detalles del contenido que coincide con el reflejado en el contrato de 1/07 a 31/12/20XX, como que en ordenador tenía tres carpetas, las tres relacionadas con la herramienta SERDESVI, atestados sobre desapariciones, grabaciones de entrevistas de audio y video con víctimas, agresores o familiares. El informe señala que desconoce la cuantía de numero de datos, al no disponer de copia de respaldo. Nada indicó el (...) sobre datos o información sobre el sistema VIOGEN. NOVENO: El Registro de actividades del Tratamiento de “Personas Desaparecidas y Restos Humanos” (PDyHR), vigente a la fecha de acontecer los hechos, que figura en el informe de 27/06/2022 que acompaño a la segunda notificación de la brecha, en la misma fecha, con el nombre “INCIDENTE‐BRECHA SEGURIDAD TRATAMIENTO DE DATOS PERSONALES PDYRH” tiene las siguientes características: -Se establece que es un tratamiento al amparo de la LO 7/2021, con la DGCE como responsable del tratamiento. -Finalidad del tratamiento: actividades de tratamiento necesarios para la averiguación de la identidad de personas desaparecidas y cadáveres/ restos humanos sin identificar, con el fin de detectar, prevenir o investigar delitos coma de forma que se implemente la colaboración entre los cuerpos y Fuerzas de seguridad tanto nacionales como autonómicas. -Legitimación del tratamiento: Ley Orgánica 2/ 1986 de 13 de marzo, Ley de Enjuiciamiento criminal y artículo 11 de la LO 7/21. -Origen de los datos: los datos provienen de diligencias policiales. Personas desaparecidas: nombre, apellidos, DNI, sexo, fecha nacimiento, lugar de nacimiento, domicilio, descripción física, datos biométricos, datos genéticos, fotografías. Imágenes de impresiones dactilares y fotografías importadas desde el fichero de DNI. Denunciante: nombre y apellido, DNI, sexo, fecha de nacimiento, lugar de nacimiento, domicilio y teléfono C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/22 -Destinatarios: autoridades y entidades habilitadas conforme a una obligación legal o misión de carácter público. - conservación: se conservarán durante el tiempo necesario para cumplir con la finalidad para la que se recabaron de conformidad con el artículo 8 LO 7/21 y para determinar las posibles responsabilidades que se pudieran derivar de dicha finalidad y del tratamiento de los datos, siendo asimismo de aplicación lo dispuesto en la orden INT / 2528/2002 de 2/10 por la que se regula el sistema archivístico del Ministerio. -Información sobre los derechos En el inventario de actividades de tratamiento de datos personales, (versión que figura en la web) el tratamiento PDyRH permanece invariable los fines del tratamiento, en legitimación ahora en el inventario solo se alude al citado artículo 11 de la LO 7/21. Enel inventario se diferencian categorías de interesados: personas desaparecidas y denunciantes, mientras que en categorías de datos personales no se expresa que proceden de diligencias policiales coincidiendo el resto de la descripción. En el inventario se alude a “medidas de seguridad y organizativas de seguridad” en alusión a las previstas en el ENS y que se describen en los documentos que conforman la política de Proteccion de datos y seguridad de la información del Ministerio del Interior y de la SES. En un RAT actualizado a fecha 22/09/2022 que es aportado en pruebas se observa la variación en: -Legitimación: RGPD artículo 6.1.
- c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento. RGPD Artículo 6.1.
- e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento. Además, se alude también a la LO 2/1986, a la LECR y a la LO 7/21. -Medidas de seguridad Medidas ENS tipo II En categoría de datos afectado por la brecha, se notificó que también se contenían datos de salud y sobre infracciones y condenas penales y que el número de personas que han visto sus datos afectados por la brecha de datos personales según la notificación de brecha era de CINCO MIL, sin afectar a menores. DÉCIMO: En la notificación de la brecha, como medidas de seguridad antes de la brecha se informa que disponen de: -procedimiento para notificar las brechas de datos personales -políticas de protección de datos y seguridad -formación en protección de datos y seguridad de la información al nivel adecuado -Sistemas informáticos actualizados -registros de incidentes -auditoría periódicas C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/22 -control de acceso físico y lógico -niveles de acceso a los datos -copia de seguridad -anonimización También se afirma que el incidente se produjo por algún fallo o incumplimiento de medidas de seguridad implementadas, y que se podía haber evitado adoptando alguna medida de seguridad adicional, y que dispone de un análisis de riesgos documentado que justifique las medidas de seguridad adoptadas previamente al incidente. Como medidas preventivas, figuran comunicadas en el anexo II de las API, “Ampliación de información sustracción portátil”, de la SGSICS que manifiesta que protege los dispositivos portátiles administrados con las siguientes medidas: -(...) -Para la detección y bloqueo de amenazas distribuidas a todos los portátiles, tendentes a proteger los equipos, análisis (…), ejecución y (…) para detectar y mitigar amenazas, control de aplicaciones instaladas, control de dispositivos que se instalen en los portátiles, para control (…), y (…) de las aplicaciones de los portátiles a la red y a internet -(…) -Amplia a la protección de los antivirus, detectando que con un enfoque proactivo basado en análisis de (…) puede detectar anomalías en ficheros y procesos que podrían formar parte (…). -Proteccion de acceso a la (…) -En cuanto a los soportes de almacenamiento con datos personales “(…), “(…) Señala asimismo que tras el incidente (reactivas) -Ha adoptado “nuevas medidas de seguridad que podrían haber evitado la brecha” y “nuevas medidas de seguridad que podrían haber evitado la brecha”, mejorando procedimientos y políticas de seguridad.” Como nuevas medidas de seguridad y que se han actualizado indica el cifrado de datos y la anonimizacion Se añaden las que figuran en el Anexo II de las API, “Ampliación de información sustracción portátil”, de la SGSICS -En la sede de la SES donde se desarrollan trabajos de alumnos, becarios y personal científico se actualizan las “Cláusula de confidencialidad y normativa de buenas prácticas”. DÉCIMO PRIMERO: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/22 EN ANEXO IV se aprecia que la investigación sobre el incidente de seguridad y su registro se lleva a cabo por la SGSICS con incidencia en “Seguridad de Sistemas”, contando con que la denuncia de la sustracción tuvo lugar el ***FECHA.1, 22 h 54 minutos, el área SEAV (CNDES) remite noticia por el mail al DGCE el ***FECHA.4, 14:25, con copia a (…). En la noticia por correo electrónico se indica que lo sustraído está relacionado con el trabajo que ha estado realizando estos últimos años sobre la herramienta predictiva del riesgo, incluidos atestados policiales. Previamente, previsiblemente, ese mismo día ***FECHA.4, figura que el (...) mantuvo entrevista con el responsable (…) y (…). El mismo remitente del correo electrónico al DGCE informó verbalmente a los responsables de la SGSICS (CAU) el ***FECHA.4 con entrega de copia de la primera denuncia policial, abriendo incidencia con el aplicativo informático de la SGSIC En el informe que acompaña la DGCE a la ampliación de la notificación de la brecha, el 27/06/2022, “titulado brecha de seguridad tratamiento de datos personales PDyRH”, ratifica el contenido de los datos que contenía el ordenador, si bien se añade que la persona, el (...) al que se le sustrajo el ordenador “está encuadrada en el área de Formación y Estudios”, y añade que se “desprende que el incidente no ha afectado al Área de VGEF”, indicando que “a día de hoy tras la comprobación de la documentación exacta -desconociendo cual sería esta- “cabe señalar que en la información sustraída no figuraban datos biométricos ni de menores”. La notificación y el informe no motivan razonadamente porque no consideran que la brecha afectaría al área VGEF, al no tener en cuenta que el ordenador portátil lo manejaba el (...), persona a la que le fue sustraída, porque el ***PUESTO.1 de VGEF en un trabajo del sistema VIOGEN acudió a descargar datos del mismo presencialmente con el (...) y su ordenador portátil. -El CNDES manifestó en su informe de 4/10/2022. sobe el contrato de la herramienta predictiva, que el (…), la Fundación de la Universidad ***UNIVERSIDAD.1, da por finalizado el contrato, haciendo entrega del trabajo, y emitiéndose factura en esa misma fecha DÉCIMO SEGUNDO: De acuerdo con las manifestaciones de la reclamada, al tener todos los ordenadores de la reclamada, también el sustraído una solución “(…), herramienta antivirus y “(…)” (solución, de (…) permite monitorear el sistema para detectar y prevenir infección de malware), le ha permitido obtener registros de la conexión del equipo sustraído, figurando registro de (…) ***FECHA.1 a las 19:39:17, y (…) mismo día, 19:11, ambas con el usuario (…) logado que tenía asignado el citado portátil, que corresponden a la conexión antes de la sustracción del equipo según la denuncia, sin que, con posterioridad hasta la fecha en que se comunica la brecha o las alegaciones a este acuerdo, conste, según la responsable del tratamiento que haya habido registro alguno en las consolas de administración, que se habría producido de haberse conectado el dispositivo a Internet. DÉCIMO TERCERO: El CNDES, emitió un informe que se acompaña en actuaciones previas, indicando respecto al contrato de servicios de la creación de la herramienta predictiva para desaparecidos, como obtenía los datos para que el(...) trabajara con ellos. Indica que los datos entraban en un correo electrónico ***EMAIL.1 “cuenta securizada”, procedentes de las Fuerzas y Cuerpos de Seguridad, al que solo accedía (…). Asimismo, detalla la puesta a disposición de los investigadores cuando se necesitaba, que se producía en un equipo de sobremesa C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 10/22 de la sala en la sede del CNDES, accediendo a la nube y mostrando los documentos requeridos, afirmando que “los equipos informáticos que utilizaba el equipo de investigación eran los proporcionado por la SGSICS”, que en este caso no se concreta en ningún equipo especificado. Coincidiendo con la fecha de inicio del contrato de creación y desarrollo de la herramienta SERDESVI que gestionó el CNDES, el 24/06/2021, figura una petición del (...) al que le fue sustraído el ordenador para usar la RED WIFI (…) cursada a la SGSICS, y no figura equipo alguno desde el que efectuaría los acceso-. Según manifestó la SGSICS en su anexo IV, el(...) podía entrar en el buzón (…), compartido con otros usuarios de semejante perfil al suyo dentro del CNDES. Además del propio usuario al que le fue sustraído el ordenador, existían, según información de CAU atención puestos a usuarios, un total de tres usuarios genéricos (Becarios 1, 2 y 3 respectivamente) con acceso a recursos del dominio (…) y compartiendo buzón de correo ***EMAIL.1, lo que no permite la trazabilidad de las acciones. DÉCIMO CUARTO: Solicitada en actuaciones previas a la DGCE que aportara Copia del Registro de Operaciones del sistema de información que trata los datos personales al haber indicado que los datos que figuraban en el ordenador sustraído figuraban en el tratamiento de PDyRH, respondió el 6/10/2022 que no se extrajeron desde el sistema citado y no se puede aportar estimando también que “a día de hoy el registro de operaciones no se ha implementado en su totalidad”, y desconociendo cual fue el proceso organizativo o técnico por el que los datos acabaron en poder de la persona que sufrió la sustracción. En la SGSICS, anexo II procedente de actuaciones previas de investigación, no le consta petición de autorización para extracción de datos de dicha aplicación ni se tiene constancia de evidencia o alerta de que el sistema haya sufrido brecha de datos personales. Sobre la petición que se hizo en actuaciones previas incorporadas a pruebas de que la DGCE aportara la EIPD del tratamiento PDyRH afectado en la brecha, respondió que no se ha realizado. Igualmente, en la citada fase se solicitó la acreditación del análisis de riesgos que sirvió para la instauración de las medidas de seguridad preventivas que garantizase la protección de los datos personales, respondiendo con el ANEXO II de la SGSICS, pero sin comprenderse el análisis de riesgos DÉCIMO QUINTO: Por otro lado, de acuerdo con las manifestaciones de la DGCE, la SGSICS autorizó al ***PUESTO.1 (Violencia de género, estudios y formación) el 30/11/2021, un proceso de extracción del sistema VioGén con copia de atestados policiales del año 2019 (volumen de unos 62.409 atestados), que no se hizo desde la propia aplicación (entorno web), sino desde el servidor, sin que esa operativa dejara constancia de auditoría en la aplicación web, acreditándose a través de un correo electrónico del ***PUESTO.1, dentro de la VGEF de 26/11/2021, título: “acceso a ficheros de atestados”, con identificación de agresor y víctima, internos sujetos a medidas judiciales, antecedentes penales y situación penitenciaria, datos asistenciales de las victima que puedan figurar precisando que a esa extracción de datos le acompañará “el becario de la universidad que las va a procesar, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 11/22 para llevárselas en un portátil. Sería recuperar la extracción de todos los casos de 2019 a un año de seguimiento y ya veríamos si de paso llevarnos las de 2020 ahora que estamos casi al final de año y los atestados que se puedan sacar -si son 40000 mejor”. La SGISCS indica que autoriza la extracción por proceder del departamento responsable de los datos. Sobre estos datos no se pronuncia el informe del DPD ni se deduce que el (...), caso de que sea el aludido en el correo electrónico hubiera manifestado algún extremo especificando o no la constancia de estos datos en el ordenador sustraído desconociéndose si figuraban en el mismo. DÉCIMO SEXTO: También queda constancia tras la brecha que: -El Área de Estudios (VGEF), en el que se incardinan las prácticas de alumnos universitarios revisó el documento “Cláusula de confidencialidad y buenas prácticasalumnado SES” se aportó copia con normas generales de uso responsable de los recursos, con pautas de buen uso de los sistemas de información, uso responsable del correo electrónico y del acceso a internet, propiedad intelectual y procedimientos de actuación ante pérdidas de información que han de firmar los alumnos, un control de fecha de inicio y fin de sus relaciones con la entidad. Aporta copia de “normativa de buenas prácticas-gestión de la seguridad de la información” que comprenden apartados como norma general de acceso y permanencia en el edificio, uso responsable de los recursos, de los sistemas de información Se ha centralizado la gestión del personal alumno en prácticas, lo que permitirá incrementar el control y la monitorización: -Se mantendrá un listado actualizado de alumnos, (ficha individual de la persona alumna/colaboradora con autorizaciones y accesos) y se procederá a la revisión de convenios de forma que se pueda acceder únicamente a través de convenios actualizados con las Universidades pertinentes y cumpliendo plazos establecidos. -Se realizarán acciones para la gestión del uso físico de espacios que ocupan los alumnos en prácticas, con objeto de mantener un número razonable de personas en salas comunes y mejorar el control. -Asignación obligatoria de un tutor responsable como figura de enlace. -Está previsto el seguimiento de todas las anteriores acciones de manera periódica para mantener actualizado el mapa de riesgos y mejora de los controles. -En el ANEXO V de las API (escrito de 26/09/2022) se indica que se han dado de alta dos nuevas actividades de tratamiento y ficheros: “SES ESTUDIOS”, y “SES TRATAMIENTOS ACCIONES INVESTIGACIÓN CIENTÍFICA” con finalidad de realización de estudios científicos sobre criminalidad orientados a la prevención y detección de los delitos y en general contribuir en la mejora de la política de seguridad pública. -Se ha efectuado una EIPD, no señala si en los tratamientos citado en el párrafo anterior, si bien del Inventario que aportó en pruebas, incorporado al procedimiento C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 12/22 figura en “SES ESTUDIOS Tratamiento bajo la LO 7/21. Se ha realizado una EIPD” y se destaca solo algún aspecto, como: -Responsable del tratamiento, la DGCE -Fines del tratamiento realización de estudios científicos sobre criminalidad orientados a la prevención y detección de los delitos en general contribuir en la mejora de la política de Seguridad Pública. Para el desarrollo de los estudios se confeccionarán los pertinentes informes mediante la gestión de datos públicos y privados. -Base de legitimación artículo 11 de la LO/ 7 /21. -Categorías interesados; denunciantes, víctimas, testigos u otros roles criminales relacionados con ilícitos u otras actuaciones de interés policial. -Categoría de datos personales: datos de carácter identificativo: nombre, apellidos, DNI, NIF, imagen, sonido pasaporte y otros documentos identificativos, dirección teléfono y carnés profesionales. Datos de características personales: fecha de nacimiento, sexo, nacionalidad de origen, lugar de residencia y estado civil, datos de salud. Datos relativos a la comisión de infracciones penales e infracciones administrativas: datos de antecedentes penales / policiales. Datos académicos y profesionales: entidades a las que pertenecen, titulación académica, situación ocupacional laboral. Datos de circunstancias sociales variables o circunstancias de vulnerabilidad personal o social. -Las medidas de seguridad implantadas corresponden con lo previsto en el anexo II del esquema Nacional de Seguridad Por otro lado, en el tratamiento “SES- tratamiento acciones de investigación científica”, figura como destacable: -Responsable del tratamiento Dirección General de Coordinación y Estudios -Fines del tratamiento: tratamiento de datos sobre las personas que consientan informadamente participar en estudios científicos sobre criminalidad orientados a la prevención y detección de los delitos y en general contribuir en la mejora de la política de Seguridad Pública. La recogida de los datos se realizará por procesos que garantizarán la anonimizan subsiguiente de los datos de investigación con respecto a la persona física -Base de legitimación: RGPD artículos 6.1.
- a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos RGPD artículo 6.1.e), el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento. Categorías de interesados victimarios, víctimas como testigos y otros errores relacionados con el inditos u otras actuaciones de interés policial. Categorías de datos personales de carácter identificativo, ídem que el tratamiento anterior. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 13/22 b-El Área SEAV por su parte respondió en actuaciones previas con el Anexo III del CNDES manifestando que se ha prohibido el acceso a las instalaciones con teléfonos móviles, portátiles, dispositivos externos de almacenamiento con objeto de controlar una hipotética remisión de información a terceros por personal ajeno a la SES. -para trabajos de becarios accesos a datos anonimizados, consultas en presencia de un empleado que tutoriza el trabajo, con un ordenador facilitado por CNDES sin posibilidad de extracción de datos, sin permiso de uso fuera de las dependencias del CNDES. -además de tener que cumplimentar el documento de “declaración de confidencialidad del área VGEF, se ha de cumplimentar el de la SGSICS “Acuerdo de confidencialidad”. -Sin acceso a sistemas de reproducción del material, -Software para el desarrollo del trabajo adquirido por la SES -No disponibilidad de acceso a cuenta oficial ni correo electrónico, y ordenador no configurado para uso de red wi fi. -No disponibilidad de dispositivos de almacenamiento extraíble. -LA DGCE comunica también en respuesta a las pruebas que se ha desplegado la solución (…) que monitorizan (…) a los usuarios del Ministerio del Interior, manteniendo control (…). Subraya no obstante que los equipos de usuario del Ministerio del Interior han de cumplir las condiciones configuradas desde la SGSICS previamente a poder autenticarse. -La DGCE señala que en la actualidad la configuración de los equipos es: • (…). • (…). • (…). • (…). • (…). -Insistencia en la información y concienciación en protección de datos a todo el personal, subrayando las obligaciones de notificaciones de incidentes o brechas” TERCERO: La parte recurrente ha presentado en fecha 20/05/2025, en esta Agencia Española de Protección de Datos, recurso de reposición, fundamentándolo, básicamente, en las siguientes manifestaciones: Consideraciones generales: -El 26/04/2024, se le notificó un acuerdo de inicio por infracción del artículo 32 del RGPD. El 2/05/2025 le fue notificada la “resolución sancionadora de fecha 24/04/2025 mediante personación en la DEHU para el CIF S2800109G de la Secretaría de Estado de Seguridad”. Añade que también “El día 13 de mayo, se recibió en esta Dirección General, escrito de fecha 9 de mayo de 2025, de (…) del Ministerio del Interior (Subsecretaría), mediante la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 14/22 que traslada la misma resolución al expediente, notificada el día 28 de abril de 2025, mediante personación en la DEHU para el CIF S2816001H del Ministerio del Interior”. Cita la información sobre el artículo 50 de la LOPDGDD de la resolución, y el punto en que la resolución será ejecutiva. Como alegaciones, indica: 1)- Considera que las alegaciones formuladas a la propuesta de resolución no han sido valoradas o analizadas en la resolución del procedimiento 2) La resolución no ha sido “debidamente notificada en virtud de la LPACAP”. -Con cita de los artículos 30.3 y 4, 40.1 y 41 de la LPACAP y el art. 77.2 de la LOPDGDD, Indica que la notificación formal de la resolución debe entenderse realizada cuando se notifica al interesado y no al superior jerárquico y en este caso Indica que el Ministerio del Interior le trasladó la notificación mediante escrito de la DPD de la Subsecretaria no era parte interesada. -Manifiesta que, con referencia a la validez de las notificaciones, reseña el artículo 41 de la LPACAP, e indica que como dirección para envío de avisos previstos en el párrafo 6 del citado artículo, se hizo al “***EMAIL.2”, sin colegir consecuencias de lo que manifiesta. -Manifiesta que: “En su apartado 7, este artículo señala que cuando el interesado fuera notificado por distintos cauces, se tomará como fecha de notificación la de aquélla que se hubiera producido en primer lugar, si bien, dicha notificación debe cumplir con el resto de los requisitos contenidos en la LPACAP, cuestión ésta que no se ha cumplido puesto que se ha intentado la notificación electrónicamente sin cumplir con las previsiones partes interesadas en los procedimientos administrativos ni las contenidas en el artículo 43 sobre la forma de la práctica de las notificaciones electrónicas.” -Cita, además, el artículo 77.2 de la LOPDGDD, que indica que estas resoluciones se notificarán al responsable del tratamiento, y al órgano del que dependa jerárquicamente, en su caso, para alegar que: “no obstante, la fecha de la notificación formal del expediente debería ser entendida cuando se formaliza ante el responsable del tratamiento, no ante su posible superior jerárquico. Aunque la Administración General del Estado tiene personalidad jurídica única de conformidad con la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público, las personas u órganos responsables del tratamiento son a las únicas que se puede atribuir y notificar formalmente la infracción en estos casos, en correspondencia con lo que dispone el propio artículo 70.1 de la LOPDGDD”. 3) Alega que el procedimiento está caducado -Con mención al artículo 21.1 de la LPACAP y artículo 64,2 de la LOPDGDD El procedimiento estaría caducado, al haber superado el tiempo máximo de resolución de doce meses a contar desde la fecha del acuerdo de inicio. Indica el recurrente que “el acuerdo de inicio se efectuó y notificó el 26/04/2024”, y “la notificación se realizó con el procedimiento previamente caducado”, “procedería por tanto su archivo conforme lo previsto en el artículo 64.2 de la LOPDGDD.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 15/22 4) En alusión a la información que se contiene en la resolución sobre la publicación de la resolución recaída, que recoge que: “De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados”, estima la recurrente que, de la lectura del citado artículo, se ha de esperar para su publicación a que la misma adquiera firmeza. FUNDAMENTOS DE DERECHO I Competencia Es competente para resolver el presente recurso la Presidencia de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 123 de la LPACAP y el artículo 48.1 de la LOPDGDD. II Contestación a las alegaciones presentadas Alegación 1, sobre que no han sido contestadas las alegaciones presentadas a la propuesta, se ha de recordar que sí que existe un fundamento de derecho específico, el III, en el que se dan respuesta a las mismas. Fundamento que se transcribe a continuación: «III. Contestación a las alegaciones frente a la propuesta PRIMERA ALEGACIÓN: Aplicación exclusiva de la LO 7/2021 en lugar del RGPD Además de lo ya establecido en el fundamento de derecho anterior, hemos de significar que esta alegación incurre en una interpretación parcial del marco normativo aplicable al tratamiento de datos personales en el ámbito penal. La LO 7/2021, de 26 de mayo, es una norma de transposición de la Directiva (UE) 2016/680, y está dirigida específicamente al tratamiento de datos personales por autoridades competentes con fines de prevención, detección, investigación o enjuiciamiento de infracciones penales o ejecución de sanciones penales. Su ámbito subjetivo se limita a las autoridades competentes que ejerzan potestades públicas para dichas finalidades (art. 1.2 LO 7/2021). Además, los propios registros de actividades de tratamiento (RAT) incorporados al expediente distinguen entre: - Tratamientos como “PDyRH”, amparados en la LO 7/2021, y - Tratamientos como “SES-Estudios” y “Tratamientos para acciones de investigación científica”, basados en el artículo 6.1
- e)del RGPD. Esto demuestra que no todos los tratamientos vinculados a los datos policiales caen automáticamente dentro del ámbito de la LO 7/2021, puesto que dependerá de la finalidad del tratamiento, y que el Ministerio del Interior reconoce tratamientos sujetos al RGPD cuando se vinculan a fines científicos o estadísticos, como ocurrió en este caso. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 16/22 Por tanto, no resulta aplicable de forma exclusiva la LO 7/2021, y sí es exigible el cumplimiento del RGPD respecto a las obligaciones de seguridad y custodia, como la contenida en su artículo 32. La colaboración con investigadores externos y la utilización de soportes informáticos no sujetos a controles funcionales hacen plenamente procedente la aplicación del RGPD. SEGUNDA ALEGACIÓN: Medidas de seguridad implementadas y responsabilidad limitada al error humano La entidad reclamada insiste en que el incidente se debió a un fallo humano aislado, y que contaba con medidas técnicas y organizativas implantadas, conforme al Esquema Nacional de Seguridad (ENS). Sin embargo, del análisis de los hechos probados se concluye que: - El equipo sustraído carecía de cifrado de disco, de contraseña de arranque y de mecanismos de borrado remoto. - El disco duro no estaba formateado, de modo que podía acceder y verse toda la información almacenada en el mismo. - No existía constancia oficial de su asignación al investigador, lo que implica una ausencia total de trazabilidad y control de inventario. - El equipo fue utilizado fuera de sede, sin autorización específica, y contenía información sensible, incluidas grabaciones de entrevistas y datos de naturaleza penal o de salud. - No se disponía de copia de respaldo ni de un registro actualizado del contenido del equipo, lo que imposibilitó evaluar con precisión el alcance de la brecha. Estas deficiencias no pueden atribuirse únicamente a un error humano del(...), sino que evidencian una falta de diligencia estructural del responsable del tratamiento al permitir: - La permanencia de equipos sin reconfigurar desde 2017 o 2019. - La asignación funcional de equipos sin registro. - El tratamiento de datos extremadamente sensibles fuera del entorno controlado, sin supervisión efectiva. Y sin que, además, los dispositivos contasen con medidas de seguridad, como el cifrado, que evitasen que cualquiera que tuviera el ordenador pudiera tener acceso a los datos. La Sentencia del Tribunal Supremo 543/2022, citada por la reclamada, distingue entre obligaciones de medios y de resultado, pero no exime de responsabilidad cuando la adopción de los medios fue inadecuada respecto al nivel de seguridad adecuado riesgo. En este caso, la ausencia de cifrado y de restricciones de acceso físico y lógico, así como la inexistencia de una evaluación de impacto y trazabilidad, confirman que los medios eran insuficientes frente al nivel de riesgo. A mayor abundamiento y respecto del ENS indicaremos que no es lo mismo seguridad de la información que protección de datos (el segundo es un derecho fundamental que C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 17/22 protege a las personas físicas y no sólo “la información”) tal y como pone de manifiesto el informe 2018-0170 del Gabinete Jurídico de la AEPD. Tal y como establece el artículo 5 del Real Decreto 311/2022, de 3 de mayo, “El objeto último de la seguridad de la información es garantizar que una organización podrá cumplir sus objetivos, desarrollar sus funciones y ejercer sus competencias utilizando sistemas de información”. Así que el sistema de gestión de riesgos del ENS protege los riesgos en la organización frente al sistema de protección de las personas físicas en cuanto a los riesgos en sus derechos y libertades derivados de un tratamiento de datos personales. Asimismo, el propio ENS (Real Decreto 311/2022, de 3 de mayo) en su artículo 3 determina que, “1. Cuando un sistema de información trate datos personales le será de aplicación lo dispuesto en el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento General de Protección de Datos) y en la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales, o, en su caso, la Ley Orgánica 7/2021, de 26 de mayo, de protección de datos personales tratados para fines de prevención, detección, investigación y enjuiciamiento de infracciones penales y de ejecución de sanciones penales, el resto de normativa de aplicación, así como los criterios que se establezcan por la Agencia Española de Protección de Datos o en su ámbito competencial, por las autoridades autonómicas de protección de datos, sin perjuicio de los requisitos establecidos en el presente real decreto. 2. En estos supuestos, el responsable o el encargado del tratamiento, asesorado por el delegado de protección de datos, realizarán un análisis de riesgos conforme al artículo 24 del Reglamento General de Protección de Datos y, en los supuestos de su artículo 35, una evaluación de impacto en la protección de datos. 3. En todo caso, prevalecerán las medidas a implantar como consecuencia del análisis de riesgos y, en su caso, de la evaluación de impacto a los que se refiere el apartado anterior, en caso de resultar agravadas respecto de las previstas en el presente real decreto”. (el subrayado es nuestro) La nueva regulación del ENS coloca expresamente en una posición prevalente a la protección de datos de carácter personal por tratarse de un derecho fundamental que protege los derechos y libertades de las personas físicas. De esta forma, aun cuando las medidas de seguridad de la información del ENS y las medidas de seguridad de protección de datos pueden compartir un espacio en común, no están en un nivel de igualdad. A mayores indicaremos que algunas de las deficiencias detectadas, como el hecho de que el equipo careciera de contraseña de arranque, no sólo incumplen con la normativa de protección de datos, sino que son también contrarias al ENS y a las mínimas medidas básicas de seguridad que cualquier usuario de nivel básico pudiera implementar en sus equipos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 18/22 En definitiva, no se trata de un fallo individual, sino de un fallo sistemático en la gestión de la seguridad del tratamiento, contraria al artículo 32 RGPD. TERCERA ALEGACIÓN: Falta de constancia de filtración efectiva y perjuicios El RGPD, en su artículo 32, no condiciona la existencia de una infracción a la materialización de daños o accesos no autorizados, sino a la existencia de un nivel de seguridad adecuado al riesgo para los derechos y libertades de las personas físicas. En este caso, amén de que los riesgos concurrentes eran altos, no se habían adoptado e implementado medidas de seguridad adecuadas al nivel de riesgo: - El portátil contenía datos especialmente protegidos y de categoría penal (datos de víctimas, agresores, grabaciones, atestados, datos de salud y antecedentes). - No existía barrera técnica alguna para evitar el acceso no autorizado. - No se disponía de información sobre qué datos concretos estaban contenidos, lo que imposibilita determinar con precisión el impacto real. - El hecho de que no se pueda verificar si se ha accedido a la información no anula el riesgo existente, ya que la ausencia de trazabilidad es en sí una vulneración del principio de responsabilidad proactiva (art. 5.2 RGPD). En cuanto a la notificación a los interesados, el artículo 34 RGPD impone esta obligación cuando el incidente pueda suponer un alto riesgo. La incapacidad de identificar a los afectados es precisamente resultado de no haber implementado mecanismos adecuados de control y respaldo, lo cual no exime de responsabilidad, sino que la agrava. Por tanto, no es necesario acreditar una filtración efectiva ni un perjuicio individualizado para imputar la infracción. La brecha se produjo, el riesgo era real y elevado, y las medidas de seguridad fueron claramente insuficientes.» Alegación 2- La resolución no ha sido “debidamente notificada en virtud de la LPACAP” Sobre esta alegación, se ha de indicar que consta la puesta a disposición de la resolución el 24/04/2025, y se practicó esta notificación del mismo modo que el acuerdo de inicio, a la dirección electrónica asociada el CIF S2800109G de la DGCE, responsable del tratamiento y como tal interesado en el procedimiento. El hecho de que además la notificación se remitiera a la dirección electrónica asociada al CIF del Ministerio del Interior S2816001H, no incide en la efectiva notificación que se realizó al responsable, que accede a su contenido el 2/05/2025, sin que pueda tildarse de indebida. En cuanto a que el Ministerio del Interior no es interesado en el procedimiento, indicar que su remisión o traslado de la notificación al CIF del Ministerio del Interior S2816001H, recibida por el DPD de la Subsecretaria, con acceso a su contenido el 28/04/2025, no afecta a la validez y eficacia de la notificación de la resolución que se ha realizado a la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 19/22 recurrente como responsable del tratamiento e interesado, cumpliéndose con el artículo 40.1 de la LPCAP Alegación 3- caducidad del procedimiento En cuanto a la alegación de la caducidad, señalar en primer lugar lo siguiente: El artículo 64.2 de la LOPDGDD, párrafo dos, final, sobre forma de iniciación y duración del procedimiento, en vigor a la fecha de la firma del acuerdo de inicio, prescribe: “(…) El procedimiento tendrá una duración máxima de doce meses a contar desde la fecha del acuerdo de inicio o, en su caso, del proyecto de acuerdo de inicio. Transcurrido ese plazo se producirá su caducidad y, en consecuencia, el archivo de actuaciones.” Circunstancia que se hace constar en el acuerdo de inicio notificado a la recurrente. De acuerdo con los documentos que constan en el expediente, y así reconoce la recurrente, el acuerdo de inicio se dictó el 26/04/2024, constituyendo la fecha de inicio del cómputo de duración de los doce meses que puede consumir el procedimiento sancionador. Continuando con el trámite de notificación de la resolución, esta aparece fechada en su envío de notificación telemática por la AEPD a la recurrente el 24/04/2025, verificándose que tuvo salida y puesta a disposición ese mismo día 24/04/2025. En este caso, la recurrente, pese a poder haber accedido al contenido de la notificación el mismo día 24, lo hizo el día 2/05/2025 En el presente supuesto, el procedimiento sancionador, se inicia de oficio, como se ha referido, el 26/04/2024, y finaliza con el dictado de la resolución el 23/04/2025. La puesta a disposición de la resolución al interesado se produjo, el 24/04/2025, antes, por tanto, del transcurso de los doce meses que prevé el citado artículo 64.2 último párrafo de la LOPDGDD. Sobre este particular, el artículo 40.4 de la LPACAP señala que: “Sin perjuicio de lo establecido en el apartado anterior, y a los solos efectos de entender cumplida la obligación de notificar dentro del plazo máximo de duración de los procedimientos, será suficiente la notificación que contenga, cuando menos, el texto íntegro de la resolución, así como el intento de notificación debidamente acreditado.” El artículo 43.3 de la LPACAP indica: “Se entenderá cumplida la obligación a la que se refiere el artículo 40.4 con la puesta a disposición de la notificación en la sede electrónica de la Administración u Organismo actuante o en la dirección electrónica habilitada única.” En este caso, la puesta a disposición de la resolución dictada el 23/04/2025, se realizó en la dirección electrónica habilitada única (DEHU), lo fue el día siguiente, 24, por lo que se ha de entender cumplida la obligación de notificar dentro del plazo máximo de duración previsto para la tramitación de este procedimiento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 20/22 Uno de los modos de extinción de los procedimientos administrativos se produce por el transcurso del tiempo, tiene la finalidad de cumplir las exigencias derivadas de la seguridad jurídica. Acorde con esta naturaleza y con la obligación general de la Administración de dictar resolución expresa en todos los procedimientos, ex artículo 21 de la LPACAP, “obligación de resolver”, se establecen unos plazos cuyo transcurso, sin haberse dictado resolución expresa, determina la caducidad del procedimiento, con el tenor: “1 La Administración está obligada a dictar resolución expresa y a notificarla en todos los procedimientos cualquiera que sea su forma de iniciación. En los casos de prescripción, renuncia del derecho, caducidad del procedimiento o desistimiento de la solicitud, así como de desaparición sobrevenida del objeto del procedimiento, la resolución consistirá en la declaración de la circunstancia que concurra en cada caso, con indicación de los hechos producidos y las normas aplicables. Se exceptúan de la obligación a que se refiere el párrafo primero, los supuestos de terminación del procedimiento por pacto o convenio, así como los procedimientos relativos al ejercicio de derechos sometidos únicamente al deber de declaración responsable o comunicación a la Administración. 2. El plazo máximo en el que debe notificarse la resolución expresa será el fijado por la norma reguladora del correspondiente procedimiento. Este plazo no podrá exceder de seis meses salvo que una norma con rango de Ley establezca uno mayor o así venga previsto en el Derecho de la Unión Europea.” Pues bien, en este caso, como se ha indicado, la LOPDGDD, en su artículo 64, establece un plazo de caducidad de doce meses para los procedimientos sancionadores, al que hay que estar de conformidad con lo dispuesto en el citado artículo 21.2 de la LPACAP. La caducidad pretende garantizar que el plazo de los doce meses de duración del procedimiento no es superado y en este caso desde la fecha del inicio del cómputo del plazo de caducidad, es decir desde la fecha de la firma del acuerdo de inicio, el 26/04/2024 hasta la puesta a disposición de la resolución por la AEPD en la DEHÚ el 24/04/2025, según figura en el certificado que figura en el procedimiento, no ha transcurrido el citado plazo de caducidad. Por lo cual, en este caso, no se ha incumplido el plazo máximo para resolver, considerando que la puesta a disposición de la resolución dictada el 23/04/2025, lo fue al día siguiente 24/04/2025, por lo que a contar desde el acuerdo de inicio: 26/04/2024, no se han superado los doce meses, cumpliéndose lo previsto en el contenido del artículo 43.4 de la LPACAP, por lo que no procede declarar los efectos de la pretendida caducidad. -Sobre la remisión del aviso de notificación, a la dirección ***EMAIL.2, cabe recordar que señala la LPACAP en su artículo 41.6: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 21/22 “6. Con independencia de que la notificación se realice en papel o por medios electrónicos, las Administraciones Públicas enviarán un aviso al dispositivo electrónico y/o a la dirección de correo electrónico del interesado que éste haya comunicado, informándole de la puesta a disposición de una notificación en la sede electrónica de la Administración u Organismo correspondiente o en la dirección electrónica habilitada única. La falta de práctica de este aviso no impedirá que la notificación sea considerada plenamente válida.” Además, el artículo se desarrolla en por el Reglamento de actuación y funcionamiento del sector público por medios electrónicos, aprobado por el Real Decreto 203/2021, de 30/03, cuyo artículo 43, indica que: “1. De acuerdo con lo previsto en el artículo 41.6 de la Ley 39/2015, de 1 de octubre, con independencia de que la notificación se realice en papel o por medios electrónicos, las Administraciones Públicas, organismos públicos o entidades de derecho público vinculados o dependientes enviarán al interesado o, en su caso, a su representante, aviso informándole de la puesta a disposición de la notificación bien en la Dirección Electrónica Habilitada única, bien en la sede electrónica o sede electrónica asociada de la Administración, u Organismo o Entidad o, en su caso, en ambas. La falta de práctica de este aviso, de carácter meramente informativo, no impedirá que la notificación sea considerada plenamente válida.” Por tanto, el envío a dicha dirección electrónica del aviso de puesta a disposición se efectuó en cumplimiento de lo dispuesto en la citada normativa. Alegación 4 Sobre la publicación de la resolución de 23/04/2025 en la web de la AEPD, cuando adquiera firmeza, el citado artículo 50 de la LOPDGDD señala que:” La Agencia Española de Protección de Datos publicará las resoluciones de su Presidencia…las que pongan fin a los procedimientos sancionadores”, cuestión a la que vuelve el artículo 11 del del Estatuto de la Agencia Española de Protección de datos, aprobado por Real Decreto 389/2021, de 1/06. Pues bien, en todo caso, la publicación de la resolución se llevará a cabo cuando la misma adquiera firmeza. III Debido a razones de funcionamiento del órgano administrativo, por ende, no atribuibles a la parte recurrente, hasta el día de la fecha no se ha emitido el preceptivo pronunciamiento de esta Agencia respecto al presente recurso. De acuerdo con lo establecido en el art. 24 de la LPACAP, el sentido del silencio administrativo en los procedimientos de impugnación de actos y disposiciones es desestimatorio. Con todo, y a pesar del tiempo transcurrido, la Administración está obligada a dictar resolución expresa y a notificarla en todos los procedimientos cualquiera que sea su forma de iniciación, según dispone el art. 21.1 de la citada LPACAP. IV Conclusión C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 22/22 En consecuencia, en el presente recurso de reposición, la parte recurrente no ha aportado nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada. Vistos los preceptos citados y demás de general aplicación, la Presidencia de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por la DIRECCIÓN GENERAL DE COORDINACIÓN Y ESTUDIOS, NIF S2800109G (SECRETARÍA DE ESTADO DE SEGURIDAD-MINISTERIO DEL INTERIOR) contra la resolución de esta Agencia Española de Protección de Datos dictada con fecha 23/04/025, en el expediente EXP202405365. SEGUNDO: NOTIFICAR la presente resolución a la DIRECCIÓN GENERAL DE COORDINACIÓN Y ESTUDIOS. TERCERO: De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer recurso contencioso-administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13/07, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
- a)LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeaepd.gob.es/sede-electronica-web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada LPACAP. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 180-020125 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es