REPOSICION-PS-00382-2023

1/28 Expediente nº.: EXP202211394  RESOLUCIÓN DE RECURSO DE REPOSICIÓN Examinado el recurso de reposición interpuesto por SECRETARÍA DE ESTADO DE SEGURIDAD (en lo sucesivo, la parte recurrente) contra la resolución dictada por la Directora de la Agencia Española de Protección de Datos de fecha 18 de abril de 2024, y en base a los siguientes HECHOS PRIMERO: Con fecha 18 de abril de 2024, se dictó resolución por la Directora de la Agencia Española de Protección de Datos en el expediente EXP202211394, en virtud de la cual se imponía a SECRETARÍA DE ESTADO DE SEGURIDAD: “PRIMERO: DECLARAR que S. DE E. DE SEGURIDAD, con NIF S2816001H ha cometido las siguientes infracciones previstas en la LO 7/2021 - Infracción del artículo 20 de la LO 7/2021, tipificada en el artículo 59

1. f)Infracción del artículo 35 de la LO 7/2021, tipificada en el artículo 59.
2. l)Infracción del artículo 41 de la LO 7/2021, tipificada en el artículo 59.
3. e)SEGUNDO: ORDENAR a S. DE E. DE SEGURIDAD, con NIF S2816001H, a que en virtud del artículo 62 de la LO 7/2021, desde que la presente resolución sea firme y ejecutiva, acredite haber procedido al cumplimiento de las siguientes medidas correctivas en el plazo que seguidamente se indica: Incluir, en un plazo máximo de tres meses, la información en materia de protección de datos exigida por el artículo 21 de la LO 7/2021 en todos aquellos documentos y/o diligencias facilitadas a las víctimas en el momento en que se vayan a tratar sus datos personales, de forma que se cumpla de forma efectiva la obligación prevista en el artículo 20 de dicha norma. Implementar, en un plazo máximo de tres meses, las medidas necesarias con el fin de garantizar la autonomía e independencia del DPD y evitar, de esta forma, cualquier situación que le origine un conflicto de intereses. Proceder, en un plazo máximo de seis meses, a la realización y superación de la Evaluación de Impacto de Datos personales en los términos y con el contenido mínimo exigido por el artículo 35 LO 7/2021.” Dicha resolución, que fue notificada a la parte recurrente en fecha 19 de abril de 2024, fue dictada previa la tramitación del correspondiente procedimiento sancionador, de conformidad con lo dispuesto en la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), y supletoriamente en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP), en materia de tramitación de procedimientos sancionadores.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/28 SEGUNDO: Como hechos probados del citado procedimiento sancionador, PS/00382/2023, quedó constancia de los siguientes: “PRIMERO: A través de la diligencia realizada por el inspector actuante durante el transcurso de las actuaciones de investigación realizadas en fecha 28/02/2023 se hizo constar que a través del acceso a la URL ***URL.1 que se encuentra dentro de la página web del Ministerio de Interior se accede a una página que ofrece los siguientes apartados relacionado con la Violencia contra la mujer:  “Sistema VioGén  Supresión de Datos Sistema VioGén  Noticias y Eventos  Marco Jurídico  Publicaciones  Estadísticas del sistema Viogén  Enlaces de interés” “El Sistema de Seguimiento Integral en los casos de Violencia de Género (Sistema VioGén), de la Secretaría de Estado de Seguridad del Ministerio del Interior, se puso en funcionamiento el 26 de julio del 2007, en cumplimiento de lo establecido en la Ley Orgánica 1/2004, de 28 de diciembre, "de Medidas de Protección Integral contra la Violencia de Género", siendo sus objetivos:  Aglutinar a las diferentes instituciones públicas que tienen competencias en materia de violencia de género  Integrar toda la información de interés que se estime necesaria  Hacer predicción del riesgo  Atendiendo al nivel de riesgo, realizar seguimiento y protección a las víctimas en todo el territorio nacional  Efectuar una labor preventiva, emitiendo avisos, alertas y alarmas, a través del "Subsistema de Notificaciones Automatizadas", cuando se detecte alguna incidencia o acontecimiento que pueda poner en peligro la integridad de la víctima.  Buscando, finalmente, establecer una tupida red que permita el seguimiento y protección de forma rápida, integral y efectiva de las mujeres maltratadas, y de sus hijos e hijas, en cualquier parte del territorio nacional.” De igual forma, por lo que se refiere al apartado “supresión de datos Sistema VioGén” en virtud de la citada diligencia, ha quedado constatado que aparece la siguiente información:   C/ Jorge Juan, 6 28001 – Madrid “El Sistema VioGén (Sistema de Seguimiento Integral de los Casos de Violencia de Género) es un tratamiento de datos de carácter personal cuyo responsable es la persona titular de la Dirección General de Coordinación y Estudios del Ministerio de Interior. Este tratamiento desarrolla las actividades necesarias para garantizar la seguridad y protección de las víctimas de violencia de género, facilitar el seguimiento de las medidas aplicadas y prevenir actividades delictivas vinculadas a la violencia de género con la finalidad de www.aepd.es sedeagpd.gob.es 3/28        C/ Jorge Juan, 6 28001 – Madrid proteger a dichas víctimas y prevenir infracciones penales sobre las mujeres que se puedan ser sujetos pasivos de tales conductas. Las personas que se consideran interesadas en este fichero serán las víctimas de hechos susceptibles de ser tipificados como violencia de género y las personas incursas en procedimientos e investigaciones judiciales relacionadas con esos mismos hechos, sin que dicha inclusión prejuzgue el derecho a la presunción de inocencia, cuestión ésta que será dirimida por las Autoridades Judiciales competentes. La información sobre este fichero y toda la relativa a la forma de ejercer los derechos por parte de los interesados se puede obtener en extenso en la página web. Dada la finalidad de este tratamiento y su descripción, en correspondencia con los derechos fundamentales susceptibles de ponderación, en cuanto al ejercicio del derecho de supresión, cabe señalar que los datos registrados en el Sistema VioGén serán conservados de conformidad con el artículo 8 de la LOPDP y sólo serán suprimidos a instancia de las personas interesadas en aquellos casos que exista una resolución judicial firme de sobreseimiento definitivo, una sentencia absolutoria firme y se cancelen los antecedentes penales (judiciales) derivados de las mismas. Pudiendo, no obstante, ser denegadas aquellas solicitudes de supresión de datos cuando los mismos sigan siendo necesarios para la consecución de los fines para los que fueron recabados (protección a las víctimas y prevención de infracciones penales relacionadas con violencia de género), o cuando haya habido cualquier reiteración, reincidencia o quebrantamiento de las medidas judiciales o las penas. Sin perjuicio de aplicar el artículo 24 de la LOPDP si fuese necesario y estuviera motivado el aplicar alguna restricción a los derechos de información, acceso, rectificación, supresión de datos personales y a la limitación de su tratamiento. En relación con lo señalado resulta ineludible aportar la documentación compulsada que acredite la firmeza de las resoluciones y la finalización de los procedimientos (Sentencia absolutoria, archivo, sobreseimiento o ejecutoria de cumplimiento de condena (para estos casos requiere la acreditación previa de cancelación de antecedente penal). Los formularios podrán presentarse, para validación y registro preceptivo, ante cualquier dependencia de Policía Nacional o Guardia Civil, así como ante cualquier oficina de las Delegaciones o Subdelegaciones del Gobierno, existentes en cada provincia, a través del Registro Electrónico General de la Administración General del Estado de acuerdo a lo dispuesto en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas). Las solicitudes se responderán en el plazo de un mes, aunque, si se tiene en cuenta la complejidad y número de solicitudes, se podría prorrogar el plazo otros dos meses más (lo cual será trasladado al interesado).” www.aepd.es sedeagpd.gob.es 4/28 Al clicar el link “página web” del párrafo cuarto del texto transcrito queda igualmente acreditado que aparecen los siguientes apartados:     “Normativa aplicable Cómo ejercer sus derechos Registro de Actividades de Tratamiento Delegados de Protección de Datos del Ministerio del Interior” Asimismo, en dicha página se encuentran los siguientes documentos disponibles para descargar en formato pdf:    “Formulario de ejercicio de los derechos de protección de datos de carácter personal para el Sistema de Seguimiento integral de los Casos de Violencia de Género. Formulario general para ejercicio de los derechos de protección de datos de carácter personal (no valido para antecedentes policiales) Registro de actividades de tratamiento del Ministerio de Interior” Queda acreditado que al seleccionar el apartado “Cómo ejercer sus derechos” se muestra la siguiente información:  “Las personas interesadas podrán ejercer los derechos de acceso, rectificación, supresión, limitación de tratamiento, oposición y portabilidad de los datos, conforme a lo establecido en los artículos 15 a 22 del Reglamento General de Protección de datos, y los derechos de acceso, rectificación, supresión y limitación conforme a los artículos 20 a 25 de la Ley Orgánica 7/2021, de 26 de mayo, de protección de datos personales tratados para fines de prevención, detección, investigación y enjuiciamiento de infracciones penales y de ejecución de sanciones penales.  Cada Centro Directivo del Ministerio del Interior podrá indicar, en su sede o sección web correspondiente, procedimientos particulares para ejercer los derechos.  CÓMO EJERCER SUS DERECHOS SOBRE ANTECEDENTES POLICIALES Para ejercer los derechos relacionados con los antecedentes policiales se ha establecido un procedimiento particular, disponible en la página ***PÁGINA.1.  CÓMO EJERCER EL RESTO DE DERECHOS DE TRATAMIENTOS DEL MINISTERIO DEL INTERIOR Para aquellos tratamientos que no disponen de un procedimiento particular, de manera general se pueden ejercer los derechos de la siguiente manera: o C/ Jorge Juan, 6 28001 – Madrid En primer lugar, debe descargarse el Formulario general para ejercicio de los derechos de protección de datos de carácter personal (no válido para antecedentes policiales ni violencia de género) que tiene disponible al final de esta página, en la sección de DESCARGAS. www.aepd.es sedeagpd.gob.es 5/28 o o Como excepción, para ejercer los derechos relacionados con el Sistema de Seguimiento Integral de los Casos de Violencia de Género, siga el mismo procedimiento, teniendo en cuenta que el formulario a descargar y rellenar es el Formulario de ejercicio de los derechos de protección de datos de carácter personal para VioGén, que tiene disponible en la sección de DESCARGAS, al final de esta página (***PÁGINA.2). Cumplimente el formulario adecuado debidamente, especificando cual es el tratamiento sobre el cual desea ejercer sus derechos (Responsable de tratamiento y Nombre del tratamiento) y qué derecho(
4. s)desea ejercer. Los datos necesarios para identificar al tratamiento concreto en el formulario (Nombre del tratamiento y Responsable del tratamiento) puede obtenerlos en el documento Registro de Actividades de Tratamiento, disponible en el apartado DESCARGAS, en el que se listan los distintos tratamientos del Ministerio, agrupados por Centro Directivo.  No se admitirán aquellos formularios incompletos en que no se identifiquen debidamente el responsable de tratamiento, el nombre del tratamiento y los derechos que se desean ejercer.  Una vez debidamente cumplimentado el formulario, se puede remitir al responsable de Tratamiento por dos vías diferentes: o A través del Registro electrónico, remitiendo el formulario a través del procedimiento existente en la ***SEDE.1 (requiere tener un Certificado Digital y poder realizar Firma electrónica mediante applet Java o aplicación Autofirma). o O presencialmente a través de la red de ***OFICINAS.1, presentando el formulario en papel.  No se admitirán solicitudes que vengan por otros medios (cómo por ejemplo correo postal o correo electrónico).  También tiene derecho a reclamar ante la Agencia Española de Protección de Datos: C/ Jorge Juan, 6. 28001. MADRID (www.aepd.es)” Dentro del documento relativo al Registro de actividades de tratamiento del Ministerio del Interior, cuya última actualización es de fecha 29/09/2023, se establece como responsable del tratamiento del Sistema VioGén a la Secretaría de Estado de Seguridad, Dirección General de Coordinación y Estudios. (en adelante, SEGDGCE) SEGUNDO. La parte reclamada aportó durante las actuaciones de investigación el “protocolo de primer contacto policial con víctimas de violencia de género en situación de desprotección (protocolo cero)”. Dentro de dicho documento, el cual forma parte del expediente administrativo del presente procedimiento se encuentra la siguiente información relativa al primer contacto policial con víctimas de violencia de género: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/28  C/ Jorge Juan, 6 28001 – Madrid “Las ocasiones en las que el personal de las FFCCS actuante que se encuentra en la primera línea de intervención con víctimas de violencia de género obtienen o pueden obtener información a través de manifestaciones de las personas en el lugar de los hechos y de su observación directa de gran interés para mejorar la posterior valoración policial del riesgo y de esta forma activar en las mejores condiciones el Protocolo Policial y todas las ulteriores acciones que se pueden desprender de manera complementaria para aumentar de forma integral la protección de las víctimas y atender a sus necesidades conforme a lo dispuesto en la Instrucción SES 4/2019. La información que, en muchas ocasiones, obtienen quienes realizan estas intervenciones, muy guiadas en términos de inmediatez, puede resultar clave en la mejora de los procedimientos que deben dirigirse a la protección de las víctimas especialmente vulnerables, limitando que se pierda información mediante un protocolo estructurado que oriente de forma clara en tareas importantes. De esta forma, la Guía de Actuación del Protocolo Cero en Violencia de Género describe acciones muy específicas durante el primer contacto policial con víctimas de violencia de género mediante los siguientes ejes: o Durante el proceso de intervención policial se deberán tener en cuenta, especialmente, todos los aspectos relacionados con la seguridad de la víctima y de menores, en el caso de que los hubiera. o Las actuaciones operativas y documentales enmarcadas en este Protocolo Cero están especialmente indicadas para los supuestos en los que el personal policial ha sido informado por la víctima de su negativa a denunciar formalmente en dependencias policiales, o tengan indicios de ello, sobre las circunstancias que motivaron hechos presuntamente relacionados con un suceso de violencia de género, ya sean conocidos por primera vez o relacionados con un quebrantamiento de medidas judiciales. o La fuerza actuante deberá prestar especial atención a las manifestaciones de las personas que se hallen en el lugar de los hechos, especialmente de la víctima, conforme a los indicadores y escenarios de riesgo recogidos en la Guía de Actuación anexada en esta instrucción. En este sentido, dispondrán de un documento de trabajo elaborado al efecto denominado Guía de Actuación del Protocolo Cero en Violencia de Género. o Durante la intervención policial, quienes actúan deberán valorar el momento más adecuado, si resulta oportuno, para oír a la víctima en lo que quiera manifestar y en su caso aclarar respecto a las circunstancias que motivaron los presuntos hechos delictivos. En estos supuestos, se deberá obtener la información posible en un entorno privado, lejos de menores www.aepd.es sedeagpd.gob.es 7/28 como de cualquier otra persona. Se debe aprovechar para conocer si precisa de recursos asistenciales específicos. o En el caso de existir menores a cargo de la víctima, el personal policial deberá constatar si los presuntos hechos se han producido en su presencia y si en esta u otra ocasión han sufrido agresiones y/o amenazas directas o indirectas. o Antes de abandonar el lugar de la intervención, quienes actúan en primera instancia deberán informar a la víctima de los teléfonos y recursos próximos disponibles. En especial de aquéllos que ofrecen atención inmediata y confidencialidad.” Queda acreditado que en el Anexo de dicho Documento se desarrolla la Guía de Actuación del Protocolo Cero en Violencia de Género en el primer contacto con la víctima de violencia de género. En el mismo se indican las siguientes recomendaciones:  “Las siguientes recomendaciones constituyen un decálogo que va a permitir obtener información de gran valor para posteriormente poder evaluar el riesgo de la víctima de violencia de género y conocer mejor aspectos de vulnerabilidad y desprotección. Está especialmente orientado a los casos en los que existan indicios de que, al menos inicialmente, la víctima no quiera presentar denuncia. Para ello, se precisa de su observación como agentes actuantes y de la información obtenida de la víctima, el presunto agresor o de cualquier persona que pueda facilitar información de interés en el contexto de la intervención en el ámbito de la violencia de género. o o o o o o C/ Jorge Juan, 6 28001 – Madrid Solicite información de la víctima en un entorno privado, alejada tanto de menores como de cualquier otra persona. Aproveche también para conocer si precisa de recursos asistenciales específicos. Intente obtener información a través de todas las fuentes disponibles mediante las manifestaciones de las personas presentes y de su observación (víctima, testigos, presunto agresor, otros). Tenga cuidado al obtener la información, priorizando la seguridad de la víctima y de menores. Tenga también en cuenta que la preocupación de la víctima por su propia seguridad puede afectar a su capacidad para proporcionar la información necesaria. Preste atención al entorno y a las personas que están presentes. Confíe en la experiencia de situaciones similares. En el caso de que la intervención policial se desarrolle en un domicilio preste atención al entorno para conocer en qué medida le puede aportar información útil y valiosa. En ningún momento sugiera el sentido de las respuestas en los supuestos en los que sea recomendable y pertinente realizar www.aepd.es sedeagpd.gob.es 8/28 o o o o o  “Debido a las singulares circunstancias de este tipo de intervenciones y al escenario de riesgo en el que se pueden encontrar las víctimas especialmente vulnerables, en la media de lo posible, trate de interiorizar las recomendaciones incluidas en esta guía de actuación para poder comparecer con el máximo detalle tras la actuación en el lugar de los hechos y de esta forma mejorar la calidad de la diligencia de indicadores de violencia de género, prestando especial atención a los siguientes indicadores y escenarios de riesgo: o o C/ Jorge Juan, 6 28001 – Madrid alguna pregunta. Realizar las preguntas a cualquier persona informante con habilidad y educación. Tenga en cuenta que el momento más peligroso es cuando el presunto autor descubre que la víctima podría intentar terminar la relación. Pueden existir otros indicadores o circunstancias que ayudan en la predicción de una nueva agresión. Indíquelo cuando corresponda. Intente conocer si hay menores afectados o en situación de vulnerabilidad. No abandone el lugar sin informar a la víctima de los teléfonos y recursos próximos disponibles. En especial de aquéllos que ofrecen atención inmediata y confidencialidad.” “Esta Guía de Actuación para sucesos de violencia de género se enmarca en un procedimiento denominado Protocolo Cero que está orientado a mejorar las actuaciones de los agentes policiales en el lugar de los hechos y especialmente indicado para los supuestos de actuación policial con víctimas de un presunto delito de violencia de género en el que, por distintas circunstancias, exista sospecha de que la víctima no acuda a prestar declaración en dependencias policiales. Por su inmediatez, la información obtenida en el lugar de la actuación es de gran valor debido a la carencia de información para realizar la valoración policial de riesgo que existe en algunos casos. Recuerde la importancia de esta información debido a que el principal objetivo de este «protocolo de contacto» es garantizar la recogida de un mínimo de información de forma rápida y directa que permita mejorar la cumplimentación posterior de la Valoración Policial del Riesgo (VPR) y así poder ajustar mejor el riesgo potencial de la víctima y conocer su nivel de vulnerabilidad. Por tanto, este documento incorpora un decálogo de recomendaciones concretas relacionadas con la información disponible en cada momento y situación. “ Interésese por conocer si se ha producido algún episodio de violencia física, incluso sin lesión. Por favor, preste especial atención a si la víctima pudo sufrir alguna agresión en la zona del cuello. Interésese por conocer si se han empleado armas con el objetivo de agredir o amenazar a la víctima y en su caso, el www.aepd.es sedeagpd.gob.es 9/28 o o o o o o o o o C/ Jorge Juan, 6 28001 – Madrid tipo de arma empleada. Respecto a las amenazas, de haberse verbalizado, ¿se trata de amenazas de muerte y/o de suicidio? Observe si las manifestaciones y/o verbalizaciones espontáneas realizadas tanto por la víctima como por el presunto agresor, u otras fuentes de información, llevan a pensar que no se trata de un episodio aislado, sino reiterado, conllevando un cierto incremento de la violencia o cronificación de esta. Preste atención a si, con la información disponible en el lugar de actuación, parece que los hechos actuales u otros previos pueden estar motivados total o parcialmente por los celos del presunto agresor. Observe si de las manifestaciones u otras informaciones se desprende la existencia de algún tipo de conducta de control y/o acoso por el presunto agresor, de su entorno, así como del contexto familiar de la víctima. Preste atención a si durante esta, u otra intervención policial previa, se han registrado faltas de respeto o conductas desafiantes hacia el personal policial actuante por parte del presunto agresor. Por otra parte, observe también si existen daños en el lugar de los hechos provocados por el presunto agresor. Observe e interésese por conocer y si el presunto agresor presenta algún trastorno mental y/o suele ser muy impulsivo o agresivo con alteraciones del comportamiento, añadiendo especialmente si existen o han existido ideas o tentativas de suicidio, así como también una posible adicción o abuso de tóxicos, incluido el alcohol. Observe y preste atención a las manifestaciones y/o verbalizaciones espontáneas realizadas por la víctima para conocer si esta presenta algún de discapacidad, cuadros depresivos u otros trastornos mentales, especialmente si expresa ideas o tentativas de suicidio, así como también una posible adicción o abuso de tóxicos. Solicite, si es posible e indicado, alguna explicación adicional al respecto para canalizar algún tipo de ayuda. Interésese por conocer si de la información obtenida durante la actuación se deduce que la víctima ha expresado al agresor su intención de romper la relación recientemente. Observe e interésese por conocer si de su observación o de las manifestaciones de la víctima o terceras personas se deduce que la víctima piensa que el agresor es capaz de agredirla con mucha violencia o incluso matarla. Constate la posible existencia de menores a cargo de la víctima y, en su caso, preste atención a si hay algún elemento que indique que estos han sufrido amenazas a la integridad física por parte del presunto agresor, y/o la víctima teme por su seguridad. “ www.aepd.es sedeagpd.gob.es 10/28 Queda acreditado que no existe mención alguna relativa a los derechos de protección de datos personales de las víctimas de violencia de género, ni en el citado protocolo de actuación ni en el anexo del mismo. TERCERO. La parte reclamada aportó asimismo durante las actuaciones de investigación “Guía de derechos para las mujeres víctimas de violencia de género. Queda acreditado que dentro de dicha guía se encuentra un apartado relativo a “Derechos de las víctimas del delito de los que también son titulares las víctimas de violencia de género” con los siguientes subapartados:  “4. Derechos de las víctimas del delito de los que también son titulares las víctimas de violencia de género          4.1. Derechos del Estatuto de la víctima del delito 4.2. Derecho a formular denuncia 4.3. Derecho a solicitar una orden de protección. 4.4. Derecho a solicitar una orden europea de protección 4.5. Derecho a ser parte en el procedimiento penal: el ofrecimiento de acciones 4.6. Derecho a la restitución de la cosa, reparación del daño e indemnización del perjuicio causado 4.7. Derecho a recibir información sobre las actuaciones judiciales 4.8. Derecho a la protección de la dignidad e intimidad de la víctima en el marco de los procesos relacionados con la violencia de género 4.9. Ayudas a las víctimas de delitos considerados violencia de género” Dentro del subapartado “Derecho a la protección de la dignidad e intimidad de la víctima en el marco de los procesos relacionados con la violencia de género” se encuentra el siguiente contenido: C/ Jorge Juan, 6 28001 – Madrid  “La Ley Orgánica 1/2004 prevé medidas específicas de protección de la dignidad e intimidad de la víctima. Por un lado, se establece que los datos personales de la misma, de sus descendientes y las personas que estén bajo su guarda o custodia, tengan carácter reservado.  La reserva del nuevo domicilio, centro de trabajo o colegios de los hijos no sólo preservan la intimidad de la víctima sino que, además, es un instrumento importante para su seguridad, al evitar que estos datos puedan llegar a conocimiento del imputado. Con esta misma finalidad, el modelo de solicitud de la orden de protección dispone que la víctima puede indicar un domicilio o teléfono de una tercera persona a la que las Fuerzas y Cuerpos de Seguridad o los órganos judiciales podrán hacer llegar las comunicaciones o notificaciones.  Por otra parte, la Ley del Estatuto de la víctima del delito reconoce el derecho de las víctimas a la protección de su intimidad en el marco del proceso penal, y en este sentido, obliga a jueces, fiscales, www.aepd.es sedeagpd.gob.es 11/28 funcionarios encargados de la investigación y cualquier persona que de cualquier modo intervenga o participe en el proceso, a adoptar las medidas necesarias para proteger la intimidad de las víctimas y de sus familiares, de acuerdo con lo dispuesto en la Ley. En particular, respecto de las víctimas menores de edad o de víctimas con discapacidad necesitadas de especial protección, deberán adoptar las medidas para impedir la difusión de cualquier tipo de información que pueda facilitar su identificación.  A este respecto, según la Ley de Enjuiciamiento Criminal, el Juez podrá acordar, de oficio o a instancia del Ministerio Fiscal o de la víctima, la adopción de cualquiera de las medidas siguientes cuando resulte necesario para proteger la intimidad de la víctima o el respeto debido a la misma o a su familia:  Prohibir la divulgación o publicación de información relativa a la identidad de la víctima, de datos que puedan facilitar su identificación de forma directa o indirecta, o de aquellas circunstancias personales que hubieran sido valoradas para resolver sobre sus necesidades de protección. Prohibir la obtención, divulgación o publicación de imágenes de la víctima o de sus familiares. Asimismo, el Juzgado puede acordar, de oficio o a instancia de la propia víctima o del Ministerio Fiscal, que las actuaciones judiciales no sean públicas y que las vistas se celebren a puerta cerrada.” Se constata que, en la mencionada guía, incluido dicho subapartado, no se encuentra referencia alguna a la normativa general (RGPD o LOPDGDD) o específica en materia de protección de datos personales (LO 7/2021), ni a los derechos derivados de la misma. CUARTO. En el expediente administrativo del presente procedimiento consta la presentación por la parte reclamada de dos documentos consistentes en las diligencias de derechos Dirección General de la Policía y de la Guardia Civil, los cuales son incorporados posteriormente al correspondiente atestado y a través de los cuales se informa a la víctima de violencia de género de los derechos que le asisten. Así, por lo que se refiere a la Diligencia de Derechos de la Dirección General de la Policía se encuentran enunciados diversos derechos, divididos en los siguientes apartados:         Derecho a la información Derecho a la asistencia jurídica gratuita Derecho a la asistencia social integrada Derecho a la protección de su persona Derechos laborales y de seguridad social Derecho a la percepción de ayudas sociales Acceso a la vivienda y residencia públicas para mayores Derechos de la víctima extranjera reagrupada o en situación irregular C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/28 Dentro del contenido de dichos apartados no se encuentra referencia alguna a la normativa en materia de protección de datos, ni tampoco de los derechos garantizados derivados de la misma. Por lo que se refiere a la Diligencia de Derechos de la Guardia Civil, se constata el siguiente contenido relativo a los derechos que le asisten: - - - “A estar acompañada de una persona de su elección desde el primer contacto con las autoridades y funcionarios. A denunciar, y obtener una copia de la denuncia, debidamente certificada, y en su caso el procedimiento para interponer la denuncia y derecho a facilitar elementos de prueba las autoridades encargadas de la investigación A la asistencia lingüística gratuita y a la traducción escrita de la copia de la denuncia presentada cuando no entienda o no hable ninguna de las lenguas que tenga carácter oficial en el lugar en el que se presenta la denuncia. Excepcionalmente la traducción escrita de la denuncia podrá sustituirse por un resumen oral de su contenido. A una vez personada en la causa, tomar conocimiento de lo actuado e instar lo que es su derecho convenga. A conocer el procedimiento para obtener asesoramiento y defensa jurídica y, en su caso, condiciones en las que puede obtenerse gratuitamente. A mostrarse parte en el proceso mediante nombramiento de Abogado y Procurador o que le sea nombrado de oficio en caso de ser titular del derecho a asistencia jurídica gratuita según la ley 1/1996 y RD 2103/1996 y ejercitar las acciones civiles y penales que procedan o solamente unas u otras según le convenga. Este derecho deberá ejercitarse antes de la apertura de juicio oral. A renunciar a la restitución de la cosa reparación del daño e indemnización del perjuicio causado.” Dentro del contenido de dichas diligencias, se constata la inexistencia de información relativa a los derechos que le asisten en materia de protección de datos, así como a la normativa donde se encuentran los mismos. QUINTO: De la documentación aportada durante el transcurso del presente procedimiento se desprende, en el momento del inicio de las actuaciones de investigación, la ausencia de la Evaluación de Impacto de Datos Personales (EIPD) prevista en el artículo 35 respecto al tratamiento realizado por el sistema VioGén. Durante las actuaciones de investigación se aportó por la parte reclamada información relativa a la decisión de la realización de una EIPD, cuando en junio del año 2021, se adaptó el tratamiento conforme a la normativa en ese instante en vigor. Según la documentación aportada por la parte reclamada se llega a la conclusión de que no es necesario la realización de una EIPD por no tratarse un sistema ni concurrir las circunstancias de la LO 7/2021: “En ese entorno factico y legal, no se consideró la necesidad de realizar una EIPD dado que no se trataba de un sistema nuevo o que concurrieran las circunstancias del artículo 35 de la LOPDP” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/28 TERCERO: La parte recurrente presentó, en fecha 10 de mayo de 2024, a esta Agencia Española de Protección de Datos, recurso de reposición, fundamentándolo, básicamente, en las alegaciones que más abajo se exponen. FUNDAMENTOS DE DERECHO I Competencia Es competente para resolver el presente recurso la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo LPACAP) y el artículo 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD). II Contestación a las alegaciones presentadas Primera alegación: Nulidad de pleno derecho de la resolución sancionadora. Afirma la parte recurrente que en la resolución sancionadora impugnada se cita al inicio a la SECRETARÍA DE ESTADO DE SEGURIDAD con NIF S2816001H como responsable de la conducta sancionadora, mientras que dicha responsabilidad debería atribuirse a la persona titular de la Dirección General de Coordinación y Estudios. Sostiene que, si bien la Administración General del Estado tiene personalidad jurídica única, sus organismos tienen competencias y responsabilidades específicas definidas por la normativa. Afirman que el Real Decreto 207/2024 y el derogado Real Decreto 734/2020 atribuyen a la Dirección General de Coordinación y Estudios funciones específicas, que incluyen apoyo y asesoramiento a la Secretaría de Estado de Seguridad en la coordinación y supervisión de las Fuerzas y Cuerpos de Seguridad del Estado. En este sentido indican que el NIF S2816001H utilizado en la resolución no corresponde con la Dirección General de Coordinación y Estudios. De igual forma, afirman que, en la documentación del tratamiento y el registro de actividades del Ministerio del Interior, se establece como responsable del tratamiento a la persona titular de la Dirección General de Coordinación y Estudios. En consecuencia, sostienen que la atribución incorrecta de la conducta infractora a la Secretaría de Estado de Seguridad en lugar de a la Dirección General de Coordinación y Estudios se considera una causa de nulidad de pleno derecho según el artículo 47 de la LPACAP, apartados
5. c)“aquellos que tengan un contenido imposible” y
6. g)“Cualquier otro que se establezca expresamente en una disposición con rango de Ley” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/28 Al contrario de lo que afirma la parte recurrente, en el Registro de Actividades del Tratamiento (RAT) figura claramente que el responsable del sistema VIOGEN es la Secretaría de Estado de Seguridad, actuando a través de la Dirección General de Coordinación y Estudios. Esta circunstancia fue asimismo indicada en el HECHO PROBADO PRIMERO de la resolución impugnada: Dentro del documento relativo al Registro de actividades de tratamiento del Ministerio del Interior, cuya última actualización es de fecha 29/09/2023, se establece como responsable del tratamiento del Sistema VioGén a la Secretaría de Estado de Seguridad, Dirección General de Coordinación y Estudios. (en adelante, SEGDGCE). Esta previsión sigue mantenida en la RAT a fecha de la firma de la presente resolución cuya última actualización es de mayo de 2024: https://transparencia.gob.es/transparencia/transparencia_Home/index/PublicidadActiv a/OrganizacionYEmpleo/Registro-Tratamiento/RAT-MINT.html Ello demuestra que la identificación de la Secretaría de Estado como responsable del tratamiento en la resolución sancionadora es correcta y está respaldada por la documentación que obra en el expediente. Asimismo, durante las actuaciones de investigación realizadas por la presente autoridad y en el transcurso del presente procedimiento sancionador todas las comunicaciones se dirigieron a la Secretaría de Estado de Seguridad recibiendo las contestaciones y alegaciones por parte de dicha entidad, tal y como consta en el expediente administrativo. Dicho hecho confirma que el responsable del tratamiento estaba plenamente informado e involucrado durante el transcurso del procedimiento. Resulta conveniente mencionar que no se ha planteado ninguna objeción respecto a la entidad a la que se dirigieron las comunicaciones hasta la interposición del presente recurso. Dicho comportamiento puede interpretarse bajo la teoría de los actos propios, que impide la adopción de conductas contradictorias a lo largo de un procedimiento, especialmente cuando estas conductas pueden causar perjuicios a otras partes. En este caso, la Secretaría de Estado de Seguridad no puso objeción alguna respecto a la validez de las comunicaciones ni cuestionó la responsabilidad durante el procedimiento, lo que implica una aceptación tácita de su rol como interesada en el procedimiento iniciado. Además, cabe destacar que, en el transcurso del procedimiento, la Dirección General de Coordinación y Estudios fue incluida junto a la Secretaría de Estado como destinataria en cada uno de los actos administrativos que fueron notificados en los siguientes términos: SECRETARÍA DE ESTADO DE SEGURIDAD, DIRECCIÓN GENERAL DE COORDINACIÓN Y ESTUDIOS, DEL MINISTERIO DEL INTERIOR. La inclusión de la Dirección en conjunto con la SEE manifiesta que el receptor de dichas comunicaciones era conocedor de qué órgano concreto dentro de la estructura del destinatario afectaba dicha resolución. Si la SEE hubiera estimado que la notificación no iba dirigida concretamente al órgano competente dependiente de la misma que figuraba en el propio acto, no podía hacer otra que cosa que deducir claramente el verdadero carácter y remitir a dicho órgano el acto administrativo, lo cual de hecho parece haber ocurrido, tal y como se deduce de la propia interposición del presente recurso. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/28 Por otro lado, la alegación por la parte recurrente de que la resolución tiene un contenido imposible no puede ser favorablemente acogido. Como ha indicado el Tribunal Supremo de forma recurrente, los vicios de plena nulidad deben ser objeto de una interpretación estricta. El supuesto de nulidad por contenido imposible se refiere a actos que son material o físicamente imposibles, que resultan inadecuados en forma total y originaria a la realidad física sobre la que recaen, o que encierran una contradicción interna en sus términos. El Tribunal Supremo ha enfatizado que esta causa concreta de nulidad de pleno derecho debe ser apreciada con suma prudencia, evitando una ampliación inadecuada del supuesto legal. En este sentido, la parte recurrente no ha proporcionado argumentación alguna sobre los motivos en base a los cuales considera que la resolución tiene un contenido imposible. No se ha especificado en qué medida la resolución es material o físicamente imposible de ejecutar, ni se ha señalado ninguna contradicción interna que justifique tal nulidad. Sin una justificación adecuada, la alegación carece de fundamento sólido. De lo indicado se desprende claramente que en el presente supuesto la resolución sancionadora recurrida no posee un contenido imposible. Está dirigida al órgano que figura como responsable del tratamiento de datos, según el RAT. La coherencia del texto, su contenido y la correcta identificación de la Secretaría de Estado de Seguridad junto a la Dirección General de Coordinación y estudios como responsable en las distintas comunicaciones legitiman plenamente la resolución. La parte recurrente sostiene que el responsable del tratamiento de datos es la Dirección General de Coordinación y Estudios debido a las funciones específicas de apoyo y asesoramiento atribuidas por el Real Decreto 207/2024 y el derogado Real Decreto 734/2020. Sin embargo, de dicha atribución de funciones específicas de apoyo y asesoramiento no se infiere que el responsable del tratamiento de datos personales sea la Dirección General de Coordinación y Estudios. La normativa en materia de protección de datos establece claramente que el responsable del tratamiento es la entidad o persona que determina los fines y medios del tratamiento de datos personales. En este contexto, y sin perjuicio de lo que dispone expresamente el RAT, la Secretaría de Estado de Seguridad, que supervisa y coordina las políticas de seguridad, sigue siendo la responsable del tratamiento de datos. Por lo expuesto, dado que la alegación de contenido imposible debe ser evaluada con extrema cautela, y considerando que la parte recurrente no ha presentado argumentos concretos ni pruebas que sustenten su afirmación, no se puede acoger favorablemente esta alegación. La interpretación prudente y estricta de la nulidad de pleno derecho, como establece el Tribunal Supremo, requiere una base sólida y claramente justificada, que no existe en el presente caso. En consecuencia, la alegación de nulidad de pleno derecho basada en un supuesto "contenido imposible" es infundada y debe ser desestimada. Por lo que se refiere a la supuesta nulidad en base al apartado
7. g)del artículo 47, no resulta posible por parte de esta autoridad pronunciarse al respecto dado que no se indica en el escrito de recurso la disposición de rango legal que estableciese esa presunto supuesto de nulidad, ni existe referencia alguna al mismo. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/28 Segunda alegación: Vulneración del principio acusatorio y ejercicio de defensa. En segundo lugar, se sostiene que se ha vulnerado el principio acusatorio y el derecho de defensa debido a discrepancias entre las infracciones inicialmente atribuidas y las sanciones finalmente impuestas en la resolución sancionadora. Así, se afirma que en el acuerdo de iniciación se atribuyeron dos posibles infracciones al responsable del tratamiento (artículo 58
8. f)y 35 de la LO 7/2021), mientras que en la resolución se le atribuían tres (artículo 58 f), 35 y 41 de la LO 7/2021). La alegación sostiene que la modificación de dichas infracciones y la falta de notificación adecuada vulneran el principio acusatorio y el derecho de defensa, constituyendo una infracción de los derechos del interesado según lo establecido por el Tribunal Supremo y la legislación aplicable. Señala asimismo que, a pesar de que la resolución sancionadora indica que la notificación se realizó electrónicamente y se consideró rechazada tras diez días sin respuesta, no hay constancia de esta notificación en los registros de la Dirección General de Coordinación y Estudios ni en la Secretaría de Estado de Seguridad. Dicha alegación, sin embargo, queda refutada tras la comprobación del propio acuse de recibo correspondiente a la notificación de la propuesta de resolución que obra en el expediente administrativo. En dicho acuse de recibo figura claramente “Rechazo de notificación por caducidad” indicando como titular a “S. DE E. DE SEGURIDAD” y como concepto “Propuesta de resolución”. Al pie de dicho acuse se indica: “emitida por Agencia Española de Protección de Datos el día 13/03/24 16:20 ha sido expirada por caducidad, al superarse el plazo establecido para la comparecencia, a fecha de 24/03/24 00:00.”Tal y como es conocido por la parte recurrente, cuando la notificación por medios electrónicos es de carácter obligatorio, como ocurre en el presente caso, la misma se entiende rechazada cuando han transcurrido diez días naturales desde la puesta a disposición de la notificación sin que se accediese a su contenido, en los términos previstos por el artículo 43 de la LPACAP. Dicho rechazo tiene los efectos previstos en el artículo 41.5 de la citada norma, especificándose las circunstancias del intento de notificación y el medio, dando por efectuado el trámite y siguiéndose el procedimiento. Por otro lado, no deja de sorprender que en el acuse de recibo de salida de las alegaciones presentadas por la parte recurrente figure como representante SECRETARIA DE ESTADO DE SEGURIDAD y que, sin embargo, al realizar precisamente por esta autoridad la notificación de la propuesta de resolución al citado representante con indicación del mismo número de expediente manifieste ahora no haber recibido la notificación de dicha propuesta. En la citada propuesta de resolución, la cual debe de entenderse plenamente notificada por imperativo legal, se otorgó al interesado un plazo de audiencia para presentar alegaciones sobre todas las infracciones atribuidas, incluidas las nuevas infracciones apreciadas por el instructor. Este trámite de audiencia se ajusta a lo dispuesto en la LPACAP y a la normativa específica en materia de protección de datos, garantizando de esta forma el derecho de defensa. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/28 Debe de tenerse en cuenta que la nueva infracción prevista en el artículo 41 de la LO 7/2021 fue identificada precisamente a partir de las alegaciones presentadas por la misma parte recurrente. Concretamente, fue el hecho consistente en la presentación de dichas alegaciones en nombre y representación del responsable del tratamiento por el DPD lo que motivó al instructor a proponer esta nueva infracción. Dicho hecho solo pudo ser constatado durante la evaluación de las alegaciones iniciales, lo que justifica su inclusión en la propuesta de resolución y, posteriormente, confirmada en la resolución final. Como indica la propia STS 1382/2020 alegada por la parte recurrente, el principio acusatorio en el procedimiento administrativo sancionador permite que el órgano competente modifique la calificación jurídica, siempre y cuando no se basen en hechos distintos de los determinados en la fase de instrucción y se respete el derecho de defensa. En el presente supuesto, los hechos base no se alteraron; solo se ajustó la calificación jurídica a partir de la información obtenida durante el procedimiento, respetando en todo momento la audiencia del interesado. Como indica la citada sentencia, el Tribunal Constitucional ha tratado de forma recurrente esta cuestión, entre otras, en sentencias 29/1989, de 6 de Febrero; 98/1989, de 1 de Junio; 145/1993, de 26 de Abril; 160/1994, de 23 de Mayo; 117/2002, de 20 de Mayo; 356/2003, de 10 de Noviembre (auto); 55/2006, de 27 de Febrero y 169/2012, de 1 de Octubre. “Aparte de la conocida conclusión de que los principios esenciales del artículo 24 de la Constitución son trasladables al ámbito de la potestad sancionadora de la Administración, pero con ciertos matices, (derivados sobre todo del hecho de que el procedimiento sancionador administrativo no conoce una diferenciación tajante entre instrucción, acusación y decisión), se deduce de esa doctrina constitucional que, sin previa audiencia sobre la cuestión, no puede producirse sanción por hechos o perspectivas jurídicas que de hecho no hayan sido o no hayan podido ser plenamente debatidas, lo que significa: 1.º.- Que la resolución sancionadora no puede alterar, sin previa audiencia del expedientado, el relato fáctico contenido en la propuesta de resolución. 2.º.- Que tampoco puede alterarse en la resolución sancionadora, sin previa audiencia, la calificación jurídica de la infracción. 3.º.- Que no es incompatible con el derecho de defensa la imposición de una sanción, sin previa audiencia, distinta de la contemplada en la propuesta de resolución, siempre que no se altere la calificación jurídica del hecho imputado y la sanción se encuentre dentro de los márgenes correspondientes al tipo sancionador.” Teniendo en cuenta dicha doctrina jurisprudencial podemos afirmar que, en el presente caso: - Se siguió el procedimiento legalmente establecido, enviando la propuesta de resolución a la Secretaría de Estado de Seguridad al responsable del tratamiento y al mismo tiempo representante como indicaba el acuse de recibo. En consecuencia, dicha entidad pudo haber tenido conocimiento de los hechos imputados tal como constan en la propuesta de resolución, y la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/28 resolución sancionadora no alteró el relato fáctico contenido en dicha prouesta, la cual fue debidamente notificada. La falta de presentación de alegaciones por parte de la interesada no se debe a una alteración del relato fáctico sin su conocimiento, sino a su propia omisión en acceder al acto notificado. - La calificación jurídica de las infracciones imputadas en la propuesta de resolución se mantuvo constante en la resolución sancionadora final. No hubo cambios en la calificación jurídica de las infracciones sin una previa audiencia del expedientado. La recurrente tuvo la oportunidad de revisar y presentar alegaciones sobre la calificación jurídica, aunque no lo hizo dentro del plazo establecido a pesar de estar debidamente acreditada su notificación. - La resolución sancionadora impuso sanciones que se mantuvieron dentro de los márgenes del tipo sancionador y en ningún caso alteraron la calificación jurídica de los hechos imputados. La propuesta de resolución y la resolución final se alinearon en términos de las infracciones y sanciones aplicables y la infracción se basó precisamente en un hecho acaecido durante la tramitación del propio procedimiento que fue la presentación de las alegaciones frente al acuerdo de inicio. En síntesis, como resulta del acuse de recibo mencionado, la Secretaría de Estado de Seguridad recibió adecuadamente la notificación y el hecho de que no se haya accedido la notificación no invalida el procedimiento administrativo incoado por la presente autoridad. La falta de respuesta a la notificación no implica una falta de notificación, sino una omisión por parte del destinatario de revisar y responder dentro del plazo establecido. Por lo expuesto, la alegación de vulneración de derechos resulta infundada y debe ser asimismo desestimada. Tercera alegación: Cumplimiento de información a las víctimas. La tercera alegación sostiene que no existe una ausencia total de información a las personas interesadas en materia de protección de datos y que se cumple con la obligación de informar a las personas cuyos datos personales son tratados a través del Sistema VioGén. Dicha alegación se basa fundamentalmente en las siguientes afirmaciones: Se señala que existen víctimas de violencia de género que no quieren denunciar o realizar ninguna actuación oficial, lo que afecta la manera en que se les informa. Afirma que el procedimiento de información varía dependiendo de si la víctima denuncia en dependencias policiales, judiciales, o no quiere facilitar sus datos de identidad. En este sentido, debe indicarse que la variabilidad en los procedimientos de información según el contexto no justifica el incumplimiento de las obligaciones de información por parte del responsable del tratamiento. La responsabilidad de informar adecuadamente a las personas cuyos datos se tratan es independiente de la información que otros responsables del tratamiento puedan proporcionar, dado que se trata de tratamientos distintos, con diferentes finalidades y con otros plazos de conservación, en su caso. A tal respecto, resulta preciso señalar que la LO 7/2021 establece una obligación clara y uniforme de informar a todas las personas interesadas sobre el tratamiento de sus datos personales. Esta obligación no está condicionada por las circunstancias individuales de cada víctima, sino que C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/28 debe cumplirse de manera consistente para garantizar los derechos de protección de datos de todas las personas afectadas. Es más, la obligación de informar se vuelve aún más necesaria cuando se trata de personas vulnerables como las víctimas de violencia de género, pues estas personas enfrentan riesgos significativamente mayores en sus derechos y libertades debido a dicha situación de vulnerabilidad. La falta de información puede llevar a situaciones en las que sus datos sean utilizados de manera indebida, exponiéndolas a riesgos adicionales y comprometiendo su seguridad. Debido a los riesgos adicionales que enfrentan, es esencial extremar el cuidado al informar a las víctimas de violencia de género sobre el tratamiento de sus datos personales. La información debe ser proporcionada de manera que sea fácilmente comprensible y accesible, teniendo en cuenta su situación y las posibles barreras que pueden existir. De igual forma, las víctimas tienen el derecho a ser informadas de manera clara y consistente sobre el tratamiento de sus datos personales, sin importar si denuncian en dependencias policiales, judiciales, o si no quieren facilitar sus datos. El hecho de que algunas víctimas no deseen denunciar o realizar actuaciones oficiales no exime al responsable del tratamiento de cumplir con la obligación de informar. Existen mecanismos para proporcionar esta información de manera accesible y comprensible, independientemente de las circunstancias individuales de las víctimas. Por otro lado, la existencia de supuestos especiales no justifica la omisión o insuficiencia de información a otras víctimas que sí desean ejercer sus derechos de protección de datos. - Se indica que existen distintos responsables de tratamiento de datos en los casos de violencia de género, incluyendo autoridades judiciales, el Ministerio Fiscal, cuerpos policiales, y el Sistema VioGén. Cada responsable tiene un ciclo de vida de tratamiento de datos específico y diferente, afectando la manera en que se ejercen los derechos de protección de datos. Conviene recordar respecto a dicha cuestión que la Ley Orgánica 7/2021 establece de manera clara las responsabilidades de cada entidad en el tratamiento de datos personales. Aunque diferentes entidades puedan estar involucradas en distintos aspectos del tratamiento de datos, esto no exime a cada responsable de cumplir con su obligación específica de informar adecuadamente a las personas cuyos datos se tratan. En el caso que nos ocupa, el hecho de que existan diversos responsables de tratamiento de datos en supuestos de violencia de género no exime al responsable del tratamiento del Sistema VioGén de su obligación específica de informar adecuadamente a las personas interesadas sobre el tratamiento de sus datos personales. Cada entidad involucrada debe cumplir con su propia obligación de información, y la existencia de múltiples responsables no justifica la falta de información ni reduce la responsabilidad individual de cada uno. Por tanto, la alegación de que la diversidad de responsables afecta la obligación de informar no es suficiente para invalidar la infracción identificada. - Sostiene que la atención y garantía de derechos deben ser completas, pero también accesibles y entendibles para las víctimas y victimarios, adaptándose C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 20/28 a sus circunstancias. Indican que fuera del contexto del proceso penal el ejercicio de los derechos de protección de datos se garantiza mediante la información proporcionada por el responsable del tratamiento y el sistema implementado. Se reafirma que las diligencias de comunicación a la víctima sobre su nivel de riesgo y el plan de protección aplicable incluye información suficiente sobre el Sistema VioGén. Asimismo, se indica que se está realizando sistema para mejorar la información proporcionada a las personas interesadas, abarcando todas las unidades de las Fuerzas y Cuerpos de Seguridad del Estado y otras entidades participantes. Como se ha indicado anteriormente, la Ley Orgánica 7/2021 establece que todas las personas interesadas deben ser informadas de manera clara y comprensible sobre el tratamiento de sus datos personales. Esta obligación no es flexible en función de la situación "fáctica" de las víctimas o victimarios. La normativa requiere que la información sea completa y accesible para todos los afectados, cualesquiera que sean sus circunstancias individuales. Es cierto que la normativa de protección de datos exige que la información proporcionada sea accesible y comprensible para todas las personas interesadas y ello supone adaptar la información para que sea fácilmente entendible, pero no justifica la omisión de información relevante. La obligación de informar implica proporcionar detalles claros sobre el tratamiento de datos, independientemente de las circunstancias personales de las víctimas o de los victimarios. Por lo que se refiere al argumento de que está en curso un sistema de mejora de la información se debe indicar que el mismo no subsana las deficiencias detectadas. La obligación de informar se debe cumplir desde el primer momento y cualquier plan de mejora futura no justifica incumplimientos actuales o pasados. La infracción ya estaba cometida desde el momento en que no se proporcionó la información adecuada a las víctimas y victimarios. Estas tienen derecho a recibir información completa y precisa sobre el tratamiento de sus datos personales, no solo cuando se implementen mejoras futuras. Por lo tanto, la existencia de un plan de mejora no exime al responsable del tratamiento de su obligación de haber cumplido con la normativa desde el principio. - Por último, se argumenta que la infracción por falta de información conforme al artículo 20 de la LO 7/2021 no está procedimentalmente acreditada. Afirma que según los principios de tipicidad y responsabilidad consagrados en los artículos 27 y 28 de la Ley 40/2015, de Régimen Jurídico del Sector Público, la infracción debe ser plenamente demostrada, no basándose en probabilidad, verosimilitud o sospecha. Como indica la parte recurrente, el principio de tipicidad exige que las infracciones se definan claramente en la ley, y el principio de responsabilidad establece que solo pueden ser sancionados aquellos actos que se ajusten a las definiciones legales previamente establecidas. En este caso, la infracción por falta de información está claramente tipificada en el artículo 20 de la LO 7/2021, y los hechos probados manifiestan un incumplimiento de esta C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 21/28 obligación basándose en los documentos y procesos operativos comunicados a la presente autoridad a lo largo del procedimiento. Los hechos probados enunciados en la resolución impugnada indican claramente que no se proporcionó la información requerida en los protocolos, anexos, o diligencias de derechos durante las actuaciones de investigación realizadas por las fuerzas y cuerpos de seguridad. Esta falta de referencia a la información a las víctimas sobre protección de datos personales en documentos clave constituye una plena demostración de los hechos base de la sanción impuesta. Tal y como se ha fundamentado en la resolución recurrida, aunque se ha comprobado la existencia de cierta información en la página web del Ministerio del Interior, los hechos probados indican que no hay referencia alguna a la información en materia de protección de datos personales en los protocolos, anexos, o diligencias de derechos aportadas durante las actuaciones de investigación realizadas por la presente autoridad y que constan en el expediente administrativo. La normativa de protección de datos establece claramente que la información debe ser proporcionada de manera completa y accesible a todas las personas interesadas. La disponibilidad de cierta información en una página web no resulta suficiente para cumplir con la citada obligación si no se proporciona también en los documentos y procesos operativos donde las personas afectadas interactúan directamente con las autoridades. Mas aun teniendo en cuenta la vulnerabilidad del colectivo de víctimas de violencia de género al que se ha hecho referencia anteriormente y que, debido a los riesgos graves en sus derechos y libertades implica extremar el cumplimiento de las obligaciones. Por lo expuesto, la alegación de que la infracción no está procedimentalmente acreditada no posee fundamento jurídico y debe ser desestimada Cuarta alegación: Justificación de la no realización de una evaluación de impacto en la protección de datos (EIPD). La alegación sostiene que la falta de una EIPD para el Sistema VioGén se encuentra justificada debido a la novedad y evolución constante de la normativa de protección de datos. Se argumenta que, tras la entrada en vigor del RGPD y la Ley Orgánica 3/2018, existió un período de transición hasta la completa transposición de la Directiva 2016/680 en junio de 2021. Durante este período, los tratamientos de datos con fines policiales continuaron bajo normativas anteriores, y se realizaron esfuerzos significativos para adaptar los tratamientos a las nuevas normativas cuando entraron en vigor. Se enfatiza que, desde 2007, el Sistema VioGén ha cumplido con las normativas vigentes y se ha adaptado continuamente. Adicionalmente, se alega que la infracción por no realizar la EIPD estaría prescrita, ya que el acuerdo de inicio del expediente sancionador fue notificado el 23 de octubre de 2023, más de dos años después de la entrada en vigor de la Ley Orgánica 7/2021. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 22/28 A tal respecto cabe indicar que la novedad y evolución constante de la legislación en materia de protección de datos tampoco exime a los responsables del tratamiento de cumplir con las obligaciones impuestas por la nueva normativa a partir de su entrada en vigor. La LO 7/2021 establece claramente que es responsabilidad de los responsables de tratamiento asegurarse de que se realizan las EIPD cuando se identifique un alto riesgo para los derechos y libertades de las personas físicas. El cumplimiento de estas obligaciones no puede estar condicionado por el tiempo transcurrido desde la implementación de la ley ni por la evolución de la interpretación de la normativa. De lo contrario, y siguiendo dicha interpretación, la obligación de cumplir con lo previsto en las normas desaparecería por el simple transcurso del tiempo, lo cual es claramente incompatible con una obligación permanente. La normativa de protección de datos impone, en este caso, una obligación permanente y no limitada temporalmente. Si se aceptara la interpretación de la parte recurrente, se podría argumentar que, una vez superado un cierto período tras la implementación de la ley, las obligaciones cesarían de existir, lo cual es claramente contrario al espíritu de la legislación. En este sentido, una mera adaptación documental de los tratamientos de datos conforme a las nuevas normativas no suple la necesidad de realizar una EIPD específica. Las EIPD no es una mera adaptación documental; son procesos exhaustivos diseñados para identificar, evaluar y mitigar riesgos específicos asociados al tratamiento de datos personales. Sin la realización de una EIPD no se puede garantizar que se hayan identificado y mitigado adecuadamente todos los riesgos potenciales, lo que constituye un incumplimiento directo de la LO 7/2021. La falta de una EIPD, aun existiendo adaptaciones y medidas de seguridad, implica que no se ha llevado a cabo el proceso requerido para evaluar y mitigar riesgos específicos. Conviene recordar que la EIPD es un proceso continuo y, como indican las Directrices WP248 realizadas por la presente autoridad, ello significa que los responsables deben evaluar continuamente los riesgos creados por sus actividades de tratamiento a fin de identificar cuando es probable que un tipo de tratamiento entrañe «un alto riesgo para los derechos y libertades de las personas físicas». En la nota 6 de las citadas Directrices WP248 se expone: “Cabe señalar que, a fin de gestionar los riesgos para los derechos y libertades de las personas físicas, dichos riesgos deben identificarse, analizarse, estimarse, evaluarse, tratarse (p. ej., mitigarse) y revisarse con regularidad. Por lo tanto, la gestión del riesgo es un proceso continuo y cíclico. Dicha gestión ha de realizar su primer ciclo con las primeras fases del tratamiento: antes de determinar los medios del tratamiento (en su concepción, análisis, diseño, prototipado e implementación) y antes de ejecutar el tratamiento (pruebas y preparación/despliegue). Además, la gestión del riesgo ha de repetirse a lo largo del ciclo de vida del tratamiento para evaluar y tratar los cambios que se puedan producir en las fases siguientes (operación, mantenimiento, evolución y retirada).” Por tanto, la obligación de realizar una EIPD es clara y debe ser cumplida para asegurar la protección adecuada de los datos personales y el cumplimiento de la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 23/28 normativa vigente, más aún teniendo en cuenta el colectivo vulnerable al que va dirigido el tratamiento de dichos datos en el caso que nos ocupa. Por lo que respecta a la alegación de que la infracción estaría prescrita, de igual forma no puede sostenerse y ello en virtud de la naturaleza de permanente que tiene la infracción impuesta, consistente en no haber realizado una EIPD a pesar de venir obligada a ello. De hecho, sigue obligada a realizar una EIPD. En este sentido, resulta adecuado mencionar la Sentencia del Tribunal Supremo de 4 de noviembre de 2013 en la que se expone lo siguiente: “En la aplicación del plazo de prescripción hemos de decidir la fecha de inicio del cómputo del plazo aplicable de 2 años, que de conformidad con el artículo 47.2 LOPD comenzará a contarse desde el día en que la infracción se hubiera cometido. Tal regla, similar a la establecida con carácter general en el artículo 132 LRJPAC, es de aplicación en los casos de infracciones instantáneas ya finalizadas, pero obliga a efectuar algunas matizaciones, a fin de determinar cuándo se han de considerar cometidas las infracciones continuadas y las infracciones permanentes. A la infracción continuada se refiere el artículo 4. 6, párrafo 2°, del Reglamento de procedimiento para el ejercicio de la potestad sancionadora, aprobado por Real Decreto 1398/1993, de 4 de agosto (RPEPS), que establece que '... será sancionable, como infracción continuada, la realización de una pluralidad de acciones u omisiones que infrinjan el mismo o semejantes preceptos administrativos, en ejecución de un plan preconcebido o aprovechando idéntica ocasión'. A diferencia de la infracción continuada que exige pluralidad de acciones que infrinjan el mismo precepto, y por ello constituye un concurso real de ilícitos, la infracción permanente no requiere un concurso de ilícitos, sino una única acción de carácter duradero, cuyo contenido antijurídico se prolongue a lo largo del tiempo, en tanto el sujeto activo no decida cesar en la ejecución de su conducta. En el ámbito del derecho penal la diferenciación entre las distintas clases de infracciones tiene trascendencia a los efectos de determinar la fecha inicial del cómputo del plazo de prescripción, como resulta del artículo 132.1 del Código Penal, que al lado de la regla general de que los plazos de prescripción se computarán desde el día en que se haya cometido la infracción, establece reglas específicas para los casos de delito continuado y delito permanente, en que los plazos se computarán, respectivamente, desde el día en que se realizó la última infracción o desde que cesó la conducta. Estas reglas y criterios procedentes del Derecho Penal han tenido acogida en la jurisprudencia de esta Sala a la hora del cómputo de los plazos de prescripción de las infracciones. En materia de protección de datos como la que nos ocupa, esta Sala ha distinguido, en sentencias de 7 de marzo de 2006 (recurso 1728/2002) y 20 de noviembre de 2007 (recurso 170/2003), entre infracciones continuadas, en los términos que las define el artículo 4.6 del RPEPS antes citado, y las infracciones permanentes, entendiendo como tales 'aquellas conductas antijurídicas que persisten en el tiempo y no se agotan con un solo acto, determinando el mantenimiento de la situación C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 24/28 antijurídica a voluntad del autor', y la sentencia de 23 de mayo de 2011 (recurso 912/2011), también contempla un supuesto que califica como infracción permanente, derivada en ese caso de mantener los datos inexactos en el fichero de morosos tras la cancelación de la deuda, con la consecuencia de considerar que el plazo prescriptivo no empieza a computarse mientras se mantiene la infracción." En el presente caso nos encontramos con una de las denominadas infracciones permanentes, caracterizada porque la conducta merecedora de reproche administrativo se mantiene durante un espacio de tiempo prolongado, y por ello el cómputo del plazo de prescripción no llega a iniciarse hasta tanto dicha conducta cesa o se interrumpe. Tales infracciones se cometen mientras se mantienen los efectos lesivos de dicho eventual comportamiento infractor. En consecuencia, la lesión al bien jurídico protegido se prolonga en el tiempo durante todo el periodo en el que mantiene dicho comportamiento contrario al ordenamiento jurídico. La falta de realización de una EIPD en el Sistema VioGén prevista en el artículo 35 de la LO 7/2021 y tipificada en el artículo 59.1
9. l)de la misma norma constituye una infracción permanente porque la conducta antijurídica persiste mientras el tratamiento de datos se lleve a cabo sin la evaluación requerida. Esta infracción no se agota en un solo acto; en cambio, mantiene una situación antijurídica que persiste en el tiempo. Cada día que el tratamiento de datos se realiza sin una EIPD, el riesgo para los derechos y libertades de las personas afectadas permanece, prolongando de esta forma la infracción. Teniendo en cuenta la naturaleza permanente de dicha infracción, el plazo de prescripción no puede, como sostiene la parte recurrente, computarse desde la fecha de entrada en vigor de la Ley Orgánica 7/202. Por el contrario, el plazo de prescripción comenzará a computarse únicamente cuando la conducta infractora (la falta de EIPD) haya cesado. Por lo expuesto dicha alegación debe de ser, asimismo desestimada. Quinta alegación: Independencia del DPD y falta de notificación formal de la infracción. La alegación sostiene que la infracción atribuida relativa al artículo 41 de la Ley Orgánica 7/2021 relativa a la existencia de un conflicto de intereses por haber presentado alegaciones el DPD y no el responsable del tratamiento, no fue notificada formalmente y que no se tuvo conocimiento previo de esta infracción. Asimismo, menciona que el DPD de la Secretaría de Estado de Seguridad ha actuado como punto de contacto con la AEPD debido a la necesidad de utilizar un certificado de representación para acceder a la DEHU y remitir documentos. En este contexto, se argumenta que la conducta infractora atribuida se basa únicamente en que el DPD firmó el escrito de alegaciones, lo cual no afecta su independencia ni indica un conflicto de intereses. Se explica que el responsable del tratamiento solicitó informes y actuó con el asesoramiento del DPD, quien remitió las comunicaciones a la AEPD utilizando su certificado de representación, ya que es el único que posee dicha capacidad en dicha Secretaría. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 25/28 La alegación también menciona que el DPD de la Secretaria de Estado de Seguridad ha actuado como punto de contacto con la AEPD debido a la necesidad de utilizar un certificado de representación para acceder a la DEHU y remitir documentos. Por lo que se refiere a la alegación de la falta de notificación formal, como ya se indicó al refutar la segunda alegación, según el acuse de recibo que obra en el expediente, la propuesta de resolución fue debidamente comunicada a través de la Dirección Electrónica Habilitada Única (DEHU), cumpliendo con los requisitos legales de notificación. La falta de acceso o revisión de la notificación por parte del destinatario no exime de su validez, ya que se siguieron los procedimientos establecidos por la LPACAP. En cuanto a la segunda alegación negando la existencia de conflicto de intereses respecto del DPD conviene indicar que del propio documento se infiere que el DPD estaba actuando en nombre y representación del responsable del tratamiento, sin que se desprenda que el DPD estuviera actuando como mero punto de contacto o transmisor de las alegaciones del responsable del tratamiento, o simple asesor (el asesoramiento al responsable del tratamiento es un acto interno), máxime cuando dichas alegaciones tienen un contenido claramente exculpatorio de la responsabilidad del responsable del tratamiento Por otro lado, que las alegaciones han sido presentadas por el DPD se evidencia, por un lado, el en el título del propio documento adjuntado en la propia notificación: "***DOCUMENTO.1" Asimismo, cada página del escrito de alegaciones está encabezada con el membrete "DIRECCIÓN GENERAL DE COORDINACIÓN Y ESTUDIOS, Área de Normativa y Protección de Datos, Delegado de Protección de Datos." De igual forma, al pie del documento se identifica claramente al DPD como el signatario al final del documento, declarando: "EL DELEGADO DE PROTECCIÓN DE DATOS DESIGNADO PARA LA SECRETARÍA DE ESTADO DE SEGURIDAD, A.A.A. Por último, la firma electrónica y el CSV del documento confirman aún más que el DPD fue quien presentó las alegaciones. El metadato incluye: "***CSV.1, DIRECCIÓN DE VALIDACIÓN: ***URL.2 FIRMANTE