Cezaevi kamera görüntülerinin basına sızdırılması

1/12

 Expediente N.º: EXP202102430

RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR

Del procedimiento instruido por la Agencia Española de Protección de Datos y en base
a los siguientes

ANTECEDENTES

PRIMERO: AGRUPACION DE LOS CUERPOS DE LA ADMINISTRACION DE
INSTITUCIONES PENITENCIARIAS (ACAIP) (en adelante la parte reclamante 1),
ASOCIACIÓN DE TRABAJADORES PENITENCIARIOS TU ABANDONO ME PUEDE
MATAR (en adelante la parte reclamante 2), y ASOCIACIÓN PROFESIONAL DE
FUNCIONARIOS DE PRISIONES (en adelante, la parte reclamante 3) con fechas
14/09/2021, 19/09/2021 y 21/09/2021 respectivamente, interpusieron reclamación ante
la Agencia Española de Protección de Datos. La reclamación se dirige contra
SECRETARÍA GENERAL DE INSTITUCIONES PENITENCIARIAS con NIF
S2813060G (en adelante, SGIP).Los motivos en que basa la reclamación son los
siguientes:

Denuncian la filtración de unas imágenes captadas por el sistema de videovigilancia
del centro penitenciario de Villena (Alicante), en las que se aprecia la agresión de unos
funcionarios a un preso. Según exponen, las imágenes solo motivaron, al parecer, una
investigación interna confidencial para determinar posibles responsabilidades
disciplinarias, aunque la prensa se ha hecho eco de los hechos y ha difundido el video.

Junto a la notificación se aportan los enlaces a las noticias que contienen los hechos
denunciados, pudiendo visualizarse el video con las imágenes.

SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de
diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en
adelante LOPDGDD), se dio traslado de dicha reclamación a la SGIP para que
procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las
acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de
protección de datos.

El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de
1 de octubre, del Procedimiento Administrativo Común de las Administraciones
Públicas (en adelante, LPACAP), fue recogido en fecha 06/10/2021 como consta en el
acuse de recibo que obra en el expediente.

TERCERO: Con fecha 14 de diciembre de 2021, de conformidad con el artículo 65 de
la LOPDGDD, se admitieron a trámite las reclamaciones presentadas por las partes
reclamantes.

CUARTO: La Subdirección General de Inspección de Datos procedió a la realización
de actuaciones previas de investigación para el esclarecimiento de los hechos en
cuestión, en virtud de las funciones asignadas a las autoridades de control en el
artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE)
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

2/12

2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de
conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la
LOPDGDD, teniendo conocimiento de los siguientes extremos:

Fecha en la que tuvieron lugar los hechos reclamados: 9 de septiembre de 2021

Los antecedentes que constan en los sistemas de información son los siguientes:

Trasladada la reclamación a la parte reclamada el 6 de octubre de 2021, se recibe en
esta Agencia escrito de respuesta el 5 de noviembre de 2021 de la Subdirección
General de Análisis e Inspección de la SGID manifestando que:

(…)

Con fecha 14 de diciembre de 2021 y 4 de enero de 2022 se comunicó a las partes
reclamantes la admisión a trámite.

Con fecha 17 de enero de 2022 la Agencia Española de Protección de Datos acordó
llevar a cabo las presentes actuaciones de investigación en relación con los hechos
reclamados.

ENTIDADES INVESTIGADAS

Durante las presentes actuaciones se han investigado las siguientes entidades:

SECRETARÍA GENERAL DE INSTITUCIONES PENITENCIARIAS con NIF
S2813060G con domicilio en C/ ALCALA, 38 - 40 - 28014 MADRID (MADRID)

RESULTADO DE LAS ACTUACIONES DE INVESTIGACIÓN

Realizado requerimiento de información a la parte reclamada el 9 de febrero de 2022,
se recibe respuesta el 19 de febrero de la Subdirección General de Relaciones Institu-
cionales y Coordinación Territorial donde manifiesta que respecto a lo requerido:

1. Finalidad del tratamiento relativo a las grabaciones filtradas y normativa aplicable:
Ley Orgánica 3/2018 y/o Ley Orgánica 7/2021, así como el resto de los detalles del
Registro de actividad de dicho tratamiento.

“de acuerdo con el art.32 de la LO 7/21, de 26 de mayo, de protección de datos perso-
nales tratados para fines de prevención, detección, investigación y enjuiciamiento de
infracciones penales y de ejecución de sanciones penales, que:

- El tratamiento video vigilancia en establecimientos penitenciarios tiene por finalidad el
registro de las imágenes obtenidas por los diferentes sistemas de vídeo vigilancia ins-
talados para el control del acceso y tránsito en los centros penitenciarios.

- La normativa aplicable y su base legitimadora es la del art.11 de la LO 7/21, de 26 de
mayo, de protección de datos personales tratados para fines de prevención, detección,
investigación y enjuiciamiento de infracciones penales y de ejecución de sanciones pe-
nales.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

3/12

- Las categorías de datos tratados consisten en las imágenes de los vehículos y perso-
nas que acceden y permanecen en los establecimientos penitenciarios.

- Se prevé su cesión a las Fuerzas y Cuerpos de Seguridad del Estado, Defensor del
Pueblo, Ministerio Fiscal y Tribunales en el ejercicio de las funciones que tienen atri-
buidas, sin que esté contemplada la cesión internacional.

- Es responsable del tratamiento el Director General de Ejecución Penal y Reinserción
Social de la Secretaría General de Instituciones Penitenciarias, C/Alcalá, 38-40,
28014, Madrid, siendo responsables delegados los directores y directoras de cada es-
tablecimiento donde se produce la grabación.

Se remite adjunto informe de la Subdirección General de Análisis e Inspección compe-
tente en la materia”.

Dicho informe aporta la siguiente información:

(…)

CONCLUSIONES
Se abrió la Información Previa 2021/122 para la investigación de los hechos ocurridos
el 16/8/21 en el Centro y se remitió al Juzgado de Vigilancia Penitenciaria y al Juzgado
de Guardia de Villena.

Con motivo de la posterior difusión de las imágenes de este incidente se inició una
investigación que abrió la Información Previa 131/2021 para determinar la
responsabilidad y circunstancias que tuvieron lugar en la difusión de las imágenes con
la consiguiente quiebra del principio de confidencialidad y sigilo que rige el deber de
conducta de la función pública.

Con respecto a la determinación de la autoría en la difusión de las imágenes, no se ha
podido acreditar la misma, ni donde se ha podido producir la brecha del principio de
confidencialidad en el tratamiento de éstas.

El reclamado alega que está amparado para el tratamiento de las imágenes por el
art.11 de la Ley Orgánica 7/2021 y las Instrucciones 5/2006 y 6/2007 sobre
comunicación y esclarecimiento de hechos regimentales graves, y del deber de
participación a las autoridades judiciales de conformidad con lo dispuesto en el artículo
262 de la Ley de Enjuiciamiento Criminal.

Aporta información sobre el sistema CCTV, amparada en dos instrucciones:
- la Instrucción 3/2015 de video vigilancia en establecimientos penitenciarios de
18 de mayo de 2015 y que estaba vigente a fecha de los hechos reclamados y
de la reclamación; y
- la Instrucción 4/2022 por la que se regula el tratamiento de datos de carácter
personal obtenidos mediante la grabación de imágenes y sonidos por los
sistemas de videovigilancia existentes en los distintos establecimientos
penitenciarios de 28 de julio de 2022 junto con la Guía para la elaboración del
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

4/12

Protocolo de grabación, almacenamiento y tratamiento de las imágenes
obtenidas a través de los sistemas de videovigilancia de los establecimientos
penitenciarios, de 28 de julio de 2022, en desarrollo de la Instrucción n.º
4/2022.

Es decir, la instrucción de 2022 y su protocolo de actuación detallando las medidas de
seguridad y acceso son de fecha posterior a los hechos reclamados y a la
reclamación, produce efectos a los 15 días de su recepción en los centros y se dio al
Consejo de Dirección un plazo de 3 meses de adaptación de los procedimientos.

La 1º instrucción hace referencia a la LOPD/RLOPD y estos dos últimos documentos
hacen referencia a la Ley Orgánica 3/2018, a la Ley Orgánica 7/2021 y al Reglamento
(UE) 2016/679.

Aporta la situación del procedimiento judicial al mes de junio: Diligencias Previas
2021/450 Juzgado de 1ª Instancia e Instrucción n.º 1 de Villena.

CUARTO: Con fecha 29 de noviembre de 2022, la Directora de la Agencia Española
de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada,
por la presunta infracción del Artículo 32 del RGPD, tipificada en el Artículo 83.4 del
RGPD.

Notificado el acuerdo de inicio, la SGIP presentó escrito de alegaciones, en el que en
síntesis manifestaba:

-Alega la SGIP que cualquier decisión que se adopte en el ámbito disciplinario debe
estar presidida por el principio de presunción de inocencia.

-Alega la SGIP que, además de haber conocido las imágenes la Administración
Penitenciaria (Centro Penitenciario de Alicante I y Subdirección General de Análisis e
Inspección) hubo dos órganos judiciales a los que por imperativo legal se les enviaron
las referidas imágenes (Juzgado de Instrucción de Guardia y Juzgado de Vigilancia
Penitenciaria), y que no pueden hacerse responsables del uso y tratamiento otorgado
por éstos.

-Alega la SGIP que la necesidad de que el perfil de acceso sea amplio tiene su origen
en la propia organización y necesidades de trabajo de la Subdirección General de
Análisis e Inspección, y que en relación a la falta de trazabilidad, sí es posible conocer
qué persona accede a qué imágenes - esto es, el acceso a la carpeta compartida deja
rastro-, la imposibilidad de identificación a que se había hecho referencia era a la de la
concreta persona que ha hecho públicas dichas imágenes en cuestión.

QUINTO: Con fecha 05/05/2023, el instructor del procedimiento acordó practicar las
siguientes pruebas:

“Se solicita, asimismo, que sea remitida la siguiente documentación
relacionada con el procedimiento de información Previa 2021/122:
Detalle y acreditación documental:

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

5/12

a) Usuarios que tenían acceso al sistema.

b) Roles asignados a cada uno de ellos, funciones y permisos de
acceso otorgados

c) Procedimientos existentes para la gestión de usuarios (detallando los
procesos de altas, bajas, identificación, autenticación y control de
acceso lógico).

d) Análisis de los registros de los usuarios que tenían acceso al sistema
(logs)”

Con fecha 23/05/2023 se recibe escrito de respuesta dando cumplimiento a la prueba
solicitada.

SEXTO: Con fecha 8 de junio de 2023 se formuló propuesta de resolución,
proponiendo:

Que por la Directora de la Agencia Española de Protección de Datos se imponga a
SECRETARÍA GENERAL DE INSTITUCIONES PENITENCIARIAS, con NIF
S2813060G, por una infracción del Artículo 32 del RGPD, tipificada en el Artículo 83.4
del RGPD, una sanción de apercibimiento.

Notificada la propuesta de resolución, la SGIP presenta nuevo escrito en el que
manifiesta:

“En el Expediente de Referencia, se reproduce lo aportado a lo largo del
procedimiento, quedando a disposición para la implementación de aquellas medidas
técnicas y organizativas en la medida en que sea presupuestariamente posible”

A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos
en el presente procedimiento se consideran hechos probados los siguientes,

HECHOS PROBADOS

PRIMERO: Según documentación obrante en el expediente, consta falta de perfilados,
ya que cualquier inspector podría acceder a las imágenes grabadas, sin que se haya
especificado si están autorizados o no a ello, si se tiene que habilitar algún sistema
especifico, o si el acceso a las imágenes es libre para todos los inspectores, ya que la
respuesta a la prueba solicitada no ha aclarado este aspecto.

SEGUNDO: Según documentación obrante en el expediente, consta falta de
trazabilidad, ya que no se ha acreditado que haya registros de los usuarios que
puedan haber accedido al sistema.

FUNDAMENTOS DE DERECHO

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

6/12

De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679
(Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada
autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la
Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y
garantía de los derechos digitales (en adelante, LOPDGDD), es competente para
iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección
de Datos.

Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos
tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto
en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones
reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter
subsidiario, por las normas generales sobre los procedimientos administrativos."

En respuesta a las alegaciones presentadas por la entidad reclamada se debe señalar
lo siguiente:

-Alega la SGIP que cualquier decisión que se adopte en el ámbito disciplinario debe
estar presidida por el principio de presunción de inocencia.

A este respecto, esta Agencia manifiesta su total y absoluta conformidad,
indicando que todos los procedimientos sancionadores se sustancian según lo
establecido en los artículos 64 y siguientes de la LOPDGDD, respetando
escrupulosamente la legislación establecida.

La presunción de inocencia, derecho fundamental de la ciudadanía según el art
24.2 de la Constitución y el art. 6.2 del Convenio Europeo de Derechos
Humanos, viene recogida expresamente en nuestro ordenamiento para los
procedimientos administrativos sancionadores en el art. 53.2.b) de la Ley 39/15
donde entre los derechos del interesado en el procedimiento administrativo
sancionador tendrá el derecho

"A la presunción de no existencia de responsabilidad administrativa
mientras no se demuestre lo contrario"

Como establece la STS 28.04.2016 (RC 677/2014): "cabe significar que el
derecho a la presunción de inocencia, que rige sin excepción en el ámbito del
procedimiento administrativo sancionador, según refiere el Tribunal
Constitucional en la sentencia 66/2007, de 27 de marzo, comporta que «no
pueda imponerse sanción alguna que no tenga fundamento en una previa
actividad probatoria lícita», e implica también el reconocimiento del derecho a
un procedimiento administrativo sancionador debido o con todas las garantías,
que respete el principio de contradicción y en que el presunto responsable
tenga la oportunidad de defender sus propias posiciones, vedando la incoación
de expedientes sancionadores cuando resulte apreciable de forma inequívoca
o manifiesta la inexistencia de indicios racionales de que se ha cometido una

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

7/12

conducta infractora, o en los que esté ausente la antijuridicidad o la
culpabilidad"

A este respecto, esta Agencia indica que, en este concreto procedimiento
sancionador, no se está imputando una infracción por la filtración de imágenes
en sí misma, sino por carecer de medidas técnicas y organizativas que resulten
apropiadas para garantizar un nivel de seguridad adecuado al riesgo del
tratamiento, en los términos exigidos por el artículo 32.1 del RGPD.

A este respecto esta Agencia refiere al propio Informe emitido por la
Subdirección General de Análisis e Inspección, obrante en el expediente, en
cuyo punto 2 se cita textualmente (el subrayado corresponde a la AEPD):

“Una vez que las imágenes son puestas en conocimiento de la Unidad
de Inspección fueron tratadas, en cumplimiento de sus funciones de
investigación legalmente establecidas por la Inspección de Guardia, el
Instructor de la Información Previa 2021/122, y donde también podrían
haber accedido a las mismas el resto de Inspectores e Inspectoras de la
Unidad, sin que se haya podido acreditar tal extremo”

No hace referencia, por tanto, como se aduce en las alegaciones, a la
imposibilidad de determinar la concreta persona que haya hecho públicas las
imágenes, sino a que no se ha podido acreditar siquiera qué personas han
accedido a las imágenes posteriormente filtradas.

Asimismo hay que indicar que, solicitada por esta Agencia información acerca
de los registros de los usuarios que tenían acceso al sistema (logs), la
respuesta se limita a indicar: “Los logs del servidor de archivos se guardan
durante un tiempo específico, sin que en este momento se pueda disponer de
los logs de esas fechas”.

III

El Artículo 32 “Seguridad del tratamiento” del RGPD establece:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

8/12

“1. Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la
naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de
probabilidad y gravedad variables para los derechos y libertades de las personas
físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y
organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo,
que en su caso incluya, entre otros:
a) la seudonimización y el cifrado de datos personales;
b) la capacidad de garantizar la confidencialidad, integridad, disponibilidad y
resiliencia permanentes de los sistemas y servicios de tratamiento;
c) la capacidad de restaurar la disponibilidad y el acceso a los datos
personales de forma rápida en caso de incidente físico o técnico;
d) un proceso de verificación, evaluación y valoración regulares de la eficacia
de las medidas técnicas y organizativas para garantizar la seguridad del
tratamiento.

2. Al evaluar la adecuación del nivel de seguridad se tendrán particularmente en
cuenta los riesgos que presente el tratamiento de datos, en particular como
consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos
personales transmitidos, conservados o tratados de otra forma, o la comunicación o
acceso no autorizados a dichos datos.

3. La adhesión a un código de conducta aprobado a tenor del artículo 40 o a un
mecanismo de certificación aprobado a tenor del artículo 42 podrá servir de elemento
para demostrar el cumplimiento de los requisitos establecidos en el apartado 1 del
presente artículo.

4. El responsable y el encargado del tratamiento tomarán medidas para garantizar que
cualquier persona que actúe bajo la autoridad del responsable o del encargado y
tenga acceso a datos personales solo pueda tratar dichos datos siguiendo
instrucciones del responsable, salvo que esté obligada a ello en virtud del Derecho de
la Unión o de los Estados miembros”.

En el presente caso, si bien es cierto que no se ha podido determinar en qué momento
o por qué órgano de los que han tenido acceso a las imágenes se produjo la filtración
de las mismas, si se pone de manifiesto que la SGIP no disponía de las medidas
apropiadas para garantizar un nivel de seguridad adecuado al riesgo.

De la instrucción llevada a cabo en el presente procedimiento se concluye que la SGIP
ha incumplido lo establecido en el artículo 32 del RGPD.

El artículo 83.4 del RGPD, bajo la rúbrica “Condiciones generales para la imposición
de multas administrativas” dispone:

“Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el
apartado 2, con multas administrativas de 10 000 000 EUR como máximo o,
tratándose de una empresa, de una cuantía equivalente al 2 % como máximo del

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

9/12

volumen de negocio total anual global del ejercicio financiero anterior, optándose por
la de mayor cuantía:

a) las obligaciones del responsable y del encargado a tenor de los artículos 8,
11, 25 a 39, 42 y 43; (…)”

A este respecto, la LOPDGDD, en su artículo 71 “Infracciones” establece que
“Constituyen infracciones los actos y conductas a las que se refieren los apartados 4,
5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten
contrarias a la presente ley orgánica”.

A efectos del plazo de prescripción, el artículo 73 “Infracciones consideradas graves”
de la LOPDGDD indica:

“En función de lo que establece el artículo 83.4 del Reglamento (UE) 2016/679 se
consideran graves y prescribirán a los dos años las infracciones que supongan una
vulneración sustancial de los artículos mencionados en aquel y, en particular, las
siguientes:
(…)
f) La falta de adopción de aquellas medidas técnicas y organizativas que
resulten apropiadas para garantizar un nivel de seguridad adecuado al riesgo
del tratamiento, en los términos exigidos por el artículo 32.1 del Reglamento
(UE) 2016/679.
(…)

Sin perjuicio de lo dispuesto en el artículo 83.5 del RGPD, el citado artículo dispone en
su apartado 7 lo siguiente:

“7. Sin perjuicio de los poderes correctivos de las autoridades de control en virtud del
artículo 58, apartado 2, cada Estado miembro podrá establecer normas sobre si se
puede, y en qué medida, imponer multas administrativas a autoridades y organismos
públicos establecidos en dicho Estado miembro”.

Por su parte, el artículo 77 “Régimen aplicable a determinadas categorías de
responsables o encargados del tratamiento” de la LOPDGDD dispone lo siguiente:

“1. El régimen establecido en este artículo será de aplicación a los tratamientos de los
que sean responsables o encargados:

a) Los órganos constitucionales o con relevancia constitucional y las
instituciones de las comunidades autónomas análogas a los mismos.
b) Los órganos jurisdiccionales.
c) La Administración General del Estado, las Administraciones de las
comunidades autónomas y las entidades que integran la Administración Local.
d) Los organismos públicos y entidades de Derecho público vinculadas o
dependientes de las Administraciones Públicas.
e) Las autoridades administrativas independientes.
f) El Banco de España.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

10/12

g) Las corporaciones de Derecho público cuando las finalidades del tratamiento
se relacionen con el ejercicio de potestades de derecho público.
h) Las fundaciones del sector público.
i) Las Universidades Públicas.
j) Los consorcios.
k) Los grupos parlamentarios de las Cortes Generales y las Asambleas
Legislativas autonómicas, así como los grupos políticos de las Corporaciones
Locales.

2. Cuando los responsables o encargados enumerados en el apartado 1 cometiesen
alguna de las infracciones a las que se refieren los artículos 72 a 74 de esta ley
orgánica, la autoridad de protección de datos que resulte competente dictará
resolución sancionando a las mismas con apercibimiento. La resolución establecerá
asimismo las medidas que proceda adoptar para que cese la conducta o se corrijan
los efectos de la infracción que se hubiese cometido.

3. Sin perjuicio de lo establecido en el apartado anterior, la autoridad de protección de
datos propondrá también la iniciación de actuaciones disciplinarias cuando existan
indicios suficientes para ello. En este caso, el procedimiento y las sanciones a aplicar
serán las establecidas en la legislación sobre régimen disciplinario o sancionador que
resulte de aplicación.
Asimismo, cuando las infracciones sean imputables a autoridades y directivos, y se
acredite la existencia de informes técnicos o recomendaciones para el tratamiento que
no hubieran sido debidamente atendidos, en la resolución en la que se imponga la
sanción se incluirá una amonestación con denominación del cargo responsable y se
ordenará la publicación en el Boletín Oficial del Estado o autonómico que
corresponda.

4. Se deberán comunicar a la autoridad de protección de datos las resoluciones que
recaigan en relación con las medidas y actuaciones a que se refieren los apartados
anteriores.

5. Se comunicarán al Defensor del Pueblo o, en su caso, a las instituciones análogas
de las comunidades autónomas las actuaciones realizadas y las resoluciones dictadas
al amparo de este artículo. (…)”

De acuerdo con lo establecido en el artículo 58.2 d) del RGPD, cada autoridad de
control podrá “ordenar al responsable o encargado del tratamiento que las operaciones
de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando
proceda, de una determinada manera y dentro de un plazo especificado…”.

Por todo ello la parte reclamada deberá proceder, en el plazo de 6 meses desde la
recepción de la presente resolución, a la adopción de las medidas necesarias para que
queden registros de los accesos a los datos personales, y también el otorgamiento de
perfiles a los funcionarios para que cada uno solo pueda acceder a la información que
resulte necesaria para el desempeño de sus funciones.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

11/12

Se advierte que no atender la orden de adopción de medidas impuestas por este
organismo en la resolución sancionadora podrá ser considerado como una infracción
administrativa conforme a lo dispuesto en el RGPD, tipificada como infracción en su
artículo 83.5 y 83.6, pudiendo motivar tal conducta la apertura de un ulterior
procedimiento administrativo sancionador.

Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de
graduación de las sanciones cuya existencia ha quedado acreditada,
la Directora de la Agencia Española de Protección de Datos RESUELVE:

PRIMERO: IMPONER a SECRETARÍA GENERAL DE INSTITUCIONES
PENITENCIARIAS, con NIF S2813060G, por una infracción del Artículo 32 del RGPD,
tipificada en el Artículo 83.4 del RGPD, una sanción de apercibimiento.

SEGUNDO: ORDENAR a SECRETARÍA GENERAL DE INSTITUCIONES
PENITENCIARIAS, con NIF S2813060G, que en virtud del artículo 58.2.d) del RGPD,
en el plazo de 6 meses, acredite haber procedido a la adopción de las medidas
necesarias para que queden registros de los accesos a los datos personales, y
también el otorgamiento de perfiles a los funcionarios para que cada uno solo pueda
acceder a la información que resulte necesaria para el desempeño de sus funciones.

TERCERO: NOTIFICAR la presente resolución a SECRETARÍA GENERAL DE
INSTITUCIONES PENITENCIARIAS.

CUARTO: COMUNICAR la presente resolución al Defensor del Pueblo, de
conformidad con lo establecido en el artículo 77.5 de la LOPDGDD.

De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente
Resolución se hará pública una vez haya sido notificada a los interesados.

Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la
LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los
interesados podrán interponer, potestativamente, recurso de reposición ante la
Directora de la Agencia Española de Protección de Datos en el plazo de un mes a
contar desde el día siguiente a la notificación de esta resolución o directamente
recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la
Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de
la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la
Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el
día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la
referida Ley.

Finalmente, se señala que conforme a lo previsto en el art. 90.3 a) de la LPACAP, se
podrá suspender cautelarmente la resolución firme en vía administrativa si el
interesado manifiesta su intención de interponer recurso contencioso-administrativo.
De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante
escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través
del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-
web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la
citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

12/12

documentación que acredite la interposición efectiva del recurso contencioso-
administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso
contencioso-administrativo en el plazo de dos meses desde el día siguiente a la
notificación de la presente resolución, daría por finalizada la suspensión cautelar.
938-010623
Mar España Martí
Directora de la Agencia Española de Protección de Datos

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

Cezaevi kamera görüntülerinin basına sızdırılması

Türkçe özet

Hukuki mesele

Sonuç

Karar metni