1/13
Expediente N.º: EXP202208091
RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR
Del procedimiento instruido por la Agencia Española de Protección de Datos y en base
a los siguientes
ANTECEDENTES
PRIMERO: A.A.A. (en adelante, la parte reclamante) con fecha 20 de junio de 2022
interpuso reclamación ante la Agencia Española de Protección de Datos. La
reclamación se dirige contra DIRECCIÓN GENERAL DE LA POLICÍA con NIF
S2816015H (en adelante, DGP). Los motivos en que basa la reclamación son los
siguientes:
La parte reclamante manifiesta que en XXXXXXXXXX ubicada en un edificio
perteneciente a la POLICÍA NACIONAL del ***DIRECCIÓN.1, se están utilizando para
anotar XXXXXXXXXX unos folios grapados a modo de libreta, en los que, en el
reverso, aparecen datos personales de ciudadanos que acuden a las instalaciones de
la POLICÍA NACIONAL de dicho enclave, así como de Policías que allí trabajan,
dejando expuestos, por tanto, datos de terceros.
Junto a la notificación aporta diversas fotografías en las que se aprecian dichas
libretas colocadas sobre el mostrador de XXXXXXXXXX, en las que se pueden leer
datos personales como nombre, apellidos, DNI etc. e incluso, en algunas, se muestra
el escudo de Ministerio del Interior.
SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de
diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en
adelante LOPDGDD), se dio traslado de dicha reclamación a la DGP, para que
procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las
acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de
protección de datos.
El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de
1 de octubre, del Procedimiento Administrativo Común de las Administraciones
Públicas (en adelante, LPACAP), fue recogido en fecha 21/07/2022, como consta en el
acuse de recibo que obra en el expediente.
Con fecha 11/08/2022 se recibe en esta Agencia escrito del Delegado de Protección
de Datos indicando:
Por parte este Delegado de Protección de Datos, se solicita, mediante oficio de
22 de julio de 2022, a la Dirección Adjunta Operativa (DAO) la elaboración de
informe para así poder dar contestación a la petición de información
procedente de esa AEPD.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
2/13
A raíz de dicha petición y con el fin de comprobar la veracidad de las
manifestaciones contenidas en la reclamación y aclarar las circunstancias en
las que estos hechos pudieron producirse, la DAO procede a evacuar la
oportuna consulta a la XXXXXXXXXXXX, respondiendo la misma en los
términos que se detallan a continuación.
Alegaciones contenidas en el informe solicitado. Contestación de la
XXXXXXXXXX en su informe de 2 de agosto de 2022.
“- Las fotografías aportadas por el SR, A.A.A.. parecen corresponder con el
(…).
- Los documentos relacionados en la denuncia son dos cuartas partes de
folios: en una de ellas aparecen nombres y apellidos de Policías destinados
(…), todos ellos pertenecen o han pertenecido a la (…), estando uno de ellos
fallecido, hecho ocurrido el día 22 de Abril del año en curso. El listado
corresponde a los (…) un día no determinado, ya que no aparece fecha alguna;
y en la otra cuarta parte de un folio aparece el nombre de una ciudadana, y
corresponde al formulario oficial para comunicar la pérdida o sustración de un
documento, (…). En esta ocasión aparece la fecha ***FECHA.1.
- La procedencia de los folios es la oficina de (…) de la Comisaría Provincial de
***LOCALIDAD.1, en ambos casos, tratándose de hojas escritas por una sola
cara y desechadas tras su utilización oficial.
- Para establecer como han llegado esos documentos a XXXXXXXXXX se ha
entrevistado por una parte a (...) y por otra al Inspector, Jefe de Sección
Técnica responsable de, (...).
La Sra. (...) manifestó que para aprovechar "papel reciclado ya que se trata de
hojas que solo están impresas por 1 cara", pidió en alguna ocasión a las
oficinas (…), así como a (…), que cuando hubiese papel para reciclar si se lo
podrían facilitar, habiéndole entregado algunos tacos de papel (hojas cortadas
en 4 partes), que utilizaba para hacer anotaciones, pero no recuerda que los
papeles hayan estado a la vista del público que acude a XXXXXXXXXX.
Actualmente ya no utiliza esos papeles porque en XXXXXXXXXX toman las
anotaciones en papeles sueltos que no están escritos y además ha adquirido
(…).
El Inspector (...), preguntado por el motivo de que esos documentos aparezcan
en unas fotografías que han sido tomadas en el mostrador de XXXXXXXXXX,
coincide en lo que manifiesta la persona encargada de XXXXXXXXXX, y
además dice que (…), o (...), personal laboral de esta XXXXXXXXX) se
encargaban de reciclar algunos papeles y elaborar algo así como pequeñas
agendas para anotaciones y que se las facilitaban a XXXXXXXXXX.
- Por parte de esta Jefatura no se tenía conocimiento del hecho denunciado
por el Sr. A.A.A., ni se había observado la existencia en XXXXXXXXXX de
esas hojas.
- Las hojas se confeccionan en origen para establecer los turnos de trabajo de
los distintos funcionarios integrantes de la Unidad, no procediendo de ninguna
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
3/13
base de datos. En el caso de la comunicación por (…) se trata de un modelo
aportado por la Comisaría General en el que se reflejan los datos aportados
por el o la compareciente, que posteriormente son comprobados (…).
- A partir del conocimiento de la denuncia, se ha comprobado la inexistencia de
hechos similares, se han impartido instrucciones directas a los responsables de
los distintos servicios y se ha confeccionado una circular para recordar a todos
los funcionarios la manera de proceder con los documentos que se desechan,
todo ello a la espera de conocer el desarrollo del expediente de la AEPD por si
hubiera lugar a actuaciones disciplinarias.
- En resumen, se trata de un incidente que, sin ánimo de minimizar los hechos,
ha sido debido únicamente a querer reciclar papel, y todo ello dentro de
instalaciones policiales donde no accede público más que en los casos de
alguna amistad directa de los funcionarios y debidamente acompañados”.
Informe de análisis de la reclamación remitida por parte de la AEPD.
Tras el análisis de la documentación remitida por la AEPD y por la DAO, este
Delegado de Protección de Datos realiza las siguientes apreciaciones:
Primera. La eliminación de documentos en el ámbito de la Dirección General
de la Policía (DGP) viene regulada en la siguiente normativa:
- La “Ley 16/1985, de 25 de junio, del Patrimonio Histórico Español”, que
establece que la eliminación del patrimonio documental deberá ser autorizada
por la Administración competente.
- El “Real Decreto 1164/2002, de 8 de noviembre, por el que se regula la
conservación del patrimonio documental con valor histórico, el control de la
eliminación de otros documentos de la Administración General del Estado y
sus organismos públicos y la conservación de documentos administrativos en
soporte distinto al original”, que desarrolla la Ley anterior y determina el
correspondiente procedimiento para la eliminación de documentos,
exigiéndose el previo acuerdo de la Comisión Calificadora de Documentos
Administrativos del departamento y el preceptivo dictamen de la Comisión
Superior Calificadora de Documentos Administrativos.
- La “Orden INT/2528/2002, de 2 de octubre, por la que se regula el Sistema
Archivístico del Ministerio del Interior”, que hace referencia a la eliminación de
documentos.
- La “Instrucción de la Secretaría General Técnica, de 10 de julio de 2007,
sobre eliminación de documentos en el Ministerio del Interior”, que
complementa la Orden anterior.
- La “Resolución de la Secretaría General Técnica, de 20 de octubre de 2014,
por la que se dictan instrucciones sobre eliminación de documentos en el
Ministerio del Interior”, que, respecto la Resolución anterior, actualiza las
referencias normativas y orgánicas, mejora la redacción y subsana
determinadas imprecisiones, todo ello con el objetivo de favorecer la claridad
del texto y reforzar la seguridad jurídica.
Puede observarse que la DGP tiene una amplia regulación normativa y
trayectoria en materia de destrucción de la documentación obrante en nuestros
archivos y dependencias.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
4/13
Segunda. La “Resolución de la Secretaría General Técnica, de 20 de octubre
de 2014, por la que se dictan instrucciones sobre eliminación de documentos
en el Ministerio del Interior” define eliminación de documentos como “la
destrucción física de unidades o fracciones de series documentales en
cualquier soporte de acuerdo con lo determinado en el proceso previo de
valoración documental”. Igualmente, establece: una prohibición general de
eliminaciones no autorizadas; unas condiciones para eliminar documentos; un
procedimiento de eliminación; así como un archivo de expedientes de
eliminación.
Tercera. Los documentos que aparecen en las fotografías incorporadas a la
reclamación se corresponden a documentación interna del funcionamiento
regular de la dependencia (el listado correspondiente a los funcionarios (…) un
día no determinado) y a un formulario oficial para comunicar (…). En ambos
casos, su origen se encuentra en (…) ***LOCALIDAD.1 y se trata de hojas
escritas por una sola cara, cortadas en cuatro partes y desechadas tras su
utilización oficial.
Así mismo, no se tiene constancia de que los datos personales recogidos en
dichos documentos tengan su origen en una de las bases de datos
pertenecientes a la DGP.
Cuarta. Dicha documentación fue reutilizada en XXXXXXXXXX con una
voluntad de reciclar papel, dado que se trata de hojas que solo estaban
impresas por una cara, que se utilizaban para hacer anotaciones y que no
estaban, en principio, a la vista de la gente que acude a XXXXXXXXXX de
acuerdo con lo manifestado en el informe de la Jefatura Superior del País
Vasco.
Quinta. Es de reseñar que, tras comprobar la inexistencia de hechos similares,
se han impartido instrucciones directas a los responsables de los distintos
servicios para que no se vuelvan a repetir y se ha confeccionado una circular
para recordar a todos los funcionarios procedimiento de eliminación de los
documentos que obran en las dependencias policiales.
Conclusión. A juicio de este Delegado de Protección de Datos, la custodia, la
confidencialidad y la correcta destrucción de los documentos policiales
(especialmente, aquellos que contienen datos de carácter personal) son
objetivos prioritarios para la DGP. Este compromiso puede apreciarse en la
elaboración de normativa, su distribución y la reiteración en la necesidad de su
conocimiento, la formación de los funcionarios y la depuración de las
responsabilidades disciplinarias y penales en aquellos casos de mayor
gravedad a través de los procedimientos establecidos al efecto. En relación
con el caso que nos ocupa, se trataría de un hecho aislado que ya ha sido
subsanado y respecto al cual ya se han adoptado las medidas oportunas
manifestadas anteriormente.
Con fecha 30/08/2022 se recibe escrito de respuesta indicando:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
5/13
Se ha recibido en este Gabinete Técnico, notificación procedente de la Agencia
Española de Protección de Datos (AEPD), fechada a 18 de agosto de 2022, en
la que se requiere ampliación sobre los siguientes aspectos sobre el
EXP202208091:
- Descripción de la aplicación del protocolo de eliminación de documentación,
aplicado a los documentos con datos personales en las dependencias donde
se produjeron los hechos objeto de reclamación.
- Contrato vigente, en su caso, con empresa especializada en destrucción
documental. - Instrucciones remitidas a los responsables de los servicios
correspondientes de acuerdo con el escrito recibido por esta Agencia.
- Circular de recordatorio del protocolo de eliminación de los documentos que
obran en las dependencias policiales remitida a todos los funcionarios, de
acuerdo con el escrito recibido por esta Agencia.
- Cualquier otra información que pudiera resultar relevante. Actuaciones del
Delegado de Protección de Datos.
Este Centro Directivo trasladó, mediante oficio de 26 de agosto de 2022, a la
Comisaría Provincial de (***LOCALIDAD.2) de la Policía Nacional
requerimiento para la elaboración de informe y así poder dar contestación a la
petición de información procedente de esa AEPD.
Alegaciones contenidas en el informe solicitado. El día 29 de agosto de 2022
se recibe informe de la Comisaría Provincial de ***LOCALIDAD.1 de
alegaciones informando lo siguiente:
- No existe contrato con ninguna empresa de destrucción de documentos. La
Comisaría de (***LOCALIDAD.2) cuenta con un total de cuatro máquinas
trituradoras de papel, una de ellas específica para uso de la XXXXX, con
capacidad para destruir soportes (…). A su vez la Comisaría de XXXX cuenta
con tres máquinas trituradoras, una de ellas del mismo modelo específico de
XXXXX. En cuanto a la (…), cuenta también con una trituradora para soportes
de papel, plástico, CD’s y pasaportes proporcionada por el Ayuntamiento de la
localidad, en cuyas dependencias se encuentra físicamente situada la Unidad.
- Tras la denuncia recibida en la APD, en la reunión diaria con los jefes de las
unidades de las comisarías, se impartieron verbalmente instrucciones de estar
especialmente atentos a la destrucción de todo soporte que pudiera contener
datos protegidos. Estos recordatorios se realizan regularmente.
- También se procedió a recordar por escrito a todos los funcionarios de la
Comisaría Provincial, en sus (…), la necesidad de custodia y destrucción de
soportes con datos protegidos, mediante correo electrónico a todas las
unidades de fecha 17 de Agosto, que se adjunta. Se adjunta al presente el
informe de la Comisaría Provincial de ***LOCALIDAD.1 y la nota interior, que
se mandó, mediante correo electrónico, recordando la necesidad de custodia y
destrucción de los soportes con datos protegidos.
A continuación se reproduce el contenido de la citada nota:
“Por la presente se informa que, el personal destinado en las diferentes
unidades de Policía Nacional de esta Provincia se responsabilizará de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
6/13
la destrucción de los documentos que genere y que no proceda su
conservación o archivo. Para la destrucción de estos documentos, se
utilizarán las destructoras de papel instaladas en las dependencias
policiales. Asimismo, se utilizará la destructora habilitada al efecto
(Fellowes 485Ci) para la inutilización de los soportes de DNIs, TIEs,
pasaportes y resto de documentos de identificación que proceda,
levantando la correspondiente acta de destrucción”.
Conclusión de la solicitud de ampliación de información. Como se indicó, en el
informe de 11 de agosto de 2022, la situación que originó la reclamación de D.
A.A.A. se refiere a un hecho aislado que ya ha sido subsanado. Para la
subsanación se ha procedido a realizar las pertinentes comprobaciones
internas, originando la impartición de instrucciones verbales a los Jefes de las
Unidades de las Comisarías, con recordatorios regulares, y la difusión de un
recordatorio, en forma de nota interior, a todas las Unidades cuyos
destinatarios son los Policías Nacionales destinados en dicha región.
TERCERO: Con fecha 5 de septiembre de 2022, de conformidad con el artículo 65 de
la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante.
CUARTO: Con fecha 28 de octubre de 2022, la Directora de la Agencia Española de
Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada,
por la presunta infracción del Artículo 5.1.f) del RGPD y Artículo 32 del RGPD,
tipificada en el Artículo 83.5 del RGPD.
QUINTO: Notificado el citado acuerdo de inicio conforme a las normas establecidas en
la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las
Administraciones Públicas (en adelante, LPACAP) y transcurrido el plazo otorgado
para la formulación de alegaciones, se ha constatado que no se ha recibido alegación
alguna por la DGP.
El artículo 64.2.f) de la LPACAP -disposición de la que se informó a la parte reclamada
en el acuerdo de apertura del procedimiento- establece que si no se efectúan
alegaciones en el plazo previsto sobre el contenido del acuerdo de iniciación, cuando
éste contenga un pronunciamiento preciso acerca de la responsabilidad imputada,
podrá ser considerado propuesta de resolución. En el presente caso, el acuerdo de
inicio del expediente sancionador determinaba los hechos en los que se concretaba la
imputación, la infracción del RGPD atribuida a la reclamada y la sanción que podría
imponerse. Por ello, tomando en consideración que la parte reclamada no ha
formulado alegaciones al acuerdo de inicio del expediente y en atención a lo
establecido en el artículo 64.2.f) de la LPACAP, el citado acuerdo de inicio es
considerado en el presente caso propuesta de resolución.
A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos
en el presente procedimiento se consideran hechos probados los siguientes,
HECHOS PROBADOS
PRIMERO: Consta acreditado que sobre el mostrador principal de XXXXXXXXXX (…)
***LOCALIDAD.1 en sus instalaciones del (…), la parte reclamante pudo observar
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
7/13
unas libretas confeccionadas con folios grapados, en cuyo reverso aparecen datos
personales de ciudadanos que acuden a las instalaciones de la POLICÍA NACIONAL
de dicho enclave, así como de Policías que allí trabajan.
SEGUNDO: Consta acreditado que la procedencia de los folios es la oficina de (…) de
la Comisaría Provincial de ***LOCALIDAD.1, tratándose de hojas escritas por una sola
cara y desechadas tras su utilización oficial.
FUNDAMENTOS DE DERECHO
I
De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679
(Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada
autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la
Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y
garantía de los derechos digitales (en adelante, LOPDGDD), es competente para
iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección
de Datos.
Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos
tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto
en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones
reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter
subsidiario, por las normas generales sobre los procedimientos administrativos."
II
En el presente caso, de acuerdo con lo establecido en el artículo 4.1 del RGPD, consta
la realización de un tratamiento de datos personales, toda vez que la DGP realiza,
entre otros tratamientos, la recogida, registro, organización etc. de los siguientes datos
personales de personas físicas, tales como: nombre, número de identificación, etc.
La DGP realiza esta actividad en su condición de responsable del tratamiento, dado
que es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del
RGPD.
El artículo 4 apartado 12 del RGPD define, de un modo amplio, las “violaciones de
seguridad de los datos personales” (en adelante brecha de seguridad) como “todas
aquellas violaciones de la seguridad que ocasionen la destrucción, pérdida o alteración
accidental o ilícita de datos personales transmitidos, conservados o tratados de otra
forma, o la comunicación o acceso no autorizados a dichos datos.”
En el presente caso, consta una brecha de seguridad de datos personales en las
circunstancias arriba indicadas, categorizada como una brecha de confidencialidad, al
haberse facilitado a XXXXXXXXXX (…), hojas en las que figuran datos personales
tanto de policías destinados en dicha unidad, como de personas que han acudido a la
misma a solicitar un (…).
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
8/13
Hay que señalar que la identificación de una brecha de seguridad no implica la
imposición de una sanción de forma directa por esta Agencia, ya que es necesario
analizar la diligencia de responsables y encargados y las medidas de seguridad
aplicadas.
Dentro de los principios del tratamiento previstos en el artículo 5 del RGPD, la
integridad y confidencialidad de los datos personales se garantiza en el apartado 1.f)
del artículo 5 del RGPD. Por su parte, la seguridad de los datos personales viene
regulada en los artículos 32, 33 y 34 del RGPD, que reglamentan la seguridad del
tratamiento, la notificación de una violación de la seguridad de los datos personales a
la autoridad de control, así como la comunicación al interesado, respectivamente.
III
El artículo 5.1.f) “Principios relativos al tratamiento” del RGPD establece:
“1. Los datos personales serán:
(…)
f) tratados de tal manera que se garantice una seguridad adecuada de los datos
personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra
su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas
u organizativas apropiadas («integridad y confidencialidad»).”
En el presente caso, consta que los datos personales de los afectados, obrantes en la
base de datos de la DGP, fueron indebidamente expuestos a un tercero, puesto que
las libretillas hechas con los folios facilitados, en los que constaban los datos
personales tanto de policías como de ciudadanos, estaban a la vista tanto del personal
de XXXXXXXXXX, como de los funcionarios que acudieran a la misma.
IV
El artículo 83.5 del RGPD, bajo la rúbrica “Condiciones generales para la imposición
de multas administrativas” dispone:
“Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el
apartado 2, con multas administrativas de 20 000 000 EUR como máximo o,
tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del
volumen de negocio total anual global del ejercicio financiero anterior, optándose por
la de mayor cuantía:
a) los principios básicos para el tratamiento, incluidas las condiciones para el
consentimiento a tenor de los artículos 5, 6, 7 y 9; (…)”
A este respecto, la LOPDGDD, en su artículo 71 “Infracciones” establece que:
“Constituyen infracciones los actos y conductas a las que se refieren los apartados 4,
5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten
contrarias a la presente ley orgánica”.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
9/13
A efectos del plazo de prescripción, el artículo 72 “Infracciones consideradas muy
graves” de la LOPDGDD indica:
“1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se
consideran muy graves y prescribirán a los tres años las infracciones que supongan
una vulneración sustancial de los artículos mencionados en aquel y, en particular, las
siguientes:
a) El tratamiento de datos personales vulnerando los principios y garantías
establecidos en el artículo 5 del Reglamento (UE) 2016/679. (…)”
V
Sin perjuicio de lo dispuesto en el artículo 83.5 del RGPD, el citado artículo dispone en
su apartado 7 lo siguiente:
“7. Sin perjuicio de los poderes correctivos de las autoridades de control en virtud del
artículo 58, apartado 2, cada Estado miembro podrá establecer normas sobre si se
puede, y en qué medida, imponer multas administrativas a autoridades y organismos
públicos establecidos en dicho Estado miembro”.
Por su parte, el artículo 77 “Régimen aplicable a determinadas categorías de
responsables o encargados del tratamiento” de la LOPDGDD dispone lo siguiente:
“1. El régimen establecido en este artículo será de aplicación a los tratamientos de los
que sean responsables o encargados:
(…)
c) La Administración General del Estado, las Administraciones de las
comunidades autónomas y las entidades que integran la Administración Local.
(…)
2. Cuando los responsables o encargados enumerados en el apartado 1 cometiesen
alguna de las infracciones a las que se refieren los artículos 72 a 74 de esta ley
orgánica, la autoridad de protección de datos que resulte competente dictará
resolución sancionando a las mismas con apercibimiento. La resolución establecerá
asimismo las medidas que proceda adoptar para que cese la conducta o se corrijan
los efectos de la infracción que se hubiese cometido.
(…)
3. Sin perjuicio de lo establecido en el apartado anterior, la autoridad de protección de
datos propondrá también la iniciación de actuaciones disciplinarias cuando existan
indicios suficientes para ello. En este caso, el procedimiento y las sanciones a aplicar
serán las establecidas en la legislación sobre régimen disciplinario o sancionador que
resulte de aplicación.
Asimismo, cuando las infracciones sean imputables a autoridades y directivos, y se
acredite la existencia de informes técnicos o recomendaciones para el tratamiento que
no hubieran sido debidamente atendidos, en la resolución en la que se imponga la
sanción se incluirá una amonestación con denominación del cargo responsable y se
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
10/13
ordenará la publicación en el Boletín Oficial del Estado o autonómico que
corresponda.
4. Se deberán comunicar a la autoridad de protección de datos las resoluciones que
recaigan en relación con las medidas y actuaciones a que se refieren los apartados
anteriores.
5. Se comunicarán al Defensor del Pueblo o, en su caso, a las instituciones análogas
de las comunidades autónomas las actuaciones realizadas y las resoluciones dictadas
al amparo de este artículo. (…)”
VI
El Artículo 32 “Seguridad del tratamiento” del RGPD establece:
“1. Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la
naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de
probabilidad y gravedad variables para los derechos y libertades de las personas
físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y
organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo,
que en su caso incluya, entre otros:
a) la seudonimización y el cifrado de datos personales;
b) la capacidad de garantizar la confidencialidad, integridad, disponibilidad y
resiliencia permanentes de los sistemas y servicios de tratamiento;
c) la capacidad de restaurar la disponibilidad y el acceso a los datos
personales de forma rápida en caso de incidente físico o técnico;
d) un proceso de verificación, evaluación y valoración regulares de la eficacia
de las medidas técnicas y organizativas para garantizar la seguridad del
tratamiento.
2. Al evaluar la adecuación del nivel de seguridad se tendrán particularmente en
cuenta los riesgos que presente el tratamiento de datos, en particular como
consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos
personales transmitidos, conservados o tratados de otra forma, o la comunicación o
acceso no autorizados a dichos datos.
3. La adhesión a un código de conducta aprobado a tenor del artículo 40 o a un
mecanismo de certificación aprobado a tenor del artículo 42 podrá servir de elemento
para demostrar el cumplimiento de los requisitos establecidos en el apartado 1 del
presente artículo.
4. El responsable y el encargado del tratamiento tomarán medidas para garantizar que
cualquier persona que actúe bajo la autoridad del responsable o del encargado y
tenga acceso a datos personales solo pueda tratar dichos datos siguiendo
instrucciones del responsable, salvo que esté obligada a ello en virtud del Derecho de
la Unión o de los Estados miembros”.
En el presente caso, en el momento de producirse la brecha, no se puede afirmar que
la DGP contara con las medidas adecuadas, ya que, aunque en su respuesta han
indicado que la Comisaria cuenta con 4 máquinas trituradora de papel, y el Delegado
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
11/13
de Protección de Datos en su escrito añade que la custodia, la confidencialidad y la
correcta destrucción de los documentos policiales (especialmente, aquellos que
contienen datos de carácter personal) son objetivos prioritarios para la DGP y que su
compromiso puede apreciarse en la elaboración de normativa, su distribución y la
reiteración en la necesidad de su conocimiento, la formación de los funcionarios y la
depuración de las responsabilidades disciplinarias y penales en aquellos casos de
mayor gravedad a través de los procedimientos establecidos al efecto, lo cierto es que
algunos de los documentos en los que constaban datos personales no fueron
destruidos, entregándose a XXXXXXXXXX para su utilización.
VII
El artículo 83.4 del RGPD, bajo la rúbrica “Condiciones generales para la imposición
de multas administrativas” dispone:
“Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el
apartado 2, con multas administrativas de 10 000 000 EUR como máximo o,
tratándose de una empresa, de una cuantía equivalente al 2 % como máximo del
volumen de negocio total anual global del ejercicio financiero anterior, optándose por
la de mayor cuantía:
a) las obligaciones del responsable y del encargado a tenor de los artículos 8,
11, 25 a 39, 42 y 43; (…)”
A este respecto, la LOPDGDD, en su artículo 71 “Infracciones” establece que
“Constituyen infracciones los actos y conductas a las que se refieren los apartados 4,
5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten
contrarias a la presente ley orgánica”.
A efectos del plazo de prescripción, el artículo 73 “Infracciones consideradas graves”
de la LOPDGDD indica:
“En función de lo que establece el artículo 83.4 del Reglamento (UE) 2016/679 se
consideran graves y prescribirán a los dos años las infracciones que supongan una
vulneración sustancial de los artículos mencionados en aquel y, en particular, las
siguientes:
(…)
f) La falta de adopción de aquellas medidas técnicas y organizativas que
resulten apropiadas para garantizar un nivel de seguridad adecuado al riesgo
del tratamiento, en los términos exigidos por el artículo 32.1 del Reglamento
(UE) 2016/679.
(…)
VIII
Sin perjuicio de lo dispuesto en el artículo 83.5 del RGPD, el citado artículo dispone en
su apartado 7 lo siguiente:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
12/13
“7. Sin perjuicio de los poderes correctivos de las autoridades de control en virtud del
artículo 58, apartado 2, cada Estado miembro podrá establecer normas sobre si se
puede, y en qué medida, imponer multas administrativas a autoridades y organismos
públicos establecidos en dicho Estado miembro”.
Por su parte, el artículo 77 “Régimen aplicable a determinadas categorías de
responsables o encargados del tratamiento” de la LOPDGDD dispone lo siguiente:
“1. El régimen establecido en este artículo será de aplicación a los tratamientos de los
que sean responsables o encargados:
c) La Administración General del Estado, las Administraciones de las
comunidades autónomas y las entidades que integran la Administración Local.
2. Cuando los responsables o encargados enumerados en el apartado 1 cometiesen
alguna de las infracciones a las que se refieren los artículos 72 a 74 de esta ley
orgánica, la autoridad de protección de datos que resulte competente dictará
resolución sancionando a las mismas con apercibimiento. La resolución establecerá
asimismo las medidas que proceda adoptar para que cese la conducta o se corrijan
los efectos de la infracción que se hubiese cometido.
(…)
3. Sin perjuicio de lo establecido en el apartado anterior, la autoridad de protección de
datos propondrá también la iniciación de actuaciones disciplinarias cuando existan
indicios suficientes para ello. En este caso, el procedimiento y las sanciones a aplicar
serán las establecidas en la legislación sobre régimen disciplinario o sancionador que
resulte de aplicación.
Asimismo, cuando las infracciones sean imputables a autoridades y directivos, y se
acredite la existencia de informes técnicos o recomendaciones para el tratamiento que
no hubieran sido debidamente atendidos, en la resolución en la que se imponga la
sanción se incluirá una amonestación con denominación del cargo responsable y se
ordenará la publicación en el Boletín Oficial del Estado o autonómico que
corresponda.
4. Se deberán comunicar a la autoridad de protección de datos las resoluciones que
recaigan en relación con las medidas y actuaciones a que se refieren los apartados
anteriores.
5. Se comunicarán al Defensor del Pueblo o, en su caso, a las instituciones análogas
de las comunidades autónomas las actuaciones realizadas y las resoluciones dictadas
al amparo de este artículo. (…)”
Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de
graduación de las sanciones cuya existencia ha quedado acreditada,
la Directora de la Agencia Española de Protección de Datos RESUELVE:
PRIMERO: IMPONER a la DIRECCIÓN GENERAL DE LA POLICÍA, con NIF
S2816015H, por una infracción del Artículo 5.1.f) del RGPD, tipificada en el Artículo
83.5 del RGPD, una sanción de apercibimiento.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
13/13
IMPONER a la DIRECCIÓN GENERAL DE LA POLICÍA, con NIF S2816015H, por una
infracción del Artículo 32 del RGPD, tipificada en el Artículo 83.4 del RGPD, una
sanción de apercibimiento
SEGUNDO: NOTIFICAR la presente resolución a DIRECCIÓN GENERAL DE LA
POLICÍA.
TERCERO: COMUNICAR la presente resolución al Defensor del Pueblo, de
conformidad con lo establecido en el artículo 77.5 de la LOPDGDD.
De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente
Resolución se hará pública una vez haya sido notificada a los interesados.
Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la
LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los
interesados podrán interponer, potestativamente, recurso de reposición ante la
Directora de la Agencia Española de Protección de Datos en el plazo de un mes a
contar desde el día siguiente a la notificación de esta resolución o directamente
recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la
Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de
la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la
Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el
día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la
referida Ley.
Finalmente, se señala que conforme a lo previsto en el art. 90.3 a) de la LPACAP, se
podrá suspender cautelarmente la resolución firme en vía administrativa si el
interesado manifiesta su intención de interponer recurso contencioso-administrativo.
De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante
escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través
del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-
web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la
citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la
documentación que acredite la interposición efectiva del recurso contencioso-
administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso
contencioso-administrativo en el plazo de dos meses desde el día siguiente a la
notificación de la presente resolución, daría por finalizada la suspensión cautelar.
938-181022
Mar España Martí
Directora de la Agencia Española de Protección de Datos
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es