La Agencia Española de Protección de Datos ha sancionado a la Dirección General de la Guardia Civil por el uso de la aplicación de mensajería interna IMBOX DEFENSE en el tratamiento de datos personales. La resolución aprecia una infracción grave y ordena a la institución adoptar medidas correctoras en un plazo máximo de seis meses.
El procedimiento se inició tras una denuncia registrada en 2023 por el representante del sindicato AUGC en Las Palmas. A partir de esa actuación, la AEPD examinó el funcionamiento de esta herramienta interna utilizada para comunicaciones de servicio.
Deficiencias en la seguridad del tratamiento
La resolución concluye que la Guardia Civil ha vulnerado lo previsto en el artículo 37 de la Ley Orgánica 7/2021, referido a la seguridad del tratamiento de datos personales. Entre las comunicaciones remitidas a través de la aplicación figuraban referencias a víctimas de violencia de género o incidencias del servicio, extremos especialmente sensibles dentro de la actividad policial.
La AEPD advierte de que el uso de la aplicación por parte del personal de la Guardia Civil no estaba restringido a teléfonos oficiales o corporativos. También señala que existía un único rol para todos los usuarios, de modo que todos compartían los mismos permisos dentro de la herramienta.
El organismo entiende además que no se realizó un análisis adecuado en función del tipo de datos que iban a ser objeto de tratamiento. Esa falta de evaluación previa es uno de los elementos que sustentan la declaración de infracción.
Sin multa económica, pero con obligación de corregir
La Agencia ha declarado la existencia de una infracción grave, aunque sin imponer sanción económica al tratarse de una administración pública. En su resolución, exige a la Guardia Civil la adopción de varias medidas para corregir las deficiencias detectadas.
- La elaboración de una instrucción técnica sobre el uso de la aplicación
- La formación de los usuarios
- El análisis de la posible definición de roles diferenciados
La Guardia Civil deberá implantar estas medidas en un máximo de seis meses. La resolución fija así un plazo concreto para adaptar el uso de IMBOX DEFENSE a las exigencias legales de protección y seguridad en el tratamiento de datos personales dentro del ámbito policial.